194 Verwaltungen offline – und das war richtig so: Was die Citrix-Lücken über den Schutz von Fernzugängen lehren

Am Montag, dem 28. September 2026, ging in Rheinland-Pfalz in den Bürgerbüros wenig: Im ganzen Land konnten die 194 hauptamtlich geführten Städte, Gemeinden und Landkreise keine Autos zulassen, keine Personalausweise bearbeiten und keine Meldebescheinigungen ausstellen, und auch die Standesämter standen still. Ein Cyberangriff war das nicht. Die beiden kommunalen Rechenzentren in Mainz und Koblenz hatten ihre Systeme vorsorglich heruntergefahren, nachdem am Wochenende kritische Sicherheitslücken in einer zentralen Software-Komponente bekannt geworden waren.

Betroffen war Citrix NetScaler – jene Geräte, über die in unzähligen Behörden und Unternehmen der Zugriff von außen auf interne Anwendungen läuft. Zwei der Lücken wurden nachweislich schon ausgenutzt, bevor es überhaupt einen Patch gab. Am Dienstagmorgen meldeten die ersten Städte bereits wieder Normalbetrieb. Und genau deshalb lohnt der genaue Blick: Was hier wie eine Panne aussieht, ist in Wahrheit ein Beispiel dafür, wie man es richtig macht – und eine Mahnung an alle Unternehmen, die einen Fernzugang ins eigene Netz betreiben.

Was ist passiert?

Der Ablauf zeigt, wie wenig Zeit Verteidigern heute bleibt:

• Anfang September: Nach späteren Erkenntnissen von Googles Sicherheitssparte Mandiant wird eine der beiden Lücken bereits ausgenutzt – mutmaßlich von staatsnahen Angreifern. Öffentlich bekannt ist zu diesem Zeitpunkt nichts.
• 20. bis 24. September: Sicherheitsfirmen registrieren erste gezielte Angriffsversuche. Auf kompromittierten Geräten werden Webshells abgelegt, also versteckte Hintertüren, über die Angreifer später jederzeit zurückkehren können.
• Samstag, 26. September: Das Sicherheitsunternehmen watchTowr warnt öffentlich vor aktiv ausgenutzten, noch ungepatchten Lücken. Erste Betreiber nehmen ihre Geräte vom Netz.
• Sonntag, 27. September: Citrix veröffentlicht Updates für insgesamt acht Schwachstellen in NetScaler ADC und NetScaler Gateway. Die beiden schwersten (CVE-2026-88771 und CVE-2026-88772) erhalten die Bewertung 9,5 von 10. Die US-Cybersicherheitsbehörde CISA nimmt sie noch am selben Tag in ihren Katalog aktiv ausgenutzter Schwachstellen auf.
• Montag, 28. September: Das BSI veröffentlicht eine Cyber-Sicherheitswarnung. Die Shadowserver Foundation zählt weltweit mehr als 20.000 aus dem Internet erreichbare, potenziell verwundbare NetScaler-Systeme. In Rheinland-Pfalz stehen die Verwaltungen still, in Potsdam sperrt die Stadt für einige Stunden ihre Online-Bürgerdienste.
• Dienstag, 29. September: Die Updates sind eingespielt, die Systeme werden geprüft und schrittweise wieder freigegeben. Mainz und Kaiserslautern melden am Morgen Normalbetrieb. Rechenzentren und kommunale Spitzenverbände betonen: Es gab keinen erfolgreichen Angriff, personenbezogene Daten waren nicht gefährdet.

Zwischen dem ersten Angriff und dem verfügbaren Patch lagen also mehrere Wochen. Zwischen Patch und Wochenbeginn lag ein einziger Sonntag.

Warum gerade diese Geräte so gefährlich sind

NetScaler ADC und NetScaler Gateway sind das, was man in der IT eine Netzwerkgrenze nennt: Sie stehen zwischen Internet und internem Netz und sorgen dafür, dass Mitarbeiter von außen sicher auf Anwendungen, virtuelle Desktops oder Fachverfahren zugreifen können. Damit das funktioniert, müssen sie aus dem Internet erreichbar sein – und genau das macht sie zum bevorzugten Ziel.

