F5 Schwachstelle Sicherheit: Was Kliniken jetzt tun müssen

Der IT-Hersteller F5 hat am 15. Oktober 2025 einen schwerwiegenden Sicherheitsvorfall in seiner eigenen Infrastruktur offengelegt. Ein staatlicher Angreifer hatte im August 2025 persistenten Zugriff auf das F5-Netzwerk erlangt und dabei sensible interne Daten exfiltriert — darunter Informationen über unveröffentlichte Schwachstellen in BIG-IP-Produkten sowie Teile des Quellcodes. Das BSI hat den Vorfall am 16. Oktober 2025 als Cybersicherheitswarnung der Kritikalität 2 eingestuft und veröffentlicht. Für Krankenhäuser und Kliniken, die F5 BIG-IP als Application Delivery Controller, Load Balancer oder für SSL-Offloading einsetzen, ergibt sich daraus unmittelbarer Handlungsbedarf.

Was ist passiert: Anatomie des F5-Vorfalls

Der Angriff auf F5 ist ein Lehrbuchbeispiel für einen Supply-Chain-Angriff auf einen Infrastrukturlieferanten. Die wesentlichen Fakten laut BSI-Sicherheitsmitteilung (2025-287083-1032):

  • Zeitpunkt des Eindringens: August 2025, persistenter Zugriff auf das F5-Unternehmensnetzwerk
  • Angreifer: Staatlicher Akteur (Nation-State-Threat-Actor)
  • Exfiltrierte Daten:
  • Informationen zu bislang nicht öffentlich bekannten (Zero-Day-)Schwachstellen in BIG-IP-Produkten
  • Teile des Quellcodes von BIG-IP
  • Konfigurationsdaten und Implementierungsdetails bei einem kleinen Prozentsatz von Kunden
  • Nicht betroffen laut F5: Kundendaten aus CRM-, Support- oder Finanzsystemen
  • Einschätzung F5: Die abgegriffenen Schwachstellen ermöglichen keine Remote Code Execution (RCE) und sind nicht als kritisch klassifiziert

Die letzte Einschränkung verdient eine nüchterne Einordnung: F5 selbst kann zum aktuellen Zeitpunkt nicht mit Sicherheit ausschließen, dass der Angreifer weitreichendere Informationen erlangt hat, die noch nicht vollständig inventarisiert wurden. Staatliche Akteure, die Quellcode und Schwachstelleninformationen von Netzwerkkomponenten-Herstellern abgreifen, verfolgen typischerweise keine kurzfristigen opportunistischen Ziele — sondern bereiten gezielte, langfristige Operationen vor.

Warum F5 BIG-IP im Krankenhaus besondere Relevanz hat

F5 BIG-IP ist in vielen deutschen Krankenhäusern und Klinikverbünden tief in die Netzwerkinfrastruktur integriert. Typische Einsatzszenarien:

  • Application Delivery Controller (ADC): Steuerung und Lastverteilung des Datenverkehrs für klinische Applikationen (KIS, RIS, PACS)
  • SSL/TLS-Terminierung: Entschlüsselung von HTTPS-Traffic, ggf. mit Inspection-Funktion
  • Web Application Firewall (WAF): Schutz von web-basierten klinischen Portalen und Patientenportalen
  • VPN-Gateway: Remote-Zugriff für Klinikmitarbeiter, niedergelassene Ärzte, Telemedizin-Plattformen
  • DNS- und GSLB-Funktionen: Globale Lastverteilung bei Klinikverbünden

Gerade die Kombination aus SSL-Terminierung und zentralem Traffic-Management macht BIG-IP zu einem hochsensiblen Knotenpunkt. Wer Zugriff auf Konfigurationsdaten eines solchen Systems erlangt, erhält potenziell Einblick in:

  • Netzwerktopologie und Segmentierungsarchitektur
  • Zertifikate und Private Keys (je nach Konfiguration)
  • Authentifizierungsmechanismen und Backend-Server-Adressen
  • iRules und iApps, die spezifisches Traffic-Verhalten definieren

Wenn im Rahmen des F5-Vorfalls Konfigurationsdaten abgeflossen sind — auch wenn F5 nur von einem "kleinen Prozentsatz" spricht —, ist nicht bekannt, nach welchen Kriterien dieser Prozentsatz selektiert wurde. Kritische Infrastruktur im Gesundheitswesen könnte ein priorisiertes Ziel gewesen sein.

