Cisco AnyConnect Alternative 2026: ASA-Support endet, der Migrationsplan zu NetBird

Am 31. August 2026 endet der Cisco-Support für die ASA 5506-X, 5508-X und 5516-X endgültig: keine Patches, kein TAC, und auch die Signature Release läuft aus. Der zugehörige VPN-Client AnyConnect 4.x erhält bereits seit dem 31. März 2024 keine Security-Fixes mehr. Ciscos offizieller Nachfolger Secure Client 5.x ist verfügbar, doch zentrale Funktionen setzen ASA-Software voraus, die auf den Auslaufmodellen nie laufen wird: Der Verbleib bei Cisco bedeutet für diese Geräte faktisch neue Hardware plus Lizenzmigration. Gleichzeitig zeigt die im April 2026 dokumentierte FIRESTARTER-Backdoor, dass kompromittierte VPN-Appliances selbst eingespielte Patches überleben können. Dieser Beitrag liefert die vollständige EoL-Timeline, ordnet die Sicherheitslage nüchtern ein und zeigt einen Migrationsplan, der in vier Wochen ohne Hardware-Neukauf zum Ziel führt: von AnyConnect zu WireGuard-basiertem Zero-Trust-Networking mit NetBird, als Managed Service gehostet in Deutschland.

Kurzvergleich: Cisco ASA/AnyConnect vs. NetBird

Wer vor der Entscheidung "neue Cisco-Hardware oder Architekturwechsel" steht, vergleicht im Kern diese beiden Pfade:

Die Deadline: Was am 31. August 2026 endet

Die ASA-5500-X-Reihe war über Jahre die Standard-Wahl für Firewall und VPN in kleinen und mittleren Unternehmen. Genau deshalb trifft dieses Datum so viele Netzwerke: Am 31. August 2026 erreichen die ASA 5506-X (inklusive 5506H-X und 5506W-X), 5508-X und 5516-X ihren Last Date of Support.[1][2] Die vollständige Timeline aus den beiden Cisco-End-of-Life-Notices:

Was bedeutet Last Date of Support? Es ist der Tag, ab dem Cisco jede Unterstützung für das Produkt einstellt: kein TAC-Support, keine Software-Fixes, keine Workarounds. Das Gerät gilt ab diesem Datum als obsolet.

Für die Planung ebenso wichtig: Die letzte Software-Version für diese Modelle ist ASA 9.16. Die Release Notes zu ASA 9.17 stellen ausdrücklich klar, dass 5506-X, 5506H-X, 5506W-X, 5508-X und 5516-X ab Version 9.17(1) nicht mehr unterstützt werden.[3] Ein Upgrade-Pfad auf aktuelle Software existiert für diese Hardware also nicht, unabhängig vom Support-Vertrag.

AnyConnect 4.x: seit März 2024 ohne Security-Patches

Die zweite Hälfte des Problems sitzt auf den Endgeräten. Cisco formuliert es in der End-of-Life-Notice zu AnyConnect 4.x unmissverständlich: Nach dem 31. März 2024 gibt es keine Patches und keine Maintenance-Releases mehr; der formale Support endet am 31. März 2027.[4] Wer heute AnyConnect 4.x auf einer der genannten ASAs betreibt, fährt eine Kombination, bei der weder Client noch Appliance Sicherheitsupdates erhalten.

Ciscos Migrationspfad heißt Secure Client 5.x. Der Haken für Besitzer der EoL-Modelle: Zentrale Funktionen des neuen Clients setzen ASA-Software voraus, die auf diesen Geräten nie laufen wird. Die Secure-Client-5-Release-Notes nennen die Anforderungen konkret:[5]

"Einfach den Client updaten" ist damit keine Lösung. Der Verbleib im Cisco-Ökosystem bedeutet für diese Hardware-Generation praktisch: neue Secure-Firewall-Appliance plus Lizenzmigration plus Projekt. Das ist ein legitimer Weg für Organisationen, die tief im Cisco-Stack stehen. Für alle, deren ASA vor allem als VPN-Einwahlpunkt diente, lohnt der Blick auf die Architekturfrage dahinter.