Die beiden kritischen Lücken waren besonders unangenehm, weil sie keine Anmeldung voraussetzten. Ein Angreifer brauchte weder Passwort noch Konto, nur eine Netzwerkverbindung zum Gerät. Eine der Lücken betraf NetScaler bereits in der Standardkonfiguration. Wer sie ausnutzt, kann auf dem Gerät eigene Befehle ausführen. Und weil ein solches Gerät Zugangsdaten, Zertifikate und Verbindungen ins interne Netz verwaltet, ist ein kompromittierter NetScaler für Angreifer so etwas wie ein Generalschlüssel. Mandiant berichtet entsprechend von Fällen, in denen sich die Angreifer von dort aus weiter ins interne Netz bewegt haben.

Citrix ist dabei kein Einzelfall, aber ein Wiederholungsfall. Kritische NetScaler-Lücken sorgten schon 2019/2020 weltweit für Schlagzeilen, 2023 („Citrix Bleed") und 2025 („CitrixBleed 2") erneut. Und das Grundproblem betrifft die gesamte Geräteklasse: Firewalls und VPN-Lösungen praktisch aller großen Hersteller hatten in den vergangenen Jahren kritische, aktiv ausgenutzte Schwachstellen. Wer einen Zugang von außen anbietet, betreibt zwangsläufig ein Gerät, das das ganze Internet erreichen kann.

Zwei Behörden, zwei Lehrstücke

Wie viel davon abhängt, wie schnell und konsequent reagiert wird, zeigen zwei Fälle, die sich direkt vergleichen lassen.

Potsdam, damals und heute. Im Januar 2020 wurde die Stadtverwaltung Potsdam über eine damals bekannte Citrix-Lücke angegriffen und musste ihre Internetverbindungen komplett kappen. Citrix hatte bereits Mitte Dezember gewarnt, das BSI Anfang Januar. In der späteren Aufarbeitung räumte das Rathaus ein, die Warnung schlicht nicht rechtzeitig bewertet zu haben – der Hauptamtsleiter sagte dazu: „Dazu erfolgte aber keine Bewertung unsererseits." Im September 2026 reagierte dieselbe Stadt am Morgen nach dem Citrix-Update, sperrte die betroffenen Online-Dienste und gab sie noch am selben Tag wieder frei. Gleicher Hersteller, ähnliche Lücke, völlig anderer Ausgang. Der Unterschied lag nicht in der Technik, sondern im Prozess.

Südwestfalen-IT, 2023. Wie es ausgehen kann, wenn ein Fernzugang fällt, hat der kommunale IT-Dienstleister Südwestfalen-IT erlebt. Im Oktober 2023 drangen Angreifer der Ransomware-Gruppe Akira über eine VPN-Lösung mit einer Zero-Day-Lücke ein, die keine Multi-Faktor-Authentifizierung verlangte. Sie erlangten Administratorrechte in der zentralen Windows-Domäne und verschlüsselten Systeme, von denen 72 Kommunen abhängig waren. Die Backups waren zum Glück intakt – trotzdem sollten die ersten wichtigen Fachverfahren laut Zeitplan erst bis Ende des ersten Quartals 2024 wieder im Normalbetrieb laufen, also rund fünf Monate nach dem Angriff.

Vor diesem Hintergrund ist die Entscheidung in Rheinland-Pfalz leicht einzuordnen: Ein Tag geplanter Stillstand ist ärgerlich. Monate des Wiederaufbaus nach einer Kompromittierung sind existenzbedrohend. Vorsorglich abzuschalten ist kein Versagen, sondern eine Sicherheitsmaßnahme – vorausgesetzt, man ist darauf vorbereitet.

Patchen allein reicht diesmal nicht

Ein Punkt wird in der Berichterstattung oft übersehen: Wer bei diesen Lücken nur das Update einspielt, ist womöglich trotzdem nicht sicher. Weil die Angriffe Wochen vor dem Patch begannen, muss jeder Betreiber eines erreichbaren NetScalers davon ausgehen, dass das Gerät bereits kompromittiert sein könnte. Ein Update schließt die Lücke, entfernt aber keine Hintertür, die vorher eingerichtet wurde.

• Erst prüfen, dann patchen. CISA rät ausdrücklich, vor dem Update nach Spuren eines Angriffs zu suchen und Beweise zu sichern – ein Update kann diese Spuren beseitigen. Citrix stellt dafür Prüfmerkmale (Indicators of Compromise) bereit.
• Zugangsdaten und Zertifikate tauschen. War ein Gerät kompromittiert, müssen alle dort gespeicherten Passwörter, Schlüssel und Zertifikate als bekannt gelten.
• Konfiguration nicht vergessen. Eine der acht Lücken (CVE-2026-88778) wird durch das Update allein nicht geschlossen, sondern erfordert zusätzlich eine Einstellung in der Konfiguration.
• Das interne Netz mitprüfen. Wenn sich Angreifer von der Netzwerkgrenze aus weiterbewegt haben, endet die Untersuchung nicht am Gerät selbst.

