F5 BIG-IP Sicherheitslücke: RCE ohne Authentifizierung

CVE-2025-53521 wird aktiv ausgenutzt – was IT-Verantwortliche in Krankenhäusern jetzt tun müssen.

Seit Ende März 2026 warnt das BSI mit Kritikalität 2 vor aktiv ausgenutzten Angriffen auf F5 BIG-IP-Systeme. Was im Oktober 2025 noch als "hoch" eingestufte Schwachstelle galt, hat sich inzwischen zur kritischen Bedrohung entwickelt: CVE-2025-53521 ermöglicht Remote Code Execution ohne jede Authentifizierung. Für Krankenhäuser und Kliniken, die F5 BIG-IP mit aktiviertem Access Policy Manager (APM) im Einsatz haben, besteht akuter Handlungsbedarf – sowohl aus technischer als auch aus regulatorischer Sicht.

Was ist passiert: Die F5 BIG-IP Sicherheitslücke CVE-2025-53521

Am 27. März 2026 veröffentlichte F5 ein Advisory, das über aktiv laufende Angriffe auf BIG-IP-Instanzen informiert. Das BSI folgte am 30. März 2026 mit einer eigenen Cybersicherheitswarnung (Kritikalität 2 – "hoch").

Die Chronologie der Schwachstelle:

Oktober 2025: Erstveröffentlichung von CVE-2025-53521, CVSS v4.0-Score 8.7, Einstufung "hoch". Damals prognostiziertes Schadenspotenzial: Denial-of-Service-Angriffe.
März 2026: F5 meldet aktive Ausnutzung in der Wildnis. Neue Erkenntnisse zeigen, dass zusätzlich Remote Code Execution (RCE) möglich ist.
Neubewertung: CVSS v4.0-Score angehoben auf 9.3, Einstufung nun "kritisch".

Betroffene Systeme: F5 BIG-IP-Lösungen auf virtuellen Servern mit aktiviertem Access Policy Manager (APM) – inzwischen unter dem Produktnamen Zero Trust Access vermarktet. Angreifer können den Angriff aus der Ferne und ohne vorherige Authentifizierung einleiten. Das ist das gefährlichste denkbare Szenario: keine Credentials erforderlich, kein internes Netzwerk notwendig, vollständige Codeausführung möglich.

F5 hat in seinem Advisory Indicators of Compromise (IoCs) veröffentlicht, anhand derer eine zurückliegende oder laufende Ausnutzung detektiert werden kann.

Warum diese Schwachstelle für Krankenhäuser besonders kritisch ist

F5 BIG-IP ist kein Nischenprodukt. Die Plattform wird in vielen größeren Kliniken und Krankenhausverbünden als Application Delivery Controller (ADC), als SSL-Termination-Proxy, für Remote-Access-Szenarien und als Web Application Firewall eingesetzt. Der APM-Modul wird dabei häufig für folgende Zwecke genutzt:

Zugangssteuerung für klinische Portale und Webapplikationen
SSL-VPN-Zugänge für klinisches Personal und Telemedizin
Single Sign-On (SSO) für Krankenhausinformationssysteme (KIS)
Zero-Trust-Zugangskonzepte (ZTNA)

Ein erfolgreicher RCE-Angriff auf ein solches System ist gleichzusetzen mit einem vollständigen Perimeter-Durchbruch. Angreifer, die Code auf dem BIG-IP-System ausführen können, haben potenziell Zugriff auf alle nachgelagerten Systeme – KIS, PACS, Laborinformationssysteme, Medizingerätenetzwerke.

Hinzu kommt die typische Exposition: BIG-IP-Systeme mit APM sind in der Regel öffentlich erreichbar, da sie ja genau dafür konzipiert sind, externen Zugang zu ermöglichen. Das reduziert den Aufwand für Angreifer erheblich.

Die Kombination aus maximaler Exposition, fehlendem Authentifizierungserfordernis und vollständiger Codeausführung macht CVE-2025-53521 zu einer der gefährlichsten Schwachstellen für den Krankenhausbereich seit Jahren.

Regulatorische Pflichten: Was jetzt von KRITIS und NIS2 verlangt wird

Für Krankenhäuser, die als kritische Infrastruktur (KRITIS) eingestuft sind, gelten seit dem Inkrafttreten des NIS2UmsuCG verschärfte Anforderungen. Relevant sind hier mehrere Regelwerke parallel:

NIS2UmsuCG / BSIG

Nach §30 BSIG sind KRITIS-Betreiber verpflichtet, technische und organisatorische Maßnahmen nach dem Stand der Technik zu implementieren. Dazu gehört explizit das Patch- und Schwachstellenmanagement. Eine seit Oktober 2025 bekannte, nun als kritisch eingestufte Schwachstelle, die noch nicht gepatcht wurde, stellt eine dokumentationspflichtige Abweichung vom geforderten Sicherheitsniveau dar.

§32 BSIG regelt Meldepflichten: Wenn ein Sicherheitsvorfall eingetreten ist – also eine Kompromittierung über CVE-2025-53521 detektiert wurde – greift die Meldepflicht gegenüber dem BSI. Die Erstmeldung muss innerhalb von 24 Stunden nach Kenntnisnahme erfolgen, eine detaillierte Folgemeldung innerhalb von 72 Stunden.

§391 SGB V (IT-Sicherheit Krankenhäuser)

Für Krankenhäuser, die nicht unter die KRITIS-Schwellenwerte fallen, gilt seit dem 1. Januar 2022 §391 SGB V. Die dort referenzierten Anforderungen orientieren sich an den branchenspezifischen Sicherheitsstandards (B3S Krankenhaus) des DKI sowie an BSI-Grundschutz. Auch hier ist ein funktionierendes Schwachstellenmanagement explizit gefordert.

B3S Krankenhaus

Der B3S Krankenhaus benennt Schwachstellen- und Patch-Management als eigenständige Anforderungsgruppe. Eine dokumentierbare Risikoentscheidung – warum ein bekanntes kritisches Patch noch nicht eingespielt wurde – ist Pflicht. "Wir wussten es nicht" ist nach einer BSI-Warnung keine akzeptable Begründung mehr.

DSGVO / BDSG

Sollten durch eine Ausnutzung von CVE-2025-53521 personenbezogene Daten – insbesondere Patientendaten – kompromittiert worden sein, besteht zusätzlich eine Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde nach Art. 33 DSGVO (72 Stunden). Bei voraussichtlich hohem Risiko für Betroffene auch eine Benachrichtigungspflicht nach Art. 34 DSGVO.

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für eine rechtssichere Einschätzung Ihrer spezifischen Melde- und Nachweispflichten wenden Sie sich an einen auf IT- und Gesundheitsrecht spezialisierten Rechtsanwalt.

Sofortmaßnahmen: Was jetzt zu tun ist

Die folgenden Maßnahmen sind nach Priorität geordnet. Gehen Sie sie systematisch durch – idealerweise innerhalb der nächsten 24 bis 72 Stunden.

1. Bestandsaufnahme: Bin ich betroffen?

Inventarisieren Sie alle F5 BIG-IP-Instanzen in Ihrer Infrastruktur.
Prüfen Sie, ob der Access Policy Manager (APM) aktiviert ist – auch unter dem neuen Namen Zero Trust Access.
Identifizieren Sie, welche dieser Instanzen öffentlich erreichbar sind.
Klären Sie die eingesetzten Software-Versionen anhand der von F5 veröffentlichten Liste betroffener Versionen.

2. IoC-Analyse: Wurde bereits angegriffen?

F5 hat in seinem Advisory Indicators of Compromise (IoCs) veröffentlicht. Führen Sie unverzüglich eine Überprüfung durch:

Korrelieren Sie die IoCs mit Ihren SIEM-Logs und Firewall-Protokollen.
Prüfen Sie APM-Zugriffsprotokolle auf anomale Muster – insbesondere unbekannte Quell-IPs, ungewöhnliche Zugriffszeiten, nicht autorisierte Session-Erstellungen.
Falls kein SIEM vorhanden ist: Manuelle Log-Analyse oder Hinzuziehen eines externen Incident-Response-Dienstleisters.
Bei Verdacht auf Kompromittierung: Incident-Response-Prozess aktivieren, System isolieren, BSI-Meldepflicht prüfen.

3. Patching: Sicherheitsupdate einspielen

F5 hat Patches bereitgestellt. Das Einspielen des Patches ist die einzige vollständige Lösung:

Laden Sie das aktuelle F5-Advisory und die zugehörigen Patch-Informationen direkt von support.f5.com herunter.
Planen Sie ein Wartungsfenster – aber: angesichts aktiver Ausnutzung sollte das Fenster so kurz wie möglich sein.
Testen Sie den Patch zunächst in einem Staging-System, sofern vorhanden und zeitlich vertretbar.
Dokumentieren Sie den Patch-Vorgang lückenlos für Nachweiszwecke (B3S, §391 SGB V, ISO 27001).

