Kritische Sicherheitslücke in SolarWinds Observability Self-Hosted: Was IT-Verantwortliche jetzt wissen müssen

Einleitung: Bekannter Name, neues Risiko – Handlungsbedarf für deutsche Unternehmen

Der Name SolarWinds löst in der IT-Sicherheitsbranche reflexartig Alarmbereitschaft aus – und das zu Recht. Seit dem spektakulären Supply-Chain-Angriff von 2020, bei dem Angreifer monatelang unentdeckt in tausende Netzwerke weltweit eindrangen, steht der US-amerikanische Softwarehersteller unter besonderer Beobachtung. Nun meldet Heise Security (Stand: 24. September 2026) eine neue Schwachstelle: SolarWinds Observability Self-Hosted, die weit verbreitete On-Premises-Monitoring-Lösung für IT-Infrastrukturen, ist unter bestimmten Voraussetzungen verwundbar und erlaubt das Einschleusen von Schadcode.

Für IT-Verantwortliche und Geschäftsführer in deutschen Unternehmen ist dies aus mehreren Gründen brisant: Monitoring-Plattformen wie SolarWinds Observability sind tief in die IT-Infrastruktur integriert, verfügen häufig über weitreichende Zugriffsrechte auf kritische Systeme und sind damit ein attraktives Ziel für Angreifer. Gleichzeitig verschärfen die Anforderungen der NIS2-Richtlinie die Pflichten zur Schwachstellenbehebung und Incident-Meldung erheblich. Unternehmen, die jetzt nicht reagieren, riskieren nicht nur Sicherheitsvorfälle – sondern auch empfindliche Bußgelder.

Technischer Hintergrund: Was steckt hinter der Schwachstelle?

Die betroffene Software im Überblick

SolarWinds Observability Self-Hosted (früher bekannt als SolarWinds Hybrid Cloud Observability oder THWACK-Plattform) ist eine On-Premises-Lösung zur zentralen Überwachung von Netzwerken, Servern, Applikationen und Cloud-Infrastrukturen. Sie ist besonders in mittleren und großen Unternehmen sowie in KRITIS-nahen Umgebungen verbreitet, da sie lokale Datenhaltung mit umfassendem Monitoring verbindet.

Schadcode-Ausführung: Das eigentliche Risiko

Nach aktuellen Informationen ermöglicht die Schwachstelle unter bestimmten Voraussetzungen die Ausführung von Schadcode (Remote Code Execution, kurz RCE). Das bedeutet im Klartext: Ein Angreifer kann – sofern er die Bedingungen der Lücke erfüllt – beliebigen Code auf dem betroffenen System ausführen, ohne physischen Zugang zu benötigen.

RCE-Schwachstellen gelten in der Fachsprache als „kritisch" und erhalten im CVSS-Bewertungssystem (Common Vulnerability Scoring System) häufig Werte von 8,0 bis 10,0. Die genaue CVSS-Bewertung für diese spezifische Lücke war zum Redaktionsschluss noch nicht final publiziert – Administratoren sollten die SolarWinds Security Advisory Seite sowie das BSI-CERT aktiv auf Updates überwachen.

Warum Monitoring-Tools besonders gefährlich sind

Monitoring-Lösungen wie SolarWinds Observability haben strukturell privilegierten Zugriff: Sie verbinden sich mit Datenbankservern, Firewalls, Cloud-APIs und Active Directory. Eine kompromittierte Monitoring-Instanz ist für Angreifer ein „goldenes Ticket" – sie liefert Netzwerktopologie, Zugangsdaten und Seitwärtsbewegungen praktisch auf dem Silbertablett.

NIS2-Relevanz: Welche Pflichten gelten für deutsche Unternehmen?

Wen betrifft NIS2?

