VMware-vCenter-Lücke aktiv ausgenutzt: 55 IPs in Deutschland betroffen

Veröffentlicht am 18.08.2026

361 kompromittierte IP-Adressen in 47 Ländern, davon 55 in Deutschland – das ist die aktuelle Bilanz einer Angriffswelle, die eine mutmaßlich China-nahe Gruppe gegen VMware-vCenter-Server fährt. Wer in seinem Unternehmen virtuelle Maschinen auf VMware-Infrastruktur betreibt, sollte diesen Artikel bis zum Ende lesen. Denn nach dem erfolgreichen Eindringen richteten die Angreifer laut den vorliegenden Analysen Hintertüren ein – und auf mindestens einem untersuchten System kam anschließend Ransomware zum Einsatz, die Daten verschlüsselt und den Betrieb lahmlegt.

Was ist passiert?

Wie The Hacker News berichtet, nutzt eine mutmaßlich China-nahe Angreifergruppe derzeit aktiv eine kritische Sicherheitslücke in Broadcom VMware vCenter Server aus. Betroffen ist auch die vorkonfigurierte Variante, die vCenter Server Appliance – also die fertig gelieferte virtuelle Maschine, mit der viele Unternehmen ihre VMware-Umgebung zentral verwalten.

Im Zentrum der Angriffe steht die Schwachstelle mit der Kennung CVE-2026-59310. Eine CVE-Nummer (Common Vulnerabilities and Exposures) ist die international eindeutige Katalognummer für eine bekannte Sicherheitslücke. Zusätzlich verweisen die Analysen auf Aktivitäten rund um eine zweite Lücke, CVE-2026-59309.

Die Tragweite ist erheblich: vCenter ist die zentrale Schaltstelle einer VMware-Umgebung. Wer dort die Kontrolle übernimmt, kann in der Regel auf sämtliche verwalteten virtuellen Server zugreifen. Ein erfolgreicher Angriff auf vCenter betrifft daher potenziell die gesamte virtuelle Infrastruktur eines Unternehmens – nicht nur einen einzelnen Server.

Der technische Hintergrund – verständlich erklärt

Die Schwachstelle CVE-2026-59310 ermöglicht laut Bericht Code-Ausführung über sogenanntes Directory Traversal. Beide Begriffe klingen technisch, lassen sich aber gut in Alltagsbildern erklären:

• Directory Traversal bedeutet, dass ein Angreifer den Server dazu bringt, aus den eigentlich vorgesehenen Ordnern „auszubrechen“ und auf Dateien oder Pfade zuzugreifen, die eigentlich gesperrt sein müssten – so, als würde jemand in einem Gebäude durch eine unverschlossene Nebentür in Bereiche gelangen, die für Besucher nicht gedacht sind.
• Code-Ausführung heißt, dass der Angreifer im Ergebnis eigene Befehle auf dem betroffenen System laufen lassen kann – er kann also aus der Ferne Aktionen ausführen, als säße er direkt an der Konsole des Servers.

Die Kombination aus beidem ist besonders gefährlich: Über den Umweg des Directory Traversal erreichen die Angreifer eine Stelle, an der sie eigenen Code einschleusen und ausführen können. Damit ist die vollständige Übernahme des vCenter-Servers möglich.

Was die Angreifer nach dem Eindringen tun

Nach dem erfolgreichen Zugriff beließen es die Täter nicht bei einem einmaligen Zugriff. Laut den vorliegenden Analysen richteten sie mehrere Mechanismen ein, um dauerhaft im Netzwerk zu bleiben und ihre Präsenz zu verschleiern:

• Backdoors (Hintertüren): versteckte Zugänge, über die die Angreifer jederzeit zurückkehren können – selbst dann, wenn die ursprüngliche Lücke später geschlossen wird.
• Reverse SSH: eine umgedrehte Fernwartungsverbindung, bei der der kompromittierte Server aktiv nach außen eine Verbindung zum Angreifer aufbaut. Das umgeht viele Firewalls, weil ausgehende Verbindungen oft weniger streng kontrolliert werden als eingehende.
• Webshells: kleine Schadprogramme, die über den Browser bedient werden und dem Angreifer eine bequeme Steuerung des Servers über eine Weboberfläche erlauben.
• Privilegierte Konten: neu angelegte Benutzerkonten mit weitreichenden Rechten, die den Angreifern administrativen Zugriff sichern.

