Admin-Tools absichern: Wenn Wireshark, Notepad++ & Co. zum Einfallstor werden

Ende September 2026 haben gleich zwei Werkzeuge Sicherheitsupdates erhalten, die auf fast jedem Admin-Rechner installiert sind: Der Netzwerkanalysator Wireshark schließt 19 Lücken, der Texteditor Notepad++ fünf. Beides sind keine Katastrophenmeldungen – aber sie zeigen ein Muster, das in vielen KMU übersehen wird: Windows und Office werden gepatcht, die kleinen Admin-Tools daneben laufen oft jahrelang in alten Versionen. Und das ausgerechnet auf den Geräten, von denen aus Server, Firewall und Active Directory verwaltet werden.

Was aktuell passiert ist

Wireshark: 19 Lücken, vier davon „hoch“

Laut heise online beheben die Versionen Wireshark 4.6.9 und 4.4.19 (Old Stable) insgesamt 19 Schwachstellen. Betroffen sind unter anderem die Protokoll-Dissektoren für Zigbee-ZCL, SCTP und USB-HID, der Parser für bestimmte Mitschnittdateien sowie das Hilfsprogramm sharkd. Die meisten Fehler führen zu Abstürzen, Endlosschleifen oder Speicherlecks. Vier Lücken sind als „hoch“ eingestuft – darunter CVE-2026-96419, über die Schadcode auf das System gelangen kann, wenn das Opfer ein präpariertes Profil importiert. Aktive Angriffe sind bislang nicht bekannt.

Notepad++ 8.9.8.1: fünf Lücken, darunter Hash-Abfluss

Ebenfalls laut heise online schließt Notepad++ 8.9.8.1 fünf Schwachstellen mit CVSS-Werten zwischen 4.3 und 5.5, also „mittel“ bis „niedrig“. Interessant für Unternehmen sind zwei davon: Ein Hilfsprozess prüfte nicht, wer ihn aufruft, was Schreibvorgänge mit Admin-Rechten in beliebige Verzeichnisse ermöglichte. Und eine unzureichende Prüfung von UNC-Pfaden auf SMB-Freigaben konnte dazu führen, dass NetNTLMv2-Hashes unbemerkt nach außen gelangen – ein klassischer Baustein für Angriffe auf Windows-Netzwerke.

Warum Admin-Tools ein unterschätztes Risiko sind

Sie laufen dort, wo die Rechte liegen

Ein Buchhaltungs-PC mit veraltetem Texteditor ist ärgerlich. Ein Admin-Laptop mit veraltetem Texteditor ist ein anderes Kaliber: Von hier aus werden Domänen-Admin-Konten genutzt, SSH-Schlüssel liegen im Profil, und Verbindungen zur Firewall oder zum Hypervisor sind oft im Browser gespeichert. Wer diesen Rechner kompromittiert, muss sich nicht mehr mühsam durchs Netz arbeiten.

Sie verarbeiten fremde Daten

Admin-Tools öffnen genau die Dateien, die von außen kommen: Netzwerkmitschnitte vom Dienstleister, Logdateien aus dem Ticket, Konfigurationsprofile aus einem Forum, Skripte aus einer Anleitung. Die Wireshark-Lücke über präparierte Profile ist ein gutes Beispiel – sie setzt genau an diesem Alltagsverhalten an.

Sie fallen durchs Patch-Raster

Windows Update kümmert sich um Windows und – je nach Einstellung – um Microsoft-Produkte. Wireshark, Notepad++, PuTTY, WinSCP, 7-Zip, KeePass oder Remote-Desktop-Manager werden davon nicht erfasst. In vielen KMU hat sie irgendwann jemand manuell installiert, und seitdem aktualisiert sie niemand mehr systematisch. Oft weiß auch keiner genau, auf welchen Rechnern welche Admin-Tools überhaupt liegen.

Portable Versionen sind unsichtbar

Besonders heikel sind portable Programme, die aus einem Download-Ordner oder vom USB-Stick gestartet werden. Sie tauchen in keiner Softwareliste auf, erhalten keine Updates und werden von Inventarisierungstools meist nicht erkannt.

Praxis: So bekommen KMU ihre Admin-Tools in den Griff

Schritt 1: Bestandsaufnahme machen

Listen Sie auf, welche Werkzeuge auf Admin-Rechnern, Servern und Jump-Hosts installiert sind – inklusive Version. Unter Windows liefert winget list bereits einen brauchbaren Überblick, im Unternehmensumfeld sollte das über ein IT-Asset-Management zentral erfasst werden. Vergessen Sie Server nicht: Auch dort liegen erstaunlich oft Editoren, Packprogramme oder Analysewerkzeuge.

Schritt 2: Aufräumen

Alles, was nicht regelmäßig gebraucht wird, fliegt runter. Wireshark auf einem Domain Controller oder Notepad++ auf jedem Fileserver braucht in der Regel niemand dauerhaft. Weniger installierte Software heißt weniger Lücken, die man verfolgen muss. Portable Tools sollten durch installierte, verwaltete Versionen ersetzt werden.

