Citrix NetScaler Sicherheitslücke: Kritisch und aktiv ausgenutzt

Drei Schwachstellen in Citrix NetScaler ADC und NetScaler Gateway wurden im Juni 2025 bekannt – zwei davon mit CVSS-Scores von 9.2 bzw. 9.3 als kritisch eingestuft, eine bereits aktiv ausgenutzt. Für Krankenhäuser und Kliniken, die NetScaler als Remote-Access-Gateway oder VPN-Lösung betreiben, ergibt sich unmittelbarer Handlungsbedarf. Das BSI hat die Schwachstellen mit Kritikalität 2 eingestuft und eine Sicherheitsmitteilung herausgegeben. Dieser Artikel fasst die technischen Details, die Bedrohungslage und die notwendigen Schutzmaßnahmen für den Krankenhausbetrieb zusammen.

Was ist passiert: Drei CVEs, zwei Patch-Wellen, eine aktive Ausnutzung

Im Verlauf des Juni 2025 veröffentlichte Citrix in zwei Schritten Patches für insgesamt drei Sicherheitslücken in NetScaler ADC und NetScaler Gateway (vormals Citrix ADC). Das zeitliche Auseinanderfallen der Veröffentlichungen ist dabei operativ relevant:

17. Juni 2025: Citrix veröffentlicht Patches für CVE-2025-5349 und CVE-2025-5777.

25. Juni 2025: Citrix veröffentlicht einen weiteren Patch für CVE-2025-6543 und gibt gleichzeitig bekannt, dass diese Schwachstelle bereits aktiv ausgenutzt wird. Betreiber, die bereits am 17. Juni gepatcht hatten, mussten ihre Systeme erneut aktualisieren, um vollständigen Schutz zu erhalten.

Das bedeutet: Wer nach der ersten Patch-Welle die Systeme als gesichert betrachtet hat, war zwischen dem 17. und 25. Juni weiterhin exponiert – gegenüber einer zu diesem Zeitpunkt bereits aktiv ausgenutzten Schwachstelle. Laut Analyse von ReliaQuest fanden aktive Ausnutzungen von CVE-2025-5777 bereits seit Mitte Juni 2025 statt, also noch vor Veröffentlichung des Patches.

Technische Details: Die drei Schwachstellen im Überblick

CVE-2025-6543 — CVSS 4.0: 9.2 (kritisch)

Typ: Fehlende Kontrolle über Speichergrenzen bei Pufferoperationen (CWE-119, Buffer Errors)
Wirkung: Unbeabsichtigter Kontrollfluss, potenziell Remote Code Execution, Denial-of-Service
Voraussetzung: NetScaler muss als Gateway konfiguriert sein (VPN Virtual Server, ICA Proxy, Clientless VPN/CVPN oder RDP Proxy) oder als AAA Virtual Server
Status: Aktive Ausnutzung durch Citrix am 25. Juni 2025 bestätigt; Proof-of-Concept-Exploits durch watchTowr Labs und Horizon3.ai öffentlich verfügbar

CVE-2025-5777 — CVSS 4.0: 9.3 (kritisch)

Typ: Unzureichende Eingabevalidierung, führt zu Speicherüberauslesung (CWE-125, Out-of-bounds Read)
Wirkung: Auslesen von Speicherinhalten, potenziell Authentication Bypass oder Credential Theft
Voraussetzung: Gleiche Gateway-/AAA-Konfiguration wie CVE-2025-6543
Status: Aktive Ausnutzung bereits seit Mitte Juni 2025 beobachtet (ReliaQuest), Patch seit 17. Juni verfügbar; nach Veröffentlichung technischer Details häufen sich Ausnutzungsberichte

CVE-2025-5349 — CVSS 4.0: 8.7 (hoch)

Typ: Unzureichende Zugriffskontrolle (CWE-284)
Wirkung: Unautorisierter Zugriff auf die NetScaler-Verwaltungsschnittstelle
Voraussetzung: Erreichbarkeit der Management-Schnittstelle
Status: Patch seit 17. Juni 2025 verfügbar

Die Kombination aus öffentlich verfügbaren Proof-of-Concept-Exploits und bestätigter aktiver Ausnutzung macht CVE-2025-6543 und CVE-2025-5777 zu unmittelbaren Angriffsrisiken. Gateway-Konfigurationen sind im Krankenhausumfeld der Regelfall – NetScaler wird dort typischerweise für den Zugang zu klinischen Anwendungen, Citrix Virtual Apps and Desktops sowie Remote-Zugänge für Telemedizin und mobiles Arbeiten eingesetzt.