4. Temporäre Mitigationsmaßnahmen (wenn sofortiges Patching nicht möglich)

Falls ein sofortiges Patching nicht realisierbar ist:

APM deaktivieren, sofern betrieblich vertretbar – dies eliminiert den Angriffsvektor.
Netzwerkseitige Zugriffsbeschränkung: Einschränkung des Zugriffs auf die betroffene Schnittstelle auf bekannte, vertrauenswürdige IP-Ranges via vorgelagerter Firewall-Regeln.
Erhöhtes Monitoring: Manuelle oder automatisierte Überwachung der betroffenen Systeme im 24/7-Betrieb bis zum Patch.
Alle Mitigationsmaßnahmen und die Begründung für das verzögerte Patching schriftlich dokumentieren.

5. Kommunikation und Dokumentation

Informieren Sie die Krankenhausleitung / Geschäftsführung über die aktuelle Bedrohungslage – insbesondere das potenzielle Ausmaß eines erfolgreichen Angriffs.
Halten Sie Ihren Datenschutzbeauftragten auf dem Laufenden.
Legen Sie eine Akte zu CVE-2025-53521 an: BSI-Warnung, eigene Betroffenheitsanalyse, durchgeführte Maßnahmen, Zeitstempel.

Lehren für das Schwachstellenmanagement im Krankenhaus

CVE-2025-53521 ist kein Einzelfall – sondern ein Lehrstück über ein wiederkehrendes Muster: Eine Schwachstelle wird veröffentlicht, das initiale Schadenspotenzial wird als beherrschbar eingestuft, das Patch-Management verzögert sich, und Monate später eskaliert die Lage durch neu entdeckte Angriffsvektoren oder aktive Ausnutzung.

Konsequenz für Ihr ISMS:

Patching-SLAs differenzieren: Kritische Schwachstellen (CVSS ≥ 9.0) sollten innerhalb von 72 Stunden gepatcht sein – auch wenn der Score erst nachträglich angehoben wird. Etablieren Sie einen Prozess, der bei Score-Änderungen automatisch die Priorität neu bewertet.
Schwachstellenscanner mit APM-Integration: Stellen Sie sicher, dass Ihre Schwachstellenscanner F5-Produkte vollständig erfassen – nicht nur Windows- und Linux-Systeme.
BSI-Warnungen als Prozess-Trigger: Abonnieren Sie den BSI-Warn- und Informationsdienst (WID) und integrieren Sie eingehende Warnungen in Ihren Change-Management-Prozess.
Notfallpatch-Prozess: Viele Krankenhäuser haben keinen definierten Prozess für außerplanmäßige Patches an produktionskritischen Systemen. Definieren Sie diesen Prozess jetzt – nicht im nächsten Sicherheitsvorfall.
Drittanbieter und Dienstleister: Wenn F5 BIG-IP durch einen Managed-Service-Provider betrieben wird – prüfen Sie, ob dieser bereits gepatcht hat und ob er Sie aktiv informiert hat. Supply-Chain-Risiken gelten auch für den Betrieb von Netzwerkinfrastruktur.

Ein strukturiertes Schwachstellenmanagement ist keine optionale Best Practice, sondern eine explizite Anforderung aus B3S, BSI-Grundschutz OPS.1.1.3 und ISO 27001 Anhang A.8.8. Wenn Sie Ihren aktuellen Reifegrad in diesem Bereich bewerten möchten, bietet das ISMShield Assessment einen strukturierten Einstieg.

Checkliste: F5 BIG-IP CVE-2025-53521

Maßnahme	Priorität	Status
F5 BIG-IP-Instanzen mit APM/ZTA inventarisiert	Kritisch	☐
IoC-Analyse aus F5-Advisory durchgeführt	Kritisch	☐
Kompromittierung ausgeschlossen / IR aktiviert	Kritisch	☐
Patch eingespielt oder Mitigation dokumentiert	Kritisch	☐
BSI-Meldepflicht (§32 BSIG) geprüft	Hoch	☐
DSGVO-Meldepflicht (Art. 33) geprüft	Hoch	☐
Leitung und DSB informiert

Kostenlose NIS2-Bestandsaufnahme starten →