PaperCut-Schwachstellen aktiv ausgenutzt: Angriffswelle auf Bildungseinrichtungen – was deutsche Unternehmen jetzt wissen müssen

Einleitung: Druckmanagement-Software als Einfallstor für Angreifer

Was harmlos klingt, entpuppt sich als ernstes Sicherheitsproblem: Angreifer nutzen kritische Schwachstellen in der weit verbreiteten Druckmanagement-Software PaperCut aktiv aus, um Zugangsdaten zu stehlen und sich in IT-Systeme einzunisten. Besonders im Visier: Schulen, Hochschulen und Universitäten in den USA und Europa – und damit auch deutsche Bildungseinrichtungen.

Das Arctic Wolf Adversary Research Team dokumentierte koordinierte Angriffe, die auf zwei neu bekannt gewordene Sicherheitslücken abzielen: CVE-2026-81578 (Authentifizierungsumgehung) und CVE-2026-82078 (Remote Code Execution). Gemeinsam bilden diese Schwachstellen eine gefährliche Angriffskette, die Cyberkriminellen nahezu ungehinderten Zugriff auf betroffene Systeme verschaffen kann.

Für IT-Verantwortliche und Geschäftsführer in Deutschland ist das aus mehreren Gründen alarmierend: PaperCut ist in deutschen Unternehmen, Behörden und Bildungseinrichtungen weit verbreitet. Hinzu kommen verschärfte Meldepflichten und Sicherheitsanforderungen durch die NIS2-Richtlinie, die seit Oktober 2024 auch in Deutschland vollständig greift. Wer jetzt nicht handelt, riskiert nicht nur Datenverluste, sondern auch empfindliche Bußgelder.

Technischer Hintergrund: Wie die Angriffskette funktioniert

Was ist PaperCut – und warum ist es so ein lohnenswertes Ziel?

PaperCut ist eine Druckmanagement-Software, die in tausenden von Organisationen weltweit eingesetzt wird – von kleinen Schulen bis hin zu großen Unternehmensverbünden. Die Software kontrolliert den Zugang zu Druckern, verwaltet Druckkontingente und speichert dabei häufig sensible Nutzerdaten: Benutzernamen, E-Mail-Adressen, und in manchen Konfigurationen sogar Passwort-Hashes oder Verbindungsdetails zu Active-Directory-Systemen.

Genau das macht PaperCut zu einem attraktiven Ziel: Wer die Software kompromittiert, bekommt potenziell Zugriff auf das gesamte Netzwerk einer Organisation.

Die zwei Schwachstellen im Detail

CVE-2026-81578 – Authentifizierungsumgehung (Authentication Bypass):
Diese Schwachstelle erlaubt es einem nicht authentifizierten Angreifer, die Login-Mechanismen der PaperCut-Administrationsoberfläche zu umgehen. Ohne gültige Zugangsdaten kann ein Angreifer direkt auf administrative Funktionen zugreifen. Der CVSS-Score dieser Schwachstelle wird als kritisch eingestuft.

CVE-2026-82078 – Remote Code Execution (RCE):
Aufbauend auf der Authentifizierungsumgehung ermöglicht diese Schwachstelle die Ausführung von beliebigem Code auf dem betroffenen Server. In der Praxis bedeutet das: Ein Angreifer kann Schadsoftware einschleusen, Backdoors installieren oder das System für weitere Angriffe im Netzwerk nutzen.

Der typische Angriffsablauf

Die beobachteten Angriffe folgen einem klaren Muster:

1. Reconnaissance: Angreifer scannen das Internet nach erreichbaren PaperCut-Instanzen (typischerweise Port 9191 oder 9192).
2. Authentication Bypass: Ausnutzung von CVE-2026-81578, um Adminzugang zu erlangen.
3. Code Execution: Ausführung von Befehlen über CVE-2026-82078.
4. Credential Harvesting: Extraktion gespeicherter Nutzerdaten, LDAP-Zugangsdaten und Verbindungsparameter.
5. Lateral Movement: Nutzung der erbeuteten Zugangsdaten für Bewegungen im Netzwerk – oft in Richtung Active Directory oder E-Mail-Systeme.

Besonders perfide: Der gesamte Ablauf kann innerhalb weniger Minuten nach der ersten Verbindung abgeschlossen sein.

NIS2-Relevanz: Was das für deutsche Unternehmen bedeutet

Wer ist betroffen?

Die NIS2-Richtlinie (umgesetzt durch das novellierte IT-Sicherheitsgesetz 2.0 und das BSIG) definiert zwei Kategorien von Organisationen mit erhöhten Sicherheitspflichten:

Bildungseinrichtungen – insbesondere Hochschulen mit Forschungsauftrag – fallen häufig in die Kategorie „wichtige Einrichtungen" und unterliegen damit klaren Meldepflichten und Sicherheitsanforderungen.

Meldepflichten im Ernstfall

Gemäß § 30 BSIG (neue Fassung) sind betroffene Organisationen verpflichtet:

• Innerhalb von 24 Stunden: Frühwarnung an das BSI bei Verdacht auf einen erheblichen Sicherheitsvorfall
• Innerhalb von 72 Stunden: Vollständige Erstmeldung mit Informationen zum Ausmaß, Ursache und Sofortmaßnahmen
• Innerhalb von 30 Tagen: Abschlussbericht mit Analyse und Gegenmaßnahmen

Die aktive Ausnutzung einer kritischen RCE-Schwachstelle in einer produktiven Druckmanagement-Software qualifiziert eindeutig als erheblicher Sicherheitsvorfall im Sinne der NIS2-Richtlinie – Meldepflicht besteht also in den meisten betroffenen Szenarien.

