VMware Workstation & Fusion: Kritische Schwachstellen ermöglichen Codeausführung – Was IT-Verantwortliche jetzt tun müssen

BSI-Advisory | Veröffentlicht: 08.10.2026 | Einstufung: HOCH

1. Einleitung: Warum diese Schwachstellen deutsche Unternehmen direkt betreffen

VMware Workstation und VMware Fusion gehören in vielen deutschen Unternehmen zur Standardausstattung von Entwicklern, IT-Administratoren und Sicherheitsteams. Die Möglichkeit, mehrere Betriebssysteme parallel auf einem einzigen physischen Host zu betreiben, macht Virtualisierungssoftware zu einem unverzichtbaren Werkzeug – und gleichzeitig zu einem attraktiven Angriffsziel.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 08. Oktober 2026 eine aktualisierte Sicherheitswarnung mit der Einstufung „hoch" veröffentlicht: Mehrere Schwachstellen in VMware Workstation und VMware Fusion ermöglichen es lokalen Angreifern, beliebigen Programmcode auszuführen. Was zunächst nach einem internen Problem klingt, hat in vernetzten Unternehmensumgebungen weitreichende Konsequenzen – insbesondere wenn Entwicklungs- oder Testumgebungen mit produktiven Systemen oder sensiblen Daten verbunden sind.

Für Unternehmen, die unter die NIS2-Richtlinie fallen oder bereits nach DSGVO zur Absicherung personenbezogener Daten verpflichtet sind, besteht hier konkreter Handlungsbedarf – und unter Umständen auch eine Meldepflicht.

2. Technischer Hintergrund: Was steckt hinter diesen Schwachstellen?

Virtualisierung als Angriffsfläche

VMware Workstation (für Windows und Linux) und VMware Fusion (für macOS) sind sogenannte Typ-2-Hypervisoren: Sie laufen als Anwendung auf einem Host-Betriebssystem und ermöglichen die gleichzeitige Ausführung mehrerer Gastsysteme. Genau diese Architektur birgt eine kritische Schwachstelle: Wenn ein Angreifer mit lokalem Zugriff auf das Gastsystem oder den Host Schwachstellen im Hypervisor ausnutzen kann, droht ein sogenannter VM-Escape – also der Ausbruch aus der virtuellen Maschine in das darunterliegende Hostsystem.

Was genau ist passiert?

Laut dem BSI-Advisory (WID-2026) erlauben mehrere Schwachstellen in VMware Workstation und Fusion einem lokalen Angreifer, also einer Person mit physischem oder logischem Zugang zum betroffenen System, beliebigen Programmcode auszuführen. Dies kann bedeuten:

• Privilege Escalation: Ein Angreifer mit eingeschränkten Rechten erlangt Administratorprivilegien.
• VM-Escape: Code aus einer Gastmaschine wird auf dem Hostsystem ausgeführt.
• Datenzugriff: Zugriff auf Daten anderer virtueller Maschinen oder des Hostsystems.

Die genauen CVE-Nummern und CVSS-Scores sind dem BSI-Advisory zu entnehmen. Typisch für solche Schwachstellenklassen sind Fehler in der USB-Gerätevirtualisierung, dem Shared-Memory-Management oder der SVGA-Grafikkomponente – bekannte Angriffsvektoren in Hypervisoren.

Vereinfacht erklärt: Stellen Sie sich vor, ein Mitarbeiter arbeitet in einer „abgesicherten" virtuellen Sandbox. Durch diese Schwachstellen könnte ein Angreifer aus dieser Sandbox ausbrechen und das gesamte Unternehmenssystem übernehmen – als wäre die Sicherheitsmauer nie dagewesen.

3. NIS2-Relevanz und Auswirkungen auf deutsche Unternehmen

Wer ist betroffen?

Die NIS2-Richtlinie (umgesetzt in Deutschland durch das BSIG in der Fassung des NIS2UmsuCG) verpflichtet Unternehmen in kritischen und wichtigen Sektoren zu einem aktiven Risikomanagement. Dazu gehören unter anderem:

Unternehmen, die VMware Workstation oder Fusion in diesen Bereichen einsetzen – etwa für Entwicklungsumgebungen, IT-Tests oder den Betrieb von Fachanwendungen – sind unmittelbar betroffen.

Was schreibt NIS2 konkret vor?

Artikel 21 der NIS2-Richtlinie verpflichtet betroffene Einrichtungen zu technischen und organisatorischen Maßnahmen, darunter explizit:

• Patch- und Schwachstellenmanagement (Art. 21 Abs. 2 lit. e)
• Sicherheit in der Lieferkette (Art. 21 Abs. 2 lit. d)
• Meldung erheblicher Sicherheitsvorfälle (Art. 23 NIS2)

Meldepflicht: Wann muss das BSI informiert werden?

Wird eine Schwachstelle wie diese aktiv ausgenutzt und kommt es zu einem Sicherheitsvorfall, gilt nach § 32 BSIG (n.F.) folgende Meldefrist:

• 24 Stunden: Erstmeldung (Frühwarnung) an das BSI
• 72 Stunden: Vollständige Meldung mit Bewertung
• 1 Monat: Abschlussbericht mit Maßnahmen

Wichtig: Bereits der begründete Verdacht eines Angriffs kann eine Meldepflicht auslösen. Wer zu spät meldet, riskiert Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes.

4. Praktische Schutzmaßnahmen: 7 konkrete Tipps für IT-Verantwortliche

✅ Tipp 1: Sofortiger Patch – VMware-Updates einspielen

Prüfen Sie umgehend, welche Versionen von VMware Workstation und Fusion in Ihrem Unternehmen im Einsatz sind. VMware (Broadcom) stellt Sicherheitsupdates in der Regel zeitnah nach Bekanntwerden bereit. Installieren Sie verfügbare Patches sofort auf allen betroffenen Systemen – priorisiert nach Exponierungsgrad.