Die abgesicherten Versionen sind NetScaler ADC und Gateway 14.1-73.37 und 13.1-64.23 sowie neuere Builds. Ältere Versionszweige, die der Hersteller nicht mehr pflegt, erhalten in der Regel gar keine Updates mehr – dort hilft nur der Umstieg auf eine unterstützte Version.

Was hat das mit Ihrem Unternehmen zu tun?

Auch wenn Sie kein Citrix einsetzen: Fast jedes Unternehmen betreibt heute eine solche Tür nach draußen. Das VPN auf der Firewall für das Homeoffice, das Gateway für den Remote-Desktop, die Fernwartung des Maschinenherstellers, das Webportal des Mailservers. Diese Systeme werden oft einmal eingerichtet und laufen dann jahrelang unauffällig – bis eine kritische Lücke bekannt wird.

Und dann zählt Tempo. Wir haben in unserem Beitrag 89 % mehr KI-gestützte Angriffe, 48 Stunden bis zum Exploit beschrieben, dass inzwischen 88 Prozent der Lücken mit öffentlichem Machbarkeitsnachweis binnen 48 Stunden ausgenutzt werden. Der Citrix-Fall zeigt die verschärfte Variante: Hier wurde schon angegriffen, bevor es überhaupt einen Patch gab. Automatisierte Scanner fragen nicht, wie groß ein Unternehmen ist. Sie suchen erreichbare, verwundbare Geräte – und finden sie.

Die entscheidende Frage für einen Mittelständler ist deshalb nicht, ob er Citrix nutzt. Sie lautet: Wer bemerkt bei Ihnen eine kritische Warnung, die an einem Samstagabend erscheint – und wer darf am Sonntag entscheiden, den Fernzugang abzuschalten?

Was Sie jetzt konkret tun sollten

• Wissen, was von außen erreichbar ist. Führen Sie eine aktuelle Liste aller Systeme, die aus dem Internet erreichbar sind – Firewall, VPN, Remote-Gateways, Mailserver, NAS, Fernwartungszugänge –, jeweils mit Hersteller und Softwarestand. Was auf dieser Liste fehlt, wird auch nicht gepatcht.
• Für Geräte an der Netzwerkgrenze gilt ein eigener Patch-Takt. Kritische Updates für Firewalls und Fernzugänge gehören nicht in den Monatsrhythmus, sondern werden innerhalb von Stunden bis wenigen Tagen eingespielt. Wie sich das strukturiert organisieren lässt, steht in Patch-Management: Der unterschätzte Schutz vor Cyberangriffen.
• Herstellerwarnungen aktiv verfolgen. Jemand muss Sicherheitsmeldungen der eingesetzten Hersteller und Warnungen des BSI im Blick haben – auch am Wochenende. Potsdam 2020 zeigt, was passiert, wenn eine Warnung zwar eintrifft, aber niemand sie bewertet.
• Die Abschaltentscheidung vorab regeln. Legen Sie fest, wer den Fernzugang im Notfall vom Netz nehmen darf, ohne erst die Geschäftsführung erreichen zu müssen. Rheinland-Pfalz und Potsdam konnten schnell handeln, weil diese Entscheidung getroffen wurde.
• Einen Plan B für den Fernzugang haben. Was passiert, wenn das VPN einen Tag lang abgeschaltet bleibt? Wer muss ins Büro, welche Arbeit kann warten, wie werden Mitarbeiter und Kunden informiert? Das gehört in den Notfallplan, nicht ins Improvisieren am Montagmorgen.
• Multi-Faktor-Authentifizierung für jeden Zugang von außen. Gegen Lücken wie die aktuellen, die gar keine Anmeldung brauchen, hilft MFA nicht. Gegen einen der häufigsten Wege ins Netz, gestohlene oder erratene Passwörter, aber sehr wohl – und der Fall Südwestfalen-IT zeigt, wohin ein Fernzugang ohne zweiten Faktor führen kann. Mehr dazu in Warum Multi-Faktor-Authentifizierung heute Pflicht ist.
• Verwaltungsoberflächen nie ins Internet. Die Administrationszugänge von Firewall, VPN und Gateway gehören ausschließlich ins interne Verwaltungsnetz.
• Das Netz hinter der Tür segmentieren. Ein kompromittiertes Gateway darf nicht automatisch Zugriff auf alles bedeuten. Getrennte Netzbereiche und eng gefasste Berechtigungen begrenzen den Schaden, wenn die Tür doch einmal aufgebrochen wird.
• Nach einer kritischen Lücke nicht nur patchen, sondern prüfen. Protokolle sichten, ungewöhnliche Anmeldungen und neue Dateien suchen, im Zweifel Zugangsdaten tauschen. Für Unternehmen im Anwendungsbereich von NIS2 gelten dabei zusätzlich enge Meldefristen – siehe NIS2: Was Unternehmen jetzt wissen und tun müssen.

