Treiber-Updates im Unternehmen: Warum Grafiktreiber zur Sicherheitslücke werden

In vielen Betrieben gilt beim Grafiktreiber eine einfache Regel: Läuft das CAD-Programm, wird nichts angefasst. Aus Sicht der Stabilität ist das nachvollziehbar, aus Sicht der Sicherheit ein Problem. Treiber arbeiten tief im Betriebssystem – und eine aktuelle Sammelmeldung von Nvidia zeigt, wie viele Lücken sich dort ansammeln können. Treiber-Updates gehören deshalb genauso in den Wartungsplan wie Windows- und Browser-Patches.

Anlass: 114 Schwachstellen in Nvidia-Treibern geschlossen

Laut heise online hat Nvidia insgesamt 114 Sicherheitslücken in seinen GPU-Treibern und der vGPU-Software geschlossen. Betroffen sind Systeme unter Windows und Linux mit GeForce-Karten, den Profi-Reihen RTX PRO, RTX und Quadro sowie Tesla-GPUs. 16 der Schwachstellen stecken in der vGPU-Software, mit der sich Grafikkarten auf virtuelle Maschinen aufteilen lassen.

Der Großteil der Lücken ist dem Bericht zufolge mit dem Bedrohungsgrad „hoch” eingestuft. Mögliche Folgen sind die Ausführung von Schadcode, das Auslesen oder Verändern von Daten und Denial-of-Service-Angriffe. Eine Lücke in der vGPU-Software (CVE-2026-47574) bewertet Nvidia als kritisch; in der CVE-Datenbank des NIST ist sie als „hoch” geführt. Hinweise auf laufende Angriffe gibt es laut der Meldung bislang nicht.

Abgesicherte Versionen im Überblick

Welche Version passt, hängt vom eingesetzten Treiberzweig ab. Wer einen Zweig nutzt, der in der Liste nicht mehr auftaucht, sollte auf einen noch gepflegten wechseln.

Warum Treiber ein lohnendes Angriffsziel sind

Treiber laufen mit den höchsten Rechten

Ein Grafiktreiber besteht zu einem wesentlichen Teil aus Code, der im Kernel läuft – also dort, wo das Betriebssystem selbst arbeitet. Ein Fehler an dieser Stelle hat andere Folgen als ein Fehler in einer Büroanwendung. Gelingt es einem Angreifer, der bereits mit einfachen Benutzerrechten auf dem Rechner ist, eine Treiberlücke auszunutzen, kann er seine Rechte ausweiten, Schutzmechanismen umgehen oder das System zum Absturz bringen.

Typischerweise sind solche Lücken nicht der erste Schritt eines Angriffs, sondern der zweite: Erst kommt die Phishing-Mail oder das gestohlene Passwort, dann die Rechteausweitung über eine lokale Schwachstelle. Wie Angreifer verwundbare Treiber sogar gezielt mitbringen, um Sicherheitssoftware abzuschalten, haben wir im Beitrag zu BYOVD-Angriffen beschrieben.

Treiber fallen durch das Raster

Die meisten Betriebe haben Windows-Updates im Griff, viele auch Browser und Office. Treiber dagegen werden von den üblichen Update-Wegen nur teilweise erfasst:

• Windows Update liefert Treiber aus, aber häufig nicht die aktuelle Herstellerversion.
• WSUS und einfache Patch-Werkzeuge behandeln Treiber oft gar nicht oder nur nach manueller Freigabe.
• Linux-Server mit proprietärem Nvidia-Treiber hängen an Kernel-Modulen, die zum laufenden Kernel passen müssen. Aus Sorge vor Ausfällen wird die Aktualisierung gern verschoben.
• Angst vor Nebenwirkungen: CAD-, Rendering- und Videoschnittprogramme sind für bestimmte Treiberstände zertifiziert. Niemand will kurz vor einer Abgabe ein Experiment starten.

Das Ergebnis sind Workstations, deren Grafiktreiber so alt ist wie der Rechner selbst.

Wer besonders betroffen ist

Grafikkarten von Nvidia stecken nicht nur in Spiele-PCs. In KMU finden sie sich vor allem an diesen Stellen:

• Konstruktions- und Planungsarbeitsplätze in Ingenieur- und Architekturbüros
• Schnitt- und Grafikplätze in Agenturen
• Server für lokale KI-Modelle, Bildauswertung oder Simulation
• Virtualisierungs-Hosts, die Grafikleistung per vGPU an virtuelle Desktops verteilen

Der letzte Punkt verdient besondere Aufmerksamkeit. Auf einem vGPU-Host teilen sich mehrere virtuelle Maschinen dieselbe Hardware. Eine Schwachstelle in dieser Schicht betrifft damit potenziell nicht nur einen Arbeitsplatz, sondern alle Systeme auf dem Host. Dass Nvidia gerade hier eine Lücke als kritisch einstuft, ist deshalb kein Detail.

Treiber-Updates in sechs Schritten organisieren

1. Bestand erfassen

Welche Rechner und Server haben eine dedizierte Grafikkarte, welches Modell, welcher Treiberstand? Ohne diese Liste bleibt jedes Update Zufall. Unter Windows liefert nvidia-smi oder der Geräte-Manager die Version, unter Linux ebenfalls nvidia-smi. Die Angaben gehören ins IT-Inventar – zusammen mit der Information, welche Fachanwendung auf dem Gerät läuft.

