TeamViewer-Lücken geschlossen: Jetzt aktualisieren

Fernwartungssoftware gehört in den meisten Unternehmen mit zehn bis hundert Mitarbeitern zum täglichen Handwerkszeug: Der externe IT-Betreuer schaut per Fernzugriff auf den Server, Kolleginnen im Homeoffice greifen auf ihren Arbeitsplatzrechner zu, und wenn unterwegs das Laptop streikt, wird kurz ferngewartet. Genau diese Selbstverständlichkeit macht Werkzeuge wie TeamViewer zu einem lohnenden Angriffsziel – und die aktuelle Sicherheitsmeldung des Herstellers zu einer Angelegenheit, die Sie nicht auf die lange Bank schieben sollten.

Was passiert ist

Wie heise Security berichtet, hat TeamViewer drei Sicherheitslücken geschlossen, die sämtlich als hochriskant eingestuft werden. Aktualisierte Softwarepakete stehen bereit, und nach Herstellerangaben werden die Schwachstellen bislang nicht aktiv ausgenutzt. Das ist die gute Nachricht. Die Kehrseite: Die Lücken sind jetzt öffentlich, eine davon wurde von IT-Sicherheitsforschern der Firma Remedio in einer Analyse sogar detailliert beschrieben. Je genauer eine Schwachstelle dokumentiert ist, desto leichter fällt es Angreifern, sie nachzubauen.

Im Einzelnen geht es um drei Schwachstellen. Die erste (CVE-2026-111585, CVSS-Wert 8,8) steckt in der Dekompression der übertragenen Bildschirmdaten: Ein Integer-Überlauf kann einen Heap-basierten Pufferüberlauf auslösen, über den ein bösartiger Host Schadcode mit den Rechten des Viewer-Prozesses einschleust und ausführt. Voraussetzung ist, dass sich das Opfer mit einem kompromittierten oder von Angreifern kontrollierten TeamViewer-Host verbindet.

Die zweite Lücke (CVE-2026-92372, CVSS 8,8) betrifft den Screen-Image-Decoder der Linux- und macOS-Versionen von Full Client und Host. Über manipulierte Bilddaten in einer Fernsteuerungssitzung lässt sich Schadcode einschmuggeln und starten. Bemerkenswert ist der zweite Angriffsweg: Es genügt bereits, eine aufgezeichnete TeamViewer-Sitzung im .tvs-Format zu öffnen. Eine solche Datei wirkt wie ein harmloses Arbeitsdokument und lässt sich problemlos verschicken.

Die dritte Lücke (CVE-2026-92374, CVSS 7,8) ist ein macOS-Problem: Über eine Race Condition im mit höheren Rechten laufenden Helfer-Prozess von Full Client und Host können Angreifer die Prüfung von Installationspaketen umgehen, bösartige Software installieren und ihre Rechte im System bis auf root ausweiten.

Betroffen sind TeamViewer Full Client, TeamViewer Host, die Remote Control App und die portablen Versionen vor der aktuellen Fassung 15.83 unter Windows, Linux und macOS; die Remote Control App zusätzlich unter Android. Für Linux steht inzwischen bereits Version 15.83.3 bereit, und auch für ältere Entwicklungszweige listet TeamViewer in seiner Sicherheitsmitteilung aktualisierte Pakete auf.

Warum Fernwartungstools ein besonders kritisches Einfallstor sind

Fernwartungssoftware unterscheidet sich von einem durchschnittlichen Programm in einem entscheidenden Punkt: Sie ist dafür gebaut, einen Rechner aus der Ferne vollständig zu steuern. Sie läuft mit weitreichenden Rechten und hält Verbindungen nach außen. Wird genau dieses Werkzeug kompromittiert, steht der Angreifer nicht vor der Tür – er sitzt bereits am Schreibtisch, mit denselben Möglichkeiten wie ein legitimer Administrator.

Dazu kommt die Vertrauensrichtung. Wer Support leistet, verbindet sich mit fremden Rechnern – und die erste der drei Lücken setzt genau dort an. Nicht Ihr eigener Rechner muss angegriffen werden; es genügt, dass sich Ihr Mitarbeitender oder Ihr IT-Dienstleister mit einem präparierten Gegenüber verbindet. Für Unternehmen, die Kunden, externe Standorte oder Homeoffice-Arbeitsplätze per TeamViewer betreuen, ist das kein abstraktes Szenario.

