Betroffene Einrichtungen
Bereich
Eine Schwachstelle bei der Deserialisierung nicht vertrauenswürdiger Daten in Microsoft 365 Copilot ermöglicht es einem authentifizierten Angreifer, über das Netzwerk beliebigen Code auszuführen. Mit einem CVSS-Score von 9,9 ist die Schwere als kritisch einzustufen, da ein autorisierter – aber möglicherweise niedrigprivilegierter – Nutzer durch gezielte Ausnutzung vollständige Codeausführung auf betroffenen Systemen erlangen kann. M365 Copilot wird in Gesundheitseinrichtungen zunehmend als KI-gestützte Produktivitätslösung eingesetzt, die in Microsoft-365-Umgebungen integriert ist und dort Zugriff auf sensible Patientenkommunikation, klinische Dokumente sowie verknüpfte Dienste wie KIS-Schnittstellen haben kann. Sofern M365 Copilot im Klinikumfeld betrieben wird, besteht das Risiko, dass Angreifer über diese Schwachstelle kritische Systeme kompromittieren und potenziell auf Patientendaten zugreifen oder klinische Abläufe stören. Angesichts des kritischen Schweregrads ist eine sofortige Prüfung und Aktualisierung der Umgebung dringend geboten.
1 Microsoft 365 Copilot umgehend über das Microsoft 365 Admin Center auf den aktuellen, von Microsoft bereitgestellten Sicherheitspatch aktualisieren – Patchverfügbarkeit im Microsoft Security Update Guide unter CVE-2025 (zugehörige CVE-Nummer) prüfen und Deployment erzwingen.
2. Zugriff auf M365 Copilot im Netzwerk temporär einschränken oder deaktivieren, solange der Patch nicht flächendeckend ausgerollt ist – insbesondere für Nutzer mit erhöhten Berechtigungen (Administratoren, KIS-Zugänge).
3. Netzwerkseitige Überwachung auf ungewöhnliche Codeausführungsversuche aktivieren: SIEM-Regeln für anomale Aktivitäten aus M365-Cloud-Diensten konfigurieren und Alerting auf verdächtige Remote-Execution-Muster schärfen.
4. Betroffene Nutzerkonten auf Anzeichen einer Kompromittierung prüfen: Audit-Logs in Microsoft Purview und Azure AD auf unerwartete Aktivitäten, Anmeldungen aus unbekannten IP-Adressen und verdächtige OAuth-Token-Grants kontrollieren.
5. Vorfall gemäß internem Meldeprozess eskalieren und – bei Hinweis auf aktive Ausnutzung im KRITIS-Kontext – Meldung an BSI (NIS2) sowie ggf. an CERT.at und BACS vorbereiten.
NIS2-Relevanz: ••• B3S: ••• ISG: ••ˆ Meldepflicht DE: ja