Regulatorische Einordnung: Was ISBs und CISOs jetzt beachten müssen

NIS2UmsuCG und BSIG

Seit dem Inkrafttreten des NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG) gelten für Krankenhäuser ab einer bestimmten Größe verschärfte Anforderungen an das Risikomanagement nach §30 BSIG. Dazu zählt explizit die Behandlung von Supply-Chain-Risiken und die Sicherheit bei Lieferanten und Dienstleistern.

Der F5-Vorfall ist ein konkretes Ereignis, das im Rahmen des Risikomanagementprozesses nach §30 BSIG bewertet werden muss:

  • Ist F5 BIG-IP im Einsatz? → Erfassung im Asset-Register
  • Ist das eigene Haus unter den betroffenen Kunden? → F5 direkt kontaktieren
  • Wurden Konfigurationsdaten exfiltriert? → Meldepflicht nach §32 BSIG prüfen

Meldepflichten (§32 BSIG): Wenn eigene Systeme oder Daten als Folge des Lieferantenvorfalls kompromittiert wurden, besteht ggf. eine Meldepflicht gegenüber dem BSI. Die Frist für die Erstmeldung beträgt 24 Stunden nach Kenntnisnahme eines erheblichen Sicherheitsvorfalls.

§391 SGB V und B3S Krankenhaus

Nach §391 SGB V sind Krankenhäuser ab dem gesetzlich definierten Schwellenwert verpflichtet, den Stand der Technik bei der IT-Sicherheit umzusetzen. Der Branchenspezifische Sicherheitsstandard (B3S) für die Gesundheitsversorgung im Krankenhaus konkretisiert dies unter anderem durch Anforderungen an:

  • Patch- und Schwachstellenmanagement (B3S Maßnahmenbereich M 4.x)
  • Netzwerksicherheit und Segmentierung (B3S Maßnahmenbereich M 3.x)
  • Lieferanten- und Dienstleistermanagement

Ein Vorfall wie der F5-Breach ist genau das Szenario, für das diese Anforderungen konzipiert wurden. Wer jetzt nicht reagiert und dokumentiert, riskiert bei einer späteren Prüfung durch die zuständige Behörde Defizite im Nachweis des Stands der Technik.

Hinweis: Die Einschätzung regulatorischer Konsequenzen im Einzelfall erfordert rechtliche Bewertung. Für verbindliche Rechtsberatung wenden Sie sich an einen spezialisierten Anwalt.

Technische Sofortmaßnahmen: Was F5 empfiehlt — und was darüber hinaus geht

Maßnahmen laut F5

F5 hat im Zuge der Vorfallsbewältigung Empfehlungen für Kunden veröffentlicht. Diese umfassen typischerweise:

  1. Rotation sensibler Credentials: Passwörter, API-Keys und Zertifikate, die in BIG-IP-Konfigurationen referenziert sind
  2. Überprüfung der Konfiguration auf unautorisierte Änderungen
  3. Monitoring auf ungewöhnliche Aktivitäten in und um BIG-IP-Systeme
  4. Zeitnahe Installation verfügbarer Patches — F5 hat angekündigt, die abgegriffenen Schwachstellen zu patchen

Erweiterte Maßnahmen für Krankenhäuser

Über die F5-eigenen Empfehlungen hinaus sollten ISBs folgende Maßnahmen prüfen und dokumentieren:

Kurzfristig (innerhalb 72 Stunden):

  • Inventarisierung aller F5 BIG-IP-Instanzen im Netzwerk (Version, Einsatzort, Criticality)
  • Direkte Kontaktaufnahme mit F5 oder dem zuständigen Reseller/Integrator: Ist das eigene Haus unter den betroffenen Kunden mit abgeflossenen Konfigurationsdaten?
  • Überprüfung der BIG-IP Management-Interfaces: Sind diese aus dem Internet erreichbar? Wenn ja: sofortige Einschränkung auf Management-VLANs
  • Review der iRules und Zertifikatskonfigurationen auf Anomalien
  • Erhöhtes Monitoring in SIEM auf Anomalien im Traffic-Verhalten rund um F5-Systeme

Mittelfristig (innerhalb 4 Wochen):

