CrushFTP Sicherheitslücke: Datenabfluss & sofortige Maßnahmen

Einleitung

Seit Ende April 2024 warnt das BSI aktiv vor einer kritischen CrushFTP Sicherheitslücke, die einen direkten Zugriff auf Systemdateien und vertrauliche Daten ermöglicht – ohne dass Angreifende sich zuvor authentifizieren müssen. Für Krankenhäuser und Kliniken, die CrushFTP für den sicheren Dateitransfer zwischen Standorten, mit Laboren oder externen Dienstleistern einsetzen, besteht unmittelbarer Handlungsbedarf. Die Schwachstelle wird aktiv ausgenutzt, ein öffentlicher Proof-of-Concept-Exploit ist verfügbar, und laut Shadowserver Foundation waren Ende April 2024 noch über 90 deutsche Server verwundbar. Dieser Artikel fasst zusammen, was technisch vorliegt, welche regulatorischen Konsequenzen Krankenhäuser beachten müssen und welche Maßnahmen jetzt greifen sollten.

Was ist passiert: Die CrushFTP Sicherheitslücke CVE-2024-4040

Am 19. April 2024 informierte der Hersteller CrushFTP seine Kunden über eine schwerwiegende Schwachstelle in seiner gleichnamigen Dateiübertragungssoftware. Das BSI veröffentlichte am 29. April 2024 eine Cybersicherheitswarnung der Kritikalität 2 (von 4 Stufen, entspricht „hoch").

Technische Einordnung:

Die Schwachstelle trägt die Kennung CVE-2024-4040 und wurde mit einem CVSS-Score von 7.7 (High) bewertet. Der eigentliche CVSS-Score unterschätzt dabei das reale Risiko erheblich: Das BSI hat vom Hersteller bestätigt bekommen, dass die Lücke auch von nicht authentifizierten Angreifenden ausgenutzt werden kann – ein Umstand, der im ursprünglichen CVSS-Rating nicht vollständig abgebildet wird.

Was die Schwachstelle ermöglicht:

Ausbruch aus dem virtuellen Dateisystem (VFS), das CrushFTP zur Sandbox-Isolation einsetzt
Download beliebiger Systemdateien des zugrundeliegenden Betriebssystems
Zugriff auf vertrauliche Daten, die auf dem Server liegen oder durch ihn übertragen werden
Laut Rapid7: unter Umständen vollständige Übernahme des CrushFTP-Servers

Betroffene Systeme:

Betroffen sind alle CrushFTP-Versionen, die nicht auf Version 10.7.1 oder 11.1.0 aktualisiert wurden. Auch der Einsatz eines vorgelagerten DMZ-Servers bietet nach Herstellerangaben keinen vollständigen Schutz. Jede Instanz mit exponiertem Webinterface-Port ist angreifbar.

Aktuelle Angriffslage:

Bereits zum Zeitpunkt der BSI-Warnung fanden automatisierte Scans und eine breite aktive Ausnutzung statt. Ein öffentlich verfügbarer Proof-of-Concept-Exploit senkt die Einstiegshürde für Angreifende auf ein Minimum. Die Kombination aus unauthentifizierter Ausnutzbarkeit, öffentlichem Exploit und aktiver Angriffswelle macht diese Schwachstelle zu einem unmittelbaren operativen Risiko.

Warum CrushFTP im Krankenhaus besonders kritisch ist

Dateiübertragungssysteme wie CrushFTP sind in Krankenhäusern und Kliniken häufig tief in klinische und administrative Prozesse integriert:

DICOM-Bildübertragung zwischen Radiologie, externen Befundern und Zuweisern
Laborergebnisse und pathologische Befunde im Austausch mit externen Instituten
Patientenakten und Entlassbriefe im sicheren Dateitransfer mit Einweisern oder Reha-Einrichtungen
Backup-Prozesse und administrative Dateiablage, die über SFTP/FTPS angebunden sind
Schnittstellendokumente aus KIS, RIS, LIS an nachgelagerte Systeme

Ein kompromittierter CrushFTP-Server ist damit nicht nur ein IT-Problem, sondern ein potenzielles Datenschutzvorfallsereignis nach DSGVO mit unmittelbaren Meldepflichten. Patientendaten, die über einen verwundbaren Server geflossen sind, müssen als potenziell exfiltriert betrachtet werden, bis das Gegenteil nachgewiesen ist.

