FortiManager Zero-Day Schwachstelle: Sofortmaßnahmen

Einleitung

Im Oktober 2024 veröffentlichte Fortinet ein Advisory zu einer schwerwiegenden Zero-Day-Schwachstelle in FortiManager – einer Managementplattform, die in vielen deutschen Krankenhäusern und Kliniken zur zentralen Verwaltung von FortiGate-Firewalls und weiteren Fortinet-Sicherheitsgeräten eingesetzt wird. Die Schwachstelle CVE-2024-47575 wurde vom BSI mit der höchsten Kritikalitätsstufe eingestuft und war zum Zeitpunkt der Veröffentlichung bereits aktiv in Angriffskampagnen ausgenutzt. Für Einrichtungen der Gesundheitsversorgung, die unter KRITIS-Regulierung, NIS2UmsuCG oder §391 SGB V fallen, ist ein kontrollierter Umgang mit dieser Sicherheitslücke keine Ermessensfrage – sondern eine Pflicht.

Dieser Artikel fasst die technischen Details zusammen, erläutert die Relevanz für den Krankenhausbetrieb und zeigt konkrete Sofortmaßnahmen sowie mittelfristige Härtungsstrategien auf.

CVE-2024-47575: Was steckt hinter der Schwachstelle?

Die FortiManager Zero-Day Schwachstelle CVE-2024-47575 betrifft den FGFM-Daemon (FortiGate-to-FortiManager-Protokoll) in Fortinet FortiManager. Die Ursache liegt in einer fehlenden Authentifizierung für eine kritische Funktion (CWE-306): Ein externer Angreifer kann ohne gültige Anmeldedaten beliebigen Code und Befehle auf einem verwundbaren FortiManager-System ausführen.

Die wichtigsten technischen Eckdaten im Überblick:

Merkmal	Details
CVE-ID	CVE-2024-47575
CVSS-Score	9.8 (kritisch)
Angriffsvektor	Netzwerk, ohne Authentifizierung
Betroffene Komponente	FGFM-Daemon in Fortinet FortiManager
CWE-Kategorie	CWE-306 (Missing Authentication for Critical Function)
Ausnutzung	Aktiv, zum Zeitpunkt der Veröffentlichung bestätigt
BSI-Kritikalität	Stufe 3 (höchste Stufe)

Ein CVSS-Wert von 9.8 ist in der Praxis selten – er zeigt, dass Angreifer die Schwachstelle remote, ohne Vorkenntnis der Zielumgebung und ohne Benutzerinteraktion ausnutzen können. Besonders gefährlich ist die Kombination aus unauthentifiziertem Zugriff und Remote Code Execution (RCE): Wer FortiManager kompromittiert, kontrolliert de facto die darunter verwalteten Firewalls und Netzwerksegmente.

Das BSI veröffentlichte die Sicherheitsmitteilung am 29. Oktober 2024 in Version 1.1 – die schnelle Versionierung deutet auf eine dynamische Lageentwicklung hin, die weitere Erkenntnisse über aktive Exploit-Kampagnen einschloss.

Warum FortiManager-Systeme in Krankenhäusern besonders gefährdet sind

FortiManager wird in vielen mittleren und großen Krankenhäusern als zentrale Managementkonsole für Netzwerksicherheitsinfrastruktur betrieben. Die Plattform erlaubt die zentrale Konfiguration, das Rollout von Sicherheitsrichtlinien und die Überwachung aller angebundenen FortiGate-Appliances. Genau diese Zentralfunktion macht sie zu einem besonders attraktiven Angriffsziel.

Typische Risikofaktoren im Krankenhausumfeld:

Netzwerkkomplexität: Krankenhäuser betreiben häufig segmentierte Netzwerke für Patientendaten, Medizingeräte (OT/IoT), Verwaltung und Gäste. FortiManager verwaltet dabei Richtlinien über alle Segmente hinweg – eine Kompromittierung ermöglicht lateral movement über alle Zonen.
Erreichbarkeit des Managementsystems: Für Remote-Administration oder MSSP-Anbindung ist FortiManager manchmal aus dem Internet oder aus unsicheren Netzsegmenten erreichbar – genau der Angriffsvektor, den CVE-2024-47575 ausnutzt.
Medizingerätekopplung: Firewall-Regeln schützen auch medizinische Systeme (Bildgebung, Patientenmonitoring, Infusionspumpen). Wer die Firewall-Konfiguration kontrolliert, kann Schutzfunktionen gezielt deaktivieren.
Versorgungskritikalität: Ein erfolgreicher Angriff auf die Netzwerksicherheitsinfrastruktur kann Betriebsunterbrechungen auslösen, die unmittelbare Patientensicherheitsrisiken nach sich ziehen.

