Kritische Sicherheitslücken in Ubiquiti UniFi OS: Was IT-Verantwortliche jetzt wissen müssen

Veröffentlicht: 11. Juni 2026 | Quelle: BSI WID Advisory | Schweregrad: Hoch

1. Was ist passiert – und warum betrifft es Ihr Unternehmen?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 11. Juni 2026 eine neue Sicherheitswarnung mit der Einstufung „hoch" veröffentlicht: Im weit verbreiteten Betriebssystem Ubiquiti UniFi OS wurden mehrere kritische Schwachstellen identifiziert, die es Angreifern ermöglichen, tiefgreifend in betroffene Systeme einzudringen.

Ubiquiti-Produkte – allen voran die UniFi-Produktlinie – gehören in deutschen Unternehmen, Büros, Arztpraxen, Bildungseinrichtungen und mittelständischen Betrieben zu den meistgenutzten Netzwerkinfrastrukturkomponenten. Router, Switches, WLAN-Access-Points und Network-Video-Recorder (NVR) laufen häufig auf UniFi OS. Das bedeutet: Die Angriffsfläche ist enorm – und betrifft mit hoher Wahrscheinlichkeit auch Ihr Netzwerk.

Wer die Meldung unterschätzt oder das Update auf „später" verschiebt, riskiert nicht nur einen Sicherheitsvorfall, sondern im Kontext der NIS2-Richtlinie auch empfindliche Bußgelder und eine Verletzung gesetzlicher Meldepflichten.

2. Technischer Hintergrund: Was steckt hinter den Schwachstellen?

Laut BSI-Advisory ermöglichen die identifizierten Schwachstellen in Ubiquiti UniFi OS einem Angreifer gleich mehrere, besonders gefährliche Angriffsvektoren:

Die wichtigsten Angriffsmöglichkeiten im Überblick

Einfach erklärt: Was bedeutet das konkret?

Stellen Sie sich Ihr UniFi-Gerät als Türsteher für Ihr gesamtes Firmennetzwerk vor. Die gefundenen Schwachstellen sind vergleichbar damit, dass dieser Türsteher:

• bestochen werden kann, um Fremde hereinzulassen (Bypass der Zugriffskontrolle),
• selbst gehackt werden kann, sodass der Angreifer die Gästeliste nach Belieben ändert (Datenmanipulation),
• und dem Angreifer die Generalschlüssel zu allen Räumen übergeben kann (Privilege Escalation + RCE).

Besonders gefährlich: UniFi-Controller-Instanzen werden oft zentral betrieben und verwalten sämtliche Netzwerkkomponenten eines Standorts oder sogar mehrerer Niederlassungen. Ein kompromittierter Controller bedeutet damit potenziell vollständigen Netzwerkzugriff für den Angreifer.

3. NIS2-Relevanz: Was bedeutet das für deutsche Unternehmen?

Seit der Umsetzung der NIS2-Richtlinie in deutsches Recht (BSIG-Novelle, in Kraft getreten 2024) gelten für eine deutlich erweiterte Zahl von Unternehmen verbindliche Cybersicherheitspflichten. Betroffen sind unter anderem:

• Unternehmen der kritischen Infrastruktur (Energie, Gesundheit, Wasser, Transport)
• „Wichtige Einrichtungen" mit mehr als 50 Mitarbeitern oder 10 Mio. Euro Jahresumsatz
• „Wesentliche Einrichtungen" in besonders regulierten Sektoren

Welche NIS2-Pflichten greifen hier?

§ 30 BSIG (neu): Risikomanagementmaßnahmen
Unternehmen sind verpflichtet, angemessene technische und organisatorische Maßnahmen zu ergreifen, um Netzwerk- und Informationssysteme zu schützen. Ungepatchte Schwachstellen in kritischer Netzwerkinfrastruktur wie UniFi OS widersprechen dieser Pflicht direkt.

§ 32 BSIG (neu): Meldepflichten bei erheblichen Sicherheitsvorfällen
Wird eine der genannten Schwachstellen aktiv ausgenutzt und kommt es zu einem Sicherheitsvorfall, gilt:
- Erstmeldung innerhalb von 24 Stunden an das BSI
- Detailmeldung innerhalb von 72 Stunden
- Abschlussbericht innerhalb von einem Monat

⚠️ Wichtig: Die Meldepflicht entsteht nicht erst bei nachgewiesenem Datenverlust, sondern bereits bei einer erheblichen Beeinträchtigung der Dienste.

Haftung der Geschäftsführung
NIS2 stärkt die persönliche Verantwortung von Geschäftsführern und Vorständen. Wer bekannte Schwachstellen in kritischer Infrastruktur ignoriert und damit einen Vorfall billigend in Kauf nimmt, riskiert persönliche Haftung und Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

4. Praktische Schutzmaßnahmen: So handeln Sie jetzt richtig

Maßnahme 1: Sofortiger Patch – Firmware-Update einleiten

Priorität: Kritisch | Umsetzung: Sofort

Prüfen Sie unverzüglich, ob für Ihre UniFi-Geräte ein Sicherheits-Update verfügbar ist:
1. Melden Sie sich im UniFi Network Controller oder UniFi OS Console an
2. Navigieren Sie zu Settings → Updates bzw. der Geräteverwaltung
3. Installieren Sie alle verfügbaren Firmware-Updates
4. Dokumentieren Sie Datum, Version und durchführende Person für Ihr Compliance-Protokoll

Halten Sie außerdem die BSI-Sicherheitswarnung (WID Advisory) im Blick und abonnieren Sie den BSI-WID-Feed, um künftig automatisch informiert zu werden.

Maßnahme 2: Netzwerksegmentierung überprüfen

Priorität: Hoch | Umsetzung: Kurzfristig (< 48 Stunden)

Stellen Sie sicher, dass Ihr UniFi-Controller nicht direkt aus dem Internet erreichbar ist. Empfehlungen:
- Controller-Zugriff ausschließlich über VPN ermöglichen
- Management-Interface in einem separaten Management-VLAN isolieren
- Firewall-Regeln prüfen: Keine offenen Ports (Standard: 8443, 8080) nach außen

Maßnahme 3: Berechtigungen und Admin-Zugang härten

Priorität: Hoch | Umsetzung: Kurzfristig

• Aktivieren Sie Multi-Faktor-Authentifizierung (MFA) für alle UniFi-Admin-Konten
• Entfernen Sie nicht benötigte Benutzerkonten (Prinzip der minimalen Rechtevergabe)
• Überprüfen Sie, welche Mitarbeiter Administratorrechte besitzen – und ob das wirklich notwendig ist
• Ändern Sie Standard-Passwörter und verwenden Sie ausschließlich starke, einzigartige Passwörter pro Gerät

Maßnahme 4: Aktives Monitoring und Logging aktivieren

Priorität: Mittel | Umsetzung: Mittelfristig (< 1 Woche)

Angriffe auf bekannte Schwachstellen können aktiv laufen, ohne dass Sie es sofort bemerken. Stellen Sie sicher, dass:
- Systemlogs zentralisiert und für mindestens 90 Tage gespeichert werden (DSGVO/NIS2-konform)
- Ihr SIEM-System (Security Information and Event Management) Alerts für ungewöhnliche Loginversuche oder Konfigurationsänderungen auslöst
- Sie regelmäßige Integritätsprüfungen der Gerätekonfigurationen durchführen

Maßnahme 5: Bestandsaufnahme und Asset-Management

Priorität: Mittel | Umsetzung: Mittelfristig

Viele Unternehmen wissen nicht genau, wie viele UniFi-Geräte sie betreiben und wo:
- Erstellen Sie ein vollständiges Inventar aller UniFi-Geräte inklusive Firmware-Version
- Identifizieren Sie End-of-Life-Geräte, für die möglicherweise keine Patches mehr erscheinen
- Planen Sie deren zeitnahen Austausch und budgetieren Sie entsprechend

Maßnahme 6: Incident-Response-Plan auf Aktualität prüfen

Priorität: Mittel | Umsetzung: Diese Woche

Für NIS2-pflichtige Unternehmen gilt: Ein Sicherheitsvorfall darf nicht zur Improvisation führen. Prüfen Sie:
- Existiert ein aktueller Incident-Response-Plan?
- Sind die BSI-Meldewege (E-Mail: certbund@bsi.bund.de, Tel.: 0228 99 9582-0) bekannt und dokumentiert?
- Weiß Ihr Team, wann und wie eine NIS2-Meldung zu erstatten ist?

5. Fazit: Handeln ist Pflicht – nicht Option

Die aktuellen Schwachstellen in Ubiquiti UniFi OS sind kein theoretisches Problem. Remote Code Execution und Privilege Escalation in Netzwerkinfrastruktur sind für Angreifer hochattraktive Ziele – und erfahrungsgemäß werden bekannte Schwachstellen innerhalb von Stunden nach Veröffentlichung aktiv ausgenutzt.

Für deutsche Unternehmen ergibt sich daraus eine klare Handlungspflicht – rechtlich durch NIS2, praktisch durch die reale Bedrohungslage. Wer jetzt nicht patcht und seine Systeme absichert, handelt fahrlässig – gegenüber seinen Kunden, Mitarbeitern und im schlimmsten Fall auch dem Gesetzgeber gegenüber.

Die gute Nachricht: Mit den oben genannten Maßnahmen können Sie die akutesten Risiken innerhalb von 24 bis 48 Stunden erheblich reduzieren.

💡 Tipp für IT-Verantwortliche: NIS2-Compliance strukturiert managen

Die manuelle Verfolgung von BSI-Advisories, Patch-Ständen, Meldepflichten und Risikobewertungen wird mit wachsender Infrastruktur schnell unübersichtlich. Spezialisierte NIS2-Compliance-Management-Plattformen helfen Ihnen dabei, Schwachstellen-Meldungen automatisch zu erfassen, Maßnahmen zu dokumentieren und Meldepflichten fristgerecht zu erfüllen – als zentrale Schaltstelle für Ihre gesamte Cybersicherheits-Governance. Eine solche Lösung kann nicht nur Zeit sparen, sondern im Ernstfall auch nachweisen, dass Sie als Unternehmen alle zumutbaren Schutzmaßnahmen ergriffen haben.

Quellen: BSI WID Advisory (11.06.2026), BSIG-Novelle 2024, ENISA Threat Landscape 2025, NIS2-Richtlinie (EU) 2022/2555