  • Vollständige Rotation aller in BIG-IP-Konfigurationen hinterlegten Credentials (Service-Accounts, SSL-Zertifikate mit Private Keys, LDAP-Bind-Passwörter)
  • Überprüfung der Netzwerksegmentierung: Ist der BIG-IP-Management-Plane vom Datenpfad und von klinischen Systemen getrennt?
  • Patch-Zeitplan für angekündigte F5-Sicherheitsupdates festlegen und mit Änderungsmanagement abstimmen
  • Threat-Intelligence-Feed für F5-spezifische Indikatoren (IOCs) in SIEM integrieren
  • Risikobeurteilung gemäß ISO 27001 / BSI Grundschutz aktualisieren und dokumentieren

Strukturell (ISMS-Ebene):

  • Aufnahme von F5 in das Lieferanten-Sicherheitsregister mit erhöhtem Monitoring-Level
  • Überprüfung der vertraglichen Regelungen mit F5 bezüglich Incident Notification: Wurden Sie aktiv benachrichtigt, oder haben Sie die BSI-Mitteilung selbst gelesen?
  • Eskalationsmatrix für Supply-Chain-Vorfälle im Incident-Response-Plan verankern

Lessons Learned: Supply Chain Security als strukturelle Herausforderung

Der F5-Vorfall reiht sich in eine Serie von Supply-Chain-Angriffen auf Infrastrukturlieferanten ein — SolarWinds 2020, Kaseya 2021, MOVEit 2023. Das Muster ist bekannt: Ein Angreifer kompromittiert einen vertrauenswürdigen Lieferanten, um von dort aus Zugang zu dessen Kunden zu erhalten oder Informationen für spätere Angriffe zu sammeln.

Für Krankenhäuser ergeben sich daraus strukturelle Lektionen:

1. Lieferantenmanagement ist Risikomanagement Die Sicherheitslage eines Lieferanten wie F5 ist Teil Ihrer eigenen Risikolandschaft. Dies ist nicht nur eine konzeptionelle Aussage, sondern eine regulatorische Anforderung nach §30 BSIG und dem B3S. Die Frage ist nicht ob, sondern wie systematisch Sie Supply-Chain-Risiken bewerten.

2. Konfigurationsexfiltration ist ein eigenständiges Risiko Viele Incident-Response-Pläne konzentrieren sich auf Datenverlust (Patientendaten, Personaldaten). Der F5-Vorfall illustriert, dass auch Konfigurationsdaten einen hohen Schadenswert haben können — insbesondere wenn sie Angreifern die Netzwerktopologie und Angriffsfläche einer kritischen Infrastruktur offenbaren.

3. Staatliche Akteure denken langfristig Dass bislang keine Angriffsversuche mit den abgegriffenen Schwachstellen bekannt sind, bedeutet nicht, dass keine stattfinden werden. Staatliche Akteure sammeln oft Informationen für spätere, taktisch günstigere Zeitpunkte. Die Relevanz des F5-Vorfalls endet nicht mit dem heutigen Tag.

4. Passive Benachrichtigung reicht nicht Die Tatsache, dass viele betroffene Organisationen erst über BSI-Sicherheitsmitteilungen oder Medienberichte von einem Lieferantenvorfall erfahren, zeigt eine Lücke in den vertraglichen Meldepflichten. ISBs sollten prüfen, ob bestehende Verträge mit kritischen IT-Lieferanten Incident-Notification-Klauseln enthalten und diese bei der nächsten Vertragsverlängerung einfordern.

Eine strukturierte Bewertung Ihrer aktuellen Sicherheitsarchitektur und Supply-Chain-Risiken können Sie über das ISMShield Assessment vornehmen.

Checkliste: F5 BIG-IP — Sofortmaßnahmen für ISBs

Maßnahme Priorität Status
F5 BIG-IP-Instanzen inventarisieren Kritisch ☐
F5/Reseller kontaktieren: Bin ich betroffen? Kritisch ☐
Management-Interface-Erreichbarkeit prüfen Kritisch ☐
SIEM-Monitoring auf F5-Anomalien aktivieren Hoch ☐
Credentials und Zertifikate rotieren Hoch ☐
Patch-Plan für F5-Updates erstellen Hoch ☐
Netzwerksegmentierung BIG-IP prüfen Hoch ☐
Risikobeurteilung im ISMS aktualisieren Mittel ☐
Meldepflicht §32 BSIG prüfen Mittel ☐
Vertragliche Notification-Pflichten prüfen Mittel ☐
Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich