Über 270 Zimbra-Server bei laufenden Angriffen kompromittiert

Was passiert ist

Die Zimbra Collaboration Suite (ZCS) ist eine verbreitete Plattform für E-Mail, Kalender und Dateiablage, die Organisationen häufig selbst betreiben. Nach Berichten von Bleeping Computer nutzen Angreifer derzeit eine als hoch eingestuft geltende Schwachstelle in ZCS aus, die das Ausführen von Schadcode aus der Ferne ermöglicht (Remote Code Execution).

Die Angriffe laufen den Angaben zufolge weiter. Bereits über 270 Zimbra-Instanzen sollen kompromittiert worden sein. Wer einen Zimbra-Server betreibt und ihn nicht zeitnah auf den aktuellen Stand bringt, muss davon ausgehen, dass das System über das Internet auffindbar und angreifbar ist.

Warum das für kleine und mittlere Unternehmen relevant ist

Ein Mailserver ist selten nur ein Mailserver. Er enthält Vertragsentwürfe, Rechnungen, Personaldaten und Passwort-Zurücksetzungs-Mails für zahlreiche andere Dienste. Wer die Kontrolle über dieses System erlangt, kann mitlesen, im Namen des Unternehmens schreiben und sich Schritt für Schritt weitere Zugänge verschaffen.

Gerade im Mittelstand wird Zimbra oft eingesetzt, weil es eine kostengünstige, selbst gehostete Alternative zu großen Cloud-Suiten ist. Häufig fehlt jedoch die Kapazität, Sicherheitsupdates innerhalb weniger Tage einzuspielen oder die Serverprotokolle regelmäßig auszuwerten. Genau diese Lücke zwischen Veröffentlichung eines Patches und dessen Installation nutzen Angreifer aus.

Hinzu kommt: Eine Kompromittierung des zentralen Mailsystems betrifft in aller Regel personenbezogene Daten. Damit stehen Meldepflichten nach der DSGVO im Raum. Unternehmen, die unter NIS2 fallen, müssen zudem nachweisen können, dass sie ihr Schwachstellenmanagement geregelt haben.

Was Sie jetzt tun sollten

• Prüfen Sie, ob in Ihrem Unternehmen oder bei Ihrem IT-Dienstleister eine Zimbra Collaboration Suite betrieben wird – auch Alt- und Testsysteme.
• Spielen Sie die vom Hersteller bereitgestellten Sicherheitsupdates umgehend ein und behandeln Sie dies als vorgezogene Wartungsmaßnahme, nicht als Routineaufgabe.
• Untersuchen Sie den Server auf Spuren eines Einbruchs: unbekannte Konten, veränderte Weiterleitungsregeln, auffällige Skripte im Webverzeichnis und ungewöhnliche ausgehende Verbindungen.
• Beschränken Sie den Zugriff auf Administrations- und Webmail-Oberflächen, etwa über VPN oder IP-Filter, und aktivieren Sie Mehr-Faktor-Authentifizierung für alle Konten.
• Halten Sie fest, wer für Patches auf welchem System verantwortlich ist und in welcher Frist kritische Updates eingespielt werden müssen.