Die NIS2-Richtlinie (EU 2022/2555), in Deutschland umgesetzt durch das BSIG (BSI-Gesetz) in seiner novellierten Fassung, gilt für eine deutlich erweiterte Anzahl von Unternehmen gegenüber der Vorgängerrichtlinie. Betroffen sind unter anderem:

Selbst Unternehmen außerhalb dieser Sektoren können betroffen sein, wenn sie als Zulieferer oder Dienstleister für NIS2-Unternehmen tätig sind (Lieferkettensicherheit, Art. 21 NIS2).

Konkrete Pflichten bei bekannten Schwachstellen

Für betroffene Unternehmen ergeben sich aus NIS2 und dem aktualisierten BSIG folgende relevante Pflichten:

1. Patch-Management als Pflicht (Art. 21 NIS2): Unternehmen müssen geeignete technische und organisatorische Maßnahmen ergreifen, zu denen ausdrücklich auch das zeitnahe Einspielen von Sicherheitsupdates gehört. Ein bekanntes, ungepatchtes System gilt als Organisationsverschulden.

2. Meldepflicht bei Sicherheitsvorfällen (Art. 23 NIS2 / § 8b BSIG): Wird die Schwachstelle ausgenutzt und führt zu einem Sicherheitsvorfall mit erheblichen Auswirkungen, besteht eine 72-Stunden-Meldepflicht gegenüber dem BSI. Eine Nachmeldung mit vollständigen Details folgt innerhalb von einem Monat.

3. Dokumentationspflicht: Alle ergriffenen Maßnahmen – Patch-Zeitpunkt, betroffene Systeme, Risikoabwägungen – müssen revisionssicher dokumentiert werden.

4. Geschäftsführerhaftung: NIS2 sieht vor, dass Geschäftsführer und Vorstände persönlich für die Umsetzung von Cybersicherheitsmaßnahmen verantwortlich gemacht werden können. Fahrlässigkeit im Umgang mit bekannten Schwachstellen kann zu persönlicher Haftung führen.

BSI-Empfehlung: Das BSI rät generell, Sicherheitspatches für kritische Software innerhalb von 72 Stunden nach Veröffentlichung zu testen und innerhalb von 7 Tagen in Produktionsumgebungen einzuspielen – sofern keine unmittelbaren Betriebsrisiken dagegensprechen.

Praktische Schutzmaßnahmen: 7 konkrete Schritte für IT-Teams

1. Sofortiges Update einspielen

Der wichtigste Schritt: Spielen Sie den von SolarWinds bereitgestellten Sicherheitspatch unverzüglich ein. Die aktuellste Version finden Sie im offiziellen SolarWinds Customer Portal unter dem Bereich „Security Advisories". Überprüfen Sie zusätzlich, ob automatische Update-Mechanismen aktiviert sind oder ob manuelle Prozesse erforderlich sind.

Checkliste für den Patch-Prozess:
- [ ] Betroffene Versionen inventarisieren
- [ ] Patch in Testumgebung validieren
- [ ] Rollback-Plan definieren
- [ ] Produktiveinsatz dokumentieren
- [ ] Abschlussbestätigung an Compliance-Verantwortliche

2. Netzwerksegmentierung für Monitoring-Systeme prüfen

Monitoring-Plattformen sollten nicht direkt aus dem Internet erreichbar sein. Prüfen Sie, ob Ihre SolarWinds-Instanz:
- Hinter einer Web Application Firewall (WAF) betrieben wird
- Auf ein dediziertes Management-VLAN beschränkt ist
- Nur über VPN oder Zero-Trust-Zugänge erreichbar ist

3. Least-Privilege-Prinzip konsequent umsetzen

Überprüfen Sie die Berechtigungsstruktur Ihrer SolarWinds-Installation. Dienstkonten sollten ausschließlich die minimal notwendigen Rechte besitzen. Entfernen Sie lokale Administratorrechte, wo diese nicht zwingend erforderlich sind, und prüfen Sie, ob API-Schlüssel und Credentials regelmäßig rotiert werden.

