Eine kritische Sicherheitslücke in Commvault-Software bedroht derzeit Tausende Unternehmen weltweit. Die Schwachstelle erlaubt nicht nur unbefugten Zugriff auf Backup-Daten, sondern könnte auch zur vollständigen Kompromittierung sensibler IT-Systeme führen. IT-Verantwortliche müssen jetzt schnell handeln.
Commvault-Sicherheitslücke: Die Fakten
Am 20. August 2025 veröffentlichte der US-amerikanische Backup-Spezialist Commvault ein dringendes Sicherheitspatch für eine kritische Schwachstelle in mehreren Versionen seiner „Commvault Backup & Recovery“-Lösung. Die Sicherheitslücke wurde unter der CVE-Nummer CVE-2025-28367 registriert und mit einem CVSS-Score von 9,8 als „kritisch“ eingestuft.
Laut Commvault selbst handelt es sich um einen Remote Code Execution (RCE)-Angriffsvektor, der unter bestimmten Konfigurationen es einem nicht-authentifizierten Angreifer ermöglicht, beliebigen Code im Kontext des „CommServe“-Dienstes auszuführen. Dies könnte in einer vollständigen Übernahme des Backup-Servers resultieren – ein Alptraum, insbesondere in stark regulierten Branchen wie Finanzwesen, Gesundheitswesen und öffentlicher Verwaltung.
Welche Systeme sind betroffen?
Betroffen sind laut dem offiziellen Security Bulletin von Commvault vor allem Systeme mit folgenden Versionen:
- Commvault Backup & Recovery Version 11.32 und früher
- CommServe Windows Server Installationen
- Konfigurationen mit direkter Netzwerkanbindung zur Administration ohne Netzwerksegmentierung
Besonders problematisch: Die Sicherheitslücke kann in internet-exponierten Installationen aus der Ferne ausgenutzt werden – ganz ohne Authentifizierung.
Risiken und mögliche Angriffsszenarien
Ein erfolgreich durchgeführter Exploit könnte einem Angreifer vollständigen Zugriff auf gespeicherte Datensicherungen ermöglichen – einschließlich der Möglichkeit, Backups zu manipulieren, zu löschen oder Malware in Sicherungsprozesse einzuschleusen. Das Sicherheitsunternehmen Rapid7 stuft das Risiko als „extrem hoch“ ein, weil Angreifer mit Kenntnis der Infrastruktur in der Lage wären, ransomware-resiliente Infrastrukturen auszuhebeln.
Besonders besorgniserregend ist auch die Einschätzung der CISA (Cybersecurity & Infrastructure Security Agency) in ihrem Bulletin vom 21. August 2025: Laut CISA wurde bereits „zielgerichtete Aktivität durch APT-Gruppierungen registriert, die versuchen, verwundbare Commvault-Systeme in US-Infrastrukturen zu lokalisieren und auszunutzen“.
Patch verfügbar – sofortige Installation empfohlen
Commvault hat mit dem am 20. August veröffentlichten Hotfix 11.32.37.1 eine gepatchte Version bereitgestellt, die den Exploit vollständig adressiert. Kunden, die den integrierten Update-Mechanismus nicht aktiviert haben, können das Sicherheitsupdate direkt aus dem Downloadbereich ihres Kundenportals herunterladen.
Wichtig ist, darauf zu achten, dass auch alle abhängigen Dienste – etwa „MediaAgents“ und „WebServers“ – nachgezogen und gegebenenfalls neu gestartet werden. Laut Commvault ist eine Downtime von etwa 15 bis 30 Minuten einzukalkulieren.
Doch ein Update allein reicht nicht aus. IT-Sicherheitsbeauftragte sollten zusätzliche Schutzmaßnahmen ergreifen:
- Absicherung der Backup-Infrastruktur durch segmentierte Netzwerke und dedizierte Firewalls
- Minimierung direkter Internetverbindungen und Deaktivierung ungenutzter Dienste
- Überwachung auf verdächtige Aktivitätsmuster im Commvault-Protokollsystem mittels SIEM-Lösungen
Statistische Einordnung: Backup-Systeme als neues Primärziel
Nach Daten des Cybersecurity-Dienstleisters Sophos (State of Ransomware 2024) setzen 94 % aller von Ransomware betroffenen Unternehmen spezialisierte Backup-Lösungen als primäre Wiederherstellungsstrategie ein. Gleichzeitig gaben 37 % der befragten Unternehmen an, dass ihre Backup-Infrastruktur bereits Ziel eines gezielten Angriffs war.
Auch der jährliche Bericht von ENISA (European Union Agency for Cybersecurity) 2024 zeigt: Die Zahl der dokumentierten Angriffe auf Datenwiederherstellungsplattformen hat sich zwischen 2022 und 2024 verdreifacht. Das macht Schwachstellen wie in Commvault zu einem schwerwiegenden strategischen Risiko für jede Organisation.
Incident Response: Was tun im Fall einer Kompromittierung?
Falls der Verdacht besteht, dass ein System kompromittiert wurde, gilt es, schnell und strukturiert zu reagieren. Der Leitfaden zur Vorfallsbehandlung des BSI empfiehlt:
- Sofortige Trennung betroffener Systeme vom Netzwerk
- Sicherung aller Log- und Protokolldateien für spätere Analysen
- Kontaktierung der internen IT-Sicherheitsabteilung und gegebenenfalls das Hinzuziehen externer Incident Response Teams
Darüber hinaus sollten Organisationen die Schwachstelle in ihren Risikoberichtswesen und DR-Strategien berücksichtigen, um Wiederholungen zu vermeiden.
Zukunftssichere Sicherheitsstrategien für Backup-Infrastrukturen
Experten wie Fabian Kutzner, Cybersecurity-Berater bei Controlware, sehen Backup-Systeme zunehmend als Angriffsprämisse: „Wir erleben einen Paradigmenwechsel – nicht mehr nur Produktionssysteme stehen im Fokus, sondern auch die Systeme, auf die man im Notfall angewiesen ist.“
Wichtige präventive Maßnahmen beinhalten deshalb:
- Verpflichtende Härtung aller Backup-Komponenten gemäß CIS-Benchmarks
- Zero-Trust-Architektur auch für administrative Zugriffe auf Backup-Systeme
- Regelmäßige Penetrationstests auf Backup-Infrastruktur und verbundene Dienste
Neben technischen Maßnahmen sind auch organisatorische Prozesse entscheidend – etwa die regelmäßige Schulung von Administratoren im sicheren Umgang mit Backup-Plattformen oder die konsequente Trennung von Rollen mit privilegiertem Zugriff.
Fazit: Jetzt handeln, bevor es zu spät ist
Die Commvault-Sicherheitslücke zeigt eindringlich, wie schnell kritische IT-Komponenten zum Einfallstor für Cyberkriminelle werden können. Angesichts der Tragweite der CVE-2025-28367 ist nicht nur das Einspielen des Patches, sondern ein ganzheitlicher Sicherheitsansatz gefragt, der sowohl technische als auch organisatorische Aspekte berücksichtigt.
IT-Verantwortliche und CISOs sind jetzt gefordert, konsequente Sicherheitsprüfungen durchzuführen und ihre Backups nicht länger als Nebenschauplatz zu behandeln. Wer die Risiken erkennt und aktiv adressiert, kann verhindern, dass aus einer Sicherheitslücke ein existenzbedrohender Vorfall wird.
Welche Erfahrungen haben Sie mit Commvault-Sicherheitsupdates gemacht? Tauschen Sie sich mit unserer Community im Tech-Forum aus – Praxisberichte, Tipps und Fragen sind herzlich willkommen!