Die zweite Lücke senkt die Angriffsschwelle zusätzlich: Eine Sitzungsaufzeichnung ist kein offensichtlicher Schädling. Sie sieht aus wie eine Datei, die man im Arbeitsalltag weiterleitet und öffnet. Ob Ihre Mitarbeitenden wüssten, dass eine .tvs-Datei Schadcode ausführen kann, ist eine Frage, die Sie sich ehrlich beantworten sollten.

Was das konkret für Ihr Unternehmen bedeutet

Erstens: Wenn Sie TeamViewer irgendwo einsetzen – für interne Fernwartung, für Homeoffice-Zugriffe oder für die Wartung durch einen externen Dienstleister –, haben Sie jetzt eine Pflichtaufgabe. Ungepatchte Fernwartung ist kein theoretisches Risiko, sondern ein direkter Zugang ins Firmennetz, der mit den Rechten des jeweiligen Nutzers daherkommt.

Zweitens: Denken Sie an alle Varianten. In der Praxis findet sich TeamViewer selten nur als eine zentral verwaltete Installation. Da ist der Full Client auf den Bürorechnern, der Host auf dem Server, möglicherweise eine portable Version auf dem USB-Stick im Werkzeugkoffer des Außendienstes und die App auf dem Diensthandy. Die Meldung nennt all diese Varianten ausdrücklich als betroffen. Eine Inventur, die nur die Server erfasst, greift zu kurz.

Drittens: Es ist bereits das zweite Mal binnen weniger Wochen. Dem Bericht zufolge musste TeamViewer bereits Anfang Oktober hochriskante Lücken schließen, die Angreifern teils ebenfalls das Einschleusen und Ausführen von Schadcode ermöglichten. Wer das Oktober-Update verschoben hat, liegt jetzt zwei Patch-Runden zurück. Und wer grundsätzlich erst aktualisiert, wenn es brennt, sollte diese Häufung als Hinweis lesen, dass Fernwartungssoftware derzeit im Fokus steht.

Was Sie jetzt tun sollten

Der wichtigste Schritt ist der einfachste: Aktualisieren Sie sämtliche TeamViewer-Installationen auf die aktuelle Version 15.83 beziehungsweise unter Linux auf 15.83.3. Falls Sie noch einen älteren Entwicklungszweig einsetzen, prüfen Sie die Sicherheitsmitteilung des Herstellers auf die dafür vorgesehenen Pakete. Warten Sie nicht auf den nächsten regulären Wartungstermin.

Darüber hinaus lohnt sich ein kurzer, strukturierter Rundgang. Erfassen Sie, wo TeamViewer überall läuft: Arbeitsplätze, Server, Notebooks, mobile Geräte, portable Installationen. Ohne diese Liste patchen Sie ins Blaue. Prüfen Sie anschließend, wer sich womit verbindet: Werden aus Ihrem Haus fremde Rechner ferngewartet, ist die erste Lücke für Sie besonders relevant, weil dort die Gegenseite das Einfallstor ist. Sensibilisieren Sie Ihre Mitarbeitenden kurz und pragmatisch für den Umgang mit Sitzungsaufzeichnungen: .tvs-Dateien aus unbekannter Quelle gehören nicht geöffnet, schon gar nicht auf einem ungepatchten System. Und klären Sie mit Ihrem IT-Dienstleister, auf welchem Stand dessen Wartungszugänge sind – wenn ein externer Partner Ihre Systeme per TeamViewer betreut, ist dessen Patch-Stand auch Ihr Risiko.

Was noch unklar ist

Einige Fragen lässt die Meldung offen. Wie wahrscheinlich es in der Praxis ist, dass Opfer gezielt auf einen präparierten Host gelockt werden, geht aus ihr nicht hervor; konkrete Angriffe sind bislang nicht bekannt. Ebenso wenig lässt sich seriös vorhersagen, ob und wann die jetzt öffentlich beschriebenen Lücken ausgenutzt werden. Fest steht nur: Das Zeitfenster, in dem ein Update ohne Gegenwehr wirkt, ist offen – wie lange, weiß niemand.

Fazit

Drei hochriskante Lücken, öffentlich dokumentiert, Updates verfügbar, bislang keine bekannten Angriffe: Das ist die Konstellation, in der schnelles Handeln am wenigsten kostet. Prüfen Sie noch heute, wo TeamViewer in Ihrem Unternehmen läuft, und bringen Sie jede Installation auf den aktuellen Stand. Alles Weitere lässt sich danach in Ruhe klären.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.