Hinzu kommt: Viele Krankenhäuser betreiben CrushFTP mit Anbindung an das interne Netz – ohne strikte Segmentierung. Ein VFS-Ausbruch kann in diesem Szenario zum Einstiegspunkt für eine tiefergehende Kompromittierung werden, bis hin zu Ransomware-Angriffen auf klinische Systeme.

Regulatorische Einordnung: Was Krankenhäuser jetzt beachten müssen

Meldepflichten nach BSIG und SGB V

Für Krankenhäuser, die als KRITIS-Betreiber eingestuft sind (ab 30.000 vollstationären Fällen pro Jahr), gelten die Meldepflichten nach § 32 BSIG gegenüber dem BSI. Eine erhebliche Störung oder ein Sicherheitsvorfall, der den Betrieb kritischer Infrastruktur beeinträchtigen kann, ist unverzüglich zu melden.

Durch das NIS2UmsuCG, das seit Oktober 2024 in Deutschland gilt, hat sich der Adressatenkreis erheblich erweitert. Krankenhäuser, die nun als „wichtige Einrichtungen" nach NIS2 eingestuft sind, unterliegen ebenfalls abgestuften Meldepflichten. Relevante Sicherheitsvorfälle sind innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (Folgemeldung) an das BSI zu melden.

§ 391 SGB V verpflichtet zugelassene Krankenhäuser seit dem 1. Januar 2022 zur Umsetzung angemessener IT-Sicherheitsmaßnahmen auf Basis des B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard). Der B3S fordert u. a. ein systematisches Schwachstellenmanagement und das zeitnahe Einspielen von Sicherheitspatches für exponierte Systeme – beides ist hier direkt anwendbar.

DSGVO und BDSG: Datenschutzvorfälle

Wenn auf einem verwundbaren CrushFTP-Server personenbezogene Daten – insbesondere Gesundheitsdaten nach Art. 9 DSGVO – lagen oder übertragen wurden, und eine Kompromittierung nicht ausgeschlossen werden kann, liegt ein meldepflichtiger Datenschutzvorfall vor:

Meldung an die zuständige Landesdatenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO)
Benachrichtigung betroffener Patienten, sofern ein hohes Risiko für deren Rechte und Freiheiten besteht (Art. 34 DSGVO)
Interne Dokumentation im Verzeichnis der Verarbeitungstätigkeiten und im Datenschutzmanagementsystem

Hinweis: Die Einschätzung, ob ein meldepflichtiger Datenschutzvorfall vorliegt, ist im Einzelfall zu treffen. Für rechtliche Beratung wenden Sie sich an einen spezialisierten Anwalt oder Ihren Datenschutzbeauftragten.

Sofortmaßnahmen und Implementierung

Priorität 1: Patchen oder Abschalten

Die einzige wirksame Abhilfemaßnahme ist das Update auf CrushFTP 10.7.1 oder 11.1.0. Ist ein Update kurzfristig nicht möglich, muss die Instanz vom Netz genommen werden. Ein vorgelagerter DMZ-Server schützt nicht zuverlässig.

Vorgehen: 1. Inventur aller CrushFTP-Instanzen in der eigenen Umgebung (inkl. DMZ, externe Hosting-Dienstleister, Managed Services) 2. Sofortiger Abgleich der installierten Versionen gegen die Schwellenwerte (10.7.1 / 11.1.0) 3. Patch-Deployment mit anschließendem Funktionstest kritischer Übertragungsprozesse 4. Dokumentation des Patch-Zeitpunkts für das ISMS-Lückenschluss-Nachweis

Priorität 2: Forensische Erstbewertung

Für alle Instanzen, die vor dem Patch exponiert waren, ist eine forensische Erstbewertung erforderlich:

Auswertung der CrushFTP-Zugriffslogdateien auf ungewöhnliche Dateizugriffe, VFS-Ausbruchsversuche oder unbekannte Verbindungsquellen
Prüfung der Systemlogs des zugrundeliegenden Betriebssystems auf Anomalien (ungewöhnliche Prozesse, neue Benutzerkonten, veränderte Systemdateien)
Netzwerkanalyse auf ausgehende Verbindungen zu unbekannten IP-Adressen oder ungewöhnliche Datenvolumina im Zeitfenster der aktiven Ausnutzung (ab ca. 19. April 2024)
Prüfung, ob Anmeldedaten (Credentials), die auf dem CrushFTP-Server gespeichert oder verarbeitet wurden, als kompromittiert gelten müssen

