Plex-Sicherheitslücken: Warum IT-Verantwortliche jetzt sofort handeln müssen

Plex, die weit verbreitete Medienserver-Software, hat mehrere Sicherheitslücken geschlossen und ruft alle Nutzer dringend zur sofortigen Aktualisierung auf. Was auf den ersten Blick nach einem alltäglichen Software-Update aussieht, birgt für Unternehmen in Deutschland erhebliche Implikationen – insbesondere im Kontext der NIS2-Richtlinie und der wachsenden Anforderungen an die IT-Sicherheit kritischer und wichtiger Einrichtungen.

Was ist passiert? Plex schließt mehrere Sicherheitslücken

Am 4. September 2026 hat Plex ein dringendes Sicherheitsupdate veröffentlicht und alle Server-Betreiber sowie Desktop-Nutzer aufgefordert, ihre Installationen unverzüglich auf die neuesten Versionen zu aktualisieren:

• Plex Media Server 1.43.3
• Plex Desktop 1.115.0

Bemerkenswert ist dabei, dass Plex die konkreten Schwachstellen nicht öffentlich beschrieben hat. Das Unternehmen teilte lediglich mit, dass CVE-Identifikatoren (Common Vulnerabilities and Exposures) für die entdeckten Lücken beantragt wurden. Diese bewusste Zurückhaltung von Details ist eine gängige Praxis, um Angreifern keine Blaupause für Angriffe zu liefern, bevor die Mehrheit der Nutzer das Update eingespielt hat – birgt aber gleichzeitig Risiken für IT-Verantwortliche, die Prioritäten setzen müssen, ohne den genauen Schweregrad zu kennen.

Die Tatsache, dass CVEs beantragt wurden, deutet darauf hin, dass es sich um schwerwiegende, reproduzierbare Schwachstellen handelt, die eine formale Klassifizierung und Bewertung durch MITRE und den NVD (National Vulnerability Database) erfordern.

Technischer Hintergrund: Was steckt hinter Plex-Schwachstellen?

Plex Media Server ist eine Client-Server-Anwendung, die lokale Medieninhalte – Filme, Musik, Fotos – über das Netzwerk oder das Internet zugänglich macht. Genau diese Netzwerkorientierung macht die Software zu einem potenziell attraktiven Angriffsziel.

Typische Angriffsvektoren bei Medienserver-Software

Ohne die spezifischen CVE-Details zu kennen, lassen sich auf Basis vergleichbarer Schwachstellen der Vergangenheit typische Angriffsszenarien beschreiben:

Plex-Instanzen werden häufig mit Internetzugang betrieben, um Remote-Streaming zu ermöglichen. Dies vergrößert die Angriffsfläche erheblich. In Unternehmen, in denen Mitarbeiter Plex für private Zwecke auf Firmennetzwerken betreiben oder IT-Abteilungen Medienserver für interne Kommunikation einsetzen, entsteht ein direktes laterales Bewegungspotenzial für Angreifer.

NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Die NIS2-Richtlinie (Network and Information Security Directive 2), in deutsches Recht umgesetzt durch die Novelle des BSI-Gesetzes (BSIG), verpflichtet sogenannte wesentliche und wichtige Einrichtungen zu umfassenden technischen und organisatorischen Sicherheitsmaßnahmen. Dabei sind nicht nur offensichtliche kritische Systeme gemeint – auch Schatten-IT und nicht autorisierte Software in Unternehmensnetzen fallen in den Verantwortungsbereich.

Konkrete NIS2-Pflichten im Kontext dieser Schwachstellen

1. Patch-Management als Kernpflicht (Art. 21 NIS2)
Die NIS2-Richtlinie schreibt explizit vor, dass Unternehmen ein funktionierendes Patch-Management betreiben müssen. Nicht gepatchte Software gilt als Versäumnis im Rahmen der Risikomanagementpflichten.

2. Meldepflicht bei Sicherheitsvorfällen
Sollte eine Plex-Schwachstelle tatsächlich ausgenutzt werden und zu einem Sicherheitsvorfall führen, gelten strenge Meldefristen:
- 24 Stunden: Erste Meldung an das BSI (Frühwarnung)
- 72 Stunden: Vollständiger Erstbericht
- 30 Tage: Abschlussbericht mit Ursachenanalyse

3. Lieferkettensicherheit und Software-Asset-Management
Drittanbieter-Software wie Plex muss im Rahmen des Software-Asset-Managements erfasst und überwacht werden. Das BSI empfiehlt den Einsatz von SBOM (Software Bill of Materials), um Abhängigkeiten und Schwachstellen systematisch zu verfolgen.

4. Haftung der Geschäftsführung
Ein oft unterschätzter Aspekt der NIS2-Umsetzung im deutschen Recht: Geschäftsführer und Vorstände haften persönlich, wenn Sicherheitspflichten grob vernachlässigt werden. Das BSI kann bei wesentlichen Einrichtungen Nachweise über umgesetzte Sicherheitsmaßnahmen einfordern.

