🇩🇪 Dieser Beitrag betrifft Deutschland. In Österreich und der Schweiz gelten andere Gesetze (NISG bzw. ISG/DSG).
Die kritische Zero-Day Schwachstelle CVE-2024-47575 in Fortinet FortiManager wurde bereits aktiv ausgenutzt, bevor ein Patch verfügbar war – ein Szenario, das IT-Sicherheitsverantwortliche im Gesundheitswesen besonders aufhorchen lassen sollte. Mit einem CVSS-Score von 9.8 gehört diese Schwachstelle zu den gefährlichsten Kategorien überhaupt. Für Krankenhäuser, die FortiManager zur zentralen Verwaltung ihrer Netzwerksicherheitsinfrastruktur einsetzen, bestand und besteht erhebliches Risiko. Dieser Artikel analysiert die technischen Hintergründe, erklärt die Implikationen für den Krankenhausbetrieb und zeigt konkrete Handlungsschritte auf.
Was steckt hinter CVE-2024-47575?
Fortinet veröffentlichte am 23. Oktober 2024 ein Security Advisory zu einer Zero-Day Schwachstelle im FortiManager – einem zentralen Verwaltungssystem für Fortinet-Sicherheitsgeräte wie FortiGate-Firewalls. Das BSI stufte die Schwachstelle mit Kritikalität 3 (Kritisch) ein und veröffentlichte am 29. Oktober 2024 eine entsprechende Cybersicherheitswarnung.
Die technische Ursache liegt im FGFM-Daemon (FortiGate to FortiManager Protocol): Einem externen Angreifer war es möglich, ohne jede Authentifizierung beliebigen Code und Befehle auf einem verwundbaren FortiManager-System auszuführen. Die zugrunde liegende Schwachstellenklasse ist CWE-306 – Missing Authentication for Critical Function, also das vollständige Fehlen einer Authentifizierungsprüfung für eine sicherheitskritische Funktion.
Das macht CVE-2024-47575 besonders gefährlich:
- Kein Credential-Diebstahl notwendig: Ein Angreifer benötigt weder gestohlene Zugangsdaten noch Social Engineering.
- Remote-Ausnutzung möglich: Die Schwachstelle ist über das Netzwerk ausnutzbar, sofern der FortiManager erreichbar ist.
- Vollständige Systemkontrolle: Erfolgreiche Ausnutzung erlaubt Code-Ausführung auf dem FortiManager selbst – und damit potenziell die Kontrolle über alle angebundenen Fortinet-Geräte.
- Aktive Ausnutzung zum Zeitpunkt der Veröffentlichung: Fortinet bestätigte, dass die Schwachstelle bereits in freier Wildbahn aktiv ausgenutzt wurde – ein klassisches Zero-Day-Szenario.
Der CVSS-Score von 9.8 (Kritisch) ist keine Übertreibung: Der Attack Vector ist "Network", die Attack Complexity "Low", es ist keine Benutzerinteraktion erforderlich, und Privileges Required ist "None". Alle drei Schutzziele – Vertraulichkeit, Integrität und Verfügbarkeit – sind vollständig kompromittierbar.
Warum FortiManager-Schwachstellen Krankenhäuser besonders treffen
FortiManager ist in vielen mittleren und großen Krankenhäusern als zentrales Network Security Management System im Einsatz. Die Plattform verwaltet Firewall-Regeln, VPN-Konfigurationen, Netzwerksegmentierungen und Sicherheitsrichtlinien für zum Teil Dutzende von FortiGate-Appliances gleichzeitig. Genau diese Zentralisierung – im Normalbetrieb ein Effizienzgewinn – wird in diesem Angriffsszenario zum multiplikatorischen Risiko.
Worst-Case-Szenario im Krankenhaus: Ein Angreifer kompromittiert den FortiManager. Von dort aus kann er Firewall-Regeln für das gesamte Netz manipulieren, Segmentierungen aufheben, VPN-Zugänge modifizieren oder Kommunikationsverbindungen zu medizinischen Systemen wie KIS, RIS oder PACS unterbrechen. In einem Ransomware-Angriff wäre dies typischerweise die Vorstufe zur flächendeckenden Verschlüsselung – oder zur gezielten Exfiltration von Patientendaten.
Für Krankenhäuser ergeben sich daraus spezifische Risiken:
- Patientendaten unter der DSGVO: Eine erfolgreiche Kompromittierung des FortiManagers kann eine meldepflichtige Datenpanne nach Art. 33 DSGVO auslösen – Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden.
