Fortinet FortiOS Sicherheitslücke: CVE-2024-55591 aktiv ausgenutzt

Kategorie: Cybersecurity · Vorfälle & Lehren | Lesedauer: ca. 8 Minuten | Zuletzt aktualisiert: Juni 2026

Einleitung

Am 14. Januar 2025 veröffentlichte Fortinet ein Advisory zu einer kritischen Zero-Day-Schwachstelle in FortiOS und FortiProxy — dem Betriebssystem, das auf der weitverbreiteten FortiGate-Firewall-Produktreihe zum Einsatz kommt. Die Fortinet FortiOS Sicherheitslücke CVE-2024-55591 wurde mit einem CVSS-Score von 9.6 als „kritisch" eingestuft und wird bereits aktiv ausgenutzt. Für IT-Leitungen und Informationssicherheitsbeauftragte (ISB) in Krankenhäusern ist dieser Befund besonders brisant: FortiGate-Appliances gehören zu den meistgenutzten Perimeter-Schutzlösungen im deutschen Gesundheitswesen, und ein erfolgreicher Angriff kann vollständige administrative Kontrolle über das Netzwerk bedeuten — mit unmittelbaren Auswirkungen auf die Patientensicherheit und die Betriebskontinuität.

Was ist passiert: Technische Details zur Schwachstelle

Die Schwachstelle CVE-2024-55591 ist ein Authentication Bypass über einen alternativen Pfad (CWE-288). Das bedeutet: Ein nicht-authentifizierter Angreifer kann den regulären Authentifizierungsmechanismus umgehen und sich direkt Super-Admin-Privilegien auf dem betroffenen System verschaffen — ohne gültige Zugangsdaten zu benötigen.

Betroffene Produktversionen

Laut Fortinet-Advisory sind folgende Versionen verwundbar:

Produkt	Betroffene Versionen
FortiOS	7.0.0 – 7.0.16 (einschließlich)
FortiProxy	7.2.0 – 7.2.12 (einschließlich)
FortiProxy	7.0.0 – 7.0.19 (einschließlich)

Nicht verwundbar sind nach Angaben von Fortinet: - FortiOS 6.4, 7.2, 7.4 und 7.6 - FortiProxy 2.0, 7.4 und 7.6

Wichtig: Die aktive Ausnutzung im Zeitpunkt der Veröffentlichung bedeutet, dass ein Patch-Aufschub keine vertretbare Option ist. Systeme in den genannten Versionsbereichen sind als kompromittiert zu behandeln, bis der Gegenbeweis erbracht ist.

Angriffspfad und Auswirkungen

Der Angriff erfolgt über den Webmanagement-Port der betroffenen Appliance (typischerweise HTTPS, Port 443 oder 8443). Gelingt der Authentication Bypass, erhält der Angreifer Super-Admin-Rechte und kann:

Firewall-Regelwerke manipulieren oder deaktivieren
VPN-Konfigurationen ändern und neue Backdoor-Accounts anlegen
Netzwerksegmentierungen aushebeln
Lateral Movement in das angebundene Kliniknetzwerk einleiten
Ransomware oder weitere Schadsoftware ausrollen

Im Kontext eines Krankenhauses bedeutet dies im schlimmsten Fall: vollständiger Verlust der Netzwerkkontrolle, Ausfall klinischer Systeme (KIS, PACS, Medizintechnik) und unmittelbare Patientengefährdung.

Ursachen: Warum Zero-Days in Perimeter-Geräten so gefährlich sind

Exponierte Management-Interfaces

Ein wesentlicher Risikofaktor bei dieser Schwachstelle ist die Erreichbarkeit des Webmanagement-Interfaces aus dem Internet. Viele Organisationen betreiben Firewall-Management-Oberflächen aus Komfortgründen extern erreichbar — ein Konfigurationsfehler, der bei dieser Schwachstelle direkt zur vollständigen Kompromittierung führt.

Für Kliniken, die über FortiGate-VPNs Telearbeitsplätze oder Fernwartungszugänge für Medizintechnik bereitstellen, ist die Expositionsfläche strukturell groß.

Patch-Lag im klinischen Umfeld

Krankenhäuser stehen vor einem strukturellen Dilemma beim Patching von Netzwerk-Infrastruktur: Firewalls und Proxys sind häufig tief in den Betrieb integriert, Wartungsfenster sind eng, und Change-Management-Prozesse erfordern Vorlaufzeiten. Diese legitimen Betriebsanforderungen erzeugen systematisch einen Patch-Lag — der bei Zero-Days mit aktiver Ausnutzung existenzbedrohend werden kann.

