RMM-Software absichern: Wenn die IT-Fernverwaltung zum Angriffsziel wird

Anfang August 2026 wurde bekannt, dass N-able N-central – eine der verbreitetsten RMM-Plattformen für IT-Dienstleister – aktiv von Angreifern ausgenutzt wird. Wer eine solche Software nutzt oder von einem Dienstleister betreut wird, der sie einsetzt, sollte genau hinsehen: RMM-Software verwaltet nicht ein Gerät, sondern potenziell hunderte gleichzeitig. Für KMU in Dresden und Sachsen, die ihre IT an einen externen Partner ausgelagert haben, ist das ein Thema, das direkt auf die eigene Sicherheit durchschlägt – auch wenn sie selbst kein einziges Werkzeug davon bedienen.

Was RMM-Software von normaler Fernwartung unterscheidet

Fernwartungstools wie TeamViewer oder AnyDesk werden bei Bedarf gestartet, ein Techniker verbindet sich, löst ein Problem, die Verbindung endet wieder. RMM-Software (Remote Monitoring and Management) funktioniert anders: Ein Agent läuft dauerhaft auf jedem verwalteten Gerät, überwacht Systemzustand, verteilt Patches, installiert Software und erlaubt jederzeit vollen administrativen Zugriff – ohne dass am Endgerät jemand zustimmen muss.

Das macht RMM-Plattformen für IT-Dienstleister unverzichtbar, aber auch zu einem besonders lohnenden Ziel:

• Zentraler Hebel für viele Kunden: Ein Dienstleister verwaltet über eine RMM-Plattform typischerweise dutzende bis hunderte Kundenumgebungen. Wer die Plattform übernimmt, übernimmt potenziell alle.
• Vertrauensstellung ohne Sichtprüfung: Der Agent hat Administratorrechte und wird von Sicherheitslösungen in der Regel als legitim eingestuft – Angreifer bewegen sich getarnt als reguläre IT-Verwaltung.
• Keine Nutzerinteraktion nötig: Anders als bei klassischer Fernwartung sieht niemand am Bildschirm, dass gerade eine Verbindung aktiv ist.
• Attraktives Ziel für Ransomware-Gruppen: Der Kaseya-Angriff 2021 zeigte, wie eine einzige kompromittierte RMM-Plattform über 1.500 Unternehmen gleichzeitig traf – über die legitime Update-Funktion der Software selbst.

Warum das auch KMU ohne eigene IT-Abteilung betrifft

Viele kleinere Unternehmen glauben, RMM-Sicherheit sei ausschließlich Sache des IT-Dienstleisters. Das stimmt nur zur Hälfte. Wer die IT auslagert, lagert auch einen Teil des Risikos aus – trägt aber weiterhin die Verantwortung für die eigenen Daten, insbesondere bei DSGVO-relevanten Vorfällen. Ein kompromittierter RMM-Agent auf dem eigenen Server ist ebenso real wie eine Lücke in der eigenen Firewall, nur dass die Kontrolle darüber bei einem Dritten liegt.

Typische Schwachstellen in der Praxis

• Veraltete RMM-Server-Versionen, weil Updates aus Angst vor Ausfällen aufgeschoben werden
• Ein einziges Administrator-Konto für die gesamte Plattform, ohne Multi-Faktor-Authentifizierung
• RMM-Zugriff von öffentlichen IP-Adressen ohne Einschränkung
• Fehlende Mandantentrennung, sodass ein Techniker-Zugang auf alle Kunden gleichzeitig wirkt
• Keine Protokollierung, wer wann auf welches Kundensystem zugegriffen hat

Was KMU konkret tun können

1. Den eigenen IT-Dienstleister gezielt befragen

Es ist legitim, den eigenen IT-Partner nach der Absicherung seiner RMM-Plattform zu fragen. Konkrete Fragen dafür:

• Ist die RMM-Software auf dem aktuellen Patch-Stand, und wie schnell werden Sicherheitsupdates eingespielt?
• Ist der Zugriff auf die Verwaltungsoberfläche per MFA und IP-Beschränkung abgesichert?
• Gibt es getrennte Zugänge je Kunde, oder wirkt ein kompromittiertes Konto auf alle Kunden gleichzeitig?
• Werden Zugriffe protokolliert und regelmäßig ausgewertet?