Warum Krankenhäuser besonders exponiert sind

NetScaler ADC und NetScaler Gateway sind im deutschen Krankenhausumfeld weit verbreitet. Die Technologie wird eingesetzt für:

Remote-Zugang zu KIS/RIS/PACS: Ärztlicher Dienst, Teleradiologie, externe Konsiliarien
Citrix Virtual Apps and Desktops: Thin-Client-Umgebungen für klinische Workstations
VPN-Zugänge: Verwaltung, IT-Fernwartung, Medizintechnik-Hersteller (Supply Chain)
AAA/Multi-Faktor-Authentifizierung: Zentraler Authentifizierungspunkt für externe Nutzer

Ein erfolgreich ausgenutzter Buffer-Overflow (CVE-2025-6543) oder eine Speicherüberauslesung (CVE-2025-5777) an einem solchen Gateway-System bedeutet im schlimmsten Fall: Unauthentifizierter Zugriff auf das interne Krankenhausnetz, Auslesen von Session-Tokens und Credentials, oder direkter Pivot in segmentierte Netzwerkbereiche mit medizinischen Geräten und Patientendaten.

Hinzu kommt die Verwaltungsschnittstelle (CVE-2025-5349): Falls diese über das Management-Netz oder – schlimmer – über das allgemeine Netz erreichbar ist, ermöglicht die Schwachstelle unautorisierten administrativen Zugriff auf die gesamte NetScaler-Konfiguration.

Aus Compliance-Sicht sind Krankenhäuser in Deutschland nach §391 SGB V verpflichtet, angemessene technische und organisatorische Maßnahmen zur IT-Sicherheit umzusetzen. Der B3S Krankenhaus konkretisiert dies unter anderem mit Anforderungen zum Patch-Management und zur Absicherung von Fernzugängen. Als KRITIS-Betreiber ab dem gesetzlichen Schwellenwert unterliegen Häuser zusätzlich den Meldepflichten nach §32 BSIG bzw. den NIS2-Anforderungen des NIS2UmsuCG, das seit Oktober 2024 in Deutschland gilt. Aktiv ausgenutzte kritische Schwachstellen in einem Gateway-System können meldepflichtige Sicherheitsvorfälle auslösen.

Sofortmaßnahmen: Was jetzt zu tun ist

1. Patch-Status unverzüglich prüfen und aktualisieren

Stellen Sie sicher, dass die aktuellen Versionen eingespielt sind, die beide Patch-Wellen abdecken. Versionen, die nur den Stand vom 17. Juni 2025 haben, sind gegen CVE-2025-6543 nicht geschützt. Prüfen Sie die Citrix-Advisories auf die aktuell empfohlenen Versionsnummern für Ihre jeweiligen Produktlinien (NetScaler ADC 14.1, 13.1, 13.0 etc.).

Wichtig: Da CVE-2025-6543 bestätigt aktiv ausgenutzt wurde, gilt Patchen allein nicht als ausreichend – eine Kompromittierungsprüfung ist zwingend erforderlich (siehe unten).

2. Kompromittierungsprüfung (Compromise Assessment) durchführen

Für alle NetScaler-Systeme, die zwischen Mitte Juni und dem vollständigen Patching (nach dem 25. Juni 2025) erreichbar waren, ist eine aktive Prüfung auf Indicators of Compromise (IoC) notwendig:

NetScaler-Logs analysieren: Ungewöhnliche HTTP-Requests an VPN-Endpunkte, auffällige Response-Größen (Out-of-bounds Read erzeugt oft atypische Antwortpakete)
Session-Logs: Authentifizierungen aus unbekannten Geo-Locations oder zu ungewöhnlichen Zeiten
Webshells und Backdoors: Unbekannte Dateien im NetScaler-Dateisystem, insbesondere in Web-Verzeichnissen (bekannte Angriffsmuster bei NetScaler-Kompromittierungen aus vergangenen Jahren)
Netzwerk-Traffic: Lateral-Movement-Aktivitäten nach innen, ausgehende Verbindungen zu unbekannten IPs aus dem NetScaler-Segment
Integrity Check: Citrix empfiehlt für NetScaler-Appliances den Einsatz des integrierten Integrity Checkers

Orientieren Sie sich an den Indicators of Compromise, die watchTowr Labs und Horizon3.ai zu CVE-2025-6543 und CVE-2025-5777 veröffentlicht haben.

