SonicWall SSL-VPN absichern: 8 Einstellungen für Firewall und Admin-Zugang

Wer sein SonicWall SSL-VPN absichern will, fängt nicht bei zusätzlicher Hardware an, sondern bei acht Einstellungen in SonicOS. Die Schwachstelle CVE-2024-40766 (CVSS 9,3 laut Hersteller) steht seit September 2024 im KEV-Katalog der US-Behörde CISA, der Liste aktiv ausgenutzter Lücken. Trotzdem meldeten Sicherheitsfirmen im Sommer 2025 eine Ransomware-Welle über SonicWall-VPN-Zugänge. Oft war die Firmware gepatcht, die alten Passwörter galten aber noch. Für die Firewall sieht ein solcher Zugriff wie ein normaler Login aus – und der Zugang bleibt unbemerkt offen. Diese Anleitung zeigt, welche Einstellungen der Hersteller seitdem empfiehlt und in welcher Reihenfolge Sie sie auf Ihrer Firewall (NGFW) umsetzen.

Wie sichere ich den SSL-VPN-Zugang einer SonicWall-Firewall ab?

Spielen Sie die jüngste SonicOS-Version ein und sperren Sie die Verwaltungsoberfläche für Zugriffe aus dem Internet. Setzen Sie danach alle lokalen SSL-VPN-Passwörter zurück, löschen Sie ungenutzte Konten und erzwingen Sie MFA. Ergänzen Sie Kontosperre, Geo-IP- und Botnet-Filter und prüfen Sie die LDAP-Gruppen mit VPN-Rechten. So schließen Sie die Wege, die Angreifer 2025 tatsächlich genutzt haben.

Warum Patchen allein beim SonicWall SSL-VPN nicht reicht

SonicWall hat im August 2025 klargestellt, dass hinter der Angriffswelle keine bisher unbekannte Zero-Day-Lücke steckte. Der Hersteller untersuchte nach eigener Angabe weniger als 40 Vorfälle und sah einen deutlichen Zusammenhang mit CVE-2024-40766. Viele betroffene Geräte waren von Gen 6 auf Gen 7 migriert worden, also von der älteren auf die jüngere SonicWall-Hardwaregeneration. Dabei wurden lokale Benutzer mit ihren Passwörtern übernommen und nie zurückgesetzt.

Das Muster ist typisch: Ein Angreifer hat Zugangsdaten aus einer früheren Lücke erbeutet. Das Firmware-Update schließt die Lücke, macht aber die gestohlenen Passwörter nicht ungültig. Der Login funktioniert weiter, und die Firewall sieht einen ganz normalen Benutzer.

Zwei weitere Meldungen gehören zum Gesamtbild:

• CVE-2024-53704: Eine Authentifizierungs-Umgehung im SSL-VPN (CVSS 8,2 laut Hersteller), seit Februar 2025 ebenfalls als aktiv ausgenutzt gelistet.
• SNWLID-2026-0004: Drei SonicOS-Lücken vom April 2026, darunter CVE-2026-0204 in der Zugriffskontrolle der Verwaltungsoberfläche (CVSS 8,0). Betroffen sind laut SonicWall-PSIRT-Hinweis Gen 6, Gen 7 und Gen 8.

Die 8 Einstellungen im Überblick

Die folgende Tabelle fasst die Maßnahmen zusammen. Die Spalte „Quelle“ zeigt, ob die Empfehlung direkt aus dem Herstellerhinweis stammt.

Einstellungen 1 bis 3: Firmware und Admin-Zugang

1. Firmware aktualisieren. SonicWall verlangte im August 2025 mindestens SonicOS 7.3.0, weil diese Version besser gegen Brute-Force-Angriffe schützt und mehr MFA-Optionen bietet. Wegen SNWLID-2026-0004 ist für Gen 7 heute 7.3.2-7010 oder höher nötig. Gen-8-Geräte wie die SonicWall TZ280 laufen mit SonicOS 8. Aktualisieren Sie dort auf 8.2.0-8009 oder höher. Weitere Meldungen veröffentlicht das SonicWall-PSIRT (Product Security Incident Response Team).

2. Verwaltung aus dem Internet sperren. Die HTTPS- und SSH-Verwaltung gehört nicht auf das WAN-Interface, also den Anschluss zum Internet. Administrieren Sie die Firewall aus dem internen Netz oder über einen VPN-Tunnel. Muss ein Dienstleister von außen zugreifen, beschränken Sie den Zugriff auf seine festen IP-Adressen.

3. Admin-Konten trennen. Arbeiten Sie nicht mit dem Standardkonto „admin“, sondern mit persönlichen Konten. So sehen Sie im Protokoll, wer welche Änderung vorgenommen hat. Schützen Sie diese Konten mit einem zweiten Faktor.

Einstellungen 4 bis 6: Passwörter, Konten und MFA

4. Lokale Passwörter zurücksetzen. Das ist der wichtigste Schritt, wenn Ihre Firewall jemals eine verwundbare Firmware hatte. Betroffen sind lokale Benutzer, deren Passwort auf der Firewall gespeichert ist. Für LDAP- oder RADIUS-Benutzer speichert SonicOS laut Hersteller keine Passwörter. Hinterlegte Dienstkonten, etwa das LDAP-Bind-Konto, mit dem die Firewall das Active Directory abfragt, sollten Sie trotzdem neu setzen.

