Netzwerkdrucker absichern: Der unterschätzte Risikofaktor in KMU

Wenn IT-Sicherheitsaudits in KMU durchgeführt werden, liegt der Fokus meist auf Firewall, Server und Endgeräten der Mitarbeiter. Der Netzwerkdrucker in der Ecke wird dabei fast immer übersehen – dabei ist er längst kein simples Ausgabegerät mehr, sondern ein vollwertiger Computer mit eigenem Betriebssystem, Festplatte und Webserver. Genau diese Kombination aus Vernetzung und mangelnder Aufmerksamkeit macht Netzwerkdrucker zu einem beliebten, aber unterschätzten Einfallstor.

Warum Netzwerkdrucker ein reales Sicherheitsrisiko sind

Moderne Multifunktionsgeräte scannen, faxen, drucken und verfügen dafür über ein eigenes Betriebssystem, Netzwerkschnittstellen und häufig eine interne Festplatte, auf der Druckaufträge zwischengespeichert werden. Sie laufen in der Regel jahrelang ohne Neustart und ohne dass jemand ihre Software aktualisiert – ein klassisches Rezept für veraltete, verwundbare Firmware.

Hinzu kommt: Viele Geräte werden mit Werkseinstellungen betrieben. Das Web-Interface zur Verwaltung ist über ein Standardpasswort erreichbar, das nie geändert wurde. Dienste wie SNMP laufen häufig noch mit der klassischen Community-String „public”, die weltweit identisch und unverschlüsselt ist. Wer im Netzwerk nach solchen Geräten sucht, findet sie zuverlässig – Suchmaschinen für internetfähige Geräte listen tausende offen erreichbare Drucker, deren Administrationsoberfläche ungeschützt aus dem Internet erreichbar ist.

Was Angreifer mit einem kompromittierten Drucker anfangen können

Ein Netzwerkdrucker ist selten das eigentliche Ziel eines Angriffs – aber ein attraktives Sprungbrett ins interne Netz. Konkrete Risiken sind:

• Mitgelesene Druckaufträge: Vertrauliche Dokumente wie Verträge, Gehaltsabrechnungen oder Kundendaten passieren den Drucker unverschlüsselt, wenn kein IPPS (verschlüsseltes Druckprotokoll) verwendet wird.
• Gespeicherte Dokumente auf der internen Festplatte: Viele Multifunktionsgeräte behalten gescannte oder gedruckte Dateien für Wochen, ohne dass dies den Mitarbeitern bewusst ist.
• Pivot-Punkt ins Firmennetz: Ein kompromittierter Drucker mit Zugriff auf dasselbe VLAN wie Server und Arbeitsplätze lässt sich als Ausgangspunkt für weitere Angriffe nutzen.
• Ressourcenmissbrauch: Drucker mit offenem Internetzugang wurden in der Vergangenheit für Spam-Versand oder als Teil von Botnetzen missbraucht.
• Denial-of-Service durch manipulierte Druckaufträge: Angreifer können über offene Ports beliebige Druckaufträge einschleusen und Geräte lahmlegen oder Verbrauchsmaterial verschwenden.

Praxis: Netzwerkdrucker in Ihrem Unternehmen absichern

Die gute Nachricht: Drucker abzusichern ist mit überschaubarem Aufwand möglich, wenn man strukturiert vorgeht.

1. Bestandsaufnahme machen

Erfassen Sie alle Netzwerkdrucker und Multifunktionsgeräte im Unternehmen – inklusive Modell, Firmware-Version und aktuellem Standort im Netzwerk. Ohne diese Übersicht lässt sich kein Gerät gezielt absichern.

2. Eigenes VLAN für Drucker einrichten

Drucker gehören nicht in dasselbe Netzwerksegment wie Server oder Arbeitsplätze. Durch Netzwerksegmentierung mit einem dedizierten Drucker-VLAN wird verhindert, dass ein kompromittiertes Gerät ungehindert auf sensible Systeme zugreifen kann. Der Zugriff auf das Drucker-VLAN wird dann per Firewall-Regel nur für die tatsächlich benötigten Ports freigegeben.

3. Standardpasswörter und Zugänge ändern

Jedes Gerät sollte ein individuelles, starkes Administrationspasswort erhalten. Prüfen Sie zusätzlich, ob Gastzugänge oder anonyme FTP-Zugriffe auf das Gerät aktiviert sind, und deaktivieren Sie diese.