4. Anomalie-Monitoring aktivieren und Logs auswerten

Kompromittierungen werden oft erst entdeckt, wenn es zu spät ist. Aktivieren Sie:
- SIEM-Integration für SolarWinds-Logs (z. B. Microsoft Sentinel, Splunk, oder Open-Source-Alternativen wie Elastic SIEM)
- Alerting bei ungewöhnlichen Zugriffen auf die SolarWinds-Verwaltungsoberfläche
- Monitoring auf neue oder veränderte Polling-Konfigurationen, die auf Lateral Movement hinweisen könnten

5. Incident-Response-Plan aktualisieren

Stellen Sie sicher, dass Ihr Incident-Response-Plan die spezifischen Schritte für einen kompromittierten Monitoring-Server enthält. Dazu gehören:
- Isolierungsmaßnahmen ohne Verlust der Monitoring-Funktion
- Eskalationswege intern und zum BSI
- Kommunikationsvorlagen für interne und externe Stakeholder

6. Lieferkette und Drittanbieter informieren

Wenn Sie als Managed Service Provider (MSP) oder IT-Dienstleister SolarWinds Observability für Kunden betreiben, informieren Sie diese proaktiv. NIS2 schreibt Transparenz entlang der Lieferkette vor – und informierte Kunden können ihrerseits schneller reagieren.

7. BSI-Lagebericht und CVE-Datenbanken im Blick behalten

Abonnieren Sie den BSI-Newsletter (CERT-Bund) und richten Sie Monitoring auf die offizielle CVE-Datenbank (cve.mitre.org) sowie die ENISA Threat Landscape ein. Für SolarWinds-spezifische Updates empfiehlt sich das Abonnement der THWACK Community Security Alerts.

Fazit: Bekannte Lücken sind keine Option – Handeln ist Pflicht

Die neue Schwachstelle in SolarWinds Observability Self-Hosted ist ein weiteres Kapitel in der Geschichte eines Produkts, das bereits einmal zum Vehikel eines der folgenreichsten Cyberangriffe der jüngeren Geschichte wurde. Das allein sollte Anlass genug sein, sofort zu handeln.

Doch die Dimension hat sich verändert: Mit NIS2 ist proaktives Patch-Management keine Kür mehr, sondern Pflicht. Unternehmen, die bekannte Schwachstellen nicht zeitnah beheben, riskieren nicht nur Datenverlust und Betriebsunterbrechungen, sondern auch behördliche Bußgelder und – im schlimmsten Fall – persönliche Haftung der Geschäftsführung.

Die gute Nachricht: Ein strukturiertes Vulnerability Management und ein gelebtes Patch-Management-Prozess schützen nicht nur vor dieser konkreten Lücke, sondern bilden das Fundament einer resilienten IT-Sicherheitsarchitektur.

💡 Praxis-Tipp: NIS2-Compliance effizient managen

Die manuelle Nachverfolgung von Schwachstellen, Patch-Status und Meldepflichten über verschiedene Systeme hinweg ist fehleranfällig und zeitaufwendig. Spezialisierte NIS2-Compliance-Management-Plattformen helfen IT-Teams dabei, Risiken zentral zu erfassen, Maßnahmen zu dokumentieren und Meldepflichten automatisiert zu tracken. Funktionen wie automatische CVE-Benachrichtigungen, Audit-Trails und vorgefertigte BSI-Meldevorlagen können im Ernstfall wertvolle Stunden sparen – und im Zweifelsfall den Unterschied zwischen einem beherrschten Vorfall und einem Compliance-Verstoß ausmachen. Evaluieren Sie entsprechende Tools im Rahmen Ihrer nächsten NIS2-Gap-Analyse.

Quellen: Heise Security (24.09.2026), BSI – Bundesamt für Sicherheit in der Informationstechnik, ENISA Threat Landscape 2025, NIS2-Richtlinie (EU 2022/2555), BSIG (aktuelle Fassung), SolarWinds Security Advisory Portal, MITRE CVE Database