Kiteworks Zero-Day: Sechs Stunden Server-Shutdown als Notbremse

Ein Kiteworks Zero-Day, den bis heute niemand öffentlich kennt, hat am vergangenen Wochenende weltweit Dateiserver stillgelegt. Der Hersteller von Managed-File-Transfer-Software (MFT) forderte seine Kunden am 25. September 2026 per E-Mail auf, ihre Systeme sechs Stunden lang komplett abzuschalten. Ohne bestätigten Einbruch. Ohne CVE-Nummer. Ohne technische Details.

Was genau passiert ist

CISO Frank Balonis schrieb an die Kundschaft, man habe glaubwürdige Hinweise von Strafverfolgungsbehörden erhalten, wonach ein Angriff auf Kiteworks-Systeme noch am Wochenende bevorstehen könnte. Mehrere Fachmedien berichteten ab dem 25. September darüber, darunter heise online, BleepingComputer und Computer Weekly; Kiteworks bestätigte die Warnung gegenüber BleepingComputer und Computer Weekly.

Das Abschaltfenster galt weltweit. In Mitteleuropa lag es am Samstag, dem 26. September, zwischen 4:00 und 10:00 Uhr. Bemerkenswert ist ein Detail der Anweisung: Auch Systeme, die gar nicht aus dem Internet erreichbar sind, sollten offline gehen. Kiteworks betont zugleich, es sei keine Kompromittierung bekannt, und alle bekannten Schwachstellen seien im aktuellen Release 9.5.1 behoben. Laut BleepingComputer, das sich auf heise beruft, nannte der Kiteworks-Support allerdings den Schutz vor möglichen Zero-Day-Angriffen als Grund für die Abschaltung.

Eine CVE-Nummer existiert nach meiner Prüfung am 28. September 2026 nicht, ebenso wenig eine Beschreibung der Angriffsvoraussetzungen. Jake Knott vom Anbieter watchTowr sagte Computer Weekly, er verfolge eine aufkommende Bedrohung für Kiteworks-Appliances aktiv. Seine Einordnung ist deutlich: Niemand bitte seine gesamte Kundenbasis übers Wochenende darum, Produktivsysteme vom Netz zu nehmen, wenn es bloß eine Ahnung wäre.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Warum ausgerechnet Dateitransfer-Server

Kiteworks hieß früher Accellion. Genau dieses Produkt war 2021 Ausgangspunkt einer der größten Datendiebstahl-Wellen der jüngeren IT-Geschichte. Die Liste der in den vergangenen Jahren attackierten MFT-Produkte ist seither lang geworden und reicht von Fortra GoAnywhere über Progress MOVEit bis zu Cleo und SolarWinds Serv-U. Der Grund ist simpel. Ein MFT-Server bündelt an einer einzigen Stelle genau die Dateien, die eine Organisation für zu heikel hält, um sie per E-Mail zu verschicken. Eine Lücke, hunderte Opfer, sofort verwertbares Material für Erpressung. Wie hart dieses Milieu inzwischen umkämpft ist, zeigt der jüngste Streit zwischen zwei Banden, über den wir in ShinyHunters hackt Clop geschrieben haben.

Was der Kiteworks Zero-Day für dich bedeutet

Ich habe in 25 Jahren IT selten erlebt, dass ein Hersteller seine Kunden zum Abschalten auffordert. Das ist keine Routine-Empfehlung, sondern eine Notbremse. Interessant ist dabei weniger die Frage nach dem Schreckensszenario, sondern die stille Nebenwirkung: Viele Betriebe merken in genau so einem Moment, dass sie keinen geordneten Weg haben, einen zentralen Dienst für sechs Stunden herunterzufahren. Wer ist befugt? Wer informiert die Fachbereiche? Welche Schnittstellen laufen danach in einen Timeout und brauchen einen manuellen Nachlauf?

Aus CISO-Sicht liegt hier der eigentliche Lerneffekt. Eine Abschaltung als Schutzmaßnahme funktioniert nur, wenn sie geprobt ist. Und die Aufforderung, auch interne Systeme abzuschalten, verdient einen zweiten Blick. Sie bedeutet, dass der Hersteller einen Angriffsweg nicht ausschließen konnte, der nicht über die offene Internetschnittstelle läuft. Für kleine Betriebe ohne eigenes MFT ist die Meldung trotzdem relevant. Die gleiche Logik gilt für jedes zentrale Ablagesystem, vom NAS bis zum Cloud-Share.

Was du jetzt konkret tun solltest

• Bestand prüfen: Läuft bei dir oder einem Dienstleister Kiteworks? Dann auf Release 9.5.1 aktualisieren und die Hersteller-Kommunikation aktiv abonnieren, statt auf Presseberichte zu warten.
• Logs rückwirkend sichern: Bei einer unbekannten Lücke ist die einzige verlässliche Spur das, was vor der Veröffentlichung passiert ist. Nimm Zugriffs- und Transferprotokolle der letzten vier Wochen aus der Rotation und lege sie separat ab.
• Angriffsfläche verkleinern: MFT-Oberflächen gehören nicht offen ins Internet. Wo ein Reverse Proxy, eine IP-Allowlist oder ein VPN davorpasst, senkt das die Wahrscheinlichkeit einer Massenausnutzung deutlich.
• Aufräumen statt archivieren: Auf fast jedem MFT-Server liegen Altbestände, die dort nichts verloren haben. Eine harte Löschfrist reduziert den Schaden im Ernstfall stärker als jede zusätzliche Erkennungsregel.
• Notfallpfad festlegen: Halte auf einer halben Seite fest, wer eine Abschaltung anordnen darf und welche Prozesse danach nachlaufen müssen. In einer ruhigen Stunde ist das eine Kleinigkeit, im Ernstfall ist es Gold wert.

Wer sensible Dateien ohnehin nur selten austauscht, fährt mit einem physisch übergebenen, hardwareverschlüsselten Datenträger oft sicherer als mit einem dauerhaft erreichbaren Server. Welche Geräte dafür taugen, habe ich im Ratgeber zu verschlüsselten USB-Sticks und externen SSDs zusammengestellt.

Wie es weitergeht

Kiteworks selbst bezeichnet die Maßnahme ausdrücklich als vorbeugend und spricht nicht von einem bestätigten Zero-Day. Solange weder CVE noch Patch existieren, bleibt die Lage unklar. Zwei Szenarien sind plausibel. Entweder hat die Warnung Angreifer abgeschreckt und die Sache verläuft im Sand. Oder die Lücke wird in den kommenden Tagen öffentlich, und dann sehr schnell. Bei MFT-Produkten ist der Weg von der gezielten zur wahllosen Ausnutzung erfahrungsgemäß kurz.

Quellen

• BleepingComputer: Kiteworks urges 6-hour server shutdown over potential zero-day attacks (25.09.2026)
• Computer Weekly: Expecting cyber attack, Kiteworks tells users to turn off servers (25.09.2026)
• heise online: Imminent Zero-Day Attack – KiteWorks Urges Customers to Shut Down Servers