Kritische Zero-Day-Lücken in Citrix NetScaler: Was IT-Verantwortliche jetzt sofort tun müssen

Zwei ungepatchte Schwachstellen ermöglichen Remote Code Execution – und werden bereits aktiv ausgenutzt

Einleitung: Alarm für deutsche Netzwerke

Die Bedrohungslage hat sich erneut dramatisch zugespitzt: Sicherheitsforscher des renommierten Unternehmens watchTowr haben am 26. September 2026 zwei kritische Zero-Day-Schwachstellen in Citrix NetScaler ADC und Citrix NetScaler Gateway öffentlich bekannt gemacht. Beide Lücken erlauben eine sogenannte Remote Code Execution (RCE) – das bedeutet, Angreifer können aus der Ferne beliebigen Schadcode auf betroffenen Systemen ausführen, ohne physischen Zugang oder gültige Zugangsdaten zu benötigen.

Was die Situation besonders brisant macht: Citrix hat zum Zeitpunkt der Veröffentlichung weder die Schwachstellen offiziell bestätigt noch ein Sicherheits-Update bereitgestellt. Und die Angriffe laufen bereits. Einige Administratoren weltweit haben betroffene Appliances bereits vom Netz genommen – und damit de facto den Betrieb unterbrochen –, weil ihnen keine andere Wahl blieb.

Für deutsche Unternehmen und Behörden ist das ein handfester Vorfall mit weitreichenden Konsequenzen: NetScaler-Produkte gehören zu den meistgenutzten Lösungen für sicheren Fernzugriff, Load Balancing und Anwendungsbereitstellung in mittelständischen und großen Unternehmen. Wer diese Technologie einsetzt und nicht sofort handelt, riskiert nicht nur Datenverlust und Betriebsausfälle – sondern möglicherweise auch Verstöße gegen die NIS2-Richtlinie.

Technischer Hintergrund: Was steckt hinter den Schwachstellen?

Was ist Citrix NetScaler?

Citrix NetScaler ADC (Application Delivery Controller) und NetScaler Gateway sind Netzwerk-Appliances, die in Tausenden von Unternehmensumgebungen eingesetzt werden. Sie fungieren als:

• Sicherer Remote-Zugang für Home-Office-Mitarbeiter (VPN-ähnliche Funktion)
• Load Balancer für Webanwendungen
• Web Application Firewall (WAF) zum Schutz interner Dienste

Da diese Systeme direkt am Netzwerkrand betrieben werden und oft aus dem Internet erreichbar sind, sind sie ein bevorzugtes Angriffsziel für staatliche Akteure und Cyberkriminelle gleichermaßen. Frühere Schwachstellen wie CVE-2023-3519 (Citrix Bleed) haben gezeigt, wie verheerend solche Lücken sein können.

Was können die neuen Zero-Days?

Die beiden neu entdeckten Schwachstellen ermöglichen nach aktuellem Kenntnisstand:

Ein unauthentifizierter RCE ist in der Schweregradbewertung nach CVSS typischerweise mit einem Score von 9.0 oder höher einzustufen – also kritisch. Angreifer, die diese Lücken ausnutzen, können:

• Vollständige Kontrolle über die Appliance übernehmen
• Interne Netzwerksegmente erreichen und lateral vordringen
• Zugangsdaten aus dem Speicher auslesen
• Ransomware oder andere Schadsoftware einschleusen

NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Wer ist betroffen?

Seit Oktober 2024 gilt die NIS2-Richtlinie (umgesetzt durch das aktualisierte IT-Sicherheitsgesetz / BSIG) für eine deutlich größere Anzahl deutscher Unternehmen als bisher. Betroffen sind unter anderem:

• Unternehmen in wesentlichen Sektoren (Energie, Gesundheit, Transport, Wasser, Finanzmarktinfrastrukturen, digitale Infrastruktur)
• Unternehmen in wichtigen Sektoren (Chemie, Lebensmittel, verarbeitendes Gewerbe, Post, öffentliche Verwaltung)
• Ab 50 Mitarbeitern oder 10 Mio. € Jahresumsatz in den relevanten Branchen

Meldepflichten: Die Uhr tickt

Wer unter NIS2 fällt und einen Sicherheitsvorfall dieser Art erkennt, hat strenge Meldepflichten gegenüber dem Bundesamt für Sicherheit in der Informationstechnik (BSI):

1. Frühwarnung innerhalb von 24 Stunden nach Bekanntwerden eines erheblichen Vorfalls
2. Erster Bericht innerhalb von 72 Stunden mit vorläufiger Bewertung
3. Abschlussbericht innerhalb von 30 Tagen

⚠️ Wichtig: Die Meldepflicht gilt nicht erst, wenn ein Angriff erfolgreich war. Bereits die begründete Vermutung einer Kompromittierung kann eine Meldepflicht auslösen. Wer Citrix NetScaler betreibt und diese Systeme aus dem Internet erreichbar hat, sollte die Lage aktiv bewerten.

Sanktionen bei Pflichtverletzung

Das BSIG sieht bei Verstößen gegen Meldepflichten und mangelndem Risikomanagement empfindliche Bußgelder vor:

• Bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen
• Bis zu 7 Millionen Euro oder 1,4 % des Jahresumsatzes für wichtige Einrichtungen

Praktische Schutzmaßnahmen: Was Sie jetzt tun müssen

Die fehlende Verfügbarkeit eines Patches ist kein Grund zur Passivität. Folgende Maßnahmen sollten IT-Teams unverzüglich einleiten:

1. 🔍 Bestandsaufnahme: Welche Systeme sind exponiert?

