Dateitransfer als Einfallstor: Was CFOs prüfen

7 Min. Lesezeit

Eine verbreitete Dateitransferlösung ist erneut verwundbar. Für Geschäftsführung und IT im Mittelstand geht es um freigegebene Portale, Lieferanten-Uploads und die Frage, ob ein Sicherheitsupdate den Betrieb stoppt. Wer nur den Produktnamen kennt und den Patch plant, unterschätzt oft freigegebene Upload-Wege, Dienstleister und den Notfallprozess im eigenen Haus.

Verwandt:Wenn das Update selbst zum Einfallstor wird  /  Raus aus der US-Cloud: Was der Mittelstand prüfen muss

Was am Update-Fall für den Mittelstand relevant ist

Sicherheitsmeldungen zu Managed-File-Transfer-Produkten (MFT, zentral gesteuerte Dateiübertragung zwischen Systemen und Partnern) treffen viele mittelständische Betriebe, weil diese Systeme selten „nur IT“ sind. Sie hängen an Freigaben für Lieferanten, an Monatsabschlüssen und an dokumentenbasierten Freigabeprozessen. Sobald ein Hersteller eine kritische Schwachstelle meldet, steht der technische Fix im Raum. Parallel stellt sich, welche Geschäftsprozesse ohne die Transferstrecke stecken bleiben.

Progress Software hat am 30. April 2026 im Critical Security Alert Bulletin zu MOVEit Automation zwei Lücken gemeldet: CVE-2026-4670 (Authentifizierungs-Bypass, CVSS 9,8) und CVE-2026-5174 (Rechteausweitung). Sie betreffen laut Hersteller und NVD unter anderem die Zweige bis vor 2025.0.9 und bis vor 2024.1.8 sowie ältere, nicht mehr unterstützte Versionen. Die Fixes liegen in 2025.1.5, 2025.0.9 und 2024.1.8. Progress verlangt den Full-Installer und warnt ausdrücklich vor einer Betriebsunterbrechung während des Upgrades. Ausbeutung kann laut Advisory unautorisierten Zugriff, administrative Kontrolle und Datenexposition ermöglichen. Im Juli 2026 folgten weitere Meldungen zu MOVEit Transfer, darunter CVE-2026-15967 (ungenügende Session-Ablaufsteuerung, CVSS 7,5) für Versionen vor 2025.1.5 und den Zweig 2026.0.0 bis vor 2026.0.3. Die Produktfamilie bleibt damit ein laufendes Patch-Thema, nicht ein einmaliger Vorfall.

Relevant ist vor allem der Betriebsmodus der Installation: intern, per Webportal nach außen freigegeben oder über Dienstleister angebunden. Eine öffentlich erreichbare Upload-Oberfläche hat ein anderes Risikoprofil als ein streng netzsegmentierter Transfer zwischen zwei Systemen. CFOs und IT-Leitung klären daher zuerst, welche Instanzen im Einsatz sind und wer sie betreibt, bevor sie über „nur patchen“ entscheiden.

Im Mittelstand fehlen oft vollständige Inventare. Dateitransfer läuft parallel über das zentrale MFT-System, über Cloud-Freigaben, E-Mail-Anhänge und projektbezogene Portale. Genau diese Parallelität macht den Update-Fall heikel: Ein gepatchtes Kernsystem schützt nicht, wenn der kritische Lieferantenkanal woanders liegt.

Typische Einfallstore: Partnerportale, HR und Finance

Partnerportale sind ein klassisches Einfallstor, weil sie bewusst von außen erreichbar sein müssen. Lieferanten laden Bestellbelege, Zertifikate oder Qualitätsnachweise hoch. Sobald die Authentisierung schwach konfiguriert ist oder alte Konten aktiv bleiben, entsteht ein direkter Pfad in interne Ablagen. Die fachliche Notwendigkeit des Austauschs ersetzt keine ausreichende Absicherung.