Die Schwachstelle ist damit nicht nur ein IT-Sicherheitsproblem – sie berührt direkt die Betriebsfähigkeit klinischer Prozesse und die Sicherheit von Patientendaten.

Regulatorische Einordnung: Handlungspflichten für Krankenhäuser

Deutsche Krankenhäuser unterliegen je nach Größe und Versorgungsstufe unterschiedlichen regulatorischen Anforderungen, die bei einer Schwachstelle dieser Kritikalität konkrete Handlungspflichten auslösen.

§391 SGB V und B3S Krankenhaus

Krankenhäuser ab 30.000 vollstationären Fällen jährlich gelten als KRITIS-Einrichtungen und sind seit Oktober 2021 zur Umsetzung des Branchenspezifischen Sicherheitsstandards (B3S) für die Gesundheitsversorgung im Krankenhaus verpflichtet. Der B3S fordert unter anderem ein strukturiertes Schwachstellenmanagement, die zeitnahe Einspielung von Sicherheitspatches sowie einen Prozess zur Bewertung kritischer Sicherheitswarnungen. CVE-2024-47575 mit CVSS 9.8 und aktiver Ausnutzung erfüllt alle Kriterien, die eine sofortige Eskalation in diesem Prozess erfordern.

NIS2UmsuCG

Seit der Umsetzung des NIS2UmsuCG in deutsches Recht gelten für wichtige und besonders wichtige Einrichtungen – zu denen Krankenhäuser ab definierten Schwellenwerten gehören – verschärfte Anforderungen an technische und organisatorische Maßnahmen gemäß §30 BSIG sowie Meldepflichten gemäß §32 BSIG. Eine aktiv ausgenutzte Zero-Day-Schwachstelle in zentraler Netzwerksicherheitsinfrastruktur kann eine erhebliche Sicherheitsvorfallsmeldung an das BSI auslösen, wenn konkrete Anzeichen einer Kompromittierung vorliegen. Die Erstmeldung hat dabei innerhalb von 24 Stunden zu erfolgen.

DSGVO / BDSG

Führt die Kompromittierung eines FortiManager-Systems zu einem Datenschutzvorfall – etwa durch unautorisierte Exfiltration von Patientendaten – greift die Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzaufsichtsbehörde (72 Stunden) sowie ggf. die Benachrichtigungspflicht gegenüber Betroffenen nach Art. 34 DSGVO.

Hinweis: Dieser Artikel gibt keine Rechtsberatung. Für eine konkrete Einschätzung der regulatorischen Pflichten in Ihrer Einrichtung wenden Sie sich an einen auf IT- und Gesundheitsrecht spezialisierten Anwalt sowie an Ihren Datenschutzbeauftragten.

Sofortmaßnahmen: Was jetzt zu tun ist

Die aktive Ausnutzung von CVE-2024-47575 erfordert sofortiges Handeln. Die folgenden Maßnahmen sind nach Priorität geordnet.

1. Sofortiger Netzwerkschutz (innerhalb von Stunden)

Wenn ein Patch noch nicht eingespielt werden kann:

Zugriffsrestriktionen auf Port 541/TCP: Der FGFM-Dienst kommuniziert über diesen Port. Beschränken Sie den Zugriff auf ausschließlich vertrauenswürdige IP-Adressen über vorgelagerte Firewall-Regeln oder ACLs.
FortiManager vom Internet isolieren: Wenn FortiManager aus dem Internet erreichbar ist, ziehen Sie die Verbindung sofort zurück. Remote-Management über VPN mit MFA ist die Mindestanforderung.
FGFM-Daemon deaktivieren (sofern betrieblich vertretbar): Fortinet hat in seinen Workaround-Empfehlungen die Möglichkeit beschrieben, den FGFM-Zugriff lokal zu deaktivieren, wenn keine verwalteten FortiGate-Geräte darüber kommunizieren müssen.

2. Patch-Einspielung (innerhalb von 24–72 Stunden)

Fortinet hat Patches für betroffene Versionen veröffentlicht. Identifizieren Sie alle FortiManager-Instanzen in Ihrer Umgebung (auch Management-VMs in virtualisierten Umgebungen), prüfen Sie die Versionsstände und spielen Sie die bereitgestellten Updates nach durchgeführtem Backup und funktionalem Rollback-Plan ein.

