TeamViewer-Lücke: Ist Ihre 2FA unter macOS sicher?

TeamViewer für macOS: Eine Logiklücke umgeht die Zwei-Faktor-Pflicht

Markus Seyfferth

Autor Dr. Web

30. Juli 2026

2 Min. Lesezeit

TeamViewer hat am 29. Juli eine Sicherheitslücke im macOS-Client offengelegt, die die Zwei-Faktor-Authentifizierung beim unbeaufsichtigten Zugriff umgeht.^[1] Gemeldet wurde sie über das Bug-Bounty-Programm des Herstellers, aktive Angriffe sind bislang nicht bekannt. Trotzdem wiegt der Fund schwerer als ein Routine-Patch, denn er trifft die letzte Verteidigungslinie eines Fernwartungswerkzeugs.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Das Wichtigste in Kürze

CVE-2026-12703 gilt mit einem CVSS-Wert von 8,0 als hohes Risiko und betrifft alle macOS-Clients vor Version 15.80.
Die Lücke hebelt die Zwei-Faktor-Abfrage nur unter drei Bedingungen aus: ein gültiges Konto, Geräteverwaltungsrechte und aktivierter unbeaufsichtigter Zugriff.
Version 15.80 schließt den Fehler; ein Angriff in freier Wildbahn ist nicht dokumentiert.
Der eigentliche Alarm gilt der Gattung: Fernwartungssoftware zählt zu den meistmissbrauchten Einstiegswegen für Ransomware.

Wie umgeht der Angriff die zweite Sperre?

Schlosskasten mit offenem Vorhängeschloss, „2FA“-Schild und Schlüssel vor weißem Hintergrund — macOS-Client: Logikfehler ermöglicht Umgehung der Zwei-Faktor-Authentifizierung bei unbeaufsichtigtem Zugriff mit Geräteverwaltungsrechten

Ein Logikfehler im macOS-Client lässt ein Konto mit Geräteverwaltungsrechten die Zwei-Faktor-Abfrage für Verbindungsfreigaben überspringen, sobald der unbeaufsichtigte Zugriff aktiv ist. Diese zweite Sperre soll genau den Fall absichern, in dem niemand am Zielrechner sitzt und manuell zustimmen kann.

Hohe Hürden mildern das Bild. Der CVSS-Vektor weist eine hohe Angriffskomplexität und hohe Rechte auf der Angreiferseite aus, ein Außenstehender ohne gültiges Konto kommt so nicht hinein.

Das Innentäter-Risiko bleibt. Ein Angreifer mit bereits erlangten Verwaltungsrechten über die Mac-Flotte, etwa aus einem gekaperten Admin-Konto, kann die zusätzliche Bestätigung aushebeln und unbemerkt fremde Sitzungen öffnen.

Warum ist die Fernwartung selbst das Ziel?

Einfallstor Fernzugriff. Werkzeuge wie TeamViewer oder AnyDesk stehen bei Angreifern hoch im Kurs, weil sie legitim aussehen und tiefen Zugriff bieten. Der Sicherheitsdienstleister Huntress hat zuletzt einen Anstieg des Missbrauchs solcher Werkzeuge um 277 Prozent binnen eines Jahres verzeichnet.

Kein Einzelfall ist die Schwachstellen-Serie im Produkt selbst. Bereits im Februar hat eine andere Lücke die Bestätigungsabfrage ausgehebelt, sodass eine Fernsitzung ganz ohne sichtbaren Zustimmungsdialog zustande gekommen ist.

Das Muster zieht sich durch die Branche: Zugriffskontrollen in Verwaltungswerkzeugen versagen immer wieder an der Rechtevergabe, wie zuletzt die Kaperung einer SD-WAN-Zentrale ganz ohne Passwort gezeigt hat.

8,0

CVSS-Wert, eingestuft als hohes Risiko

vor 15.80

Alle macOS-Clients (Full Client und Host) betroffen

15.80

Ab dieser Version ist der Fehler behoben

Nur unter drei Bedingungen greift der Angriff

Gültiges Konto

Der Angreifer ist bereits authentifiziert, ein anonymer Zugriff genügt nicht.

Geräteverwaltungsrechte

Das Konto verwaltet die vorab freigegebenen Mac-Geräte.

Unbeaufsichtigter Zugriff

Auf dem Zielgerät ist der unbeaufsichtigte Zugriff aktiviert.

Die NIS2-Meldekette bei einem Vorfall

24 Std.

Frühwarnung an die zuständige Behörde

72 Std.

Vollständige Vorfallsmeldung

30 Tage

Abschlussbericht nachreichen

Nicht die einzelne Lücke ist das eigentliche Problem, sondern dass die Fernwartung selbst zur offenen Tür wird. Unternehmen müssen dieses Werkzeug wie ein Hochsicherheitsschloss behandeln, nicht wie ein Komfort-Feature.
— Michael Dobler, Herausgeber Dr. Web

Was müssen deutsche IT-Verantwortliche jetzt tun?

Zuerst das Update. Alle Mac-Clients gehören auf Version 15.80 oder neuer gehoben. Dass ein unscheinbares Update den entscheidenden Unterschied macht, ist dabei keine neue Lektion.

Rechte begrenzen senkt die Angriffsfläche. Geräteverwaltungsrechte sollten wenige Konten tragen, und der unbeaufsichtigte Zugriff gehört auf die Geräte beschränkt, die ihn wirklich brauchen. Wie sicherer Fernzugriff aussehen kann, zeigt ein zertifiziertes Gegenbeispiel aus der Gebäudetechnik.

Die NIS2-Uhr läuft mit. Betroffene Einrichtungen müssen einen Sicherheitsvorfall binnen 24 Stunden erstmals melden und nach 72 Stunden vollständig nachreichen, das BSI erwartet dabei einen belegbaren Patch-Stand statt einer Absichtserklärung.

Unterm Strich ist der Patch die Pflicht und die Konfiguration die Kür. Ein Blick auf die tatsächlichen Kosten einer Datenpanne macht klar, dass sich der Aufwand rechnet, bevor ein Zwischenfall ihn erzwingt.