Ghostscript-Schwachstelle: Kritisches Risiko für deutsche Unternehmen – Sofortmaßnahmen erforderlich

BSI-Warnstufe: HOCH | Veröffentlicht: 28.09.2026 | Update-Status: Aktualisiert

1. Einleitung: Was ist passiert – und warum sollten Sie jetzt handeln?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine aktualisierte Sicherheitswarnung mit der Einstufung „hoch" zu einer kritischen Schwachstelle in Ghostscript herausgegeben. Die Schwachstelle ermöglicht es einem entfernten, anonymen Angreifer – also ohne vorherige Authentifizierung oder physischen Zugang – beliebigen Programmcode auszuführen und Daten zu manipulieren.

Das klingt technisch, hat aber unmittelbar praktische Konsequenzen: Wer Ghostscript in seiner IT-Infrastruktur einsetzt – direkt oder als eingebettete Komponente in anderer Software – ist potenziell angreifbar. Und das betrifft weit mehr Unternehmen, als auf den ersten Blick ersichtlich ist.

Ghostscript ist eine der am weitesten verbreiteten Open-Source-Bibliotheken zur Verarbeitung von PostScript- und PDF-Dokumenten. Sie steckt in zahllosen Dokumentenmanagement-Systemen, Druckservern, Bildbearbeitungstools und Web-Applikationen – häufig unsichtbar im Hintergrund. Genau das macht diese Schwachstelle so gefährlich: Viele Unternehmen wissen gar nicht, dass sie Ghostscript verwenden.

2. Technischer Hintergrund: Was steckt hinter der Schwachstelle?

Ghostscript – unverzichtbar, aber oft übersehen

Ghostscript (aktuell entwickelt von Artifex Software) ist ein weit verbreiteter Interpreter für die Seitenbeschreibungssprachen PostScript und PDF. Die Bibliothek wird eingesetzt für:

  • PDF-Konvertierung und -Rendering (z. B. in Content-Management-Systemen)
  • Druckwarteschlangen und Druckserver (z. B. CUPS unter Linux)
  • Bildbearbeitungstools wie ImageMagick, das intern auf Ghostscript zurückgreift
  • Web-Applikationen, die serverseitig Dokumente verarbeiten
  • ERP- und DMS-Systeme, die Dokumente automatisch konvertieren

Die Schwachstelle im Klartext

Die vorliegende Schwachstelle erlaubt Remote Code Execution (RCE) – die Königsdisziplin unter den Angriffsvektoren. Ein Angreifer muss lediglich eine präparierte PostScript- oder PDF-Datei einschleusen, die von der verwundbaren Ghostscript-Version verarbeitet wird. Das kann geschehen über:

  • Datei-Upload-Funktionen in Web-Applikationen
  • E-Mail-Anhänge, die serverseitig gescannt oder konvertiert werden
  • Automatisierte Dokumentenverarbeitungs-Pipelines

Ist der Angriff erfolgreich, kann der Angreifer:

Angriffsziel Konsequenz
Codeausführung Übernahme des betroffenen Systems oder Servers
Datenmanipulation Veränderung oder Löschung kritischer Dokumente und Datenbankinhalte
Lateral Movement Ausbreitung im internen Netzwerk nach initialer Kompromittierung
Ransomware-Deployment Verschlüsselung von Unternehmensdaten als Folgeschritt

Die Tatsache, dass dies anonym und remote möglich ist, hebt das Risiko auf ein besonders kritisches Niveau.

3. NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Wen betrifft NIS2?

Seit der Umsetzung der NIS2-Richtlinie (EU 2022/2555) in deutsches Recht durch das NIS2UmsuCG (BSIG-Novelle) unterliegen tausende deutsche Unternehmen verschärften Cybersicherheitspflichten – darunter Unternehmen aus den Sektoren:

  • Energie, Wasser, Gesundheit, Verkehr (wesentliche Einrichtungen)
  • Digitale Infrastruktur, Post, Chemie, Lebensmittel (wichtige Einrichtungen)
  • Unternehmen ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz in kritischen Sektoren

Konkrete Pflichten bei dieser Schwachstelle

Eine aktiv ausnutzbare RCE-Schwachstelle wie diese löst unmittelbare Handlungspflichten aus:

Meldepflicht (Art. 23 NIS2): Wird die Schwachstelle aktiv ausgenutzt und kommt es zu einem Sicherheitsvorfall mit erheblicher Auswirkung, besteht eine Meldepflicht gegenüber dem BSI innerhalb von 24 Stunden (Erstmeldung) sowie eine detaillierte Folgemeldung innerhalb von 72 Stunden.

Risikomanagementpflicht (§ 30 BSIG-neu): Unternehmen sind verpflichtet, geeignete technische und organisatorische Maßnahmen zu ergreifen, um Risiken für Netz- und Informationssysteme zu beherrschen. Dazu gehört explizit das Patch-Management und die Schwachstellenbehandlung.

Haftung der Geschäftsleitung: Seit NIS2 haftet die Geschäftsführung persönlich für die Einhaltung der Cybersicherheitspflichten. Das Ignorieren einer BSI-Warnung der Stufe „hoch" kann im Schadensfall als grobe Fahrlässigkeit gewertet werden.

BSI-Empfehlung: Das BSI rät generell, Sicherheitsupdates zeitnah einzuspielen und Schwachstellenmeldungen aus dem WID (Warn- und Informationsdienst) aktiv zu verfolgen. Abonnieren Sie den kostenlosen BSI-Newsletter und die WID-RSS-Feeds.

4. Praktische Schutzmaßnahmen: Was Sie jetzt tun müssen

Maßnahme 1: Sofort-Inventur – Ist Ghostscript bei Ihnen im Einsatz?

Bevor Sie patchen können, müssen Sie wissen, wo Ghostscript eingesetzt wird. Führen Sie eine Software-Inventarisierung durch:

# Linux-Systeme: Ghostscript-Version prüfen
gs --version
dpkg -l | grep ghostscript   # Debian/Ubuntu
rpm -qa | grep ghostscript   # RHEL/CentOS

Vergessen Sie dabei nicht indirekte Abhängigkeiten: Tools wie ImageMagick, LibreOffice, Inkscape oder zahlreiche Python-Bibliotheken (z. B. python-pdfkit) rufen Ghostscript intern auf.

Maßnahme 2: Umgehend patchen – Sicherheitsupdate einspielen

Prüfen Sie die aktuelle gepatchte Version von Ghostscript auf der offiziellen Projektseite (ghostscript.com) sowie in den Sicherheitsbulletins Ihrer Linux-Distribution:

  • Debian/Ubuntu: sudo apt update && sudo apt upgrade ghostscript
  • RHEL/CentOS/Rocky: sudo yum update ghostscript oder sudo dnf update ghostscript
  • Windows-Umgebungen: Update über den Softwarehersteller oder direkten Download von Artifex

Testen Sie Updates in einer Staging-Umgebung, bevor Sie sie produktiv ausrollen – insbesondere wenn Ghostscript in kritische Dokumenten-Pipelines eingebettet ist.

Maßnahme 3: Netzwerksegmentierung und Input-Validierung

Können Sie nicht sofort patchen, implementieren Sie kompensierende Kontrollen:

  • Isolieren Sie Systeme, die Ghostscript verwenden, in einem dedizierten Netzwerksegment
  • Sperren Sie nicht benötigte eingehende Verbindungen über die Firewall
  • Validieren Sie alle Datei-Uploads strikt: Erlauben Sie nur explizit definierte Dateitypen und prüfen Sie Dateien auf Schadsoftware vor der Verarbeitung
  • Setzen Sie Web Application Firewalls (WAF) ein, die präparierte Dokument-Uploads erkennen können

Maßnahme 4: Monitoring und Anomalie-Erkennung aktivieren

Richten Sie gezieltes Monitoring für Systeme mit Ghostscript-Komponenten ein:

