Netzwerk-Switches und Access Points absichern: Firmware-Lücken bei KMU

Anfang August 2026 wurden kritische Schwachstellen in TP-Links Omada-Ökosystem bekannt, über die sich Angreifer von einem kompromittierten Gerät aus im gesamten verwalteten Netzwerk ausbreiten können. Das betrifft nicht nur einzelne Access Points, sondern die komplette Verwaltungsplattform dahinter. Für viele KMU ist das eine unbequeme Erinnerung daran, dass IT-Sicherheit nicht bei der Firewall endet: Switches und Access Points laufen oft jahrelang unbeachtet im Serverschrank oder unter der Decke – ungepatcht, mit Werkseinstellungen, ohne dass sie je wieder jemand angefasst hat.

Warum Netzwerkgeräte ein unterschätztes Risiko sind

Firewalls und Server stehen bei den meisten Unternehmen im Fokus der IT-Sicherheit – zu Recht, denn sie sind die naheliegenden Angriffsziele. Switches und Access Points geraten dagegen selten in den Blick, obwohl sie eine Schlüsselrolle im Netzwerk spielen:

• Direkter Zugriff auf den internen Datenverkehr: Ein kompromittierter Switch sieht potenziell den gesamten Netzwerkverkehr, der durch ihn läuft – inklusive unverschlüsselter Protokolle und interner Kommunikation.
• Sprungbrett für laterale Bewegung: Angreifer, die einen Access Point übernehmen, befinden sich bereits hinter der Firewall und können von dort aus Server, Arbeitsplätze und andere Netzwerkgeräte angreifen.
• Zentrale Management-Plattformen als Hebel: Wie im Fall von TP-Link Omada verwalten viele Hersteller inzwischen ganze Geräteflotten über eine zentrale Cloud- oder Server-Oberfläche. Wird diese kompromittiert, sind potenziell alle angeschlossenen Geräte gleichzeitig betroffen – ähnlich wie bei einer kompromittierten Fernwartungssoftware.
• Lange Update-Zyklen: Anders als bei Servern oder Arbeitsplätzen wird die Firmware von Switches und Access Points oft nur einmal bei der Installation aktualisiert und danach nie wieder.

Typische Fehler in der Praxis

Bei IT-Sicherheitsaudits zeigt sich bei vielen ostdeutschen KMU ein ähnliches Bild:

• Werkspasswörter oder einfache Standardkennwörter auf der Verwaltungsoberfläche von Switches und Access Points
• Management-Interfaces, die aus dem normalen Netzwerk oder sogar aus dem Internet erreichbar sind
• Keine getrennte VLAN für das Geräte-Management, sodass jeder im Netz auf die Konfigurationsoberfläche zugreifen kann
• Firmware-Stände, die mehrere Jahre alt sind, weil “es ja läuft”
• Keine Übersicht, welche Netzwerkgeräte überhaupt im Einsatz sind und welche Firmware-Version sie führen

Was konkret passieren kann

Ein Angreifer, der Zugriff auf einen Switch erhält, kann den Datenverkehr mitschneiden (Traffic-Mirroring), VLANs manipulieren, um eigentlich getrennte Netzsegmente zu verbinden, oder das Gerät als dauerhaften Fuß in der Tür nutzen, selbst wenn andere Schwachstellen längst geschlossen wurden. Bei Access Points kommt hinzu, dass sie oft auch als Einstiegspunkt für WLAN-Angriffe dienen – wer die Verwaltungsebene kontrolliert, kann zusätzliche, unsichtbare Netzwerke aufspannen oder bestehende Sicherheitseinstellungen wie WPA3 stillschweigend deaktivieren.

Praxis: So sichern KMU ihre Netzwerkgeräte ab

1. Inventar erstellen

Der erste Schritt ist simpel, wird aber häufig übersprungen: eine vollständige Liste aller Switches, Access Points und deren Firmware-Versionen. Ohne dieses Inventar lässt sich keine Schwachstelle gezielt schließen. Das gehört in ein sauberes IT-Asset-Management.

2. Management-Zugriff einschränken

Die Konfigurationsoberfläche von Netzwerkgeräten sollte ausschließlich aus einem separaten Management-VLAN erreichbar sein – nicht aus dem allgemeinen Firmennetz und schon gar nicht aus dem Internet. Netzwerksegmentierung mit VLANs ist dafür die technische Grundlage.

3. Firmware regelmäßig aktualisieren

Netzwerkgeräte brauchen einen festen Platz im Patch-Management-Prozess, genau wie Server und Arbeitsplätze. Hersteller-Sicherheitswarnungen wie die zu TP-Link Omada sollten aktiv verfolgt werden, nicht erst, wenn ein Gerät ausfällt.

4. Standardpasswörter und Cloud-Verwaltung prüfen

Jedes Gerät braucht ein individuelles, starkes Passwort – Standardzugänge sind eine der häufigsten Einfallstore. Bei zentralen Cloud-Management-Plattformen wie Omada, UniFi oder vergleichbaren Systemen sollte zusätzlich Multi-Faktor-Authentifizierung für den Verwaltungszugang aktiviert werden, da dort im Kompromittierungsfall die gesamte Geräteflotte betroffen ist.

5. Protokollierung aktivieren

Switches und Access Points sollten Logs an ein zentrales System senden, etwa über Syslog. Nur so lassen sich ungewöhnliche Konfigurationsänderungen oder Anmeldeversuche überhaupt erkennen – idealerweise im Rahmen eines SIEM-Systems.

Fazit

Switches und Access Points sind keine “Fire-and-Forget”-Geräte, sondern aktive Bestandteile der Netzwerksicherheit, die genauso viel Aufmerksamkeit verdienen wie Firewall und Server. Die aktuellen Schwachstellen im TP-Link-Omada-Ökosystem zeigen, wie schnell aus einem einzelnen ungepatchten Gerät ein Einfallstor für das gesamte Netzwerk werden kann. Für KMU in Dresden und Sachsen lohnt sich ein regelmäßiger Blick auf die eigene Netzwerk-Hardware – nicht nur auf die sichtbaren Systeme.

Sie wissen nicht genau, welche Switches und Access Points in Ihrem Netzwerk laufen und wie aktuell deren Firmware ist? Rexoma unterstützt KMU in Dresden und Sachsen dabei, die komplette Netzwerkinfrastruktur zu inventarisieren, sauber zu segmentieren und dauerhaft aktuell zu halten.

FAQ

Warum sind Switches und Access Points überhaupt ein Sicherheitsrisiko? Sie verarbeiten den gesamten internen Netzwerkverkehr und liegen bereits hinter der Firewall. Wird ein Gerät kompromittiert, kann ein Angreifer Datenverkehr mitlesen, VLANs manipulieren oder sich weiter im Netzwerk ausbreiten.

Wie oft sollte Firmware auf Netzwerkgeräten aktualisiert werden? Sicherheitsrelevante Updates sollten zeitnah nach Veröffentlichung eingespielt werden, idealerweise innerhalb weniger Tage bis Wochen – abhängig von der Kritikalität der jeweiligen Lücke. Ein fester Prüfrhythmus, etwa monatlich, verhindert, dass Updates ganz vergessen werden.

Reicht eine gute Firewall nicht aus, um das Netzwerk zu schützen? Nein. Eine Firewall schützt vor allem den Übergang zwischen internem Netz und Internet. Sobald ein Angreifer – etwa über Phishing oder ein kompromittiertes Endgerät – im internen Netzwerk ist, greifen Firewall-Regeln meist nicht mehr. Segmentierung und abgesicherte Netzwerkgeräte sind dann die nächste Verteidigungslinie.

Was ist besonders riskant an zentralen Cloud-Management-Plattformen für Netzwerkgeräte? Wird die zentrale Verwaltungsplattform kompromittiert, sind potenziell alle daran angeschlossenen Geräte gleichzeitig betroffen – ähnlich wie bei einer kompromittierten Fernwartungssoftware. Deshalb sollte der Zugang zu solchen Plattformen besonders stark abgesichert werden, etwa mit Multi-Faktor-Authentifizierung.

Wie finde ich heraus, welche Netzwerkgeräte in meinem Unternehmen im Einsatz sind? Ein Netzwerkscan sowie ein Abgleich mit dem IT-Asset-Management geben einen Überblick. Bei größeren oder gewachsenen Netzwerken lohnt sich dafür eine strukturierte Bestandsaufnahme durch einen IT-Dienstleister.