ClamAV-Sicherheitslücken: Wenn der Open-Source-Virenscanner selbst zur Schwachstelle wird

Kritische Schwachstellen im beliebten Open-Source-Virenscanner ClamAV gefährden Unternehmensnetzwerke – und stellen IT-Verantwortliche vor konkrete NIS2-Pflichten.

Was ist passiert – und warum sollten deutsche Unternehmen aufhorchen?

Der Open-Source-Virenscanner ClamAV, der in zahlreichen Unternehmensumgebungen, E-Mail-Gateways, NAS-Systemen und Linux-Servern zum Einsatz kommt, weist kritische Sicherheitslücken auf. Laut einem Bericht von Heise Security (August 2026) können Angreifer im schlimmsten Fall Schadcode auf betroffene Instanzen einschleusen – also genau das Werkzeug kompromittieren, das eigentlich vor Schadsoftware schützen soll.

Das klingt paradox, ist aber ein bekanntes Muster in der IT-Sicherheit: Sicherheitssoftware ist aufgrund ihrer tiefen Systemintegration und privilegierten Rechte ein besonders attraktives Angriffsziel. Wer ClamAV unterwandert, kann unter Umständen Scans manipulieren, Malware-Erkennung deaktivieren oder sich dauerhaft im System festsetzen – unbemerkt und mit systemweiten Rechten.

Für deutsche Unternehmen ist das aus zwei Gründen besonders relevant:

1. ClamAV ist weit verbreitet – nicht nur bei Linux-Administratoren, sondern auch als Scanning-Engine in kommerziellen Produkten, Firewalls und Cloud-Diensten.
2. Die NIS2-Richtlinie, die seit Oktober 2024 in deutsches Recht umgesetzt wurde, verpflichtet betroffene Unternehmen zu aktivem Schwachstellenmanagement und – im Ernstfall – zur Meldung erheblicher Sicherheitsvorfälle.

Technischer Hintergrund: Was steckt hinter den Schwachstellen?

ClamAV (Clam AntiVirus) ist ein quelloffenes Antiviren-Framework, das ursprünglich für Unix-Systeme entwickelt wurde und heute von Cisco Talos gepflegt wird. Es findet sich in E-Mail-Servern (z. B. Postfix, Sendmail), Dateiserver-Lösungen wie Samba, NAS-Geräten (QNAP, Synology) und zahlreichen eingebetteten Systemen.

Die aktuell gemeldeten Schwachstellen betreffen den ClamAV-Daemon (clamd) – also den Hintergrunddienst, der kontinuierlich aktive Scans durchführt. Im Kern lassen sich die Angriffsvektoren in zwei Kategorien einteilen:

1. Denial-of-Service (DoS) durch präparierte Dateien

Angreifer können speziell manipulierte Dateien einschleusen, die beim Scan-Prozess einen Absturz des Daemons oder eine übermäßige Ressourcenauslastung provozieren. Der Schutzmechanismus wird damit faktisch außer Betrieb gesetzt – ohne dass ein Alarm ausgelöst wird.

2. Remote Code Execution (RCE) im schlimmsten Fall

In der schwerwiegendsten Variante erlauben die Schwachstellen das Ausführen von Schadcode auf der Zielmaschine. Dies geschieht, weil ClamAV beim Parsen bestimmter Datei- oder Archivformate fehlerhafte Speicherverwaltung betreibt – ein klassisches Buffer-Overflow- oder Heap-Corruption-Szenario.

Einfach erklärt: Stellen Sie sich vor, Ihr Sicherheitsdienst am Werkstor prüft alle eingehenden Pakete – aber ein speziell präpariertes Paket bringt den Wachmann zum Stolpern oder lässt ihn sogar die Tür für den Angreifer öffnen. Genau das passiert hier auf Software-Ebene.

Die Schwere der Schwachstellen wird nach dem CVSS-Score (Common Vulnerability Scoring System) bewertet. RCE-Lücken erhalten typischerweise Werte zwischen 8,0 und 10,0 – also „hoch" bis „kritisch". Das BSI stuft solche Schwachstellen routinemäßig in seinen Warnmeldungen mit hoher Priorität ein.

NIS2-Relevanz: Welche Pflichten entstehen für deutsche Unternehmen?

Mit dem NIS2UmsuCG (NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz), das seit Oktober 2024 gilt, sind deutlich mehr Unternehmen als bisher zur aktiven Cybersicherheit verpflichtet. Die ClamAV-Schwachstellen sind dabei in mehrfacher Hinsicht relevant:

Pflicht zum Schwachstellenmanagement (§ 30 BSIG)

Unternehmen der Kategorien „wesentliche" und „wichtige Einrichtungen" sind gesetzlich verpflichtet, ein systematisches Schwachstellenmanagement zu betreiben. Das bedeutet: Bekannte Sicherheitslücken in eingesetzter Software müssen identifiziert, bewertet und zeitnah behoben werden. Eine ungepatchte ClamAV-Instanz nach Veröffentlichung eines Sicherheits-Updates kann im Ernstfall als Sorgfaltspflichtverletzung gewertet werden.