3. Verwaltungsschnittstelle isolieren (CVE-2025-5349)

Falls die NetScaler-Managementoberfläche nicht bereits auf einem dedizierten Management-VLAN isoliert ist, ist dies unmittelbar umzusetzen:

Management-Interface ausschließlich über ein getrenntes OOB-Management-Netz erreichbar
Keine Erreichbarkeit aus dem Produktivnetz oder dem Internet
Zugriff auf dedizierte Jump-Hosts mit MFA beschränken

4. Netzwerksegmentierung und Notfallplanung

Falls ein vollständiges Patching kurzfristig nicht möglich ist (z. B. wegen laufendem klinischem Betrieb und Wartungsfensterplanung):

WAF/IPS-Signaturen: Prüfen Sie, ob Ihre vorgelagerte Web Application Firewall oder Ihr IPS Signaturen für CVE-2025-6543 und CVE-2025-5777 bereitstellt – als temporäre Mitigationsmaßnahme, nicht als Ersatz für das Patching
Zugriffsbeschränkung: VPN-Zugänge auf bekannte Quell-IP-Adressen/Ranges einschränken, soweit operativ möglich
Monitoring erhöhen: SIEM-Regeln für NetScaler-Logs temporär verschärfen

5. Meldepflichten prüfen

Falls Hinweise auf eine erfolgte Kompromittierung vorliegen oder nicht ausgeschlossen werden können:

Prüfung der Meldepflicht nach §32 BSIG (für KRITIS-Betreiber: erhebliche Störungen unverzüglich an das BSI melden)
Prüfung der Meldepflicht nach Art. 33 DSGVO (Datenschutzverletzung: 72-Stunden-Frist an die zuständige Landesdatenschutzbehörde), falls Patientendaten betroffen sein könnten
Interne Eskalation gemäß Incident-Response-Plan
Für rechtliche Einschätzung zur Meldepflicht im Einzelfall wenden Sie sich an einen auf IT-Recht spezialisierten Rechtsanwalt.

Strukturelle Lehren für das ISMS

Die Ereignisse rund um diese Citrix NetScaler Sicherheitslücke zeigen ein wiederkehrendes Muster, das im ISMS strukturell adressiert werden muss:

Zweistufige Patch-Zyklen als Risikofaktor: Wenn ein Hersteller innerhalb einer Woche einen zweiten Patch nachschieben muss, der Lücken des ersten Patches schließt, und gleichzeitig aktive Ausnutzung kommuniziert, versagen klassische monatliche Patch-Zyklen. Krankenhäuser benötigen einen Emergency-Patch-Prozess mit definierten Eskalationsstufen und klar festgelegten Entscheidungsträgern, der innerhalb von 24–72 Stunden wirksam ist.

Gateway-Systeme als höchstes Risikoprofil: Remote-Access-Gateways, VPN-Konzentratoren und AAA-Systeme sind per Definition die am stärksten exponierten Komponenten in der IT-Architektur eines Krankenhauses. Sie verdienen ein eigenständiges Patch-Priorisierungsregime, kontinuierliches Monitoring und regelmäßige Integrity-Checks – unabhängig vom allgemeinen Patch-Rhythmus.

Kompromittierungsprüfung als Standardprozess: Der Reflex „gepatcht = sicher" greift bei aktiv ausgenutzten Schwachstellen nicht. Der Patch-Prozess für Gateway-Systeme muss immer die Frage einschließen: Waren wir vor dem Patch angreifbar, und wurden wir angegriffen? Diese Prüfung gehört als fester Schritt in die Patch-Prozessdokumentation.

Supply-Chain-Monitoring: Citrix NetScaler wird vielfach auch von Dienstleistern, Medizintechnikherstellern und IT-Outsourcing-Partnern im Auftrag von Krankenhäusern betrieben. Stellen Sie sicher, dass Ihre Dienstleister nachweisbar und dokumentiert auf solche Sicherheitsmitteilungen reagieren – und dass Ihr Vertrag eine entsprechende Reaktionspflicht mit SLA enthält.

Checkliste: Citrix NetScaler CVE Juni 2025

Maßnahme	Verantwortlich	Status
Patch-Stand auf aktuellste Version (post 25.06.2025) prüfen	IT-Betrieb	☐
Kompromittierungsanalyse für exponierte Zeiträume	IT-Security / SOC	☐
Management-Interface auf dediziertes VLAN isoliert	Netzwerk	☐
SIEM-Monitoring für NetScaler-Logs aktiviert/verschärft	SOC	☐
WAF/IPS-Signaturen aktualisiert (temporäre Mitigation)	IT-Security	☐
Dienstleister-Patch-Status abgefragt und dokumentiert	ISB	☐

Kostenlose NIS2-Bestandsaufnahme starten →