Citrix NetScaler Sicherheitslücke: Soforthandlung erforderlich

Drei kritische CVEs in NetScaler ADC und Gateway – eine davon bereits aktiv ausgenutzt. Für Krankenhäuser und KRITIS-Betreiber besteht dringender Handlungsbedarf.

Im Juni und Juli 2025 veröffentlichte Citrix mehrere Patches für schwerwiegende Sicherheitslücken in NetScaler ADC und NetScaler Gateway. Eine der Schwachstellen wird bereits aktiv ausgenutzt – und zwar nachweislich schon vor dem Erscheinen des offiziellen Patches. Für Krankenhäuser, die NetScaler als VPN-Gateway oder Remote-Access-Lösung einsetzen, ist das Szenario besonders brisant: Diese Konfiguration ist im Klinikalltag weit verbreitet und macht die betroffenen Systeme zum direkten Angriffsziel. Dieser Artikel fasst die technischen Details zusammen, ordnet die regulatorischen Pflichten ein und gibt konkrete Handlungsempfehlungen für ISB und IT-Leitung.

Die drei Schwachstellen im Überblick

Das BSI stuft die Warnung mit Kritikalität 2 ein und hat unter der Kennung 2025-254480-1032 eine offizielle Cybersicherheitswarnung veröffentlicht (Version 1.1, Stand 08.07.2025). Betroffen sind Citrix NetScaler ADC und NetScaler Gateway in mehreren Versionszweigen. Die drei Schwachstellen unterscheiden sich in Angriffsvektor, Auswirkung und Ausnutzungsstatus erheblich.

CVE-2025-5777 – CVSS 9.3 (kritisch)

Diese Schwachstelle basiert auf unzureichender Eingabevalidierung und führt zu einer Speicherüberauslesung (Out-of-Bounds Read, CWE-125). Ein Angreifer kann ohne Authentifizierung Speicherinhalte aus dem laufenden Prozess auslesen – das betrifft potenziell Session-Token, Credentials oder andere sensitive Daten im Arbeitsspeicher.

Voraussetzung: NetScaler muss als Gateway (VPN Virtual Server, ICA Proxy, Clientless VPN, RDP Proxy) oder AAA Virtual Server konfiguriert sein. Das ist in Krankenhausumgebungen mit Citrix-basierten Remote-Access-Infrastrukturen die Standardkonfiguration.

Status: Bereits aktiv ausgenutzt. ReliaQuest beobachtete erste Ausnutzungsversuche bereits Mitte Juni 2025 – also noch vor dem offiziellen Patch-Advisory vom 17. Juni 2025. Nach Veröffentlichung eines Proof-of-Concept-Exploits durch watchTowr Labs und Horizon3.ai häufen sich die Berichte über erfolgreiche Kompromittierungen. Der Zeitraum zwischen Erstausnutzung und Patch-Verfügbarkeit entspricht einem klassischen Zero-Day-Fenster.

CVE-2025-6543 – CVSS 9.2 (kritisch)

Diese Schwachstelle entsteht durch fehlende Kontrolle über Speichergrenzen bei Pufferoperationen (Buffer Overflow / CWE-119) und kann zu einem unbeabsichtigten Kontrollfluss sowie einem Denial-of-Service-Zustand führen. In der Praxis bedeutet das: Angreifer können das Gerät zum Absturz bringen oder – je nach konkreter Ausnutzbarkeit – möglicherweise Code ausführen.

Auch hier gilt: Gateway- oder AAA-Konfiguration ist Voraussetzung. Citrix informierte erst am 25. Juni 2025 über diese Schwachstelle – eine Woche nach dem ersten Advisory – und machte dabei gleichzeitig bekannt, dass CVE-2025-6543 zum Zeitpunkt der Veröffentlichung bereits aktiv ausgenutzt wird. Wer nach dem ersten Patch-Zyklus (17. Juni) aktualisiert hatte, musste erneut patchen, um vollständigen Schutz zu erreichen.

CVE-2025-5349 – CVSS 8.7 (hoch)

Diese Schwachstelle betrifft eine unzureichende Zugriffskontrolle (CWE-284) auf die NetScaler-Verwaltungsschnittstelle. Sie erlaubt es Angreifern, unter bestimmten Bedingungen auf administrative Funktionen zuzugreifen, ohne die vorgesehenen Berechtigungsprüfungen zu durchlaufen. Das Advisory dazu erschien am 17. Juni 2025. Zum aktuellen Zeitpunkt liegen keine bestätigten Berichte über eine aktive Ausnutzung im Feld vor, aber die Kritikalität der Verwaltungsschnittstelle – gerade in Krankenhäusern mit zentralisierter Netzwerksteuerung – macht diese Lücke nicht weniger gefährlich.