Besonders alarmierend: Auf mindestens einem untersuchten ESXi-System – ESXi ist die VMware-Software, die direkt auf der Hardware läuft und die virtuellen Maschinen betreibt – wurde anschließend eine von Babuk abgeleitete Ransomware eingesetzt. Ransomware ist Schadsoftware, die Daten verschlüsselt und für die Freigabe ein Lösegeld fordert. Der Angriff endete in diesem Fall also nicht bei der reinen Spionage, sondern führte zur aktiven Verschlüsselung und damit zum Ausfall des Systems.

Wer ist betroffen?

Betroffen sind Unternehmen, die VMware vCenter Server oder die vCenter Server Appliance von Broadcom einsetzen. Das umfasst insbesondere Organisationen, die ihre Server-Landschaft virtualisiert betreiben – ein in mittelständischen Unternehmen weit verbreitetes Modell.

Die Zahlen aus der Analyse machen deutlich, dass es sich nicht um ein rein theoretisches Risiko handelt:

• 361 kompromittierte IP-Adressen insgesamt
• verteilt auf 47 Länder
• davon 55 in Deutschland

Deutschland zählt damit zu den stärker betroffenen Ländern. Für Sie als Entscheider bedeutet das: Wenn Ihr Unternehmen vCenter betreibt und dieses aus dem Internet erreichbar ist, gehören Sie zur unmittelbaren Zielgruppe dieser Angriffswelle.

So prüfen Sie, ob Sie betroffen sind

Konkrete technische Prüfschritte liegen im recherchierten Material nicht vor. Dennoch lassen sich aus den beschriebenen Angriffsmerkmalen sinnvolle Ansatzpunkte für Ihre IT-Verantwortlichen ableiten:

1. Bestandsaufnahme: Klären Sie zunächst, ob in Ihrem Unternehmen überhaupt VMware vCenter Server oder die vCenter Server Appliance im Einsatz ist. Diese Auskunft kann Ihre interne IT oder Ihr IT-Dienstleister geben.
2. Erreichbarkeit prüfen: Lassen Sie feststellen, ob die vCenter-Verwaltungsoberfläche aus dem Internet erreichbar ist. Aus dem Internet zugängliche Management-Schnittstellen sind das bevorzugte Ziel solcher Angriffe.
3. Auf Spuren einer Kompromittierung achten: Da die Angreifer laut Bericht Backdoors, Reverse-SSH-Verbindungen, Webshells und neue privilegierte Konten hinterlassen, sollten Ihre IT-Verantwortlichen gezielt nach unbekannten Benutzerkonten mit hohen Rechten, ungewöhnlichen ausgehenden Verbindungen und unerklärlichen Dateien im Webverzeichnis suchen.
4. ESXi-Systeme einbeziehen: Prüfen Sie auch die zugehörigen ESXi-Hosts auf Auffälligkeiten – dort wurde in mindestens einem Fall die Ransomware eingesetzt.

Wenn Sie über keine eigene IT-Sicherheitsabteilung verfügen, ist dies der Moment, einen spezialisierten Dienstleister hinzuzuziehen. Die Suche nach den beschriebenen Hintertüren erfordert Erfahrung – eine oberflächliche Prüfung reicht bei bereits aktiven, verschleierten Zugängen nicht aus.

Das müssen Sie jetzt tun

Da im Material keine konkreten Angaben zu verfügbaren Patches, betroffenen Versionen oder einem offiziellen Zeitplan enthalten sind, konzentrieren sich die folgenden Empfehlungen auf allgemein anerkannte Sofortmaßnahmen bei aktiv ausgenutzten Schwachstellen dieser Kategorie:

1. Management-Zugänge vom Internet trennen: Die vCenter-Verwaltungsoberfläche gehört nicht offen ins Internet. Beschränken Sie den Zugriff auf interne Netze oder auf einen abgesicherten Fernzugang über ein VPN (ein verschlüsselter, geschützter Tunnel ins Unternehmensnetz).
2. Herstellerhinweise von Broadcom beobachten: Verfolgen Sie die offiziellen Sicherheitsmeldungen von Broadcom/VMware zu den genannten CVE-Kennungen und spielen Sie bereitgestellte Updates unverzüglich ein, sobald diese verfügbar sind.
3. Auf Kompromittierung prüfen (siehe oben): Suchen Sie aktiv nach Backdoors, Webshells, Reverse-SSH-Verbindungen und neu angelegten privilegierten Konten. Ein reines Einspielen von Updates entfernt bereits eingerichtete Hintertüren nicht.
4. Verdächtige Konten und Zugänge entfernen: Deaktivieren Sie alle Benutzerkonten und Zugänge, die Sie nicht eindeutig zuordnen können. Ändern Sie im Zweifel Zugangsdaten für administrative Konten.
5. Backups sichern und prüfen: Angesichts des dokumentierten Ransomware-Einsatzes sind funktionierende, vom Netzwerk getrennte Sicherungskopien Ihre wichtigste Rückfallebene. Stellen Sie sicher, dass Ihre Backups aktuell, vollständig und im Ernstfall wiederherstellbar sind – und dass sie nicht von einem kompromittierten System aus verändert werden können.
6. Im Ernstfall Fachleute einschalten: Finden Sie Anzeichen für einen tatsächlichen Einbruch, ziehen Sie umgehend spezialisierte Vorfallsexperten (Incident Response) hinzu und dokumentieren Sie alle Feststellungen.

Einordnung und DSGVO-Relevanz

Ein kompromittierter vCenter-Server ist mehr als ein technisches Ärgernis. Weil vCenter die zentrale Verwaltung der virtuellen Server bildet, kann ein erfolgreicher Angriff die vertraulichen Daten sämtlicher darauf betriebener Systeme betreffen – darunter möglicherweise auch personenbezogene Daten von Kunden, Mitarbeitern oder Geschäftspartnern.

Kommt es zu einem Einbruch, bei dem personenbezogene Daten betroffen sein könnten, greifen die Meldepflichten der Datenschutz-Grundverordnung (DSGVO). Nach Artikel 33 DSGVO müssen Verantwortliche eine Verletzung des Schutzes personenbezogener Daten in der Regel innerhalb von 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Unter bestimmten Voraussetzungen müssen zusätzlich die betroffenen Personen informiert werden. Der im Bericht beschriebene Einsatz von Ransomware verschärft die Lage zusätzlich, da hier neben einem möglichen Datenabfluss auch die Verfügbarkeit der Daten unmittelbar beeinträchtigt wird.

Deshalb gilt: Sobald Ihre IT-Verantwortlichen Anzeichen einer tatsächlichen Kompromittierung feststellen, sollte parallel zur technischen Aufarbeitung auch die datenschutzrechtliche Bewertung beginnen – am besten gemeinsam mit Ihrem Datenschutzbeauftragten.

Fazit

Die aktive Ausnutzung von CVE-2026-59310 in VMware vCenter ist ein ernstzunehmender Vorfall mit klarem Deutschlandbezug: 55 der insgesamt 361 kompromittierten IP-Adressen entfallen auf Deutschland. Die Angreifer beschränken sich nicht auf einen einmaligen Zugriff, sondern richten dauerhafte Hintertüren ein – und in mindestens einem dokumentierten Fall folgte darauf der Einsatz von Ransomware.

Für Unternehmen, die VMware-Infrastruktur betreiben, bedeutet das: Warten Sie nicht ab. Prüfen Sie, ob Ihre vCenter-Verwaltung aus dem Internet erreichbar ist, beobachten Sie die Sicherheitshinweise von Broadcom zu den genannten CVE-Kennungen und lassen Sie Ihre Umgebung gezielt auf die beschriebenen Angriffsspuren untersuchen. Ein aktuelles, vom Netz getrenntes Backup ist dabei Ihre wichtigste Versicherung gegen den Ernstfall.

Dieser Artikel beruht auf einer Meldung von The Hacker News. Sobald der Hersteller Broadcom konkrete betroffene Versionen und Patches benennt, sollten Sie diese Informationen umgehend in Ihre Maßnahmen einbeziehen.