Unser Fazit

Ein landesweiter Stillstand der Bürgerdienste klingt nach einem schlechten Tag für die IT. Tatsächlich zeigt der Fall Rheinland-Pfalz das Gegenteil: Die Verantwortlichen haben eine kritische Warnung am Wochenende ernst genommen, die Systeme vorsorglich abgeschaltet, gepatcht, geprüft und binnen eines Tages schrittweise wieder hochgefahren – ohne erfolgreichen Angriff und ohne Datenverlust. Unbequem, aber richtig.

Für Unternehmen steckt darin die eigentliche Lehre: Der Fernzugang ist die Haustür Ihres Netzwerks. Er muss erreichbar sein, und deshalb wird er angegriffen – ständig, automatisiert und inzwischen oft, bevor der Hersteller überhaupt reagiert hat. Schützen lässt er sich nicht mit einem einzelnen Produkt, sondern nur mit einem Ablauf, der auch an einem Sonntag funktioniert: Warnung erkennen, bewerten, entscheiden, handeln.

So können wir Ihnen helfen

Genau dafür sind wir da: Wir behalten die Systeme an Ihrer Netzwerkgrenze im Blick, bewerten Herstellerwarnungen, sobald sie erscheinen, und setzen die nötigen Schritte um – damit eine kritische Lücke bei Ihnen nicht erst am Montagmorgen auffällt.

Quellen:
• Borns IT- und Windows-Blog – „Rheinland-Pfalz, NRW, Potsdam: Landesweite Software-Störung – Citrix-Problem die Ursache?" (Günter Born, 28.09.2026), zum Beitrag
• Borns IT- und Windows-Blog – „Kritische Schwachstellen in Citrix NetScaler ADC / Citrix NetScaler Gateway (27.9.2026)" (Günter Born, 28.09.2026), zum Beitrag
• BSI – Cyber-Sicherheitswarnung „Citrix NetScaler – Systeme werden über ZeroDay-Schwachstellen angegriffen" (Version 1.0, 28.09.2026), bsi.bund.de
• CISA – „Critical Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC, Gateway" (27.09.2026), cisa.gov
• Rapid7 – „Zero-Day Exploitation of Citrix NetScaler ADC and Gateway: CVE-2026-88771 and CVE-2026-88772" (28.09.2026, aktualisiert 30.09.2026), zum Beitrag
• Cybersecurity Dive – „Citrix NetScaler exploitation began days before public notification" (David Jones, 29.09.2026), zum Beitrag
• watchTowr – „Citrix NetScaler Zero-Day RCE FAQ: CVE-2026-88771 and CVE-2026-88772" (27.09.2026), zum Beitrag
• NR-Kurier – „Rheinland-Pfalz: Sicherheitslücke zwingt Verwaltungen zur IT-Abschaltung" (28.09.2026), zum Beitrag
• it-daily.net – „Nach IT-Sicherheitslücke: Erste Städte melden Normalbetrieb" (29.09.2026), zum Beitrag
• Die Rheinpfalz – „Lahmgelegte Bürgerdienste auch in der Pfalz: Was dahinter steckt" (Frank Keiner, Simone Schmidt, Nicole Tauer, 28.09.2026), zum Beitrag
• Der Tagesspiegel – „Nach der Cyber-Attacke: Rathaus räumt Fehler in IT-Krise ein" (12.02.2020), zum Beitrag
• Südwestfalen-IT – Pressemitteilung „Forensik-Bericht liefert Erkenntnisse zu Ransomware-Angriff" (25.01.2024), PDF
Die Beiträge wurden inhaltlich eigenständig aufbereitet und für Unternehmen in Deutschland redaktionell eingeordnet.