Priorität 3: Netzwerksegmentierung überprüfen

Die Schwachstelle illustriert ein strukturelles Problem vieler Krankenhaus-Netzwerke: Dateitransfersysteme sind häufig zu nah am klinischen Kernnetz positioniert. Im Zuge des Vorfalls sollte geprüft werden:

Ist der CrushFTP-Server in einer dedizierten DMZ isoliert?
Welche Systeme sind vom CrushFTP-Server aus erreichbar (Netzwerkzugriff, Mounts, Freigaben)?
Sind Zugriffsrechte auf dem Server nach dem Least-Privilege-Prinzip vergeben?
Gibt es Monitoring-Regeln im SIEM, die VFS-Anomalien oder ungewöhnliche Zugriffe auf CrushFTP erkennen?

Checkliste: CrushFTP CVE-2024-4040

Maßnahme	Verantwortlich	Frist
Alle CrushFTP-Instanzen inventarisieren	IT-Betrieb	Sofort
Versionen gegen 10.7.1 / 11.1.0 prüfen	IT-Betrieb	Sofort
Patch einspielen oder Instanz abschalten	IT-Betrieb / Change Mgmt.	Sofort
Zugriffslogdateien forensisch auswerten	IT-Security / ISB	Innerhalb 24–48 h
Datenschutzrelevanz prüfen (DSGVO Art. 33)	DSB + ISB	Innerhalb 48 h
BSI-Meldung prüfen (§ 32 BSIG / NIS2)	ISB + GF	Innerhalb 24 h nach Kenntnis
Netzwerksegmentierung bewerten	IT-Security	Innerhalb 1 Woche
Incident im ISMS dokumentieren	ISB	Innerhalb 1 Woche

Lehren für das Schwachstellenmanagement im Krankenhaus

Die CrushFTP Sicherheitslücke ist kein Einzelfall, sondern reiht sich ein in eine Serie kritischer Schwachstellen in Managed-File-Transfer-Systemen (MFT): MOVEit Transfer (CVE-2023-34362), GoAnywhere MFT (CVE-2023-0669) und nun CrushFTP zeigen ein wiederkehrendes Muster. MFT-Systeme sind per Design nach außen exponiert, verarbeiten hochsensible Daten und werden gleichzeitig im Patch-Management oft vernachlässigt, weil sie als "stabile Infrastruktur" gelten.

Strukturelle Lehren:

Exponierte Systeme brauchen eigene Patch-Priorisierung. Systeme mit Internetzugang – insbesondere solche, die Dateitransfer, Remote-Zugriff oder Webservices bereitstellen – müssen in einer eigenen, beschleunigten Patch-Klasse geführt werden. Der B3S Krankenhaus fordert dies implizit im Rahmen des Schwachstellenmanagements.
Hersteller-Sicherheitsmeldungen müssen strukturiert verarbeitet werden. Der CrushFTP-Hersteller warnte am 19. April. Das BSI folgte am 29. April. Wer keinen Prozess hat, BSI-Cybersicherheitswarnungen und Hersteller-Security-Bulletins systematisch auszuwerten und in konkrete Handlungen zu überführen, verliert wertvolle Zeit in aktiv ausgenutzten Szenarien.
Unauthentifizierte Schwachstellen = maximale Priorität. Ein CVSS-Score allein reicht nicht zur Priorisierung. Die Information, dass eine Lücke ohne Authentifizierung ausnutzbar ist, muss immer eine automatische Eskalation auslösen – unabhängig vom numerischen Score.
Forensische Nachweispflicht einplanen. Nach einem Vorfall, der möglicherweise Gesundheitsdaten betrifft, muss die Frage "Was war betroffen?" zeitnah und belastbar beantwortet werden können. Das setzt ausreichende Logging-Tiefe voraus – auch auf MFT-Systemen.

Eine strukturierte Bewertung des eigenen Reifegrads im Schwachstellenmanagement können ISBs über das ISMShield Assessment vornehmen. Weitere Hintergrundartikel zu verwandten Themen finden Sie im ISMShield Wissenszentrum.

Quellen und weiterführende Links

BSI Cybersicherheitswarnung CVE-2024-4040 (Version 1.1, 29

Kostenlose NIS2-Bestandsaufnahme starten →