Ein seriöser Dienstleister beantwortet solche Fragen ohne Ausweichen.

2. Eigene Kontrolle behalten

Auch bei ausgelagerter IT sollten KMU wissen, welche Software mit welchen Rechten auf ihren Systemen läuft. Ein aktuelles Software-Inventar zeigt jeden installierten RMM-Agenten – Grundlage dafür ist ein vernünftiges IT-Asset-Management.

3. Netzwerksegmentierung nicht vergessen

Server und Arbeitsplätze, auf denen ein RMM-Agent läuft, sollten nicht ungehindert mit allen anderen Systemen kommunizieren können. Netzwerksegmentierung begrenzt den Schaden, falls ein Agent doch einmal missbraucht wird.

4. Verträge und Verantwortlichkeiten klären

Im Vertrag mit dem IT-Dienstleister sollte klar geregelt sein, wer im Falle eines Sicherheitsvorfalls über die RMM-Plattform welche Pflichten hat – von der Meldefrist bis zur Wiederherstellung. Das gehört in jeden IT-Notfallplan, unabhängig davon, ob die IT intern oder extern betrieben wird.

Fazit

RMM-Software ist ein zentraler Baustein professioneller IT-Betreuung – und genau deshalb ein attraktives Ziel. Für ostdeutsche KMU, die ihre IT an einen externen Partner übergeben haben, bedeutet das nicht, misstrauisch zu werden, sondern gezielt nachzufragen. Ein Dienstleister, der die eigene Fernverwaltung nicht absichert, gefährdet nicht nur sich selbst, sondern jeden einzelnen Kunden dahinter.

Sie möchten wissen, wie gut Ihre IT-Betreuung in Dresden oder Sachsen tatsächlich abgesichert ist? Rexoma prüft für KMU, welche Fernwartungs- und RMM-Zugänge in der eigenen Umgebung aktiv sind, und übernimmt auf Wunsch die sichere, transparente IT-Betreuung selbst – mit nachvollziehbarem Zugriff statt Blackbox.

FAQ

Was ist der Unterschied zwischen RMM-Software und klassischer Fernwartung? Fernwartungstools wie TeamViewer werden für einzelne Sitzungen gestartet. RMM-Software läuft dauerhaft als Agent auf jedem verwalteten Gerät und erlaubt jederzeit vollen administrativen Zugriff, ohne dass am Gerät jemand zustimmt.

Muss ich als KMU die RMM-Software meines IT-Dienstleisters selbst absichern? Nicht technisch, aber Sie sollten wissen, welche Software mit welchen Rechten auf Ihren Systemen läuft, und Ihren Dienstleister aktiv nach dessen Absicherung fragen.

War der N-able-N-central-Vorfall ein Einzelfall? Nein. Auch Kaseya (2021), SolarWinds (2020) und ConnectWise ScreenConnect (2024) waren Ziel ähnlicher Angriffe über zentrale Verwaltungssoftware.

Wie erkenne ich, ob auf meinen Systemen ein RMM-Agent läuft? Über ein aktuelles Software-Inventar oder eine Bestandsaufnahme der installierten Dienste und laufenden Prozesse – im Zweifel hilft ein IT-Sicherheitsaudit.

Sollte ich RMM-Zugriffe auf bestimmte Netzwerkbereiche beschränken? Ja. Netzwerksegmentierung verhindert, dass ein kompromittierter Agent ungehindert auf alle anderen Systeme im Unternehmen zugreifen kann.