Roundcube-Webmail unter aktiver Attacke: Was IT-Verantwortliche jetzt tun müssen

Sicherheitswarnung | Stand: September 2026

Einleitung: Aktive Angriffe auf eine weit verbreitete Webmail-Plattform

Sicherheitsforscher beobachten derzeit aktiv ausgenutzte Angriffe auf Installationen von Roundcube Webmail – einer Open-Source-Webanwendung, die in zahlreichen deutschen Unternehmen, Behörden, Hochschulen und Hosting-Umgebungen als Self-hosted-E-Mail-Client eingesetzt wird. Die Angriffe richten sich gezielt gegen bekannte Sicherheitslücken in nicht aktualisierten Instanzen.

Für IT-Verantwortliche und Geschäftsführer ergibt sich daraus unmittelbarer Handlungsbedarf: E-Mail ist nach wie vor das kritischste Kommunikationsmedium in Unternehmen – und gleichzeitig eines der beliebtesten Einfallstore für Angreifer. Wer Roundcube betreibt und Updates vernachlässigt hat, setzt nicht nur sensible Geschäftsdaten aufs Spiel, sondern riskiert auch Verstöße gegen gesetzliche Meldepflichten nach NIS2 und dem deutschen BSIG.

Technischer Hintergrund: Was steckt hinter den Angriffen?

Roundcube – weit verbreitet, oft vergessen

Roundcube ist eine browserbasierte Webmail-Lösung, die über IMAP auf E-Mail-Server zugreift. Sie ist quelloffen, kostenlos und wird besonders häufig von kleinen und mittleren Unternehmen (KMU), Hosting-Anbietern sowie öffentlichen Einrichtungen als Alternative zu kommerziellen Lösungen betrieben.

Gerade weil Roundcube oft als „läuft einfach so mit" betrachtet wird, bleibt das Update-Management hier häufig auf der Strecke – ein fatales Muster, das Angreifer gezielt ausnutzen.

Die Schwachstelle – einfach erklärt

Bei den aktuell ausgenutzten Lücken handelt es sich nach bisherigen Erkenntnissen um Cross-Site-Scripting (XSS)-Schwachstellen in der E-Mail-Verarbeitungslogik sowie potenziell um serverseitige Injektionspunkte. Das Angriffsszenario funktioniert typischerweise so:

1. Ein Angreifer sendet eine manipulierte E-Mail an ein Postfach, das über Roundcube abgerufen wird.
2. Beim Öffnen der E-Mail im Browser wird schadhafter Code ausgeführt – ohne dass der Nutzer auf einen Link klicken oder einen Anhang öffnen muss.
3. Der Code kann Sitzungscookies stehlen, Anmeldedaten abgreifen oder weitere Malware nachladen.
4. Bei privilegierten Konten (Admins) sind Serverübernahmen nicht ausgeschlossen.

⚠️ Wichtig: Die Angriffe erfordern zwar bestimmte Voraussetzungen (veraltete Version, fehlerhafte Konfiguration), doch genau diese Voraussetzungen sind in vielen Produktivumgebungen real gegeben.

Ähnliche Roundcube-Schwachstellen wurden in der Vergangenheit von staatlich gesponserten Akteuren ausgenutzt – darunter Gruppen wie APT28 (Fancy Bear), die laut ENISA und BSI gezielt europäische Behörden und Unternehmen angreifen.

Auswirkungen auf Deutschland und NIS2-Relevanz

Wer ist betroffen?

Die Angriffe treffen besonders:

• KMU mit eigenem Mailserver, die Roundcube als Webinterface nutzen
• Managed-Hosting-Anbieter, die Roundcube für Kunden bereitstellen
• Öffentliche Einrichtungen (Kommunen, Hochschulen, Forschungsinstitute)
• KRITIS-nahes Umfeld – z. B. Zulieferer kritischer Infrastrukturen

NIS2 und BSIG: Was sind Ihre Pflichten?

Seit der Umsetzung der NIS2-Richtlinie durch das NIS2UmsuCG (BSIG-Novelle) unterliegen Unternehmen ab 50 Mitarbeitenden oder 10 Mio. Euro Jahresumsatz in relevanten Sektoren verschärften Anforderungen. Dazu gehören:

Konkret: Wenn Roundcube in Ihrem Unternehmen kompromittiert wird und Sie dies nicht innerhalb von 24 Stunden (Erstmeldung) bzw. 72 Stunden (detaillierte Meldung) beim BSI anzeigen, drohen empfindliche Bußgelder.

BSI-Empfehlung

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Roundcube in der Vergangenheit in seinen Sicherheitswarnungen adressiert und empfiehlt grundsätzlich: Zeitnahes Einspielen von Sicherheitsupdates als Teil eines geregelten Patch-Management-Prozesses – einer der Kernpunkte der BSI-Grundschutz-Methodik (IT-Grundschutz-Kompendium, Baustein OPS.1.1.3).