Identifizieren Sie sofort alle Citrix NetScaler ADC- und NetScaler Gateway-Instanzen in Ihrer Infrastruktur. Prüfen Sie:
- Ist die Management-Oberfläche aus dem Internet erreichbar?
- Welche Firmware-Version ist im Einsatz?
- Werden diese Systeme für kritische Prozesse genutzt?

Nutzen Sie hierfür Ihre CMDB (Configuration Management Database) oder Netzwerk-Scan-Tools wie Nmap oder Shodan (für die externe Perspektive).

2. 🚫 Sofortige Netzwerksegmentierung oder Abschaltung

Wenn keine betriebliche Notwendigkeit besteht, die NetScaler-Appliance aus dem Internet erreichbar zu lassen: Ziehen Sie den Stecker oder isolieren Sie das System. Mehrere Administratoren weltweit haben genau diesen Schritt bereits vollzogen. Eine temporäre Betriebsunterbrechung ist schmerzhaft, aber einem vollständigen Kompromittierung vorzuziehen.

Falls eine vollständige Abschaltung nicht möglich ist:
- Einschränkung des Zugriffs auf bekannte IP-Adressen via Firewall-Regeln (Allowlisting)
- Deaktivierung nicht benötigter Funktionen und Schnittstellen

3. 🕵️ Aktive Kompromittierungssuche (Threat Hunting)

Gehen Sie davon aus, dass Ihre Systeme möglicherweise bereits kompromittiert wurden, und suchen Sie aktiv nach Indikatoren:

• Überprüfen Sie Systemlogs auf ungewöhnliche HTTP-Requests, insbesondere auf die Management-Ports
• Suchen Sie nach unbekannten Prozessen oder neu angelegten Benutzerkonten
• Analysieren Sie Netzwerkverbindungen auf anomale ausgehende Verbindungen
• Nutzen Sie Threat-Intelligence-Feeds und die IOCs (Indicators of Compromise), die watchTowr und das BSI ggf. veröffentlichen

4. 📋 Incident-Response-Plan aktivieren

Stellen Sie sicher, dass Ihr Incident-Response-Plan griffbereit und aktuell ist:

• Wer hat intern die Entscheidungshoheit bei Sicherheitsvorfällen?
• Liegt die BSI-Meldestelle als Kontakt vor? (Meldung unter: bsi.bund.de)
• Sind externe Forensik-Dienstleister vorvertraglich gebunden?
• Sind Backup-Systeme aktuell und offline gesichert?

5. 🔄 Patch-Management-Prozess auf höchste Priorität setzen

Sobald Citrix ein Sicherheits-Update veröffentlicht, muss die Einspielung innerhalb weniger Stunden erfolgen – nicht innerhalb der üblichen Wartungsfenster. Richten Sie dafür jetzt Folgendes ein:

• Abonnieren Sie Citrix Security Bulletins und den BSI-Newsletter für sofortige Benachrichtigung
• Definieren Sie intern ein Notfall-Patching-Verfahren mit klar geregelten Zuständigkeiten
• Testen Sie Patches in einer Staging-Umgebung, falls zeitlich möglich – aber priorisieren Sie im Zweifel die Sicherheit über die Stabilität

6. 📡 Externe Angriffsfläche kontinuierlich überwachen

Dieser Vorfall zeigt erneut: Wer nicht weiß, welche seiner Systeme aus dem Internet erreichbar sind, tappt im Dunkeln. Implementieren Sie ein Attack Surface Management (ASM), das kontinuierlich Ihre externe Sichtbarkeit überwacht und neu exponierte Dienste sofort meldet.

Fazit: Zero-Days fordern Zero-Toleranz beim Risikomanagement

Die aktuellen Schwachstellen in Citrix NetScaler sind ein Weckruf – und leider kein neuer. Kritische Infrastruktur-Komponenten wie ADC- und Gateway-Appliances sind das bevorzugte Einfallstor für professionelle Angreifer, weil sie hochprivilegiert am Netzwerkrand sitzen und in vielen Organisationen stiefmütterlich behandelt werden.

Für deutsche Unternehmen, die unter NIS2 fallen, gilt: Unwissenheit schützt nicht vor Strafe. Die Richtlinie verlangt proaktives Risikomanagement – und das bedeutet, auf Bedrohungen wie diese strukturiert und schnell zu reagieren.

Wer heute handelt, schützt nicht nur seine Daten und Systeme, sondern auch seine rechtliche Compliance und das Vertrauen von Kunden und Partnern.

💡 Tipp für IT-Teams und Compliance-Verantwortliche

Vorfälle wie dieser verdeutlichen, wie wichtig eine zentrale NIS2-Compliance-Plattform ist: Sie unterstützt nicht nur bei der strukturierten Dokumentation von Sicherheitsvorfällen und der fristgerechten BSI-Meldung, sondern hilft auch, Risiken systematisch zu bewerten, Maßnahmen zu verfolgen und den Nachweis gegenüber Aufsichtsbehörden zu erbringen. Wenn Ihr Unternehmen noch keine dedizierte Software für NIS2-Compliance nutzt, ist jetzt der richtige Zeitpunkt, sich über entsprechende Lösungen zu informieren – bevor der nächste Vorfall einschlägt.

Quellen und weiterführende Links:
- BSI IT-Grundschutz: bsi.bund.de
- ENISA Threat Landscape 2025
- NIS2-Richtlinie (EU) 2022/2555
- watchTowr Security Advisory, 26.09.2026