  • Überwachen Sie ungewöhnliche Prozessaufrufe durch Ghostscript (gs-Prozesse mit externen Netzwerkverbindungen)
  • Aktivieren Sie File Integrity Monitoring (FIM) auf kritischen Verzeichnissen
  • Prüfen Sie SIEM-Regeln auf Anomalien bei der Dokumentenverarbeitung
  • Nutzen Sie EDR-Lösungen (Endpoint Detection & Response), die verhaltensbasierte Angriffsmuster erkennen

Maßnahme 5: Incident-Response-Plan überprüfen und Meldewege klären

Stellen Sie sicher, dass Ihr Team im Ernstfall handlungsfähig ist:

  • Definieren Sie klare Verantwortlichkeiten: Wer entscheidet, ob eine BSI-Meldung notwendig ist?
  • Testen Sie Ihren Incident-Response-Plan auf Szenarien wie Remote Code Execution
  • Dokumentieren Sie alle Maßnahmen zur Schwachstellenbehebung lückenlos – dies ist bei einer BSI-Prüfung nachweispflichtig
  • Halten Sie die Kontaktdaten des BSI-Lagezentrums bereit: +49 (0)228 99 9582-5444

Maßnahme 6 (Bonus): Software Composition Analysis (SCA) einführen

Langfristig sollten Sie ein SCA-Tool in Ihre Entwicklungs- und Beschaffungsprozesse integrieren, das automatisch Open-Source-Abhängigkeiten und deren Schwachstellen identifiziert. Bekannte Tools sind:

  • OWASP Dependency-Check (Open Source)
  • Trivy (für Container-Umgebungen)
  • Kommerzielle Lösungen wie Snyk, Mend oder Black Duck

5. Fazit: Handeln Sie jetzt – nicht nach dem ersten Vorfall

Die Ghostscript-Schwachstelle ist ein eindrückliches Beispiel dafür, wie versteckte Open-Source-Komponenten zu kritischen Einfallstoren für Angreifer werden können. Die BSI-Einstufung „hoch" ist kein bürokratisches Label – sie ist ein klares Signal zum sofortigen Handeln.

Für Unternehmen, die unter NIS2 fallen, ist das Ignorieren dieser Warnung keine Option mehr: Persönliche Haftung der Geschäftsführung, empfindliche Bußgelder und Reputationsschäden drohen im Ernstfall. Aber auch Unternehmen außerhalb des NIS2-Geltungsbereichs sollten nicht warten: Ransomware-Angreifer und staatlich gesteuerte Hackergruppen nutzen genau solche Schwachstellen systematisch aus.

Handlungs-Checkliste für die nächsten 48 Stunden:

  • [ ] Inventarisierung: Ghostscript-Einsatz vollständig erfassen
  • [ ] Patch-Status prüfen und Update einleiten
  • [ ] Kompensierende Maßnahmen für ungepatchte Systeme aktivieren
  • [ ] Monitoring auf betroffene Systeme ausweiten
  • [ ] Incident-Response-Verantwortlichkeiten bestätigen

💡 Tipp für NIS2-pflichtige Unternehmen

Die manuelle Nachverfolgung von BSI-Warnmeldungen, Patch-Status und Meldepflichten ist aufwändig und fehleranfällig. Spezialisierte NIS2-Compliance-Software kann diesen Prozess erheblich vereinfachen: Sie aggregiert automatisch relevante Schwachstellenmeldungen (z. B. aus dem BSI WID), ordnet diese Ihren Assets zu, trackt den Remediation-Status und unterstützt Sie bei der fristgerechten Dokumentation von Sicherheitsvorfällen gemäß Art. 23 NIS2. Wenn Sie aktuell noch keine solche Lösung einsetzen, ist jetzt ein guter Zeitpunkt, den Markt zu sondieren – bevor der nächste Vorfall die Lücken in Ihrem Prozess offenbart.

Quellen: BSI WID Advisory (28.09.2026), BSI IT-Grundschutz, NIS2-Richtlinie EU 2022/2555, BSIG-Novelle (NIS2UmsuCG), ENISA Threat Landscape 2025, Artifex Ghostscript Security Advisories