· Mehdi Aroui · Cybersecurity · 4 Min. Lesezeit
WannaCry 2017: Patch-Management-Lektionen für KMU
WannaCry infizierte im Mai 2017 mehr als 200.000 Computer in mindestens 100 Ländern, ohne Klick, ohne Phishing. Nur ein fehlender Patch. Was KMU heute daraus ableiten müssen.
WannaCry traf im Mai 2017 mehr als 200.000 Computer in mindestens 100 Ländern (National Audit Office, Investigation: WannaCry cyber attack and the NHS). Die entscheidende technische Ursache war ein ungepatchtes Windows-System.
Was am 12. Mai 2017 passierte
WannaCry nutzte EternalBlue, einen NSA-Exploit, der von einer Hackergruppe namens Shadow Brokers im April 2017 veröffentlicht worden war. EternalBlue missbrauchte eine Schwachstelle im Windows-SMB-Protokoll (CVE-2017-0144, Microsoft-Sicherheitsbulletin MS17-010). Microsoft hatte den Patch MS17-010 für die unterstützten Windows-Versionen bereits im März 2017 bereitgestellt, für das nicht mehr unterstützte Windows XP erschien er erst nach dem Ausbruch im Mai 2017 (Microsoft Security Response Center, Customer Guidance for WannaCrypt attacks).
Auf ungepatchten Systemen genügte Netzwerkkontakt für eine Infektion, kein Klick, keine Phishing-E-Mail. Betroffen waren Krankenhäuser (UK NHS), Telekommunikationsunternehmen (Telefónica), Logistik (FedEx) und Produktionsanlagen (Renault).
Ein britischer Sicherheitsforscher (MalwareTech) stoppte die Ausbreitung per Zufall durch Registrierung einer Kill-Switch-Domain.
Drei Faktoren, die WannaCry so wirksam machten
Ungepatchte Systeme: Viele Organisationen betrieben das nicht mehr unterstützte Windows XP oder Windows 7 ohne aktuelle Updates. Wartungsfenster wurden selten eingeplant.
Keine Netzwerksegmentierung: WannaCry bewegte sich lateral durch flache Netzwerke. Eine infizierte Workstation erreichte Server, Drucker und andere Geräte ohne Hürde.
Backups auf verbundenen Laufwerken: Viele Betroffene hatten Datensicherungen auf Netzlaufwerken, die WannaCry mitverschlüsselte. Das Backup war wertlos.
Was KMU heute konkret ableiten
Die technische Lehre aus WannaCry: Der Angriff nutzte eine bekannte Schwachstelle, für die unterstützte Windows-Versionen seit März 2017 einen Patch hatten. Der wichtigste Schutz ist konsequentes Patch-Management.
Patch-Management automatisieren: Kritische Patches (CVSS-Score 9 oder höher) sollten binnen 48 Stunden eingespielt sein. Tools wie NinjaOne RMM erkennen ungepatchte Systeme im Netzwerk, priorisieren nach Schweregrad und können Patches automatisiert ausrollen.
Netzwerksegmentierung einrichten: Server, Workstations, IoT-Geräte und Verwaltungssysteme gehören in separate VLANs. Ein befallenes Gerät erreicht dann nicht das gesamte Netzwerk.
Backup nach 3-2-1-Regel: Drei Kopien, zwei verschiedene Medien, eine davon offline oder offsite. Tägliche Snapshots mit getrenntem Offsite-Speicher. Ein Backup ohne regelmäßig getestete Wiederherstellung ist kein Backup.
EDR statt klassischem Antivirus: Moderne EDR-Lösungen können Ransomware-typisches Verschlüsselungsverhalten erkennen und den Prozess stoppen, bevor alle Daten betroffen sind.
NIS2-Kontext: Jetzt mit Compliance-Relevanz
Ein Angriff wie WannaCry kann bei Einrichtungen im Anwendungsbereich von NIS2 (in Deutschland in Kraft seit dem 6. Dezember 2025) ein erheblicher Sicherheitsvorfall sein. Erhebliche Sicherheitsvorfälle sind in mehreren Stufen an die gemeinsame Meldestelle von BSI und BBK zu melden. Die erste Stufe verlangt unverzüglich, spätestens binnen 24 Stunden nach Kenntnis eine frühe Erstmeldung (§ 32 BSIG). Fehler beim Patch-Management und bei Backups sind heute keine reine IT-Frage mehr. Nach § 38 BSIG müssen die Geschäftsleitungen betroffener Einrichtungen die vorgeschriebenen Risikomanagementmaßnahmen umsetzen und ihre Umsetzung überwachen.
Lektionen zusammengefasst
| Schwachstelle 2017 | Gegenmaßnahme heute |
|---|---|
| Ungepatchte Systeme | Automatisiertes Patch-Management, kritische CVEs binnen 48 h |
| Flaches Netzwerk | VLAN-Segmentierung, Firewall-Regeln zwischen Zonen |
| Backups auf verbundenen Laufwerken | Offsite-Backup, tägliche Snapshots, quartalsweise Wiederherstellungstest |
| Signaturbasierter Virenschutz | EDR mit Verhaltensanalyse |
| Fehlende Notfallprozesse | Dokumentierter Reaktionsplan, definierte Ansprechpartner |
Für Patch-Management, Backup-Konzepte und Netzwerksegmentierung in Ihrer Infrastruktur wenden Sie sich an unsere Schwestermarke Netzleiter. Welche EDR-Lösung eine solche Infrastruktur zusätzlich absichert, zeigt der Beitrag zu EDR und Endpoint Security für KMU.
Dieselbe Lehre gilt für Ihre Website. Wie ungepflegte Websites bei einer aktuellen Lücke ins Risiko geraten, zeigt der Beitrag zur PHP-Sicherheitslücke php2shell. Die laufenden Updates von PHP, WordPress und Plugins übernimmt unsere Website-Wartung als monatliches Abo.
Was ist EternalBlue? EternalBlue ist ein Exploit, der eine Schwachstelle im Windows-SMB-Protokoll ausnutzt (MS17-010). Ursprünglich von der NSA entwickelt, wurde er 2017 von der Hackergruppe Shadow Brokers veröffentlicht und ist seitdem Bestandteil mehrerer Ransomware-Varianten.
Hätte aktuelles Antivirus WannaCry gestoppt? Darauf sollte sich niemand verlassen. WannaCry verbreitete sich als Wurm über die Lücke MS17-010, für die Microsoft bereits im März 2017 einen Patch für die unterstützten Windows-Versionen veröffentlicht hatte, rund zwei Monate vor dem Ausbruch. Den wirksamen Schutz lieferte das Patchen, nicht der Virenschutz.
Was tun bei einem aktiven Ransomware-Angriff? Sofort: betroffene Systeme vom Netzwerk trennen (Kabel ziehen oder WLAN deaktivieren), den Vorfall dokumentieren, Meldepflichten und Fristen prüfen (NIS2, DSGVO), Systeme bereinigen und erst dann aus dem Backup wiederherstellen. Keine Zahlung vor externer Beratung.
