Druckmanagement-Software absichern: Warum PaperCut & Co. Angreifer anziehen

Gerade wurden erneut Notfall-Updates für PaperCut NG und PaperCut MF veröffentlicht, weil Sicherheitslücken in der weit verbreiteten Druckmanagement-Software aktiv ausgenutzt werden. Für viele Geschäftsführer klingt “Drucker-Software” zunächst harmlos – in Wahrheit läuft PaperCut in tausenden Unternehmen als zentraler Server mit weitreichenden Rechten im Netzwerk, und genau das macht die Software für Angreifer interessant. Wer Druckmanagement in seinem Betrieb einsetzt, sollte jetzt genauer hinschauen.

Was Druckmanagement-Software eigentlich tut

Druckmanagement-Lösungen wie PaperCut NG/MF verwalten in mittelständischen Unternehmen zentral, wer wo wie viel druckt, rechnen Druckkosten Abteilungen zu und steuern Zugriffsrechte auf Drucker und Multifunktionsgeräte. Damit das funktioniert, läuft die Software typischerweise als eigener Server-Dienst mit Domänen-Anbindung, Datenbankzugriff und oft auch mit Administratorrechten auf den angeschlossenen Druckern.

Genau diese Kombination macht Druckmanagement-Software zu einem attraktiven Ziel: Ein kompromittierter PaperCut-Server ist häufig direkt mit dem Active Directory verbunden, kennt Benutzerkonten und Abteilungsstrukturen und kann als Sprungbrett tief ins Firmennetz dienen – weit über das reine Drucken hinaus.

Warum die Software oft übersehen wird

• Kein Fokus bei IT-Verantwortlichen: Druckmanagement gilt als Randthema, während Firewall, E-Mail und Server im Vordergrund stehen.
• Seltene Updates: Ist die Druckumgebung einmal eingerichtet, fasst sie oft niemand mehr an – “läuft doch”.
• Web-Oberfläche exponiert: Die Admin-Konsole ist teilweise auch aus dem internen Netz breiter erreichbar, als nötig wäre.
• Hohe Berechtigungen: Der Dienst läuft häufig mit einem Konto, das mehr Rechte hat, als für die reine Druckverwaltung nötig wäre.

Aktuelle PaperCut-Sicherheitslücken im Überblick

Die jetzt geschlossenen Schwachstellen in PaperCut NG/MF reihen sich in eine Serie von Sicherheitsvorfällen bei der Software ein. Bereits in der Vergangenheit wurden PaperCut-Server über kritische Lücken (etwa CVE-2023-27350) von Ransomware-Gruppen wie Cl0p und LockBit aktiv als Einfallstor genutzt, um sich in Unternehmensnetzwerke einzuschleusen. Angreifer scannen dabei gezielt das Internet nach erreichbaren PaperCut-Instanzen und automatisieren die Ausnutzung bekannter Lücken.

Das Muster ist dabei immer ähnlich: Eine ungepatchte Version wird über eine Schwachstelle kompromittiert, Angreifer erlangen Server-Rechte auf dem Druckmanagement-System und nutzen die vorhandene Domänen-Anbindung, um sich seitlich im Netzwerk weiterzubewegen – bis hin zur Verschlüsselung ganzer Firmennetze.

Warum Druckserver ein besonders lohnendes Ziel sind

Für Angreifer ist ein Druckserver aus mehreren Gründen interessant:

1. Breite Verbreitung: PaperCut und vergleichbare Lösungen laufen in sehr vielen mittelständischen Unternehmen, was automatisierte Massenscans lohnend macht.
2. Direkte AD-Anbindung: Der Dienst kennt Benutzerkonten, teils mit Domänen-Admin-nahen Rechten für die Druckerverwaltung.
3. Geringe Sichtbarkeit: Angriffe auf Druckinfrastruktur werden im Monitoring seltener erkannt als Angriffe auf klassische Server.
4. Erreichbarkeit von außen: In manchen Setups ist die Web-Konsole für mobiles Drucken oder Support auch von außen erreichbar – ein direktes Einfallstor.

Praxisteil: Was KMU jetzt konkret tun sollten

1. Bestandsaufnahme machen

Prüfen Sie, welche Druckmanagement-Software in Ihrem Unternehmen läuft, welche Version installiert ist und wer für Updates zuständig ist. Erfahrungsgemäß landet dieses System bei keiner der üblichen Zuständigkeiten – klären Sie das ausdrücklich.

2. Updates konsequent einspielen

Aktualisieren Sie PaperCut oder vergleichbare Software umgehend auf die aktuellste Version. Richten Sie, wenn möglich, einen festen Patch-Rhythmus ein, statt nur bei Sicherheitsvorfällen zu reagieren – das gilt für Druckmanagement genauso wie für jeden anderen Server-Dienst im Netz.

3. Zugriff auf die Admin-Konsole einschränken

Die Web-Oberfläche des Druckservers gehört nicht ins offene Internet. Beschränken Sie den Zugriff per Firewall-Regel auf das interne Netz oder auf ein VPN, etwa über eine OPNcense-Firewall mit WireGuard-Anbindung für Homeoffice-Zugriffe.

4. Dienstkonto minimal berechtigen

Prüfen Sie, mit welchem Konto der Druckmanagement-Dienst läuft, und reduzieren Sie dessen Rechte auf das tatsächlich notwendige Minimum. Ein Druckserver braucht in der Regel keine Domänen-Admin-Rechte.

5. Netzwerksegmentierung nutzen

Platzieren Sie Druck- und andere Infrastrukturdienste in einem eigenen VLAN, getrennt von Arbeitsplatzrechnern und kritischen Servern. So bleibt der Schaden begrenzt, falls ein System doch kompromittiert wird.

6. Monitoring auf Infrastrukturdienste ausweiten

Beziehen Sie Druck- und andere Hintergrunddienste explizit in Ihr Sicherheitsmonitoring ein, statt sich nur auf Firewall und E-Mail zu konzentrieren. Ungewöhnliche Anmeldeversuche oder Datenverkehr vom Druckserver sind ein Warnsignal, das oft übersehen wird.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU in Dresden, Sachsen und Ostdeutschland dabei, auch scheinbare Randsysteme wie Druckmanagement-Software konsequent abzusichern – von der Bestandsaufnahme über Patch-Management bis zur Netzwerksegmentierung mit OPNsense. Sprechen Sie uns an, wenn Sie Ihre Infrastruktur systematisch prüfen lassen möchten.

FAQ

Ist PaperCut die einzige betroffene Druckmanagement-Software? Nein. PaperCut ist zwar besonders verbreitet und wurde in der Vergangenheit mehrfach gezielt angegriffen, aber grundsätzlich gilt die Empfehlung für jede zentrale Druckmanagement-Lösung: Sie verdient dieselbe Sorgfalt bei Patches und Zugriffsrechten wie jeder andere Server im Netz.

Warum ist ein Drucker-Server überhaupt mit dem Active Directory verbunden? Damit Benutzer sich am Drucker anmelden und Kosten Abteilungen zugeordnet werden können, braucht die Software Zugriff auf Benutzerkonten. Diese Anbindung ist funktional notwendig, sollte aber mit möglichst geringen Rechten erfolgen.

Reicht es, den Drucker selbst abzusichern? Nein. Die eigentliche Gefahr liegt meist im Verwaltungsserver im Hintergrund, nicht im Gerät auf dem Flur. Beide Ebenen – Netzwerkdrucker und Druckmanagement-Server – gehören zur Absicherung dazu.

Wie oft sollte Druckmanagement-Software aktualisiert werden? Wie jeder andere geschäftskritische Dienst: nach einem festen Patch-Zyklus und zusätzlich sofort, wenn Hersteller Sicherheitsupdates für aktiv ausgenutzte Lücken veröffentlichen.

Können kleine Unternehmen auf ein zentrales Druckmanagement verzichten, um das Risiko zu vermeiden? Das ist selten praktikabel, da zentrale Lösungen Kostenkontrolle und Druckerverwaltung deutlich vereinfachen. Sinnvoller ist es, die Software korrekt zu segmentieren, zu patchen und in ein Sicherheitskonzept einzubinden, statt ganz darauf zu verzichten.