Veröffentlicht am 05.07.2026
Ein einziger Server, ein gefälschtes Login – und plötzlich hat ein Angreifer Zugriff auf alles: Cloud-Konten, SSH-Schlüssel, Passwörter, Kryptowallets und ganze Kundenumgebungen. Genau das passiert derzeit über die Fernwartungssoftware SimpleHelp. Die kritische Schwachstelle CVE-2026-48558 hat den höchstmöglichen Gefährdungswert von CVSS 10.0 und wird seit Ende Juni 2026 aktiv von Angreifern ausgenutzt, um Schadsoftware zu verbreiten und Zugangsdaten zu stehlen. Der Patch ist seit dem 26. Mai 2026 verfügbar – wer bis heute nicht aktualisiert hat, spielt mit dem Feuer.
SimpleHelp ist eine sogenannte RMM-Software – die Abkürzung steht für Remote Monitoring and Management, also Software zur Fernwartung und Überwachung von Computern und Servern aus der Ferne. Solche Werkzeuge werden besonders häufig von IT-Dienstleistern und Managed Service Providern (MSPs) eingesetzt, um die Systeme ihrer Kunden zentral zu verwalten.
Genau darin liegt die Brisanz: In SimpleHelp klafft eine Lücke, mit der sich Angreifer ohne gültiges Passwort und ohne jede Berechtigung als vollwertiger Techniker anmelden können. Ein Techniker hat in SimpleHelp weitreichende Rechte – er kann sich auf verwaltete Rechner aufschalten, Dateien übertragen und Programme ausführen. Ein Angreifer, der diese Rolle übernimmt, hat also praktisch die Kontrolle über alle vom Server verwalteten Systeme.
Das Sicherheitsunternehmen Blackpoint Cyber dokumentierte am 29. Juni 2026 die erste bestätigte Ausnutzung in freier Wildbahn. Dabei nutzten die Angreifer die legitimen Funktionen von SimpleHelp, um zwei bislang unbekannte Schadprogramme zu installieren: den Loader TaskWeaver und den Infostealer Djinn Stealer.
„Eine einzige Authentifizierungsumgehung wurde zum Zugangsweg in alles, was die verwalteten Systeme erreichen konnten – von Cloud-Plattformen und Code-Repositories bis zu KI-Tools, Kryptowährungs-Wallets und Kundeninfrastruktur.“ – Nevan Beal und Sam Decker, Blackpoint Cyber Adversary Pursuit Group
Die Schwachstelle steckt im sogenannten OIDC-Authentifizierungsfluss. OIDC (OpenID Connect) ist ein weit verbreitetes Anmeldeverfahren, mit dem man sich zum Beispiel über Microsoft Azure Active Directory bei einer Anwendung anmelden kann, ohne dort ein eigenes Passwort zu hinterlegen. Dabei stellt ein sogenannter Identity Provider ein digital signiertes Ticket aus – ein sogenanntes JSON Web Token (JWT). Die kryptografische Signatur dieses Tickets ist der Beweis, dass es echt ist.
Und genau hier liegt der Fehler: SimpleHelp prüft diese Signatur nicht. Die Software akzeptiert das Anmelde-Ticket, ohne zu kontrollieren, ob es tatsächlich von einem vertrauenswürdigen Anbieter stammt. Ein Angreifer kann daher einfach ein eigenes Ticket mit beliebigen Identitätsangaben basteln – Name, E-Mail, Gruppenzugehörigkeit frei erfunden – und einreichen. SimpleHelp glaubt ihm und legt automatisch ein neues Technikerkonto mit vollen Rechten an.
Besonders tückisch: Selbst wenn eine Mehr-Faktor-Authentifizierung (MFA) – also eine zusätzliche Bestätigung etwa per App oder SMS – vorgeschrieben ist, hilft das nichts. Zach Hanley, der Entdecker der Lücke bei Horizon3.ai, erklärt:
„Selbst wenn der SimpleHelp-Server MFA für Techniker erzwingt, erlaubt dieses Problem dem Angreifer, den Mechanismus zu umgehen, weil Techniker beim ersten Login ihre eigene MFA-Methode selbst registrieren können.“ – Zach Hanley, Horizon3.ai
Der Angreifer registriert also einfach seine eigene MFA-Methode und hat den Schutz ausgehebelt.
Nach dem erfolgreichen Einbruch läuft der Angriff im dokumentierten Fall wie folgt ab:
jquery.js getarnte Datei nach (in Wahrheit der 1,08 MB große TaskWeaver-Loader) und startet sie mit node.exe.a.dev-tunnels[.]com, eine Nachahmung von Microsofts echtem Dienst) und lädt die zweite Stufe nach.96.126.130[.]126:58942 abtransportiert.Der Djinn Stealer ist plattformübergreifend – er funktioniert unter Windows, macOS und Linux – und zielt gezielt auf über 40 Cloud- und Infrastrukturplattformen (AWS, Azure, GCP, Cloudflare, DigitalOcean und mehr), 14 Paketregistries (npm, pip, Maven, Cargo), SSH-Schlüssel, Docker-Anmeldedaten, Browser-Daten, 10 Kryptowährungen und sogar KI-Entwicklungstools wie Claude, Gemini und OpenAI Codex. Auf Linux liest er zusätzlich laufende Prozesse aus, um Passwörter und API-Schlüssel direkt aus dem Arbeitsspeicher zu ergattern.
Betroffen sind folgende Versionen:
Nicht betroffen sind SimpleHelp 5.5.16 und neuer sowie SimpleHelp 6.0 RC2 und neuer. Ebenfalls nicht ausnutzbar sind Installationen, die keine OIDC-Authentifizierung nutzen oder bei denen die Einstellung „Allow group authenticated logins“ nicht aktiviert ist.
Konkret muss für die Ausnutzung dreierlei zusammenkommen: (1) mindestens ein OIDC-Anbieter ist konfiguriert, (2) eine Technikergruppe ist mit diesem Anbieter verknüpft und (3) für diese Gruppe ist „Allow group authenticated logins“ aktiviert.
Laut Internet-Scans von Horizon3.ai sind rund 14.000 SimpleHelp-Server öffentlich aus dem Internet erreichbar – ein deutlicher Anstieg gegenüber etwa 3.400 im Januar 2025. Schätzungsweise 7,2 % davon (rund 1.000 Instanzen) weisen die verwundbare OIDC-Konfiguration auf.
Für deutsche KMU ist besonders wichtig: Auch wer selbst kein SimpleHelp betreibt, kann betroffen sein, wenn der eigene IT-Dienstleister die Software für die Betreuung der Kundensysteme einsetzt. Ein einziger kompromittierter MSP-Server kann Zugang zu Hunderten Kundenumgebungen verschaffen – ein klassisches Supply-Chain-Risiko.
/opt/SimpleHelp/logs/server.log nach Einträgen mit „New Anon“ im OIDC-Kontext suchen – diese deuten auf neu erstellte Technikerkonten hin.jquery.js, Prozess node.exe, Verbindungen zu a.dev-tunnels[.]com oder 96.126.130[.]126:58942).Wichtig ist die Warnung des Field Effect Security Intelligence Teams:
„Ein Update verhindert eine neue Kompromittierung über diese CVE, aber es entfernt keinen Angreifer, der bereits in der Umgebung präsent ist.“ – Field Effect Security Intelligence Team
Mit anderen Worten: Patchen allein reicht nicht, wenn der Server schon kompromittiert wurde. Prüfen Sie zwingend, ob bereits ein Einbruch stattgefunden hat.
Die US-Cybersicherheitsbehörde CISA hat CVE-2026-48558 am 29. Juni 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und US-Bundesbehörden eine Frist bis zum 2. Juli 2026 gesetzt. Auch das belgische Centre for Cybersecurity Belgium warnte offiziell:
„Ein Proof of Concept ist verfügbar, und die Schwachstelle wird aktiv in freier Wildbahn ausgenutzt.“ – Centre for Cybersecurity Belgium (CCB)
Für deutsche Unternehmen ist die DSGVO-Dimension entscheidend. Nach Art. 32 DSGVO sind Verantwortliche verpflichtet, geeignete technische und organisatorische Sicherheitsmaßnahmen zu treffen. Das Nichtpatchen einer bekannten, aktiv ausgenutzten Lücke mit CVSS 10.0 ist ein klarer Verstoß gegen diese Pflicht.
Kommt es zu einer Ausnutzung und lassen sich Risiken für personenbezogene Daten nicht sicher ausschließen, greift die Meldepflicht nach Art. 33 DSGVO: Die zuständige Datenschutzaufsichtsbehörde muss innerhalb von 72 Stunden nach Kenntnisnahme informiert werden. Wichtig: Diese Pflicht besteht bereits, wenn ein Datenabfluss nicht sicher ausgeschlossen werden kann – nicht erst bei nachgewiesenem Datenverlust. Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat in vergleichbaren Fällen wie Log4Shell und Microsoft Exchange bestätigt, dass bei festgestellter Kompromittierung und nicht ausschließbaren Risiken „deutliche Hinweise für eine Meldepflicht nach DSGVO“ vorliegen.
Da der Djinn Stealer gezielt Cloud-Zugangsdaten, Browser-Daten und SSH-Schlüssel stiehlt – also Datenkategorien, die regelmäßig weiteren Zugang zu personenbezogenen Daten von Kunden und Mitarbeitern eröffnen – ist ein solches Risiko im Ernstfall kaum auszuschließen. Bei hohem Risiko für Betroffene ist zusätzlich eine Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO nötig.
Besondere Haftungsrisiken bestehen für MSPs: Eine Kompromittierung des eigenen Servers kann zur Verletzung von Auftragsverarbeitungsverträgen (Art. 28 DSGVO) führen. Bußgelder für unzureichende Sicherheitsmaßnahmen können nach Art. 83 Abs. 4 DSGVO bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes betragen. Dass Behörden hier durchgreifen, zeigt das 2025 gegen Vodafone verhängte Bußgeld von 30 Millionen Euro – ausdrücklich wegen Sicherheitsmängeln im Authentifizierungsprozess. Für NIS2-pflichtige Unternehmen, deren Vorgaben in Deutschland seit Dezember 2025 durch das neue BSIG umgesetzt sind, gilt zudem eine 24-Stunden-Meldepflicht gegenüber dem BSI bei erheblichen Vorfällen.
CVE-2026-48558 ist eine der kritischsten RMM-Schwachstellen des Jahres 2026: maximaler CVSS-Score von 10.0, bestätigte aktive Ausnutzung, Aufnahme in den CISA-KEV-Katalog und eine neuartige, plattformübergreifende Schadsoftware. Der Angriff ist besonders heimtückisch, weil er die legitime Fernwartungsfunktion nutzt – die schädliche Aktivität sieht aus wie eine autorisierte Support-Sitzung.
SimpleHelp-Schwachstellen sind seit Jahren ein bevorzugtes Ziel: Im Januar 2025 beobachtete Arctic Wolf eine Kampagne zur Ausnutzung älterer Lücken, im Mai 2025 missbrauchte die DragonForce-Ransomware-Gruppe SimpleHelp für einen Supply-Chain-Angriff auf MSP-Kunden. Das Muster wiederholt sich – diesmal mit noch höherem Schadpotenzial.
Der Patch ist seit Ende Mai 2026 verfügbar. Es gibt keine Ausrede mehr, ihn nicht einzuspielen. Prüfen Sie noch heute, ob SimpleHelp in Ihrem Unternehmen oder bei Ihrem IT-Dienstleister eingesetzt wird, aktualisieren Sie umgehend – und untersuchen Sie, ob bereits ein Einbruch stattgefunden hat. Bei Hinweisen auf eine Kompromittierung zählt jede Stunde, denn die DSGVO-Meldefrist läuft.