CVE-2025-20333, FIRESTARTER, FortiBleed: das Muster hinter den Appliance-VPNs

Die EoL-Deadline fällt in eine Phase, in der öffentlich erreichbare VPN-Appliances quer durch die Branche unter Druck stehen. Die Ereignisse der letzten zwölf Monate, neutral dokumentiert:

September 2025: Cisco veröffentlicht Advisories zu zwei ASA/FTD-Schwachstellen. CVE-2025-20333 ist ein kritischer Buffer Overflow mit CVSS 9.9, der entfernte Codeausführung mit Root-Rechten erlaubt.[6] CVE-2025-20362 bewertet Cisco mit CVSS 6.5; die NVD bewertet dieselbe Schwachstelle mit 8.6.[7] Beide wurden am 25.09.2025 in den CISA-Katalog der nachweislich ausgenutzten Schwachstellen (KEV) aufgenommen.[6][7]

Emergency Directive ED 25-03 (25.09.2025): CISA verpflichtete US-Bundesbehörden, alle ASA- und Firepower-Geräte zu identifizieren, Speicherabbilder zur Forensik einzureichen und bei erkannter Kompromittierung die Geräte sofort vom Netz zu trennen, ohne sie auszuschalten.[8] Wichtig für die korrekte Einordnung: Die dauerhafte Disconnect-Anweisung galt nur für ASA-Modelle, deren End-of-Support am oder vor dem 30.09.2025 lag. Für die Modelle mit Support bis 31.08.2026, also 5506-X, 5508-X und 5516-X, lautete die Vorgabe: patchen bis zum 26.09.2025 und alle Folgeupdates binnen 48 Stunden einspielen.[8]

November 2025: CISA meldet in der aktualisierten Umsetzungs-Guidance, dass mehrere Organisationen glaubten, die nötigen Updates eingespielt zu haben, tatsächlich aber nicht auf der Mindestversion waren.[9]

April 2026: CISA und das britische NCSC veröffentlichen am 23.04.2026 den Malware Analysis Report AR26-113A zur FIRESTARTER-Backdoor: eine Linux-ELF-Backdoor auf Cisco-Firepower- und Secure-Firewall-Geräten (ASA/FTD), die die LINA-Datenebene hookt, unterhalb der ASA-Software ansetzt und Reboots sowie Firmware-Updates übersteht, solange kein harter Power Cycle erfolgt.[10] Die Angreifer nutzten FIRESTARTER im März 2026, um ohne erneute Ausnutzung der ursprünglichen Schwachstellen wieder Zugriff zu erlangen und die Malware LINE VIPER auf bereits gepatchten Geräten neu auszurollen; dokumentiert ist die Kompromittierung einer US-Bundesbehörde, die ihre Geräte gemäß ED 25-03 gepatcht hatte.[10] Zur Bereinigung verlangte CISA einen physischen Hard Power Cycle, also das Ziehen der Stromversorgung, weil ein Reboot nicht genügt, plus einen im April 2026 veröffentlichten Cisco-Patch gegen genau diesen Persistenzmechanismus, mit Frist 30.04.2026.[8]

24.04.2026: Das BSI aktualisiert seine Cybersicherheitswarnung "Cisco Firewalls mit persistenter Malware infiziert" auf Version 1.1 und nennt darin CVE-2025-20333, CVE-2025-20362 und CVE-2025-20363 sowie die FIRESTARTER-Persistenz.[11]

Dass es sich nicht um ein Cisco-spezifisches Problem handelt, zeigt der Blick zur Konkurrenz. Bitsight dokumentierte am 18.06.2026 unter dem Namen FortiBleed über 73.000 möglicherweise betroffene, aus dem Internet erreichbare FortiGate-Firewalls, rund 50 Prozent aller erreichbaren Geräte in 194 Ländern: Admin-Passwörter blieben nach Upgrades als schwache SHA-256-Hashes gespeichert, bis sich der Administrator erneut anmeldet, und Angreifer knackten sie mit einer 45-GPU-Offline-Infrastruktur.[12] Die vollständige Analyse dieses Falls samt Sofortmaßnahmen steht in FortiBleed: was der FortiGate-Leak über SSL-VPN-Appliances verrät. Die Vorgeschichte bei anderen Herstellern haben wir in Fortinet VPN Alternative 2026 und Sophos VPN Alternative 2026 aufgearbeitet.

