FAQ · Datenschutz, Informationssicherheit und Notfallmanagement
Was ist bei aktiv genutzten Citrix-NetScaler-Lücken in welcher Reihenfolge zu tun?
Freigegebene Antwort von Qvestcon mit Fundstellen.
Antwort
Das BSI warnt vor Angriffen auf Citrix NetScaler ADC und NetScaler Gateway. Citrix veröffentlichte am 27. September 2026 ein Advisory zu acht Sicherheitslücken. Zwei davon (CVE-2026-88771 und CVE-2026-88772) sind Zero-Day-Schwachstellen, zu denen Berichte über aktive Ausnutzung vorlagen; beide erlauben Codeausführung aus der Ferne ohne Anmeldung und sind mit CVSS 4.0 von 9,5 von 10 als kritisch bewertet.
Zuerst zählt der Bestand. Der CISO erfasst jedes NetScaler-System im eigenen Haus und bei Dienstleistern, denn im Rahmen der Dienstleistersteuerung und des IKT-Drittparteienrisikomanagements nach DORA bleibt die Verantwortung für den sicheren Betrieb beim Finanzunternehmen. Aus unserer Erfahrung bei Kunden aus Versicherung und Bank liegen unbekannte Systeme meist dort, wo ein Dienstleister sie betreibt.
Markus Junge empfiehlt, Warnungen dieser Art in einen festen Ablauf aus Bestandsprüfung, Maßnahme und Nachweis zu gießen, damit die Antwort an Vorstand, Geschäftsleitung oder Aufsicht ohne langes Suchen möglich ist.
In der Praxis
Der CISO lässt am Tag der Warnung alle NetScaler-ADC- und Gateway-Systeme erfassen, auch die bei Dienstleistern, und benennt je System eine verantwortliche Person.
- Das Citrix-Advisory wird für alle acht Lücken abgearbeitet, nicht nur für die beiden Zero-Days.
- Jedes System wird auf Spuren einer Kompromittierung geprüft, weil Berichte über aktive Ausnutzung bereits vorlagen.
- Dienstleister bestätigen schriftlich Bestand und Stand der Maßnahmen.
- Verantwortliche Person und Abschlussdatum stehen im Maßnahmenticket.
Nachweis: Als Nachweis dient eine Liste aller Systeme mit Maßnahmenstand, Prüfergebnis, verantwortlicher Person und Abschlussdatum.