- KRITIS-Betreiber und NIS2-Pflichten: Krankenhäuser mit mehr als 30.000 vollstationären Fällen pro Jahr gelten als Betreiber kritischer Anlagen im Gesundheitssektor. Für sie gelten seit dem NIS2UmsuCG erhöhte Anforderungen an Sicherheitsmaßnahmen (§ 30 BSIG) und Meldepflichten bei erheblichen Sicherheitsvorfällen (§ 32 BSIG).
- § 391 SGB V: Krankenhäuser sind nach § 391 SGB V verpflichtet, angemessene technische und organisatorische Maßnahmen zur IT-Sicherheit umzusetzen. Eine ungepatchte kritische Schwachstelle in einem zentralen Sicherheitssystem kann als Verletzung dieser Pflicht gewertet werden.
- B3S Krankenhaus: Der Branchenspezifische Sicherheitsstandard für Krankenhäuser fordert explizit ein systematisches Schwachstellenmanagement und zeitnahe Patch-Prozesse für kritische Systeme.
Hinweis: Für die rechtliche Einordnung Ihrer konkreten Situation – insbesondere hinsichtlich Meldepflichten und Haftungsfragen – wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.
Technische Analyse: Angriffsvektoren und Schadenspotenzial
Der FGFM-Protokoll-Angriff
Das FortiGate-to-FortiManager-Protocol (FGFM) ist das proprietäre Kommunikationsprotokoll, über das verwaltete FortiGate-Geräte mit dem FortiManager kommunizieren. Der verwundbare Daemon hat auf TCP-Port 541 gelauscht. Die fehlende Authentifizierung in diesem Daemon bedeutet konkret: Ein Angreifer konnte sich gegenüber dem FortiManager als legitimes Gerät ausgeben und anschließend Befehle ausführen – ohne einen gültigen Authentifizierungstoken vorlegen zu müssen.
Angriffskette und laterale Bewegung
In realen Angriffsszenarien, wie sie nach Veröffentlichung von CVE-2024-47575 aus Threat-Intelligence-Berichten bekannt wurden, verlief die Angriffskette typischerweise so:
- Reconnaissance: Identifikation exponierter FortiManager-Instanzen über Shodan oder ähnliche Scanning-Tools
- Initiale Kompromittierung: Ausnutzung von CVE-2024-47575 für unauthentifizierte Code-Ausführung
- Datenexfiltration: Abruf von Konfigurationsdaten aller verwalteten Geräte, inklusive Zugangsdaten und VPN-Konfigurationen
- Laterale Bewegung: Nutzung der erbeuteten Credentials für den Zugriff auf weitere Netzwerkbereiche
- Persistenz: Anlage von Backdoor-Accounts oder Modifikation von Firewall-Regeln
Besonders brisant: Die gestohlenen Konfigurationsdaten ermöglichen es Angreifern, tiefe Einblicke in die Netzwerkarchitektur eines Krankenhauses zu gewinnen – Informationen, die in späteren, gezielteren Angriffen genutzt werden können.
Sofortmaßnahmen und Patch-Management
Patch einspielen – sofort
Fortinet hat mit dem Advisory vom 23. Oktober 2024 gleichzeitig Patches bereitgestellt. Die gepatchten Versionen umfassen FortiManager 7.6.1, 7.4.5, 7.2.8, 7.0.13 und 6.4.15. Falls Ihr System noch nicht auf eine dieser Versionen aktualisiert wurde, hat dies absolute Priorität.
Checkliste: Sofortmaßnahmen bei FortiManager CVE-2024-47575
- [ ] Betroffene FortiManager-Version identifizieren (alle Versionen vor den genannten Patches sind betroffen)
- [ ] Patch auf eine der bereitgestellten sicheren Versionen einspielen
- [ ] FortiManager-Logs auf Anomalien untersuchen (unbekannte Device-Registrierungen, ungewöhnliche API-Calls)
- [ ] Netzwerk-Traffic auf TCP-Port 541 auf Anomalien prüfen
- [ ] Alle Konfigurationsdaten der verwalteten Geräte als potenziell kompromittiert betrachten
- [ ] Passwörter und Pre-Shared Keys für alle verwalteten FortiGate-Geräte rotieren
- [ ] VPN-Zugänge und zugehörige Credentials erneuern
- [ ] Zugang zum FortiManager auf bekannte Management-IPs beschränken (IP-Whitelisting)
- [ ] Indikatoren für eine Kompromittierung (IoCs) aus dem BSI-Advisory und dem Fortinet-Advisory prüfen
- [ ] Incident-Response-Prozess auslösen, falls Kompromittierungshinweise vorliegen
Workarounds, falls Patching kurzfristig nicht möglich ist
Fortinet hat im Advisory auch Workarounds dokumentiert, die das Risiko reduzieren, wenn ein sofortiges Patching nicht möglich ist:
- IP-basierte Zugriffsbeschränkung: Nur bekannte FortiGate-IPs dürfen auf den FGFM-Port zugreifen
- Gerätezertifikat-Validierung aktivieren: Nutzung von FortiManager-Versionen 7.2.x und höher erlaubt die Konfiguration, nur Geräte mit bekannten Seriennummern zuzulassen
- Netzwerksegmentierung: FortiManager aus dem direkt erreichbaren Netzwerkbereich isolieren
Diese Workarounds sind kein Ersatz für den Patch, sondern überbrückende Maßnahmen.