Warum Patchen allein nicht mehr genügt

Das eigentliche Muster ist architektonisch: Ein öffentlich erreichbares VPN-Portal auf einer proprietären Appliance ist ein permanent exponiertes, lohnendes Ziel. Die FIRESTARTER-Erkenntnis verschiebt die Debatte zusätzlich, denn wenn eine Backdoor Patches und Reboots übersteht, reicht "schneller patchen" als Strategie nicht mehr aus. Die strukturelle Antwort lautet: die Angriffsfläche abschaffen, statt sie immer schneller zu flicken. Genau hier setzt ein WireGuard-Overlay ohne öffentlich lauschendes Portal an, ein Gedanke, den wir auch in OpenVPN Alternative 2026 vertiefen.

Die Alternative: WireGuard-Mesh und Zero Trust mit NetBird

NetBird ist ein Open-Source-Overlay-Netzwerk auf WireGuard-Basis. Statt alle Verbindungen an einem zentralen Gateway zu terminieren, verbinden sich die Geräte direkt Peer-to-Peer; eine Management-Ebene aus Management-, Signal- und Relay-Diensten übernimmt Authentifizierung, Schlüsselverteilung und Richtlinien. Die technischen Grundlagen erklärt unser Leitfaden WireGuard im Unternehmen einrichten.

Architektur: Peer-to-Peer statt öffentlichem Portal

Der für die Cisco-Migration entscheidende Unterschied: Es gibt kein öffentlich erreichbares VPN-Portal mehr, an dem sich Angreifer abarbeiten können. Verbindungen laufen direkt zwischen den Peers; nur wenn keine direkte Verbindung möglich ist, springt ein Relay ein. Damit entfällt genau die Angriffsfläche, die bei den dokumentierten Appliance-Kampagnen der Jahre 2025 und 2026 ausgenutzt wurde. Das ist eine Architektur-Aussage, kein Sicherheits-Superlativ: Auch ein Mesh-Netz will sauber konfiguriert, überwacht und aktuell gehalten werden.

Zero-Trust-Bausteine: Richtlinien, Posture Checks, SSO

Was bei der ASA Zusatzprodukte erforderte, bringt NetBird als Plattformfunktion mit: gruppenbasierte Zugriffsrichtlinien, SSO-Anbindung an Ihren Identity Provider und Posture Checks, die den Zugriff an Bedingungen knüpfen. Geprüft werden können NetBird-Client-Version, Land und Region, Peer-Netzbereich (IPv4 und IPv6), Betriebssystem- beziehungsweise Kernel-Version sowie laufende Prozesse, etwa ein EDR-Agent.[15]

Auch beim Enterprise-Rollout muss sich der Client nicht hinter AnyConnect verstecken: NetBird dokumentiert das Intune-Deployment offiziell,[16] und seit Version 0.73.0 vom 18.06.2026 unterstützt der Client MDM-Konfigurationsprofile über die Windows Registry und macOS plist.[13] Bemerkenswert ist auch die Entwicklungsgeschwindigkeit: Allein im Juli 2026 erschienen vier Releases, aktuell ist v0.76.1 vom 31.07.2026.[13] Das ist der Kontrast zu einem Client, der seit März 2024 keine Updates mehr erhält. Lizenzrechtlich ist NetBird Open Source unter BSD-3-Clause; die Server-Verzeichnisse management/, signal/, relay/ und combined/ stehen unter AGPL-3.0.[14]

Ehrlich: Was NetBird ersetzt und was nicht

NetBird ersetzt die VPN-Funktionen der ASA: den Remote-Access für Mitarbeitende und die Site-to-Site-Kopplung über Routing-Peers und Networks. NetBird ersetzt nicht die Firewall-Funktionen: NAT, IDS/IPS, Traffic-Inspection und Web-Filtering bleiben eine separate Aufgabe. Wer seine ASA primär als Next-Generation-Firewall nutzt, plant einen Firewall-Ersatz, keinen VPN-Ersatz. Und wer in Spezialumgebungen regulatorisch zertifizierte IPsec-Gateways benötigt, etwa im VS-NfD-Umfeld, sollte das gesondert prüfen. Für alle anderen gilt: Die künftige Firewall muss kein VPN-Portal mehr exponieren und kann entsprechend einfacher und günstiger ausfallen.