Warum Krankenhäuser besonders exponiert sind

NetScaler ADC und NetScaler Gateway sind im deutschen Gesundheitswesen weit verbreitet. Sie werden eingesetzt als:

VPN-Gateway für Remote-Access von klinischem Personal und externen Dienstleistern
Load Balancer vor klinischen Applikationen (KIS, RIS, PACS)
Citrix Virtual Apps and Desktops Proxy für den Zugriff auf Thin-Client-Umgebungen
AAA-Endpunkt für zentralisiertes Authentifizierungsmanagement

Gerade die Kombination aus Internetexposition, hohem Datenverkehrsvolumen und direkter Nähe zu klinischen Systemen macht diese Geräte zu einem bevorzugten Einstiegspunkt für Ransomware-Gruppen. Historische Vorfälle – darunter der Angriff auf das Universitätsklinikum Düsseldorf 2020 und mehrere europäische Klinikverbunde in den Jahren 2022–2024 – zeigen, dass VPN-Gateways regelmäßig der initiale Angriffsvektor sind.

Die besondere Gefahr bei CVE-2025-5777: Da die Ausnutzung bereits vor dem offiziellen Patch stattfand, müssen alle Betreiber davon ausgehen, dass eine Kompromittierung möglicherweise bereits erfolgt ist – auch wenn keine offensichtlichen Anzeichen vorliegen. Ein nachgelagertes Patching schließt die Lücke, beseitigt aber keinen bereits vorhandenen Foothold.

Regulatorische Einordnung: Was jetzt gilt

BSIG und NIS2UmsuCG

Krankenhäuser, die als KRITIS-Betreiber nach § 28 BSIG (in der seit 2025 geltenden Fassung durch das NIS2UmsuCG) eingestuft sind, unterliegen den Meldepflichten nach § 32 BSIG. Erhebliche Sicherheitsvorfälle – dazu zählen erfolgreiche Kompromittierungen über die beschriebenen Schwachstellen – sind dem BSI innerhalb von 24 Stunden nach Kenntnisnahme zu melden (erste Meldung), gefolgt von einer Detailmeldung innerhalb von 72 Stunden.

Auch nicht als KRITIS eingestufte Krankenhäuser sind seit Inkrafttreten des NIS2UmsuCG als „wichtige Einrichtungen" erfasst und unterliegen damit ebenfalls Meldepflichten sowie den Mindestanforderungen nach § 30 BSIG (Stand der Technik für Netz- und Informationssicherheit, Risikomanagement, Sicherheitsmaßnahmen).

§391 SGB V

Für Krankenhäuser in Deutschland gilt seit dem 1. Januar 2022 §391 SGB V, der IT-Sicherheitsanforderungen explizit kodifiziert. Die darauf basierenden Anforderungen der B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard) verlangen u. a. ein funktionierendes Patch-Management sowie die zeitnahe Reaktion auf bekannte kritische Schwachstellen. Das Versäumen eines Patches für eine CVSS-9.x-Schwachstelle mit bekannter aktiver Ausnutzung wäre im Kontext einer KRITIS-Prüfung oder eines Nachweisverfahrens kaum begründbar.

DSGVO: Meldepflicht bei Datenpannen

Wenn durch eine Ausnutzung von CVE-2025-5777 (Speicherauslese) Patientendaten oder personenbezogene Gesundheitsdaten aus dem Arbeitsspeicher abgeflossen sind, liegt eine Datenpanne nach Art. 33 DSGVO vor. Diese ist der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden zu melden. Da NetScaler-Systeme im Datenpfad klinischer Anwendungen sitzen, kann ein solcher Abfluss nicht pauschal ausgeschlossen werden – die forensische Analyse muss das belegen oder widerlegen.

Hinweis: Für die rechtliche Beurteilung im Einzelfall wenden Sie sich an einen Rechtsanwalt mit Schwerpunkt IT-Recht und Datenschutz.

Sofortmaßnahmen: Priorisiertes Vorgehen

Schritt 1: Inventarisierung und Versionsprüfung (sofort)

Identifizieren Sie alle NetScaler ADC- und NetScaler Gateway-Instanzen in Ihrer Umgebung – inklusive virtueller Appliances, Cloud-Instanzen und Instanzen bei externen Dienstleistern oder Managed Service Providern. Prüfen Sie die aktuelle Firmware-Version gegen die von Citrix veröffentlichten Patch-Versionen. Da zwei Patch-Zyklen (17. Juni und 25. Juni 2025) erfolgten, reicht der erste Patch-Stand nicht aus – es ist die jeweils aktuellste Version erforderlich, die alle drei CVEs adressiert.