4. Unnötige Dienste deaktivieren

Viele Drucker bieten ab Werk Dienste wie Telnet, FTP oder ältere SNMP-Versionen (v1/v2c) an, die unverschlüsselt kommunizieren. Deaktivieren Sie alles, was nicht aktiv benötigt wird, und nutzen Sie – falls verfügbar – SNMPv3 mit Authentifizierung und Verschlüsselung.

5. Firmware regelmäßig aktualisieren

Herstellerupdates schließen bekannte Sicherheitslücken, werden in der Praxis aber selten eingespielt, weil niemand explizit dafür zuständig ist. Legen Sie einen festen Turnus für Firmware-Updates fest und behandeln Sie Drucker als Teil des regulären Patch-Managements – genau wie Server und Arbeitsplatzrechner.

6. Verschlüsselte Druckprotokolle verwenden

Setzen Sie auf IPPS statt IPP und aktivieren Sie, sofern vom Gerät unterstützt, die Verschlüsselung von Scan- und Faxfunktionen. Das verhindert, dass Dokumente im Klartext über das Netzwerk übertragen werden.

7. Interne Festplatte beachten

Prüfen Sie, ob das Gerät gespeicherte Aufträge automatisch löscht, und stellen Sie sicher, dass beim Leasing-Rückgabe oder der Entsorgung eines Geräts die interne Festplatte sicher gelöscht oder physisch zerstört wird – ein häufig übersehener Datenschutzaspekt.

8. Zugriff von außen unterbinden

Ein Netzwerkdrucker gehört niemals direkt ins Internet. Zugriff von unterwegs sollte ausschließlich über eine gesicherte VPN-Verbindung erfolgen, nicht über eine direkt weitergeleitete Portfreigabe am Router.

Rexoma unterstützt KMU in Dresden bei der Absicherung ihrer Netzwerkgeräte

Sie wissen nicht genau, welche Drucker und Multifunktionsgeräte in Ihrem Netzwerk offene Schwachstellen aufweisen? Rexoma unterstützt KMU in Dresden, Sachsen und ganz Ostdeutschland dabei, im Rahmen eines IT-Sicherheitsaudits auch Netzwerkdrucker zu erfassen, per Netzwerksegmentierung sauber zu isolieren und in ein durchgängiges Patch-Management einzubinden.

Häufige Fragen zur Sicherheit von Netzwerkdruckern

Warum werden Drucker bei IT-Sicherheitsaudits oft übersehen? Drucker gelten fälschlicherweise als reine Peripheriegeräte ohne eigenständiges Sicherheitsrisiko. Tatsächlich handelt es sich um vollwertige, vernetzte Computer mit eigenem Betriebssystem, die selten aktualisiert und noch seltener geprüft werden.

Reicht ein einfaches Passwort auf dem Drucker-Webinterface aus? Ein individuelles, starkes Passwort ist der erste notwendige Schritt, aber nicht ausreichend. Erst in Kombination mit Netzwerksegmentierung, deaktivierten unnötigen Diensten und regelmäßigen Firmware-Updates entsteht ein wirksamer Schutz.

Können auch kleine Unternehmen mit wenigen Druckern betroffen sein? Ja. Gerade kleinere Betriebe betreiben Drucker oft besonders lange ohne Wartung, weil kein dediziertes IT-Personal für die Pflege dieser Geräte zuständig ist. Die Anzahl der Geräte spielt für das Risiko keine Rolle, nur der fehlende Schutz.

Was tun mit Multifunktionsgeräten, die keine Firmware-Updates mehr erhalten? Prüfen Sie, ob sich das Gerät durch Netzwerksegmentierung ausreichend isolieren lässt. Ist das nicht möglich oder das Gerät bereits sehr veraltet, sollte ein Austausch gegen ein aktuell unterstütztes Modell eingeplant werden.

Wie finde ich heraus, ob unser Drucker aus dem Internet erreichbar ist? Ein IT-Sicherheitsaudit prüft gezielt, welche Geräte im Firmennetz von außen erreichbar sind. Alternativ lässt sich mit einem externen Portscan der eigenen öffentlichen IP-Adresse feststellen, ob Druckerdienste ungewollt offen liegen.