Betroffene Einrichtungen
Bereich
Eine kritische Schwachstelle in Microsoft Exchange Server ermöglicht authentifizierten Angreifern durch fehlerhafte Deserialisierung die vollständige Übernahme des Servers via Remote Code Execution. Da Exchange in Krankenhäusern häufig zentral für KIS-Kommunikation, interne Benachrichtigungen und Patientendaten-E-Mails genutzt wird, besteht ein erhebliches Risiko für Datenverlust und Betriebsausfall. Die Schwachstelle wird aktiv ausgenutzt (CISA KEV) und erfordert sofortiges Handeln.
1 Microsoft Exchange Server sofort patchen: Alle verfügbaren Sicherheitsupdates über Windows Update oder Microsoft Update Catalog einspielen (Exchange-spezifische CUs und SUs prüfen).
2. Exchange Server vorübergehend vom externen Netz isolieren (OWA, ECP, ActiveSync), falls Patch nicht sofort möglich – Zugriff nur über VPN mit MFA erlauben.
3. Authentifizierungsprotokolle und Exchange-Logs (IIS-Logs, Event-Logs) auf ungewöhnliche POST-Requests oder verdächtige Deserialisierungsaktivitäten der letzten 30 Tage prüfen.
4. Exchange-Dienstkonten auf minimale Berechtigungen prüfen und privilegierte Zugriffe auf den Exchange Server im Active Directory einschränken (Tier-Modell).
5. SIEM/EDR auf dem Exchange Server aktivieren bzw. Alarmierung für verdächtige Prozesse (z. B. cmd.exe, powershell.exe als Kindprozess von w3wp.exe) konfigurieren.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja