Barracuda-Lücken: Betroffen ist auch, wer kein Barracuda hat

Wien, 9. November 2026 · Analyse von risikomonitor.com

Ein Unternehmen muss kein eigenes Barracuda-Gerät betreiben, um von einer Sicherheitslücke in einem Mailgateway betroffen sein zu können. E-Mails laufen über die Systeme von Absender und Empfänger. Ist ein Gateway bei einem Lieferanten, Kunden oder Mail-Provider verwundbar, kann das auch die Kommunikation österreichischer Geschäftspartner gefährden.

Barracuda Networks hat am 2. November 2026 Sicherheitskorrekturen für zwei Schwachstellen veröffentlicht. Unsere Presseinformation untersucht die öffentlich sichtbare Infrastruktur und erklärt, warum Betreiber und ihre Geschäftspartner jetzt den Update-Stand klären sollten. Öffentliche Erreichbarkeit ist dabei kein Beweis für eine ungepatchte oder bereits kompromittierte Installation.

Das Wichtigste in Kürze

• Die Schwachstellen CVE-2026-116606 und CVE-2026-111560 lassen sich laut Hersteller verketten. Beim Email Security Gateway kann dadurch ein Angreifer ohne Zugangsdaten Root-Rechte erlangen, wenn er die Administrationsoberfläche erreicht.
• Unsere passive Recherche erfasst 2.545 sichtbare Barracuda-Mailgateways weltweit, davon 482 in der EU und 29 in Österreich. Gezählt wurden eindeutige IP-Adressen, nicht betroffene Unternehmen.
• Bei bis zu 174 Email Security Gateways in Europa ist laut Auswertung ein zugehöriger Webdienst sichtbar, darunter 12 in Österreich. Der Patchstand wurde nicht geprüft.
• Sicherheitskorrekturen stehen seit 2. November bereit. Nach dem Informationsstand unserer Presseinformation vom 9. November 2026 ist für diese aktuellen Lücken keine Ausnutzung bekannt.

Warum auch Unternehmen ohne Barracuda betroffen sein können

Ein Mailgateway prüft Nachrichten auf Spam, Phishing und Schadsoftware. Dabei verarbeitet es Absender, Empfänger, Nachrichtentext und Anhänge, sofern die Inhalte nicht gesondert Ende-zu-Ende-verschlüsselt sind. Wer ein solches System kontrolliert, sitzt an einem zentralen Punkt der Kommunikation.

Eine mögliche Folge wäre eine manipulierte Nachricht innerhalb eines echten Gesprächsverlaufs, etwa eine Zahlungsaufforderung mit geänderter Bankverbindung. Das ist ein Risikoszenario, kein in dieser Analyse nachgewiesener Vorfall. Für österreichische Unternehmen endet das Risiko deshalb nicht an der eigenen Infrastruktur oder an der Landesgrenze: Entscheidend ist auch, welche Systeme die Geschäftspartner einsetzen.

Was die beiden Sicherheitslücken bedeuten

CVE-2026-116606 betrifft laut dem in unserer Presseinformation dokumentierten CVE-Datensatz das Barracuda Email Security Gateway in Versionen vor 9.4.0.030. Ein nicht angemeldeter Angreifer kann eine Konfigurationsimportfunktion aufrufen und eine präparierte Sicherung einspielen. Der CVSS-4.0-Wert beträgt 9,3. Barracuda präzisierte am 5. November, dass keine Anmeldung erforderlich ist, die Administrationsoberfläche aber erreichbar sein muss.

CVE-2026-111560 betrifft die unzureichende Bereinigung von Eingaben im Zeitzonenfeld. Darüber eingeschleuste Befehle können mit Root-Rechten ausgeführt werden. Für sich genommen setzt diese Lücke Administratorrechte voraus; der angegebene CVSS-Wert beträgt 8,6. Betroffen sind neben dem ESG weitere Barracuda-Produkte. In Kombination können die beiden Lücken laut Hersteller die Zugriffskontrolle umgehen.

Die reine Sichtbarkeit eines Maildienstes reicht nicht aus, um diese Angriffskette nachzuweisen. Dafür müssen insbesondere die relevante Administrationsoberfläche erreichbar und die erforderlichen Sicherheitskorrekturen noch nicht installiert sein.

Österreich: Sichtbarkeit ist ein Prüfhinweis, kein Angriffsnachweis

Unsere Auswertung findet 29 österreichische Barracuda-Mailgateways. Bei bis zu 12 ESG-Systemen ist ein Webdienst aus dem Internet sichtbar. Diese Beobachtung sollte Anlass sein, Zuständigkeiten, Zugriffsbeschränkungen und Sicherheitsupdates zu prüfen – sie erlaubt aber keine Aussage darüber, wie viele Geräte tatsächlich verwundbar sind.

Der historische Vorfall um CVE-2023-2868 zeigt, weshalb diese Geräteklasse besondere Aufmerksamkeit verdient: Barracuda verlangte 2023 den Austausch kompromittierter ESG-Geräte unabhängig vom Patchstand. Dieser frühere Fall darf nicht mit einer bestätigten Ausnutzung der aktuellen Lücken gleichgesetzt werden.

Was Betreiber und Geschäftspartner jetzt tun sollten

Barracuda empfiehlt, Firmware und Sicherheitspatches zu prüfen, fehlende Korrekturen manuell einzuspielen, automatische Updates zu aktivieren und die Administrationsoberfläche auf vertrauenswürdige interne Netze zu beschränken. Maßgeblich sind die produktspezifischen Hinweise im aktuellen Hersteller-Advisory.

Unternehmen ohne eigenes Gerät sollten ihre wichtigsten Lieferanten und den Mail-Provider fragen, ob ein Barracuda-Gateway eingesetzt wird und ob die Updates installiert sind. Geänderte Bankdaten sollten telefonisch über eine bereits bekannte Nummer bestätigt werden, nicht über die Kontaktdaten einer verdächtigen Nachricht.

> „Ein Mailgateway ist das Eingangstor zur gesamten Kommunikation einer Organisation. Wer hier eine Lücke offen lässt, gibt Angreifern einen Platz in der ersten Reihe“, sagt Manuel Löw-Beer, Founder & CEO von risikomonitor.com.

Die NIS2-Richtlinie nennt in Artikel 21 Absatz 2 Buchstabe d ausdrücklich die Sicherheit der Lieferkette. Nach unserer Einschätzung gehört die Absicherung der Mailkommunikation mit unmittelbaren Dienstleistern in diese Betrachtung. Mehr zur Einordnung finden Sie unter [NIS2](/lieferantenmonitoring/nis2); bei konkretem Klärungsbedarf können Sie [Kontakt aufnehmen](/demo).

Methode, Grenzen und Quellen

Die Datenbasis ist eine passive Analyse öffentlich verfügbarer Informationen vom 9. Oktober bis 8. November 2026. Es erfolgten kein aktiver Scan, kein Verbindungsaufbau, kein Anmeldeversuch und kein Penetrationstest. Die Länderzuordnung basiert auf IP-Geolokalisierung. Europa umfasst in dieser Analyse die EU-27 sowie Schweiz, Vereinigtes Königreich, Norwegen und Island. Betreiber werden bewusst nicht genannt.

Die Zahlen beschreiben sichtbare Geräte und Webdienste, nicht nachweislich verwundbare Geräte oder erfolgreiche Angriffe. Primäre Grundlage dieses Artikels ist unsere Presseinformation „Barracuda-Lücken: Betroffen ist auch, wer kein Barracuda hat“, 9. November 2026. Sie dokumentiert folgende technische Quellen:

• Barracuda: Security Advisory zu Authorization Bypass und Command Injection
• CVE-2026-116606 und CVE-2026-111560
• Barracuda: Hinweise zum früheren ESG-Vorfall CVE-2023-2868
• NIS2-Richtlinie, Artikel 21

Titelbild: KI-generiertes Symbolbild, kein konkretes Barracuda-Gerät und keine betroffene Organisation.