2. Den richtigen Treiberzweig wählen

Nvidia pflegt mehrere Zweige parallel. Für Arbeitsplätze mit zertifizierter Software sind die langfristig gepflegten Produktionszweige die bessere Wahl als die jeweils neueste Version. Maßgeblich ist, welche Treiberstände der Hersteller der Fachanwendung freigibt.

3. Erst testen, dann verteilen

Ein Pilotgerät pro Abteilung erhält das Update zuerst. Dort wird geprüft, ob die wichtigsten Programme starten, Projekte korrekt dargestellt werden und angeschlossene Monitore oder Dockingstationen funktionieren. Erst nach einigen Tagen ohne Auffälligkeiten folgt der Rest. Für den Notfall sollte die vorherige Treiberversion griffbereit liegen.

4. Verteilung zentral steuern

Manuelles Installieren an jedem Platz funktioniert bei drei Rechnern, nicht bei dreißig. Treiberpakete lassen sich über die vorhandene Softwareverteilung oder ein RMM-Werkzeug ausrollen. Unter Linux gehört der Treiber in die Paketverwaltung und nicht als von Hand gestartetes Installationsskript auf den Server – nur so wird er bei Kernel-Updates sauber mitgezogen.

5. Server und vGPU-Hosts mit Wartungsfenster einplanen

Ein Treiber-Update auf einem Server bedeutet in der Regel einen Neustart oder zumindest das Beenden der GPU-Dienste. Bei vGPU-Umgebungen müssen außerdem Host-Komponente und Gasttreiber zusammenpassen. Das erfordert ein abgestimmtes Wartungsfenster und eine klare Reihenfolge – ist aber kein Grund, das Update auf unbestimmte Zeit zu verschieben.

6. In den festen Patch-Rhythmus aufnehmen

Treiber sollten im selben Zyklus geprüft werden wie alle anderen Updates. Sicherheitsmeldungen der Hersteller gehören in die regelmäßige Sichtung, nicht nur die von Microsoft. Wie ein solcher Ablauf grundsätzlich aussieht, zeigt unser Beitrag zum Patch-Management für KMU.

Nicht nur die Grafikkarte: Der blinde Fleck ist größer

Der Nvidia-Fall steht stellvertretend für eine ganze Kategorie. Auch Chipsatz-, Netzwerk-, WLAN-, Audio- und Druckertreiber sowie BIOS- und UEFI-Firmware enthalten regelmäßig Schwachstellen. Die großen PC-Hersteller bieten eigene Werkzeuge, um diese Komponenten gesammelt zu aktualisieren. Sinnvoll sind sie nur, wenn jemand ihre Meldungen auch auswertet und die Updates zentral steuert – ein Hinweisfenster, das jeder Mitarbeiter wegklickt, ist kein Prozess.

Was das für KMU in Sachsen bedeutet

In Sachsen arbeiten viele kleinere Betriebe mit leistungsstarken Workstations: Ingenieurbüros in Dresden, Maschinenbauer und Zulieferer im Umland, Planungsbüros, Medienagenturen. Bei ostdeutschen KMU ohne eigene IT-Abteilung wird der Rechner oft einmal eingerichtet und dann über Jahre nur noch genutzt. Gerade diese Geräte verarbeiten aber das Wertvollste im Unternehmen – Konstruktionsdaten, Pläne, Kundenprojekte. Regelmäßige Treiber-Updates sind hier keine Fleißaufgabe, sondern Teil des Schutzes dieser Daten.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU bei Treiber-Updates und Patch-Management: Bestandsaufnahme aller Arbeitsplätze und Server, Abstimmung der Treiberstände mit den eingesetzten Fachanwendungen, zentrale Verteilung mit Testphase sowie laufende Betreuung von Linux-Servern und Virtualisierungs-Hosts. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Muss ich Grafiktreiber aktualisieren, wenn alles stabil läuft?

Ja, wenn der Hersteller Sicherheitslücken geschlossen hat. Stabilität und Sicherheit schließen sich nicht aus: Mit einem Pilotgerät, einem langfristig gepflegten Treiberzweig und einer bereitliegenden Vorgängerversion lässt sich das Risiko eines Updates gut beherrschen.

Reicht Windows Update für Treiber aus?

Nur eingeschränkt. Windows Update verteilt Treiber, aber häufig mit Verzögerung und nicht in der aktuellen Herstellerversion. Für Grafikkarten und andere sicherheitsrelevante Komponenten sollte der Stand zusätzlich gegen die Sicherheitshinweise des Herstellers geprüft werden.

Sind auch Rechner ohne Nvidia-Karte betroffen?

Von den aktuellen Lücken nicht. Das Grundproblem betrifft aber jede Hardware: Auch Treiber für integrierte Grafik, Netzwerkkarten oder Drucker sowie die Firmware des Rechners erhalten Sicherheitsupdates, die im Alltag oft übersehen werden.

Wie finde ich heraus, welche Treiberversion installiert ist?

Auf Systemen mit Nvidia-Karte zeigt der Befehl nvidia-smi unter Windows und Linux die Treiberversion an. Unter Windows steht sie außerdem im Geräte-Manager in den Eigenschaften der Grafikkarte. Für mehrere Geräte lohnt sich die automatische Erfassung über ein Inventar- oder RMM-Werkzeug.

Was ist bei Servern mit vGPU zu beachten?

Host-Software und Treiber in den virtuellen Maschinen müssen zueinander passen und werden gemeinsam aktualisiert. Weil ein Fehler in dieser Schicht alle virtuellen Maschinen auf dem Host betreffen kann, sollten vGPU-Updates mit hoher Priorität und einem geplanten Wartungsfenster eingespielt werden.