Handlung: Inventarisieren Sie alle Systeme mit VMware-Installationen über Ihr Asset-Management-Tool und starten Sie einen priorisierten Rollout.

✅ Tipp 2: Lokalen Zugriff konsequent einschränken (Least Privilege)

Da es sich um eine Schwachstelle handelt, die lokalen Zugriff voraussetzt, ist die Reduzierung von Zugriffsrechten ein unmittelbar wirksamer Schutz. Implementieren Sie das Prinzip der minimalen Rechtevergabe (Least Privilege):

• Nur autorisierte Benutzer dürfen VMware-Anwendungen starten.
• Entwickler und Tester erhalten keine lokalen Administratorrechte auf dem Hostsystem.
• Privilegierte Sitzungen werden über Privileged Access Management (PAM) kontrolliert.

✅ Tipp 3: Netzwerksegmentierung und Isolation von VM-Hosts

Stellen Sie sicher, dass Systeme, auf denen Hypervisoren laufen, netzwerktechnisch isoliert sind. Entwicklungs- und Testumgebungen sollten niemals direkt mit Produktivsystemen oder Systemen kommunizieren können, auf denen personenbezogene oder geschäftskritische Daten gespeichert sind.

• Implementieren Sie VLANs zur Segmentierung.
• Setzen Sie Next-Generation Firewalls mit strikten Regeln ein.
• Überwachen Sie ost-westlichen Datenverkehr (lateral movement detection).

✅ Tipp 4: Endpoint Detection & Response (EDR) auf allen Hosts aktivieren

Ein modernes EDR-System erkennt ungewöhnliche Prozessaktivitäten, die auf einen VM-Escape oder eine Privilege Escalation hindeuten. Stellen Sie sicher, dass EDR-Agenten auf allen physischen Hostsystemen aktiv und aktuell sind – und dass Alarme in ein zentrales SIEM (Security Information and Event Management) integriert werden.

✅ Tipp 5: Schwachstellenscans regelmäßig durchführen

Implementieren Sie einen kontinuierlichen Vulnerability-Management-Prozess. Tools wie Tenable Nessus, Qualys oder OpenVAS können VMware-Installationen auf bekannte Schwachstellen prüfen. Verknüpfen Sie Scan-Ergebnisse direkt mit Ihrem Patch-Management-Workflow.

BSI-Empfehlung: Das BSI empfiehlt im IT-Grundschutz-Kompendium (Baustein SYS.1.5 – Virtualisierung) explizit regelmäßige Sicherheitsüberprüfungen von Virtualisierungsumgebungen.

✅ Tipp 6: Mitarbeiter sensibilisieren – Insider Threat ernst nehmen

Da lokaler Zugriff Voraussetzung für die Ausnutzung dieser Schwachstellen ist, spielen auch Insider Threats eine Rolle – sei es durch kompromittierte Konten oder böswillige Mitarbeiter. Schulen Sie Ihr Team zu sicherem Umgang mit Virtualisierungsumgebungen und implementieren Sie User and Entity Behavior Analytics (UEBA).

✅ Tipp 7: Notfallplan und Meldeprozesse vorbereiten

Stellen Sie sicher, dass Ihr Incident-Response-Plan aktuell ist und die NIS2-Meldefristen abbildet. Definieren Sie klare Eskalationswege: Wer entscheidet, ob ein Vorfall meldepflichtig ist? Wer nimmt Kontakt mit dem BSI auf? Welche Informationen müssen dokumentiert werden?

5. Fazit: Schnelles Handeln schützt – Zögern kostet

Die vom BSI als „hoch" eingestuften Schwachstellen in VMware Workstation und Fusion sind kein theoretisches Risiko. In Unternehmen, in denen Virtualisierung zur täglichen Arbeit gehört, eröffnen sie reale Angriffswege – vom kompromittierten Entwicklerlaptop bis zur kritischen Produktionsumgebung. Besonders unter NIS2 gilt: Wer Schwachstellen kennt und nicht handelt, handelt fahrlässig – mit rechtlichen und finanziellen Konsequenzen.

Die wichtigsten Sofortmaßnahmen auf einen Blick:
1. VMware-Patches sofort einspielen
2. Lokale Zugriffsrechte prüfen und einschränken
3. VM-Hosts netzwerktechnisch isolieren
4. EDR und SIEM überprüfen und aktivieren
5. Incident-Response-Plan auf NIS2-Konformität prüfen

💡 Call-to-Action: NIS2-Compliance strukturiert umsetzen

Die Verwaltung von Sicherheitsmeldungen, Patch-Prozessen und Meldepflichten manuell zu koordinieren, wird mit zunehmender NIS2-Anforderungsdichte immer schwieriger. Spezialisierte NIS2-Compliance-Management-Plattformen helfen IT-Verantwortlichen dabei, Schwachstellenmeldungen wie diese direkt in strukturierte Maßnahmenpakete zu überführen, Fristen zu überwachen und BSI-konforme Dokumentation automatisiert zu erstellen. Wenn Sie Ihre NIS2-Prozesse digitalisieren möchten, lohnt sich ein Blick auf verfügbare GRC-Tools (Governance, Risk & Compliance), die speziell auf die Anforderungen des deutschen Mittelstands und des BSIG zugeschnitten sind.

Quellen: BSI WID-Advisory (08.10.2026), BSI IT-Grundschutz-Kompendium SYS.1.5, NIS2-Richtlinie (EU) 2022/2555, BSIG (NIS2UmsuCG), ENISA Threat Landscape 2025