Schritt 3: Drittanbieter-Updates automatisieren

Für Windows-Umgebungen gibt es mehrere Wege:

• winget: Mit winget upgrade --all lassen sich viele gängige Admin-Tools in einem Rutsch aktualisieren – per geplanter Aufgabe auch regelmäßig und automatisch.
• RMM- oder MDM-Lösung: Wer ohnehin eine zentrale Verwaltung einsetzt, kann Drittanbieter-Patching dort mit abbilden und bekommt eine Übersicht, wo Updates fehlen.
• Linux-Admin-Rechner: Hier kommen die Tools meist aus den Paketquellen der Distribution und werden mit dem normalen Update-Prozess aktualisiert – vorausgesetzt, dieser läuft auch tatsächlich regelmäßig.

Wie ein sauberer Patch-Prozess insgesamt aussieht, haben wir im Artikel zum Patch-Management für KMU beschrieben.

Schritt 4: Admin-Arbeit vom Alltag trennen

Die wirksamste Maßnahme ist organisatorisch: Administriert wird nicht vom selben Konto und idealerweise nicht vom selben Rechner, auf dem E-Mails gelesen und im Internet gesurft wird. Mindestens gehört dazu ein getrenntes Admin-Konto. Besser ist ein dedizierter Admin-Arbeitsplatz oder eine abgeschottete virtuelle Maschine, die nur ins Management-Netz darf. Das passt gut zu einer sauberen Netzwerksegmentierung und zum Konzept des Privileged Access Management.

Schritt 5: Ausgehenden SMB-Verkehr blockieren

Die Notepad++-Lücke zum Hash-Abfluss funktioniert nur, wenn ein Rechner SMB-Verbindungen ins Internet aufbauen kann. Das sollte ohnehin nie erlaubt sein: Blockieren Sie ausgehenden Verkehr auf Port 445 an der Firewall. Auf einer OPNsense ist das eine einzelne Regel – und sie schützt nicht nur vor dieser, sondern vor einer ganzen Klasse ähnlicher Angriffe.

Schritt 6: Herkunft von Dateien prüfen

Profile, Konfigurationen und Skripte aus unbekannten Quellen sollten nicht ungeprüft in Admin-Tools importiert werden. Das klingt selbstverständlich, wird im Stress eines Störfalls aber regelmäßig ignoriert. Eine kurze interne Regel („Nur aus Herstellerquellen oder nach Rücksprache“) hilft.

Was das für KMU in Sachsen bedeutet

Gerade in kleineren Betrieben in Dresden und ganz Sachsen liegt die IT oft bei einer Person, die das nebenher macht, oder bei einem externen Dienstleister, der nur bei Bedarf kommt. In beiden Fällen gibt es selten einen festen Prozess für Drittanbieter-Software. Für viele ostdeutsche KMU ist das kein Grund zur Panik, aber ein guter Anlass, einmal ehrlich nachzusehen: Welche Admin-Tools laufen bei uns, in welcher Version, und wer ist dafür zuständig? Mit Blick auf NIS2 gehört genau diese Frage zum Thema Schwachstellenmanagement ohnehin dazu.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU dabei, Admin-Tools und Drittanbieter-Software systematisch aktuell zu halten, Admin-Arbeitsplätze sauber abzutrennen und Firewall-Regeln wie das Blockieren von ausgehendem SMB umzusetzen. Wir erfassen den Ist-Zustand, räumen auf und richten automatisierte Updates ein, die ohne ständiges Nachhaken funktionieren. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Muss ich wegen der Wireshark-Lücken sofort handeln?

Zeitnah ja, panisch nein. Aktive Angriffe sind laut heise bislang nicht bekannt, und die als „hoch“ eingestufte Schadcode-Lücke setzt voraus, dass ein präpariertes Profil importiert wird. Aktualisieren Sie auf Wireshark 4.6.9 bzw. 4.4.19 im nächsten regulären Wartungsfenster – und importieren Sie bis dahin keine Profile aus unbekannten Quellen.

Reicht Windows Update für alle Programme aus?

Nein. Windows Update aktualisiert das Betriebssystem und – je nach Einstellung – Microsoft-Produkte. Drittanbieter-Software wie Wireshark, Notepad++, 7-Zip oder PuTTY muss separat aktualisiert werden, etwa über winget, den eingebauten Updater des jeweiligen Programms oder eine zentrale Verwaltungslösung.

Was ist ein Admin-Arbeitsplatz und brauchen KMU so etwas?

Ein Admin-Arbeitsplatz ist ein Rechner oder eine virtuelle Maschine, die ausschließlich für Verwaltungsaufgaben genutzt wird – ohne E-Mail, ohne freies Surfen. Für ein KMU muss das kein eigenes Gerät sein; eine abgeschottete VM mit Zugang nur zum Management-Netz ist oft ein guter und praktikabler Kompromiss.

Sind portable Admin-Tools grundsätzlich schlecht?

Nicht grundsätzlich, aber sie sind schwer zu verwalten. Sie erscheinen in keiner Softwareliste und bekommen keine automatischen Updates. Wenn sie genutzt werden, sollten sie an einem zentralen Ort liegen und in die regelmäßige Update-Routine aufgenommen werden.