Inhalt in Kürze
- Drucker sind 2026 das am häufigsten unterschätzte IT-System: Standardpasswörter, offene Ports, fehlende Firmware-Updates. Das BSI bezeichnet Drucker und MFPs explizit als eigenständige IT-Systeme mit eigenen Sicherheitsanforderungen.
- Bei Audits in Hamburger KMU finden wir bei mehr als jedem zweiten Drucker mindestens eine kritische Schwachstelle — meist in unter zehn Minuten ausnutzbar.
- Zehn konkrete Sofortmaßnahmen: vom Passwortwechsel über VLAN-Isolation bis Pull-Printing. Die ersten drei dauern 60 Minuten und schließen 80 % der Lücken.
- Drucker gehören in ein eigenes VLAN, niemals ins Gäste-WLAN, und brauchen quartalsweise Patches. Wer Active Directory anbindet, muss die Berechtigungen härten.
- Managed Print kostet 8–18 € pro Drucker und Monat — vergleichbar mit dem Schaden eines einzigen erfolgreichen Phishing-Angriffs über das Drucker-Webinterface.
Der gefährlichste Computer im Unternehmen steht oft im Flur. Klingt überzogen — ist 2026 aber Realität. Während IT-Teams Endpoints, Server und Firewalls hart absichern, läuft der Drucker im Erdgeschoss seit fünf Jahren mit Werkseinstellungen. Standardpasswort. Offenes Web-Interface. Firmware aus 2021.
Wir betreuen seit über 20 Jahren Hamburger Unternehmen — und sehen genau dieses Muster jede Woche neu. Dieser Artikel zeigt, was Drucker so anfällig macht und wie Sie Ihre Druckumgebung 2026 ohne großes Projekt absichern.
Warum Drucker das vergessene Sicherheitsrisiko sind
Drucker sind seit Jahren keine “Drucker” mehr. Ein modernes Multifunktionsgerät hat eine Festplatte, einen Webserver, SNMP, FTP, Cloud-Anbindungen, oft eine eigene App-Plattform und einen direkten Pfad ins Active Directory. Technisch ist das ein Server, der zufällig auch Papier ausspuckt.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) bezeichnet Drucker und Multifunktionsgeräte ausdrücklich als eigenständige IT-Systeme — mit eigenen Schwachstellen und eigenem Patching-Bedarf. Genau das nehmen die wenigsten KMU ernst. Das BSI weist regelmäßig auf aktuelle Schwachstellen in Hardware und Firmware hin — auch Drucker stehen dort.
Die fünf häufigsten Schwachstellen, die wir bei Audits finden
- Standardpasswort am Web-Interface. "admin / admin", "0000", "1234". Wir öffnen damit in Audits regelmäßig Drucker innerhalb von 30 Sekunden.
- Offene SNMP-Community-Strings. Public/Private — beides Klassiker. Damit lässt sich der Drucker fernsteuern, Firmware ändern, Logs abgreifen.
- Gespeicherte Druckaufträge auf Festplatte. Steuererklärungen, Lohnabrechnungen, Verträge. Auf vielen MFPs liegen 20+ GB an Druckdaten — oft Monate alt.
- Drucker im Gäste-WLAN. Klassiker bei kleinen Hamburger Büros. Jeder Gast hat eine Brücke ins interne Netz.
- Active-Directory-Konto mit Domain-Admin-Rechten. Damit der Drucker "alles drucken kann". Ein gekaperter Drucker = Domain-Admin-Account.
Bei einem Hamburger Mittelständler (45 Mitarbeiter, Immobilienverwaltung) führte ein über das Drucker-Webinterface kompromittierter MFP zu einem lateralen Bewegungsmuster, das in zwei Tagen das ganze Netz erreichte. Schaden mittelhoher fünfstelliger Betrag plus Reputationsverlust. Das Webinterface war von außen erreichbar — Standardpasswort.
Zehn Schutzmaßnahmen — vom Sofortfix bis zum Managed Print
Diese zehn Punkte arbeiten wir bei jedem neuen Kunden im Audit ab. Die ersten drei dauern eine Stunde und decken den Großteil der Risiken.
- Standardpasswort sofort ändern. Web-Interface, SNMP, FTP, alle Service-Accounts. Mindestens 16 Zeichen, in einem Passwort-Manager (z.B. Keeper, Bitwarden). Nicht in einer Excel-Liste.
- Firmware aktuell halten. Hersteller-Portal prüfen, Updates einspielen. Wer dafür keinen Prozess hat, vergisst es. In unserem Managed Print automatisiert.
- VLAN-Isolation. Drucker in eigenes Netzwerk-Segment, getrennt vom Client-Netz. Zugriff per Firewall-Regel: Clients dürfen drucken, Drucker dürfen nichts.
- Nicht benötigte Dienste deaktivieren. FTP, Telnet, AppleTalk, IPv6 (falls nicht genutzt), AirPrint im Firmennetz. Weniger offene Ports = weniger Angriffsfläche.
- Sichere Verbindungen erzwingen. HTTPS für Web-Interface, SNMPv3 statt v1/v2, IPP-over-TLS. Zertifikat aus eigener PKI, nicht das Hersteller-Default.
- Pull-Printing einführen. Druckaufträge werden erst nach Identifikation am Gerät (Badge oder PIN) ausgegeben. Schützt vor "vergessene Ausdrucke im Drucker" und liefert nebenbei Audit-Logs.