5 konkrete Schutzmaßnahmen, die Sie jetzt umsetzen sollten

1. Sofort updaten – keine Ausnahmen

Spielen Sie Plex Media Server 1.43.3 und Plex Desktop 1.115.0 unverzüglich auf allen betroffenen Systemen ein. Erstellen Sie davor ein vollständiges Backup der Plex-Datenbank und Konfigurationsdateien. Bei zentralisierten Deployments nutzen Sie Gruppenrichtlinien oder MDM-Lösungen für eine schnelle, flächendeckende Verteilung.

2. Schatten-IT-Audit durchführen

Plex gehört zu den Anwendungen, die Mitarbeiter häufig ohne IT-Freigabe auf Firmengeräten installieren. Führen Sie ein vollständiges Inventar Ihrer Softwarelandschaft durch:

• Nutzen Sie Tools wie SCCM, Lansweeper oder GLPI für automatisiertes Software-Inventar
• Definieren Sie klare Allowlists für genehmigte Software
• Implementieren Sie technische Maßnahmen zur Blockierung nicht autorisierter Installationen (z. B. AppLocker unter Windows)

3. Netzwerksegmentierung überprüfen

Stellen Sie sicher, dass Plex-Instanzen – sofern geschäftlich notwendig – in isolierten Netzwerksegmenten betrieben werden und keinen direkten Zugriff auf kritische Unternehmensressourcen haben:

• Plex-Server in dedizierten DMZ-Zonen betreiben
• Firewall-Regeln auf minimale notwendige Kommunikationspfade beschränken
• Ausgehenden Internetverkehr vom Plex-Server über einen kontrollierten Proxy leiten

4. CVE-Monitoring automatisieren

Da Plex die CVE-Nummern erst beantragt hat, werden die offiziellen Einträge in den nächsten Tagen bis Wochen veröffentlicht. Richten Sie automatisiertes Vulnerability-Monitoring ein:

• Abonnieren Sie den BSI-Warnmeldedienst (CERT-Bund)
• Nutzen Sie Tools wie Tenable, Qualys oder OpenVAS für kontinuierliches Schwachstellen-Scanning
• Integrieren Sie CVE-Feeds in Ihr SIEM-System für automatische Alerting

5. Incident-Response-Plan validieren

Nutzen Sie diesen Anlass, um Ihren Incident-Response-Plan zu überprüfen:

• Sind die NIS2-Meldewege intern klar definiert und bekannt?
• Gibt es eine aktuelle Kontaktliste zum BSI-Lagezentrum (0800 274 1000)?
• Ist der CISO oder IT-Sicherheitsbeauftragte in die Entscheidungskette bei Security-Patches eingebunden?
• Werden Patch-Aktivitäten revisionssicher dokumentiert? (Wichtig für BSI-Nachweise)

Fazit: Ein Weckruf für das Patch-Management

Der Fall Plex illustriert ein grundlegendes Dilemma moderner IT-Sicherheit: Sicherheitslücken existieren in nahezu jeder Software – auch in solcher, die auf den ersten Blick wenig kritisch erscheint. Entscheidend ist nicht die Perfektion der eingesetzten Software, sondern die Geschwindigkeit und Systematik, mit der Schwachstellen erkannt und behoben werden.

Für Unternehmen, die unter die NIS2-Regulierung fallen, ist schnelles und dokumentiertes Patch-Management keine Kür, sondern rechtliche Pflicht. Die persönliche Haftung der Geschäftsführung macht es zu einer Frage der unternehmerischen Sorgfaltspflicht.

Der BSI empfiehlt im Rahmen des IT-Grundschutzes ausdrücklich, Patch-Prozesse zu automatisieren, zu dokumentieren und regelmäßig zu auditieren – auch für Nicht-Standard-Software wie Medienserver.

Call-to-Action: NIS2-Compliance strukturiert angehen

Die Verwaltung von Sicherheitspflichten, Meldewegen, Patch-Zyklen und Risikobewertungen per Hand oder in Tabellenkalkulationen ist nicht nur fehleranfällig, sondern im Ernstfall vor dem BSI schwer nachweisbar. Spezialisierte NIS2-Compliance-Management-Plattformen helfen IT-Verantwortlichen, Patch-Aktivitäten revisionssicher zu dokumentieren, Meldepflichten fristgerecht zu verwalten und den Überblick über die gesamte Softwarelandschaft zu behalten. Wenn Sie Ihre NIS2-Compliance auf solides Fundament stellen möchten, lohnt sich ein Blick auf entsprechende Softwarelösungen – die Zeit, die Sie bei manuellen Prozessen sparen, können Sie in die eigentliche Sicherheitsarbeit investieren.