Migrationsplan: In vier Wochen von AnyConnect zu NetBird

Vier Wochen bis zum Stichtag reichen nicht für ein Hardware-Beschaffungsprojekt, wohl aber für einen geordneten Architekturwechsel. Ein erprobter Ablauf:

1. Woche 1, Inventur: Erfassen Sie, was die ASA heute wirklich leistet: Wer wählt sich per AnyConnect ein, welche Standorte sind per Site-to-Site gekoppelt, welche Firewall-Funktionen (NAT, IPS, Filtering) müssen erhalten bleiben? Diese Liste trennt den VPN-Ersatz vom Firewall-Thema.
2. Woche 1, Instanz und Identität: Erstellen Sie die birdhost-Instanz und binden Sie Ihre Identitäten an. Im Startup-Plan ist ein Identity Provider (Dex) integriert, im Business-Plan koppeln Sie Ihren eigenen IdP per OIDC/SAML für SSO.
3. Woche 2, Pilotgruppe parallel zu AnyConnect: Verteilen Sie den NetBird-Client per Intune oder anderem MDM an eine Pilotgruppe.[16] Beide Clients koexistieren auf demselben Gerät, AnyConnect bleibt als Fallback. Bilden Sie Ihre Zugriffsregeln als gruppenbasierte Richtlinien nach und aktivieren Sie Posture Checks.
4. Woche 3, Site-to-Site: Lösen Sie die IPsec-Standortkopplungen der ASA durch Routing-Peers und Networks im Overlay ab. Wie das ohne MPLS-artige Konstrukte funktioniert, zeigt Standorte vernetzen ohne MPLS.
5. Woche 4, Cutover: Stellen Sie die restlichen Nutzer um, deinstallieren Sie AnyConnect per MDM und deaktivieren Sie das VPN-Portal der ASA. Bleibt die ASA übergangsweise als reine Firewall in Betrieb, ist sie damit nicht mehr aus dem Internet erreichbar; ihr EoL-Status bleibt trotzdem ein Grund, den Ersatz zu planen.

Für regulierte Unternehmen ist der Zeitpunkt auch aus Compliance-Sicht relevant: Ein VPN ohne Hersteller-Patches ist im Risikomanagement nach NIS2 schwer verteidigbar, Details in NIS2 und VPN: Anforderungen an die Netzwerksicherheit. Dieser Beitrag ist kein Rechtsrat; beziehen Sie bei konkreten Fragen Ihre Datenschutz- oder Rechtsberatung ein.

Entscheidungsmatrix: Neue Cisco-Hardware oder Architekturwechsel?

Der Cisco-Pfad (Secure Firewall plus Secure Client 5) passt, wenn:

• Sie tief im Cisco-Stack stehen (ISE, Umbrella, Duo) und zertifiziertes Cisco-Know-how im Haus haben,
• die Appliance primär als NGFW gebraucht wird und VPN nur eine Nebenfunktion ist,
• Ihre Beschaffungsrichtlinien einen Hersteller-Supportvertrag für alle Komponenten verlangen.

Der Architekturwechsel zu NetBird mit birdhost passt, wenn:

• die ASA vor allem als VPN-Einwahlpunkt für Homeoffice und Außendienst sowie zur Standortkopplung diente,
• vor dem Stichtag weder Budget noch Personal für ein Appliance-Projekt verfügbar ist,
• Sie Zero-Trust-Funktionen wie Posture Checks, SSO und granulare Richtlinien ohne Zusatzlizenzen wollen,
• Datensouveränität zählt: Kontrollebene und Daten in Deutschland statt bei einem US-Anbieter.

Der letzte Punkt verdient eine ehrliche Einordnung, denn NetBird ist nicht die einzige moderne Alternative. Tailscale betreibt eine eigene Vergleichsseite gegen den Cisco Secure Client, ein deutliches Signal, wie umkämpft die AnyConnect-Abwanderer sind.[17] Tailscale und Twingate sind allerdings US-SaaS-Angebote mit den bekannten CLOUD-Act-Fragen, die wir in DSGVO-konformes VPN: das US-Cloud-Compliance-Risiko analysieren. Die Detailvergleiche: NetBird vs. Tailscale und Twingate Alternative 2026.

