Kiteworks-Warnung: Warum Server vorsorglich offline gehen sollten

Kiteworks, früher Accellion, empfahl Kunden im September 2026, ihre selbst betriebenen Dateiübertragungssysteme vorübergehend abzuschalten. Nach Angaben des Unternehmens hatten Bundesbehörden glaubwürdige Hinweise geliefert, dass ein Angreifer möglicherweise einige Kiteworks-Systeme ins Visier nehmen könnte. Die Abschaltung war eine Vorsichtsmaßnahme, keine Meldung über einen bestätigten Angriff: Kiteworks sah keine Anzeichen dafür, dass eigene Systeme oder Kundensysteme kompromittiert worden waren.426

Sechs oder neun Stunden?

Berichte über eine E-Mail an Kunden beschrieben ein sechsstündiges Abschaltfenster rund um den 26. September 2026. Demnach wurde Kunden geraten, ihre Systeme nach Möglichkeit schon früher herunterzufahren.47 Die öffentliche Mitteilung von Kiteworks nannte dagegen ein neunstündiges Vorsorgefenster in der jeweiligen lokalen Zeitzone. Die beiden Zeitangaben sind deshalb nicht als austauschbare Anweisungen zu verstehen; maßgeblich war die für die eigene Bereitstellung geltende Mitteilung.426

Was war über einen möglichen Zero-Day bekannt?

Die Warnung besagte, dass ein Angreifer möglicherweise Kiteworks-Systeme angreifen könnte – nicht, dass eine bislang unbekannte Schwachstelle, ein sogenannter Zero-Day, bereits ausgenutzt worden war. Öffentliche Berichte brachten einen solchen Fehler ins Spiel. Zum Zeitpunkt der Berichterstattung waren jedoch weder eine CVE-Kennung zur eindeutigen Identifizierung der Schwachstelle noch technische Details zu ihrer möglichen Ausnutzung veröffentlicht. Auch ein Angreifer wurde öffentlich nicht benannt.21726

Welche Systeme waren gemeint?

Die Empfehlung richtete sich an Kunden, die Kiteworks selbst betreiben – etwa auf eigenen Servern, als virtuelle Appliance oder in einer selbst verwalteten Cloud-Umgebung. Von Kiteworks gehostete Instanzen sollte das Unternehmen selbst betreuen. Den Berichten zufolge fielen DRACOON, ownCloud und totemo nicht unter diese Warnung.1820

Kiteworks erklärte zudem, Version 9.5.1 behebe alle bekannten Schwachstellen. Daraus folgt weder, dass die befürchtete Attacke eine bekannte Lücke betraf, noch, dass mit dieser Version ein bestätigter Zero-Day geschlossen wurde.1626

Warum die Accellion-Vorgeschichte eine Rolle spielt

Ein Dateiübertragungsprodukt von Accellion wurde während der Clop-Kampagne 2020–2021 für Datendiebstahl und Erpressung ausgenutzt. Diese Vorgeschichte macht verständlich, weshalb eine Warnung zu einem Dateiübertragungssystem ernst genommen wurde. Sie ist aber kein Hinweis darauf, dass Clop mit der Bedrohung im September 2026 in Verbindung stand.226