Eine Ransomware-Crew loggte sich einen Monat lang ohne Passwörter in Firmen-VPNs ein, und der Hersteller bemerkte es erst am 4. Juni. Der Bug, CVE-2026-50751, betrifft Check-Point-Remote-Access-VPN-Installationen, die das veraltete IKEv1-Protokoll fahren. CISA gab US-Bundesbehörden bis zum 11. Juni Zeit zum Patchen. Die Opfer sind Firmen, keine Privatnutzer. Aber die Ursache, ein uraltes Protokoll, das eingeschaltet blieb, sollte jeden VPN-Nutzer interessieren.
Was die Schwachstelle tut
CVE-2026-50751 ist ein Authentifizierungs-Bypass mit einem CVSS-Score von 9,3. Im Klartext: Ein Logikfehler in der Zertifikatsprüfung lässt einen entfernten Angreifer eine VPN-Sitzung ganz ohne gültiges Passwort aufbauen. Kein Phishing, keine gestohlenen Zugangsdaten, kein Brute Force. Nur eine präparierte Verbindungsanfrage gegen ein Gateway mit aktiviertem IKEv1. IKEv1 ist das Schlüsselaustausch-Protokoll aus den späten 1990ern. Check Point hat es vor Jahren für veraltet erklärt, und die Empfehlung ist unmissverständlich: Hotfix installieren, IKEv1 abschalten. Der moderne Nachfolger IKEv2 ist nicht betroffen. Der unbequeme Teil ist die Zeitachse: Der früheste beobachtete Angriff datiert auf den 7. Mai, Check Point erkannte die Aktivität am 4. Juni. Rund ein Monat stillen Zugriffs auf einige Dutzend gezielte Organisationen, bevor jemand merkte, dass die Tür offenstand.
Wer dahintersteckt
Check Points eigene Forschung verknüpft die Aktivität mit mittlerer Zuversicht mit einem Affiliate der Qilin-Ransomware-Operation. Das Post-Exploitation-Toolkit: dedizierte VPS-Infrastruktur von Hostern wie Vultr, das Open-Source-Werkzeug Rclone zur Datenexfiltration und Qilin-Ransomware als Payload. Qilin war eine der aktivsten Ransomware-Operationen der letzten zwei Jahre, und seine Affiliates bevorzugen dokumentiert VPN-Gateways und andere Edge-Geräte als Einstiegspunkte. Es ergibt Sinn: Wozu Mitarbeiter phishen, wenn die Fernzugriffs-Box der Firma einen ohne Passwort hereinlässt? CISA nahm den Fehler in seinen Katalog bekannter ausgenutzter Schwachstellen auf, mit einer Drei-Tage-Patchfrist für Bundesbehörden.
Firmen-VPN, Consumer-VPN: gleiches Wort, andere Produkte
Bei jeder solchen Story erklärt jemand, VPNs seien kaputt, man solle sie nicht mehr nutzen. Das vermengt zwei Dinge. Ein Firmen-Remote-Access-VPN ist eine Tür in ein Firmennetz. Es steht im Internet, nimmt eingehende Verbindungen an, und seine Aufgabe ist Authentifizierung, die Falschen draußen halten. Versagt es, sind Angreifer in einem Netz voller wertvoller Systeme. Ein Consumer-VPN ist die Gegenrichtung: Sie bauen eine ausgehende Verbindung zum Server eines Anbieters auf, um Ihren Verkehr zu verschlüsseln. Dahinter steckt kein Firmennetz, nichts, das Ransomware verschlüsseln könnte. CVE-2026-50751 sagt nichts über die Sicherheit von NordVPN, ProtonVPN oder einem anderen Consumer-Dienst.
Die eigentliche Lehre: veraltete Protokolle sind Blindgänger
Hier trifft die Story doch auf Sie zu. Der Check-Point-Bug beißt nur bei Installationen, die IKEv1 noch aktiviert haben, ein längst veraltetes Protokoll, aus Kompatibilität behalten. Altes Protokoll, aus Bequemlichkeit angelassen, wird Jahre später zum kritischen Loch. Dieses Muster wiederholt sich ständig. Consumer-VPNs haben ihre eigene Version: PPTP, ein Protokoll von 1995, ist echt gebrochen, seine Authentifizierung ist seit 2012 in unter einem Tag knackbar. L2TP/IPSec ist veraltet. Trotzdem bieten manche Anbieter beides, weil das Entfernen von Features in einer Vergleichstabelle schlecht aussieht.
Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.
Edge-Geräte werden ständig geknackt, und das hat einen Grund
Zoomt man raus, wirkt der Vorfall nicht mehr ungewöhnlich. Firmen-VPN-Gateways sind seit Jahren der Lieblings-Einstiegspunkt für Ransomware. Ivanti Connect Secure hatte 2024 seine Zero-Day-Welle, Fortinet-Appliances liefern ein stetiges Tröpfeln ausgenutzter CVEs, Pulse Secure und Citrix davor. Die Ursachen sind strukturell: Diese Boxen stehen per Definition im Internet, Angreifer können sie nach Belieben scannen. Sie sitzen außerhalb der Schutzmechanismen normaler Endgeräte (kein EDR-Agent, begrenztes Logging, Updates, die Wartungsfenster brauchen, die niemand plant). Und sie halten die Schlüssel zu allem dahinter. Für die Firmen ist der Fix Prozess: Edge-Geräte patchen wie im Notfall, veraltete Protokolle planmäßig abschalten, Authentifizierungs-Logs auf Sitzungen prüfen, die nicht existieren sollten.
Was zu tun ist, je nachdem wer Sie sind
Betreiben Sie eine Check-Point-Remote-Access-Installation: Hotfix jetzt einspielen, IKEv1 überall abschalten, VPN-Logs bis Anfang Mai auf unerklärliche Sitzungen prüfen. Sind Sie Fernarbeiter mit Firmen-VPN: nichts zu patchen, aber wundern Sie sich nicht, wenn die IT diese Woche eine Neuverbindung erzwingt. Sind Sie Consumer-VPN-Nutzer: Prüfen Sie, welches Protokoll Ihre App nutzt. Ist es WireGuard, NordLynx oder OpenVPN, sind Sie sicher. Haben Sie je manuell L2TP oder PPTP nach einem Tutorial von 2014 konfiguriert, machen Sie das heute rückgängig. Ein Anbieter wie NordVPN nutzt standardmäßig NordLynx und bietet PPTP gar nicht an. So sehen gute Voreinstellungen aus.
Ein ernster Vorfall, nach der Entdeckung vernünftig gehandhabt: schneller Hotfix, ehrliche Offenlegung, klare Zuordnung. Der Monat unentdeckter Ausnutzung ist der Teil, der Menschen stören sollte, und er wiederholt sich überall dort, wo veraltete Protokolle aktiviert bleiben. Die Lehre für alle, vom Fortune-500-Admin bis zum VPN-Neuling: Die Sicherheit eines VPN steht und fällt mit seinen Protokollen, und alte werden nicht harmlos mit dem Alter. Sie werden zu CVEs.
Weiterlesen: WireGuard vs OpenVPN 2026 und Operation Saffron: Erste VPN-Beschlagnahme 2026.