- Festplatte verschlüsseln & löschen. Moderne MFPs unterstützen FIPS-140-Verschlüsselung der internen Festplatte. Beim Tausch oder Leasing-Ende: zertifizierte Löschung — nicht "Daten formatieren".
- Drucker-AD-Konto härten. Niemals Domain-Admin. Eigenes Service-Konto mit minimalen Rechten, regelmäßiger Passwort-Rotation, Monitoring auf ungewöhnliche Anmeldungen.
- Logs zentral sammeln. Drucker-Logs ins SIEM oder Managed XDR. Auffällige Druckaufträge (5.000 Seiten nachts) sind Indikatoren für Datenexfiltration. Mehr dazu: Sicherheitsprozess-Automatisierung.
- Lifecycle-Plan. Drucker älter als 7 Jahre erhalten oft keine Sicherheitsupdates mehr. Klare Tausch-Strategie statt "läuft ja noch".
Wenn Sie mit vertraulichen Daten arbeiten (Anwaltskanzlei, Steuerberatung, Arztpraxis), ergänzen Sie Pull-Printing um eine Druckfreigabe-Workflow: Sensible Dokumente (z.B. Vertragsunterlagen, Diagnosen) müssen vor dem Druck von einer zweiten Person freigegeben werden. Das schließt versehentliches Drucken ans falsche Gerät — und ist DSGVO-konform.
Aus der Praxis: Drucker-Sicherheit bei Steuerkanzleien und Arztpraxen
Wir wären ein leichtes Opfer — das weiß ich. Da hätte ich gerne einen verlässlichen Partner, der davon mehr versteht als ich als Laie.
Branchen, die mit besonders schützenswerten Daten arbeiten, brauchen Drucker-Sicherheit zwingend:
| Branche | Kritisches Risiko | Empfohlene Maßnahme |
|---|---|---|
| Steuerberatung / Anwaltschaft | Mandantengeheimnis (BRAO § 2, StBerG § 57) | Pull-Printing + verschlüsselte Festplatte + Sensitivity Labels |
| Arztpraxen | Patientendaten (DSGVO Art. 9, KBV) | Eigenes VLAN + KIM-konforme Konfiguration + Audit-Logs |
| Architekten / Engineering | IP, Baupläne, Verträge | Drucker außerhalb Active Directory + Pull-Printing |
| Logistik / Spedition | Frachtbriefe, Zollunterlagen | VLAN-Isolation + zentrale Print-Server statt Direkt-Druck |
Mehr zur branchenspezifischen IT: IT für Steuerkanzleien, IT für Anwaltskanzleien, IT für Arztpraxen.
Wir sehen es jede Woche: Backups, die seit Monaten nicht geprüft wurden. Drucker, die mit Standardpasswort online sind. Server-Räume mit 38 °C im Sommer. Das sind keine Einzelfälle — das ist der Schnitt bei KMU ohne dedizierten IT-Partner.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Drucker und NIS-2: Was die neuen Pflichten verlangen
Die NIS-2-Richtlinie gilt seit Dezember 2025 und betrifft Drucker explizit als Teil der IT-Infrastruktur. Konkret verlangt sie:
- Asset-Inventar. Jeder Drucker mit Modell, Firmware-Stand, Standort, Verantwortlichem dokumentiert.
- Patch-Management. Dokumentierter Prozess für Firmware-Updates inkl. Notfall-Patches bei kritischen CVEs.
- Zugriffskontrolle. Wer darf Drucker administrieren? Dokumentierte Rollen, MFA für Admins, regelmäßige Reviews.
- Incident-Response. Was tun, wenn ein Drucker auffällig wird? Wer wird informiert? Wer entscheidet?
Wer NIS-2-betroffen ist und Drucker nicht im Asset-Inventar führt, hat ein Problem. Bei der Geschäftsführerhaftung sind das die Punkte, die Auditoren als erstes prüfen.
Drucker-Sicherheit & Managed IT — der pragmatische Weg
Druckersicherheit ist keine Einzelmaßnahme. Sie ist Teil eines guten IT-Betriebs — Patch-Management, Netzwerk-Segmentierung, Identity, Backup. Bei hagel IT in Hamburg läuft das im Managed-IT-Vertrag ab ca. 50 € pro Arbeitsplatz/Monat als Standard mit:
- Firmware-Monitoring & Patch-Management für alle Drucker
- VLAN-Konfiguration & Firewall-Regeln
- Pull-Printing mit Badge oder PIN
- Audit-Reports für Compliance (DSGVO, NIS-2)
- 24/7-Monitoring auf auffällige Druckaufträge
Wer eine eigene IT-Abteilung hat, nutzt unser Co-Managed-IT-Modell — wir bringen Plattform und 24/7, Sie behalten die Hoheit.
Wie gut ist Ihre Druckumgebung wirklich abgesichert?
15 Minuten. Kostenlos. Wir prüfen mit Ihnen die häufigsten Lücken — ehrlich und ohne Vertriebsdruck.
Erstgespräch buchen →Ihr nächster Schritt
Sie wissen nicht, wie sicher Ihre Drucker konfiguriert sind? Oder Sie haben gerade gemerkt, dass Standardpasswörter noch aktiv sind? Sprechen Sie mit uns. Wir prüfen pragmatisch, härten gemeinsam mit Ihnen — und zeigen, was als Managed Print sinnvoll ist.