Beachten Sie dabei: - Testumgebungen vor Produktivsystemen patchen - Änderungsmanagement-Prozess einhalten, aber beschleunigt (Emergency Change) - Patch-Einspielung dokumentieren für Nachweiszwecke gegenüber BSI und Aufsicht

3. Kompromittierungsindikatoren prüfen (parallel)

Da die Schwachstelle aktiv ausgenutzt wird, reicht es nicht, nur zu patchen. Prüfen Sie aktiv, ob Ihre Systeme bereits kompromittiert wurden:

Empfohlene Prüfschritte:

Log-Analyse: Auswertung der FortiManager-Systemlogs auf unerwartete API-Calls, unauthentifizierte Verbindungsversuche auf Port 541/TCP, unbekannte Geräteregistrierungen
Konfigurationsintegrität: Vergleich aktueller Firewall-Regelwerke mit dem letzten bekannten guten Stand (Change-Baseline)
SIEM-Alerting: Sofern ein SIEM im Einsatz ist, prüfen Sie, ob Events aus dem FortiManager-Umfeld korreliert und alarmiert werden
Netzwerk-Forensik: Falls verfügbar, analysieren Sie Netflow-Daten auf ungewöhnliche ausgehende Verbindungen von FortiManager-Systemen
Threat Intelligence: Abgleich mit veröffentlichten IoCs (Indicators of Compromise) zu CVE-2024-47575

Fortinet hat im Rahmen seines Advisories Hinweise auf beobachtete IoCs veröffentlicht. Nutzen Sie diese als Grundlage für Ihre Suche.

4. Incident-Response aktivieren (bei Verdacht auf Kompromittierung)

Wenn forensische Hinweise auf eine aktive oder vergangene Kompromittierung vorliegen:

Aktivieren Sie Ihren Incident-Response-Plan
Isolieren Sie betroffene Systeme vom Netz, bevor Sie forensische Sicherungen durchführen
Ziehen Sie externe forensische Unterstützung hinzu
Dokumentieren Sie alle Maßnahmen lückenlos für regulatorische Meldeverfahren
Prüfen Sie Meldepflichten gemäß §32 BSIG (NIS2) und Art. 33 DSGVO

Mittelfristige Härtung: Strukturelle Lehren aus CVE-2024-47575

Managementsysteme als kritische Schutzziele

CVE-2024-47575 verdeutlicht ein strukturelles Problem in vielen IT-Sicherheitsarchitekturen: Managementsysteme werden häufig weniger streng geschützt als die Systeme, die sie verwalten. Ein kompromittierter FortiManager ist gefährlicher als eine kompromittierte einzelne Firewall – weil er alle Firewalls kontrolliert.

Empfehlungen für die mittelfristige Härtung:

Dediziertes Management-VLAN: Alle Managementsysteme (FortiManager, SIEM, Backup-Konsolen) in einem isolierten, streng kontrollierten Netzwerksegment betreiben
Jump-Host-Konzept: Kein direkter Zugriff auf Managementoberflächen aus Benutzer- oder Produktionsnetzen; ausschließlich über gehärtete Sprungsysteme mit MFA
Zero-Trust-Prinzip für Management-Traffic: Authentifizierung und Autorisierung für jeden Zugriff auf Managementsysteme erzwingen – "keine implizite Vertrauenszone"
Regelmäßige Konfigurationsbackups und Integritätsprüfungen: Baseline-Vergleiche ermöglichen schnelle Erkennung unautorisierter Änderungen

Schwachstellenmanagement als ISMS-Prozess

Einrichtungen, die ein ISMS nach ISO 27001 oder BSI IT-Grundschutz betreiben, sollten prüfen, ob ihr Schwachstellenmanagementprozess für Szenarien wie dieses ausgelegt ist:

Gibt es einen definierten Prozess für die Auswertung von BSI-Sicherheitsmitteilungen?
Wer ist verantwortlich für die Bewertung und Eskalation kritischer CVEs?
Ist ein Emergency-Change-Verfahren für kritische Patches definiert und geübt?
Werden Managementsysteme im Asset-Inventar erfasst und im Rahmen des Patchmanagements berücksichtigt?

Wenn diese Fragen nicht klar beantwortet werden können, ist struktureller Nachholbedarf im ISMS vorhanden. Das ISMShield.ai-Assessment kann Ihnen helfen, Lücken in Ihrem Sicherheitsprogramm systematisch zu identifizieren.

Awareness für Drittanbieter und MSSPs

Viele Krankenhäuser haben FortiManager-Systeme an Managed Security Service Provider (MSSPs)

Kostenlose NIS2-Bestandsaufnahme starten →