Lessons Learned: Was dieser Vorfall für das ISMS bedeutet
Schwachstellenmanagement als ISMS-Kernprozess
CVE-2024-47575 illustriert ein strukturelles Problem, das in vielen Krankenhäusern besteht: Sicherheitssysteme selbst – Firewalls, VPN-Gateways, Management-Konsolen – werden im Patch-Management oft vernachlässigt. Produktivsysteme wie KIS oder radiologische Workstations stehen im Fokus, während die zugrundeliegende Sicherheitsinfrastruktur stiefmütterlich behandelt wird.
Im Sinne von ISO 27001 (Kontrolle A.8.8 – Management of technical vulnerabilities) und der BSI-Grundschutz-Maßnahme OPS.1.1.3 (Patch- und Änderungsmanagement) müssen alle IT-Systeme, explizit auch Sicherheitsinfrastruktur, in den regulären Schwachstellenmanagement-Prozess einbezogen sein.
Exponierte Management-Interfaces sind inakzeptabel
Eine grundlegende Erkenntnis aus diesem Vorfall: Management-Interfaces kritischer Infrastrukturkomponenten dürfen nicht aus dem Internet erreichbar sein. FortiManager-Instanzen, die über öffentliche IP-Adressen zugänglich waren, waren für CVE-2024-47575 unmittelbar und ohne weitere Voraussetzungen ausnutzbar. Die BSI-Grundschutz-Bausteine NET.1.1 (Netzarchitektur und -design) und NET.3.2 (Firewall) fordern explizit die Trennung von Management- und Produktivnetzwerken.
Zero-Day-Vorbereitung: Es ist eine Frage des Wann, nicht des Ob
Ein Zero-Day wie CVE-2024-47575 lässt sich per Definition nicht durch Patching verhindern – es gibt zum Zeitpunkt der Ausnutzung keinen Patch. Die entscheidende Frage ist, welche Defense-in-Depth-Maßnahmen das Schadenspotenzial begrenzen:
- Netzwerksegmentierung: Ist der FortiManager wirklich nur aus dem Management-VLAN erreichbar?
- Monitoring und Anomalieerkennung: Würde Ihr SIEM eine unbekannte Geräteanmeldung am FortiManager sofort detektieren?
- Least-Privilege-Prinzip: Welche Konten und Systeme haben tatsächlich Zugang zum FortiManager?
- Backup und Wiederherstellung: Können Sie im Kompromittierungsfall alle FortiManager-Konfigurationen sauber und verifiziert wiederherstellen?
Meldepflichten nicht vergessen
Falls Sie Hinweise auf eine tatsächliche Kompromittierung feststellen, greift in Krankenhäusern eine Kaskade von Meldepflichten:
- BSI: Als KRITIS-Betreiber besteht nach § 32 BSIG eine Meldepflicht bei erheblichen Sicherheitsvorfällen
- Datenschutzaufsichtsbehörde: Bei Verdacht auf unbefugten Zugriff auf personenbezogene Daten nach Art. 33 DSGVO innerhalb von 72 Stunden
- Krankenkassen/DKG: Je nach vertraglicher Situation können weitere Meldepflichten bestehen
Strukturelle Empfehlungen für das IT-Sicherheitsmanagement
Dieser Vorfall ist ein guter Anlass, grundlegende strukturelle Fragen zu stellen:
1. Asset-Inventar für Sicherheitsinfrastruktur: Haben Sie eine vollständige, aktuelle Liste aller Fortinet-Produkte (und anderer Sicherheitsprodukte) in Ihrem Netz, inklusive Versionsstände? Ohne dieses Inventar ist reaktives Patching nicht möglich.
2. Subscription für Herstellerwarnungen: Sind Sie für Fortinet-Security-Advisories angemeldet? Die Warnung von Fortinet erschien am 23. Oktober 2024 –