SonicWall MFA-Bypass: Eine am 6. November 2026 bekannt gewordene Schwachstelle in SonicOS kann bei bestimmten SSL-VPN-Konfigurationen den Schutz durch SAML-basierte Anmeldung und Mehrfaktor-Authentifizierung umgehen. Die Sicherheitslücke CVE-2026-19868 wurde in den US-Katalog bekanntermaßen ausgenutzter Schwachstellen aufgenommen. Für Unternehmen, Vereine und andere Betreiber von Fernzugängen ist das ein dringender Anlass, die Firewall-Konfiguration und verfügbare Sicherheitsupdates zu prüfen – nicht aber ein Beleg, dass jede SonicWall-Firewall ohne Zugangsdaten übernommen werden könnte.
SonicWall MFA-Bypass: Was wurde bekannt?
Der Firewall-Hersteller SonicWall veröffentlichte Anfang November eine Warnung zu mehreren Schwachstellen im Betriebssystem SonicOS für Firewalls der Generationen 7 und 8. Das Sicherheitsbulletin SNWLID-2026-0014 wurde am 6. November aktualisiert. Im Mittelpunkt steht CVE-2026-19868, eine Schwachstelle in der Durchsetzung von Authentifizierungsregeln beim SSL-VPN-Dienst. Der Hersteller berichtete von Hinweisen auf eine Ausnutzung; am 6. November nahm auch die US-Behörde CISA die Kennung in ihren Katalog Known Exploited Vulnerabilities (KEV) auf. Das kanadische Cybersecurity-Zentrum bestätigte die Warnung ebenfalls.
Die Warnung betrifft keineswegs jede Installation gleichermaßen. Laut den veröffentlichten technischen Angaben können Personen, die gültige Zugangsdaten für eine alternative Authentifizierungsmethode besitzen, unter bestimmten Umständen SAML-Authentifizierungskontrollen umgehen. Dadurch kann auch eine an SAML gekoppelte Mehrfaktor-Authentifizierung wirkungslos werden. Es handelt sich also ausdrücklich nicht um die allgemeine Behauptung, ein beliebiger Angreifer könne sich ohne jegliche Zugangsdaten anmelden.
Warum eine zweite Anmeldung nicht immer eine zweite Schutzbarriere ist
Virtuelle private Netzwerke (VPN) erlauben es Beschäftigten und Dienstleistern, von außen auf interne Systeme zuzugreifen. Häufig wird die Anmeldung über einen zentralen Identitätsdienst gesteuert. SAML (Security Assertion Markup Language) übermittelt dabei Authentifizierungsinformationen zwischen einem Identitätsanbieter und dem VPN-Dienst. Viele Organisationen verlangen am Identitätsanbieter zusätzlich einen zweiten Faktor, beispielsweise einen Sicherheitsschlüssel oder eine Bestätigung über ein separates Gerät.
Dieses Konzept ist nur so stark wie seine tatsächliche Durchsetzung. Existieren daneben alternative Anmeldewege, muss die Firewall gewährleisten, dass diese die eigentlich verbindlichen Sicherheitsanforderungen nicht umgehen. Wird eine schwächere Zugangsmethode irrtümlich als gleichwertig akzeptiert, entsteht ein sogenannter Authentifizierungs-Bypass. Ein solcher Implementierungs- oder Konfigurationsfehler unterscheidet sich grundsätzlich von der Kompromittierung des eigentlichen zweiten Faktors.
Welche Systeme und Versionen stehen im Fokus?
Die staatliche Sicherheitswarnung vom 6. November nennt SonicOS-Versionen vor 7.3.4-7013 und vor 8.2.2-8015 als betroffen. Der Hersteller beschreibt für Gen-7- und Gen-8-Produkte konkrete korrigierte Firmwarestände und weitere Schwachstellen im selben Sicherheitshinweis. Für die operative Entscheidung ist deshalb die jeweils aktuelle Herstellerübersicht zu SonicOS 7.3.4 und 8.2.3 maßgeblich, nicht eine aus dem Zusammenhang gerissene Versionsnummer.
Entscheidend ist außerdem die tatsächliche Konfiguration: CVE-2026-19868 wird insbesondere im Zusammenhang mit SSL-VPN und SAML-Authentifizierung beschrieben. Betreiber sollten die betroffenen Firmwarestände, die aktivierten Login-Methoden und die Erreichbarkeit des VPN-Dienstes gemeinsam prüfen. Die Existenz einer CVE-Kennung allein beweist weder, dass ein konkretes Netzwerk angegriffen wurde, noch dass Daten abgeflossen sind.
Was Organisationen jetzt überprüfen sollten
- Inventarisieren: SonicWall-Firewalls einschließlich virtueller Instanzen, Firmwarestände und aktivierter SSL-VPN-Dienste identifizieren.
- Herstellerwarnung abgleichen: Betroffenheit anhand der konkreten Plattform, Firmware und Anmeldekonfiguration feststellen und empfohlene Updates priorisiert einspielen.
- Alternative Anmeldewege überprüfen: Nicht mehr benötigte lokale oder andere Authentifizierungsmethoden deaktivieren; prüfen, ob Sicherheitsvorgaben an jeder aktiven Anmeldung gleich wirksam sind.
- Zugänge minimieren: Exponierte Remote-Zugänge beschränken, privilegierte Berechtigungen überprüfen und ungenutzte Konten sperren.
- Protokolle auswerten: Auffällige VPN-Logins, unerwartete Authentifizierungsarten, ungewöhnliche Quelladressen und nachfolgende Zugriffe auf interne Systeme untersuchen. Die konkrete Aussagekraft hängt von der verfügbaren Protokollierung ab.
- Vorfallprozesse aktivieren: Bei belastbaren Anzeichen einer unbefugten Anmeldung Zugänge sichern, Beweise erhalten, betroffene Systeme untersuchen und mögliche Meldepflichten gesondert prüfen.
Ein Firmwareupdate schließt bekannte technische Lücken, ersetzt aber weder die Prüfung der bisherigen Nutzung noch ein risikobasiertes Berechtigungsmanagement. Umgekehrt ist das vorsorgliche Zurücksetzen sämtlicher Kennwörter ohne entsprechenden Befund nicht stets die beste erste Maßnahme. Erforderlich ist eine nachvollziehbare Priorisierung.
Datenschutzrechtliche und organisatorische Folgen
Unternehmen und andere Organisationen, die personenbezogene Daten verarbeiten, müssen gemäß Art. 5 Abs. 1 Buchst. f und Art. 32 DSGVO angemessene technische und organisatorische Schutzmaßnahmen gewährleisten. Dazu können insbesondere sichere Fernzugänge, wirksame Zugriffskontrollen, zeitnahe Sicherheitsaktualisierungen und eine dem Risiko angemessene Protokollierung zählen. Die DSGVO schreibt allerdings weder eine bestimmte Firewallmarke noch pauschal die Abschaltung aller VPN-Zugänge vor.
Wird ein unbefugter Zugriff festgestellt, muss anschließend geprüft werden, ob eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO vorliegt. Eine Meldung nach Art. 33 DSGVO und gegebenenfalls eine Benachrichtigung nach Art. 34 DSGVO hängen von den Umständen, den betroffenen Informationen und dem Risiko ab. Die bloße Veröffentlichung einer Schwachstelle ist nicht automatisch eine meldepflichtige Datenschutzverletzung. Für regulierte Unternehmen können zusätzlich sektorale Pflichten, etwa im Rahmen der einschlägigen Cybersicherheits- und Finanzmarktregulierung, relevant sein.
Was bedeutet der Vorfall für Privatpersonen?
Private Nutzer verwenden VPN-Dienste häufig, um sich sicher mit der Arbeit, einem Verein oder einem selbst betriebenen Netzwerk zu verbinden. Die konkrete Sicherheitslücke betrifft nicht allgemein jedes VPN und auch nicht sämtliche Apps, die als VPN vermarktet werden. Wer einen betroffenen SonicWall-Zugang nutzt, sollte sich an die Sicherheitsinformationen des Betreibers halten. Eigenmächtige Änderungen an fremden VPN-Konfigurationen sind weder nötig noch zulässig. Für selbst betriebene Systeme gilt: Herstellerhinweise und Updates prüfen, externe Angriffsflächen reduzieren und Zugangswege sorgfältig absichern.
NoDSB-Kommentar: Sicherheitsregeln müssen auch technisch durchgesetzt werden
Die unabhängige redaktionelle Position von NoDSB: Mehrfaktor-Authentifizierung darf nicht zu einem bloßen Häkchen in Sicherheitskonzepten verkommen. Entscheidend ist nicht, ob eine Organisation irgendwo einen zweiten Faktor eingeschaltet hat, sondern ob sämtliche tatsächlich nutzbaren Anmeldewege denselben Schutz erzwingen. Ein Zugangssystem mit mehreren Authentifizierungspfaden ist nur dann robust, wenn der schwächste Pfad nicht die stärkeren Kontrollen aushebeln kann.
Die Einordnung als aktiv ausgenutzte Schwachstelle rechtfertigt eine hohe Priorität bei der Überprüfung betroffener Systeme. Sie rechtfertigt aber keine dramatisierenden Aussagen über eine angeblich vollständige Wirkungslosigkeit von MFA oder über nachgewiesene Datenschutzverletzungen bei allen Kunden. Gute Sicherheitskommunikation benennt den konkreten Angriffspfad, die Voraussetzungen, wirksame Gegenmaßnahmen und verbleibende Unsicherheiten. Gerade darin liegt der Unterschied zwischen einer fundierten Sicherheitswarnung und Alarmismus.
Weiterlesen in der NoDSB-Fachbibliothek
Als neue kommentierte Quelle ist in der NoDSB-Fachbibliothek der Eintrag „SonicWall – SonicOS-Sicherheitshinweis SNWLID-2026-0014 (6.11.2026)“ hinterlegt. Die öffentliche Einzeladresse konnte bei der Recherche nicht unabhängig aufgerufen werden; deshalb erfolgt die Verlinkung hier über die Fachbibliotheksübersicht. Ergänzend erläutert unser NoDSB-Ratgeber zur Datensicherheit grundsätzliche Sicherheitsmaßnahmen und der BSI-IT-Grundschutz deren systematische Einordnung.
Originalquellen und Recherchestand
- SonicWall PSIRT: Sicherheitsbulletin SNWLID-2026-0014, veröffentlicht beziehungsweise aktualisiert am 6. November 2026.
- Canadian Centre for Cyber Security: SonicWall Security Advisory AV26-1133, 6. November 2026.
- SonicWall: SonicOS 7.3.4 and 8.2.3 Security Advisory.
- BleepingComputer: Bericht zur ausgenutzten SonicOS-Schwachstelle, 6. November 2026.