Meldepflicht bei erheblichen Vorfällen (§ 32 BSIG)

Wird eine ClamAV-Schwachstelle aktiv ausgenutzt und kommt es zu einem Sicherheitsvorfall mit erheblichen Auswirkungen (z. B. Datenverlust, Systemausfall, Ausbreitung im Netz), greift die Meldepflicht gegenüber dem BSI:

DSGVO-Schnittmenge

Verarbeitet ClamAV personenbezogene Daten (z. B. auf einem E-Mail-Server), entsteht bei einer erfolgreichen Kompromittierung zusätzlich eine Meldepflicht gegenüber der zuständigen Datenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO).

Das BSI bietet unter bsi.bund.de aktuelle Warnmeldungen und Handlungsempfehlungen. IT-Verantwortliche sollten die BSI-Warn- und Informationsdienste (WID) abonnieren, um zeitnah informiert zu werden.

5 konkrete Schutzmaßnahmen für Ihr Unternehmen

✅ 1. Sofort patchen – Update auf die aktuelle ClamAV-Version einspielen

Das Cisco Talos-Team stellt in der Regel zeitnah gepatchte Versionen bereit. Prüfen Sie umgehend, welche ClamAV-Version in Ihrer Umgebung im Einsatz ist (clamd --version), und aktualisieren Sie auf den neuesten Stand. Beachten Sie dabei auch eingebettete ClamAV-Instanzen in Appliances oder NAS-Systemen – hier sind oft separate Firmware-Updates erforderlich.

✅ 2. Exponierte ClamAV-Instanzen vom Internet isolieren

Der ClamAV-Daemon sollte niemals direkt aus dem Internet erreichbar sein. Überprüfen Sie Firewall-Regeln und stellen Sie sicher, dass clamd ausschließlich über lokale Sockets oder streng kontrollierte interne Netzwerksegmente kommuniziert. Netzwerksegmentierung ist hier das Schlüsselwort.

✅ 3. Monitoring und Alerting für den ClamAV-Dienst einrichten

Implementieren Sie ein aktives Monitoring des clamd-Prozesses. Ein unerklärlicher Absturz oder ungewöhnlich hohe CPU-Auslastung beim Scan-Prozess kann ein erstes Indiz für einen laufenden Angriff sein. Tools wie Prometheus + Alertmanager, Nagios oder kommerzielle SIEM-Lösungen können hier wertvolle Frühwarnindikatoren liefern.

✅ 4. Prinzip der minimalen Rechte konsequent anwenden

Stellen Sie sicher, dass der ClamAV-Daemon nicht mit Root-Rechten läuft. Ein dedizierter Systembenutzer mit minimalen Berechtigungen begrenzt den Schaden im Falle einer erfolgreichen Kompromittierung erheblich. Überprüfen Sie auch AppArmor- oder SELinux-Profile für clamd.

✅ 5. Inventarisierung und Asset-Management aktualisieren

Wissen Sie genau, auf wie vielen Systemen in Ihrer Infrastruktur ClamAV läuft – direkt installiert oder als Komponente einer anderen Lösung? Ein aktuelles Software-Inventar (SBOM – Software Bill of Materials) ist nicht nur Best Practice, sondern unter NIS2 zunehmend eine regulatorische Erwartung. Nur wer seine Assets kennt, kann sie zuverlässig schützen.

Bonus-Tipp: Threat Intelligence integrieren

Abonnieren Sie den CERT-Bund-Newsletter des BSI und integrieren Sie Threat-Intelligence-Feeds in Ihr SIEM. So erfahren Sie zeitnah, ob ClamAV-Schwachstellen bereits aktiv in freier Wildbahn ausgenutzt werden – bevor Ihr Unternehmen betroffen ist.

Fazit: Sicherheitssoftware ist kein Freifahrtschein

Die ClamAV-Schwachstellen illustrieren ein grundsätzliches Dilemma moderner IT-Sicherheit: Kein Tool ist per se sicher, weil es zur Sicherheit eingesetzt wird. Sicherheitssoftware ist aufgrund ihrer privilegierten Systemstellung oft sogar ein besonders lohnenswertes Angriffsziel.

Für deutsche Unternehmen, die unter NIS2 fallen, ist die Konsequenz klar: Ein reaktives „Wir patchen, wenn es Zeit gibt" reicht nicht mehr aus. Das Gesetz fordert ein proaktives, dokumentiertes Schwachstellenmanagement – und im Ernstfall schnelles Handeln mit transparenter Kommunikation gegenüber dem BSI.

Die gute Nachricht: Wer heute die richtigen Prozesse etabliert, ist nicht nur compliant, sondern auch widerstandsfähiger gegenüber der nächsten Schwachstelle – die mit Sicherheit kommen wird.

💡 Praxistipp für IT-Verantwortliche

Die manuelle Verwaltung von Schwachstellen, Meldepflichten und Compliance-Nachweisen wird mit wachsender Infrastruktur schnell unübersichtlich. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Schwachstellen-Tracking, Meldeprozesse und Dokumentationspflichten zentral zu verwalten – und im Prüfungsfall gegenüber Behörden lückenlos nachzuweisen. Prüfen Sie, welche Lösung zu Ihrer Unternehmensgröße und Branche passt, und fordern Sie gezielt nach BSI-Grundschutz-kompatiblen Funktionen.