Praktische Schutzmaßnahmen: 7 konkrete Schritte für IT-Teams

1. Sofort-Update durchführen

Prüfen Sie unverzüglich, welche Roundcube-Version in Ihrer Umgebung läuft:

# Version prüfen (im Roundcube-Verzeichnis)
cat /var/www/roundcube/index.php | grep 'version'
# oder
grep 'version' /var/www/roundcube/composer.json

Spielen Sie die aktuelle Stable-Version von roundcube.net ein. Prüfen Sie dabei auch alle installierten Plugins, da diese häufig eigene Schwachstellen mitbringen.

2. HTTP-Security-Header und Content Security Policy (CSP) konfigurieren

XSS-Angriffe lassen sich durch korrekte HTTP-Header erheblich eindämmen. Konfigurieren Sie in Ihrem Webserver (Apache/Nginx):

add_header Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none';" always;
add_header X-XSS-Protection "1; mode=block";
add_header X-Content-Type-Options "nosniff";
add_header X-Frame-Options "SAMEORIGIN";

3. Zugriff auf das Webmail-Interface einschränken

Falls Roundcube nicht für alle Nutzer öffentlich erreichbar sein muss:

• IP-Whitelisting für den Zugriff aus dem Firmennetz
• VPN-Pflicht für externe Zugriffe
• Geo-Blocking für nicht benötigte Länder (z. B. via WAF)

4. Web Application Firewall (WAF) vorschalten

Eine WAF kann bekannte Angriffsmuster (XSS, SQLi, Path Traversal) erkennen und blockieren, bevor sie Roundcube erreichen. Lösungen wie ModSecurity (Open Source) oder kommerzielle Anbieter bieten OWASP-Regelsets, die gezielt für Webmail-Anwendungen konfiguriert werden können.

5. Logging und Monitoring aktivieren

Stellen Sie sicher, dass:

• Zugriffslogs des Webservers zentral gespeichert und ausgewertet werden (SIEM)
• Fehlgeschlagene Logins und ungewöhnliche Zugriffszeiten alarmieren
• Integrity-Monitoring auf kritische Roundcube-Dateien aktiv ist (z. B. mit AIDE oder Tripwire)

Nur wer einen Angriff erkennt, kann ihn fristgerecht beim BSI melden.

6. Least Privilege für den Webserver-Prozess

Roundcube benötigt keine Root-Rechte. Stellen Sie sicher:

• Der PHP-Prozess läuft unter einem dedizierten, unprivilegierten Benutzer
• Schreibzugriff ist nur auf notwendige Verzeichnisse (temp, logs) beschränkt
• Datenbankzugriff erfolgt mit einem minimal berechtigten DB-User

7. Notfallplan für den Kompromittierungsfall vorbereiten

Definieren Sie im Voraus:

• Wer im Unternehmen ist bei einem Vorfall verantwortlich? (Incident Response Owner)
• Wie wird das System isoliert, ohne den gesamten Mailbetrieb zu blockieren?
• Wann wird das BSI informiert? (Innerhalb 24 Stunden nach Kenntnisnahme)
• Wie werden betroffene Nutzer und ggf. Kunden informiert? (Informationspflicht nach DSGVO Art. 33/34)

Fazit: E-Mail-Sicherheit ist kein Nice-to-have – es ist Pflicht

Die aktiven Angriffe auf Roundcube-Instanzen sind ein weiterer Beleg für eine unbequeme Wahrheit: Veraltete Self-hosted-Anwendungen sind ein strukturelles Risiko. Wer Roundcube betreibt und kein geregeltes Patch-Management hat, handelt fahrlässig – und unter NIS2 möglicherweise auch haftbar.

Die gute Nachricht: Die notwendigen Maßnahmen sind bekannt, technisch umsetzbar und in vielen Fällen ohne großen Aufwand realisierbar. Der erste Schritt ist immer derselbe: Verschaffen Sie sich heute noch einen Überblick über Ihre exponierten Systeme.

Call-to-Action: Den Überblick behalten mit NIS2-Compliance-Software

Gerade für IT-Teams, die neben Roundcube zahlreiche weitere Systeme und Anwendungen zu verantworten haben, ist manuelles Tracking von Patch-Ständen, Meldepflichten und Risikobewertungen kaum skalierbar. Spezialisierte NIS2-Compliance-Plattformen helfen Ihnen dabei, Ihre Maßnahmen zu dokumentieren, Fristen zu überwachen und im Ernstfall strukturiert zu reagieren – inklusive automatisierter Vorlagen für BSI-Meldungen. Prüfen Sie, ob eine solche Lösung für Ihre Organisation sinnvoll ist, bevor der nächste Vorfall eintrifft.

Quellen: Heise Security, BSI IT-Grundschutz-Kompendium (OPS.1.1.3), ENISA Threat Landscape 2025, NIS2-Richtlinie (EU) 2022/2555, BSIG (Fassung NIS2UmsuCG)