Im HR-Umfeld landen Personalakten, Gehaltsdaten und Bewerbungsunterlagen oft über Upload-Strecken. Die Datenklassen sind sensibel und die Nutzergruppe gemischt: interne Personalabteilung, externe Recruiter, Kandidaten. Jede zusätzliche Rolle vergrößert die Angriffsfläche, vor allem wenn freigegebene Links lange gültig bleiben oder ohne Mehrfaktor laufen.

Finance und Controlling nutzen Dateitransfer für Bankbelege, Debitorenlisten, Konsolidierungsdateien und Steuerunterlagen. Hier zählt Geschwindigkeit im Monats- und Jahresabschluss. Genau deshalb bleiben Workarounds oft zu lange aktiv, etwa unverschlüsselte Freigaben oder Sammelpostfächer. Für Angreifer sind diese Pfade attraktiv, weil die Inhalte strukturiert und wirtschaftlich verwertbar sind.

Sofortcheck für CFO und IT-Leitung

Der Sofortcheck beginnt mit einem vollständigen Lagebild der Transferwege, nicht mit dem Patch-Ticket allein. CFO und IT-Leitung brauchen eine aktuelle Liste: Produkt und Version, Betreiber intern oder extern, öffentliche URLs, angebundene Fachbereiche und welche Datenklassen fließen. Diese Liste deckt zentrale MFT-Instanzen, Partnerportale, Cloud-Freigaben, projektbezogene Upload-Links und bekannte Schattenwege ab. Ohne diese Basis bleibt jede Maßnahme Stückwerk.

Danach folgt die Zugriffs- und Freigabeprüfung. Wer darf hochladen? Welche Konten sind aktiv? Gibt es Gastzugänge, die seit Monaten ungenutzt sind? Besonders kritisch sind Dauerfreigaben und Dienstkonten mit breiten Rechten. Parallel prüfen Teams Protokollierung und Alarmierung: Würden Auffälligkeiten überhaupt sichtbar?

Organisatorisch gehört der Notfallprozess auf den Tisch: Eskalationskette, Entscheidungskompetenz für Abschaltung, Kommunikationswege zu Lieferanten und die Frage, wer einen vermuteten Vorfall dokumentiert. Technik und Fachseite müssen denselben Stand haben. Ein Patch, den nur die IT kennt, während Finance weiter unkontrolliert Dateien austauscht, löst das Risiko nicht.

Betriebsrisiko: Patch, Workaround oder Abschaltung

Die Betriebsentscheidung wägt Sicherheitslage und Prozesskontinuität ab. Ein verfügbarer, getesteter Patch ist der bevorzugte Weg, sofern er in der konkreten Version greift und keine kritischen Schnittstellen bricht. Vor dem Rollout braucht es eine kurze Impact-Prüfung: Welche Jobs, Portale und Partnerintegrationen hängen an der Instanz? Beim Progress-Fall gilt zusätzlich: Der Full-Installer und die angekündigte Downtime gehören in die Entscheidungsvorlage, nicht erst in die Nacht des Rollouts.

Wo der Patch nicht sofort möglich ist, greifen Workarounds: Netzwerkisolation, Abschaltung öffentlicher Upload-Endpunkte, restriktive IP-Freigaben, Deaktivierung riskanter Funktionen oder Umleitung auf eine bereits abgesicherte Alternativstrecke. Workarounds sind zeitlich zu befristen und schriftlich zu führen. Sonst werden sie zur Dauerlösung mit unklarem Restrisiko.

Die Abschaltung einzelner Portale oder der gesamten Strecke bleibt die schärfste Option. Sie ist vertretbar, wenn die Verwundbarkeit aktiv ausgenutzt werden kann und der Datenwert hoch ist. Die Entscheidung sollte mit klarem Zeitfenster und Ersatzprozess fallen: Wer nimmt Dateien wie entgegen, wer bestätigt den Erhalt, wie bleibt der Abschluss lauffähig. Ohne Ersatzprozess wird aus dem Sicherheitsproblem schnell ein Liquiditäts- oder Lieferproblem.

Haftung und Meldung bei vermutetem Datenabfluss

Bei vermutetem Datenabfluss verschiebt sich der Fokus von der reinen IT-Maßnahme zur Nachweis- und Meldelogik. Geschäftsführung und CFO klären früh, welche Datenklassen betroffen sein können und ob personenbezogene Daten im Spiel sind. Davon hängen interne Eskalation, externe Beratung und mögliche Behördenkontakte ab.

Nach Art. 33 DSGVO meldet der Verantwortliche eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde, es sei denn, die Verletzung führt voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung später, ist die Verzögerung zu begründen. Bei voraussichtlich hohem Risiko informieren Verantwortliche zusätzlich die betroffenen Personen nach Art. 34 DSGVO. In der Praxis bestätigen Landesdatenschutzbehörden, etwa die LDI NRW, diese Fristen und raten bei unvollständiger Faktenlage zu einer vorläufigen Meldung mit Nachzug. Branchenspezifische Zusatzpflichten (etwa unter NIS-2-Umsetzung oder KRITIS-Regimen) können parallel greifen und gehören in dieselbe Prüfung.

Wichtig ist die saubere Dokumentation ab dem ersten Verdachtsmoment: was beobachtet wurde, welche Systeme erreichbar waren, welche Konten aktiv waren, welche Logs vorliegen. Spätere Entscheidungen zu Meldung, Kundeninformation oder Versicherungsfall hängen an dieser Spur. Spekulation ohne Faktenlage schadet. Ebenso schädlich ist das Verzögern einer Prüfung aus Sorge vor Betriebsunterbrechung.

Haftungsrisiken entstehen durch den Angriff selbst und durch unklare Verantwortlichkeiten zwischen interner IT, Hosting-Partner und Fachbereich. Verträge mit Dienstleistern sollten auf Meldewege, Reaktionszeiten und Beweissicherung geprüft werden. Wo diese Klauseln fehlen, muss der Notfallprozess intern umso klarer sein. Dieser Absatz ersetzt keine Rechtsberatung; im konkreten Verdachtsfall sind Datenschutzbeauftragter und gegebenenfalls externe Beratung einzubeziehen.

Wann ein Wechsel der Transferstrecke sinnvoll ist

Ein Produkt-Patch behebt eine konkrete Schwachstelle. Er beantwortet nicht, ob die Architektur noch zum Risikoprofil passt. Ein Wechsel der Transferstrecke wird prüfenswert, wenn öffentliche Portale dauerhaft nötig sind, aber Monitoring, Rechteverwaltung und Patch-Disziplin im laufenden Betrieb nicht tragfähig sind. Ebenso, wenn mehrere parallele Kanäle dasselbe fachliche Problem lösen und niemand die Gesamtrisikofläche steuert.

Wechselgründe sind auch organisatorisch: wiederkehrende Notfall-Workarounds, unklare Zuständigkeit beim Dienstleister oder der Umstand, dass Finance und HR auf Schattenwege ausweichen, sobald das zentrale System stockt. Dann ist die Transferlösung ein Steuerungsproblem. Sicherheit bleibt eine Dimension der Anforderung. Die Alternative muss mindestens Authentisierung, Protokollierung, Verschlüsselung und nachvollziehbare Freigaben können und sich in den Monatsabschluss integrieren lassen.

Ein geordneter Wechsel braucht Inventar, Datenklassifikation und einen Cutover-Plan mit Parallelbetrieb. Wer mitten im Vorfall umzieht, ohne die Altwege zu schließen, multipliziert die Einfallstore. Deshalb gehört die strategische Entscheidung an denselben Tisch wie der Sofortcheck: CFO für Prozess- und Datenrisiko, IT für Architektur und Betrieb, Fachbereiche für die realen Upload-Pfade.

Für Entscheider im Mittelstand lautet die Konsequenz: Das aktuelle Update ist Anlass, freigegebene Transferwege, Partnerzugänge und den Notfallprozess als Führungsaufgabe zu behandeln. Patchen ist notwendig. Reicht es als alleinige Antwort, bleibt das eigentliche Einfallstor oft unberührt.

Häufige Fragen

Bildquelle: KI-generiert (Juli 2026)