Managed NetBird aus Deutschland: birdhost

Als Managed NetBird Hosting aus Deutschland betreibt birdhost Ihre eigene NetBird-Instanz: Backups, Patches, Updates und 24/7-Monitoring inklusive, also genau die Betriebsleistung, die beim EoL-Gerät weggefallen ist. Gehostet wird auf Wunsch in Deutschland in ISO-27001- und BSI-C5-zertifizierten Rechenzentren (Zertifizierung des Rechenzentrumsbetreibers), ein AVV ist verfügbar; insgesamt stehen 8 Regionen zur Wahl: Deutschland, Niederlande, USA, Kanada, Singapur, Japan, Australien und Indien.

Die Preise sind nach Support-Stufe gestaffelt. In Deutschland kostet Essential 99,90 € im Monat, Business 199,90 €, Priority 249,90 € und Enterprise 449,90 €, jeweils netto. Nutzer und Geräte werden nicht nach Stückzahl begrenzt. Business reagiert in 4 Stunden, Priority in 1 Stunde, jeweils täglich von 07:00 bis 18:00 Uhr. Enterprise reagiert innerhalb von 60 Minuten rund um die Uhr. In Deutschland sind 20 TB Traffic enthalten, in den übrigen sieben Regionen 4 TB. Der Test läuft sieben Tage, erfordert eine Kreditkarte und geht anschließend automatisch in das gewählte kostenpflichtige Abo über.

Transparenz: birdhost ist kein offizielles NetBird-Produkt und steht in keiner Verbindung zur NetBird GmbH. Cisco, ASA, AnyConnect und Secure Client sind Marken ihrer jeweiligen Inhaber.

Fazit: Vier Wochen reichen für den Einstieg, nicht für ein Hardware-Projekt

Der 31. August 2026 ist kein Weltuntergang, aber ein hartes Datum: Danach betreiben Sie Firewall und VPN-Client ohne jede Herstellerunterstützung, in einer Bedrohungslage, in der Appliance-Backdoors nachweislich Patches überleben. Der Verbleib bei Cisco ist ein legitimes Projekt, aber eben ein Hardware-Projekt mit Beschaffung, Lizenzen und Migrationsaufwand. Der Architekturwechsel zu NetBird ist in vier Wochen machbar: Instanz erstellen, Pilotgruppe parallel zu AnyConnect fahren, Standorte über Routing-Peers koppeln, Cutover. Das öffentliche VPN-Portal verschwindet dabei ganz, und der Betrieb liegt bei einem Managed Service in Deutschland. Starten Sie mit der Inventur, der Rest ist Handwerk.

Quellen

• [[1]] Cisco: End-of-Sale and End-of-Life Announcement ASA 5506-Serie (c51-744797)
• [[2]] Cisco: End-of-Sale and End-of-Life Announcement ASA 5508-X/5516-X (c51-744798)
• [[3]] Cisco: Release Notes for the ASA Series 9.17(x) (kein Support für 5506-X/5508-X/5516-X ab 9.17(1))
• [[4]] Cisco: End-of-Life Announcement AnyConnect Secure Mobility Client 4.x
• [[5]] Cisco: Release Notes for Cisco Secure Client 5.0 (SAML External Browser, TLS 1.3, HostScan)
• [[6]] NVD: CVE-2025-20333 (CVSS 9.9, KEV seit 25.09.2025)
• [[7]] NVD: CVE-2025-20362 (Cisco CVSS 6.5, NVD 8.6, KEV seit 25.09.2025)
• [[8]] CISA: Emergency Directive ED 25-03 inkl. Update vom 23.04.2026 (Hard Power Cycle, Persistenz-Patch)
• [[9]] CISA: Update Implementation Guidance zu ED 25-03 (12.11.2025)
• [[10]] CISA/NCSC: Malware Analysis Report AR26-113A, FIRESTARTER Backdoor (23.04.2026)
• [[11]] BSI: Cybersicherheitswarnung Version 1.1 "Cisco Firewalls mit persistenter Malware infiziert" (24.04.2026)
• [[12]] Bitsight: Security Alert FortiBleed (18.06.2026)
• [[13]] NetBird GitHub Releases (v0.73.0 vom 18.06.2026, v0.76.1 vom 31.07.2026)
• [[14]] NetBird LICENSE (BSD-3-Clause, AGPL-3.0 für management/, signal/, relay/, combined/)
• [[15]] NetBird Docs: Posture Checks
• [[16]] NetBird Docs: Intune-Deployment
• [[17]] Tailscale: Compare-Page vs. Cisco Secure Client