Sanktionen bei Verstößen

Das BSI kann bei Verstößen gegen Meldepflichten oder mangelhafter Risikoabsicherung Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes verhängen. Für Hochschulen und öffentliche Einrichtungen können ähnliche Sanktionsmechanismen greifen – ein unterschätztes Risiko für viele Institutionen.

Praktische Schutzmaßnahmen: Was Sie jetzt tun sollten

1. Sofort-Patch: PaperCut auf aktuelle Version aktualisieren

Der wichtigste Schritt ist die unverzügliche Aktualisierung aller PaperCut-Instanzen auf die vom Hersteller bereitgestellte gepatchte Version. PaperCut hat Sicherheitsupdates für beide CVEs veröffentlicht. Prüfen Sie:

• Welche PaperCut-Version ist im Einsatz (PaperCut MF, PaperCut NG)?
• Ist die Application Server-Komponente von extern erreichbar?
• Sind alle Instanzen – auch Testumgebungen – gepatcht?

Handlungsempfehlung: Implementieren Sie einen strukturierten Patch-Management-Prozess, der kritische Sicherheitsupdates innerhalb von 24–48 Stunden bereitstellt.

2. Netzwerkzugang zum PaperCut-Admininterface einschränken

Die Administrationsoberfläche von PaperCut (Standard-Port 9191) sollte niemals aus dem öffentlichen Internet erreichbar sein. Konkrete Maßnahmen:

• Firewall-Regeln: Admin-Interface nur aus dem internen Verwaltungsnetz erreichbar machen
• VPN-Pflicht für Remote-Administration
• IP-Whitelisting für zugelassene Admin-Clients

3. Systeme auf Kompromittierungsindikatoren prüfen (IOC-Check)

Falls PaperCut bereits länger ungepacht im Einsatz war, sollten Sie aktiv nach Spuren einer Kompromittierung suchen:

• Log-Analyse: Ungewöhnliche API-Aufrufe, Admin-Logins ohne bekannte Quelle
• Netzwerk-Traffic: Verdächtige ausgehende Verbindungen vom PaperCut-Server
• Prozessüberwachung: Unbekannte Prozesse oder Dienste auf dem Server
• Nutzen Sie IOC-Listen, die von Arctic Wolf und ENISA veröffentlicht wurden

4. LDAP- und Active-Directory-Zugangsdaten rotieren

Da Angreifer gezielt auf LDAP-Verbindungsdetails abzielen, die in PaperCut konfiguriert sind, müssen im Verdachtsfall alle Zugangsdaten für die Verzeichnisdienste sofort geändert werden. Prüfen Sie außerdem:

• Welche Service-Accounts hat PaperCut im Active Directory?
• Welche Berechtigungen haben diese Accounts?
• Sind die Accounts nach dem Principle of Least Privilege konfiguriert?

5. Multi-Faktor-Authentifizierung (MFA) durchgängig einführen

Erbeutete Zugangsdaten verlieren ihren Wert, wenn MFA konsequent eingesetzt wird. Stellen Sie sicher:

• MFA für alle Admin-Zugänge zu PaperCut
• MFA für Remote-Zugänge (VPN, RDP, Cloud-Dienste)
• MFA für privilegierte Active-Directory-Konten

6. Sicherheitsvorfall-Response-Plan aktivieren und testen

Organisationen, die unter NIS2 fallen, müssen über einen dokumentierten Incident-Response-Plan verfügen. Nutzen Sie die aktuelle Bedrohungslage als Anlass:

• Ist Ihr IR-Plan auf dem aktuellen Stand?
• Sind Verantwortlichkeiten klar definiert (wer meldet ans BSI, wer informiert die Geschäftsführung)?
• Haben Sie Kontakt zum BSI-CERT und ggf. zu einem externen Incident-Response-Dienstleister?

Fazit: Druckmanagement als unterschätztes Angriffsziel

Der aktuelle Angriff auf PaperCut-Systeme zeigt einmal mehr, dass Cyberkriminelle gezielt nach weniger offensichtlichen Einfallstoren suchen. Druckmanagement-Software steht selten im Mittelpunkt von Sicherheitsbetrachtungen – genau das macht sie so attraktiv für Angreifer.

Für deutsche Bildungseinrichtungen, aber auch für Unternehmen jeder Größe, die PaperCut im Einsatz haben, gilt: Sofortiger Patch, Netzwerksegmentierung und aktive Kompromittierungsprüfung sind keine optionalen Empfehlungen, sondern unter NIS2 Teil der gesetzlich geforderten Sorgfaltspflicht.

Das BSI empfiehlt generell, Schwachstellen-Management als kontinuierlichen Prozess zu verstehen – nicht als einmalige Aufgabe. Organisationen, die bisher keinen systematischen Überblick über ihre Angriffsfläche haben, sollten das jetzt ändern.

Call-to-Action: NIS2-Compliance strukturiert angehen

Die Verwaltung von Sicherheitsvorfällen, Meldepflichten und Risikoanalysen manuell zu koordinieren, überfordert viele IT-Teams schnell – besonders in Bildungseinrichtungen mit knappen Ressourcen. Spezialisierte NIS2-Compliance-Software kann dabei helfen, Meldeprozesse zu automatisieren, Risikobewertungen zu strukturieren und die Dokumentation für mögliche BSI-Prüfungen revisionssicher zu führen. Informieren Sie sich über entsprechende Tools, die auf die Anforderungen des deutschen BSIG und der NIS2-Richtlinie zugeschnitten sind – das spart im Ernstfall wertvolle Zeit und schützt vor vermeidbaren Sanktionen.

Quellen: Arctic Wolf Adversary Research Team, BSI IT-Grundschutz, ENISA Threat Landscape 2025/2026, BSIG (Fassung 2024), NIS2-Richtlinie (EU) 2022/2555