Schritt 2: Kompromittierungscheck (sofort, parallel zum Patching)

Da CVE-2025-5777 bereits vor dem Patch aktiv ausgenutzt wurde, ist eine Indicators-of-Compromise-Analyse (IoC) zwingend. Prüfen Sie:

NetScaler-Systemlogs auf ungewöhnliche Zugriffe auf den Gateway-Endpunkt (insbesondere HTTP-Requests mit unerwarteten Payloads oder Längenanomalien)
Netflow-Daten auf ungewöhnliche ausgehende Verbindungen vom NetScaler-System selbst
Authentifizierungslogs auf lateral movement oder Nutzung exfiltrierter Credentials
Integrity-Checks des Dateisystems auf veränderte Binaries oder neue persistente Prozesse

watchTowr Labs und Horizon3.ai haben technische Details und Signaturen veröffentlicht, die als Grundlage für SIEM-Regeln und IDS-Signaturen verwendet werden können. Stellen Sie sicher, dass Ihr SOC diese einspielt.

Schritt 3: Netzwerkseitige Härtung (kurzfristig)

Sofern ein sofortiges Patching nicht möglich ist (z. B. wegen Wartungsfenstern oder Abhängigkeiten von Drittapplikationen):

Schränken Sie den Zugriff auf die Verwaltungsschnittstelle (relevant für CVE-2025-5349) auf dedizierte Management-VLANs ein und blockieren Sie jeden externen Zugriff
Erwägen Sie eine temporäre Deaktivierung von Clientless VPN und RDP Proxy, sofern operativ vertretbar
Setzen Sie WAF-Regeln (Web Application Firewall) vor den betroffenen NetScaler-Endpunkten ein, sofern eine vorgelagerte Filterinstanz verfügbar ist

Schritt 4: Patch einspielen und verifizieren

Folgen Sie dem offiziellen Citrix Advisory für die jeweiligen Versionszweige (13.0, 13.1, 14.1). Vergewissern Sie sich nach dem Einspielen, dass die korrekte Build-Nummer aktiv ist – nicht nur, dass das Update hochgeladen wurde. Dokumentieren Sie Zeitpunkt, Version und verantwortliche Person gemäß Ihrem Patch-Management-Prozess.

Schritt 5: Meldepflichten prüfen und ggf. auslösen

Wenn die Kompromittierungsanalyse Hinweise auf eine erfolgreiche Ausnutzung ergibt:

BSI-Meldung nach § 32 BSIG prüfen (KRITIS- und NIS2-Einrichtungen)
Datenschutzbehörde informieren nach Art. 33 DSGVO bei möglichem Abfluss personenbezogener Daten
Interne Eskalation gemäß ISMS-Incident-Response-Plan und Information der Krankenhausleitung

Lehren für das ISMS: Strukturelle Konsequenzen

Dieser Vorfall ist kein Einzelfall – er reiht sich ein in eine Serie von kritischen Schwachstellen in Netzwerkperimeter-Produkten (Ivanti, Fortinet, Palo Alto, Cisco), die in den letzten Jahren jeweils zum Einstiegspunkt für Ransomware-Gruppen wurden. Für das Informationssicherheits-Management im Krankenhaus ergeben sich daraus strukturelle Anforderungen:

Patch-SLAs für kritische Systeme definieren: Ihr ISMS sollte klare Service Level Agreements für Patch-Reaktionszeiten vorhalten – differenziert nach CVSS-Score und Expositionsgrad. Eine CVSS-9.x-Schwachstelle mit bekannter aktiver Ausnutzung muss innerhalb von 24–48 Stunden adressiert werden, nicht im nächsten regulären Wartungsfenster.

Perimeter-Systeme in Monitoring priorisieren: NetScaler, VPN-Gateways und andere internetexponierte Systeme sollten in Ihrem SIEM mit erhöhter Aufmerksamkeitsstufe geführt werden. Anomalien im Traffic-Muster oder unerwartete ausgehende Verbindungen von diesen Systemen müssen automatisch eskalieren.

Supply-Chain- und Drittanbieter-Risiko einbeziehen: Wenn NetScaler bei einem externen Dienstleister oder MSP betrieben wird, müssen Sie sicherstellen, dass vertragliche Regelungen eine Reaktionspflicht innerhalb definierter Fristen beinhalten. Das gilt auch für den Nachweis des Patch-Stands auf Anfrage.

Notfallplan für Perimeter-Kompromittierung vorhalten: Haben Sie einen dokumentierten Prozess für den Fall, dass Ihr VPN-Gateway komprom

Kostenlose NIS2-Bestandsaufnahme starten →