5. Ungenutzte Konten löschen. Ehemalige Mitarbeiter, Testkonten und alte Dienstleister-Zugänge sind klassische Einfallstore. Gleichen Sie die lokale Benutzerliste mit Ihrer Personalliste ab.

6. MFA für alle VPN-Benutzer. SonicOS unterstützt zeitbasierte Einmalpasswörter (TOTP) per Authenticator-App direkt. Alternativ binden Sie einen externen MFA-Dienst per RADIUS an, das Standardprotokoll für zentrale Anmeldeprüfung. Für WatchGuard AuthPoint MFA gibt es eine eigene Integrationsanleitung für SonicWall-Firewalls. Wie Sie die Einführung ohne Helpdesk-Flut planen, steht in unserem Beitrag zu den Stolperfallen bei der MFA-Einführung.

Einstellungen 7 und 8: Filter, Gruppen und Protokolle

7. Kontosperre, Geo-IP- und Botnet-Filter. Eine Kontosperre nach mehreren Fehlversuchen bremst Passwort-Raten aus. Der Geo-IP-Filter blockiert Verbindungen aus Ländern, in denen Ihr Unternehmen keine Mitarbeiter hat. Der Botnet-Filter sperrt bekannte Angreifer-Adressen. Prüfen Sie vorab, ob Ihre Security-Services-Lizenz den Botnet-Filter auf Ihrem Modell abdeckt.

8. LDAP-Gruppen und Protokolle prüfen. SonicWall weist ausdrücklich auf die Standardgruppe für SSL-VPN-Benutzer hin. Ist sie zu weit gefasst, darf jedes Domänenkonto ins VPN. Beschränken Sie den Zugang auf eine eigene Gruppe. Leiten Sie die Protokolle zusätzlich an ein zentrales System weiter und lassen Sie sich bei VPN-Logins zu ungewöhnlichen Zeiten alarmieren.

So gehen Sie in der Praxis vor:

1. Konfiguration sichern und Wartungsfenster planen.
2. Firmware aktualisieren, danach Verwaltung vom WAN nehmen.
3. Benutzer vorab per E-Mail informieren, dann alle lokalen Passwörter zurücksetzen und ungenutzte Konten löschen.
4. MFA als Erstes für Admins und die IT, dann für alle VPN-Benutzer aktivieren.
5. Filter einschalten und eine Woche lang die Protokolle beobachten.

Wann ein Hardware-Wechsel sinnvoll ist

Gen-6-Geräte bekommen nur noch Sicherheitsupdates, zuletzt SonicOS 6.5.5.2-28n. Steht ohnehin ein Austausch an, lohnt der Blick auf die Gen-8-Modelle. Die TZ280 passt zu kleinen Büros und Zweigstellen, die SonicWall TZ380 zu Standorten mit mehr Benutzern und Multi-Gigabit-Uplinks. Die Unterschiede zeigt unser SonicWall TZ Vergleich 2026. Alle Modelle finden Sie im SonicWall-Sortiment. Den zweiten Faktor ergänzt AuthPoint unabhängig von der Hardware.

Wichtig: Bei einer Migration auf andere Hardware gelten die Schritte 4 bis 6 genauso. Übernommene Passwörter sind übernommene Risiken.

FAQ: SonicWall SSL-VPN absichern

Muss ich das SSL-VPN abschalten?

Nein. Die jüngste SonicWall-Meldung vom 22.08.2025 empfiehlt kein Abschalten, sondern Firmware-Update, geänderte Passwörter, MFA und Filter. Mit diesen Maßnahmen kann das SSL-VPN weiterlaufen.

Reicht das Firmware-Update gegen CVE-2024-40766?

Nein, ein Firmware-Update allein reicht nicht, wenn die SonicWall vorher mit verwundbarer Firmware lief. Dann sollten Sie zusätzlich alle lokalen Passwörter und hinterlegten Zugangsdaten zurücksetzen.

Betrifft das auch Gen-8-Firewalls?

Ja. Die SonicWall-Hinweise vom August 2025 gelten für Gen 7 und alle jüngeren Firewalls. SNWLID-2026-0004 betrifft auch Gen 8, darunter TZ280 und TZ380 mit SonicOS vor 8.2.0-8009.

Ist ZTNA eine Alternative zum SSL-VPN?

Für viele Unternehmen ja. Zero Trust Network Access gibt Benutzern nur Zugriff auf einzelne Anwendungen statt auf das ganze Netz. Mehr dazu in unserem Beitrag zu Zero Trust Network Access für KMU.

Wie oft sollte ich die Einstellungen prüfen?

Mindestens nach jedem Firmware-Update und bei jedem weiteren PSIRT-Hinweis. Die Benutzerliste gleichen Sie am besten quartalsweise ab.

Fazit: Erst Zugangsdaten, dann Komfort

Die Angriffe von 2025 haben gezeigt, dass ein gepatchtes SonicWall SSL-VPN mit alten Passwörtern offen bleibt. Wer Firmware, Admin-Zugang, Passwörter und MFA in dieser Reihenfolge angeht, schließt die bekannten Wege. Die vollständigen Herstellerhinweise finden Sie in der SonicWall-Meldung zur SSL-VPN-Bedrohungslage. Sie planen einen Wechsel der Firewall oder ein MFA-Projekt? Der Produktberater grenzt die Auswahl ein, für ein Angebot nutzen Sie unser Kontaktformular.