Vertrauensstellung von Firewall-Appliances

Firewall-Appliances genießen in der Regel ein hohes implizites Vertrauen im Netzwerkdesign. Kompromittierte Perimeter-Geräte können dieses Vertrauen für tiefe Netzwerkpenetration ausnutzen, da nachgelagerte Sicherheitssysteme den von der Firewall initiierten oder weitergeleiteten Traffic häufig nicht kritisch hinterfragen.

Sofortmaßnahmen: Was jetzt zu tun ist

Die folgende Priorisierung orientiert sich an der Kritikalität der Fortinet FortiOS Sicherheitslücke und an den besonderen Betriebsanforderungen des Gesundheitswesens.

1. Sofort (innerhalb von Stunden): Angriffsfläche reduzieren

Wenn kein sofortiger Patch möglich ist:

Management-Interface (HTTPS-Zugriff auf die Admin-Oberfläche) sofort aus dem Internet entfernen
Zugriff auf das Webmanagement ausschließlich über dedizierte Management-VLANs mit starker Zugriffskontrolle beschränken
Temporäres IP-Allowlisting für Admin-Zugriffe einrichten
Monitoring auf unbekannte Adminkonten aktivieren

Fortinet selbst empfahl als Workaround explizit das Deaktivieren des HTTP/HTTPS-Managementzugriffs über das öffentliche Interface:

config system global
    set admin-sport <neuer-Port>
end

Oder vollständige Deaktivierung des öffentlichen Management-Zugriffs über entsprechende Trusted-Host-Konfiguration.

2. Kurzfristig (innerhalb von 24–48 Stunden): Patch einspielen

Update auf gepatchte FortiOS-Versionen gemäß Fortinet Security Advisory (ab 7.0.17 für den FortiOS-7.0-Zweig)
Alle betroffenen FortiProxy-Instanzen patchen
Change-Management-Prozess notfallmäßig eskalieren — das BSI hat die Schwachstelle mit Kritikalität 3 (höchste Stufe) eingestuft

3. Parallel: Kompromittierungsanalyse (Threat Hunting)

Da die Schwachstelle bereits aktiv ausgenutzt wird, muss parallel zur Patch-Maßnahme eine Kompromittierungsanalyse erfolgen:

Indikatoren für Kompromittierung (Indicators of Compromise — IoCs):

Neue, unbekannte lokale Adminkonten auf der Appliance
Ungewöhnliche Konfigurationsänderungen (Policy-Änderungen, neue VPN-Tunnel)
Anomaler ausgehender Traffic aus dem Firewall-Management-Segment
Log-Lücken oder manipulierte Audit-Logs
Bekannte C2-IPs in Verbindungsprotokollen (aktuelle IoC-Listen: CISA, BSI, Fortinet PSIRT)

Fortinet stellt im zugehörigen Advisory spezifische Log-Einträge zur Identifikation betroffener Systeme bereit. Diese sollten in SIEM-Abfragen überführt werden.

Meldepflichten: Was KRITIS-Betreiber und Krankenhäuser beachten müssen

Meldepflicht nach BSIG (NIS2UmsuCG)

Seit dem Inkrafttreten des NIS2UmsuCG gelten für Einrichtungen des Gesundheitswesens, die als wichtige oder besonders wichtige Einrichtung eingestuft sind, verschärfte Meldepflichten nach §32 BSIG. Bei einem sicherheitsrelevanten Vorfall — also sobald eine Kompromittierung über CVE-2024-55591 festgestellt oder auch nur begründet vermutet wird — gilt:

Erstmeldung: innerhalb von 24 Stunden nach Kenntnisnahme (Frühwarnung)
Detailmeldung: innerhalb von 72 Stunden (Vorfallsmeldung)
Abschlussbericht: innerhalb von einem Monat

Auch eine lediglich erfolgte Ausnutzung ohne festgestellten Datenverlust kann meldepflichtig sein, wenn die Verfügbarkeit, Integrität oder Vertraulichkeit beeinträchtigt wurde oder werden konnte.

Meldepflicht nach §391 SGB V

Krankenhäuser, die unter §391 SGB V fallen (Krankenhäuser ab dem definierten Schwellenwert nach §30 BSIG), haben gegenüber dem BSI und ggf. gegenüber der zuständigen Aufsichtsbehörde eigene Meldepflichten. Eine Kompromittierung der zentralen Firewall-Infrastruktur ist als erheblicher Sicherheitsvorfall einzustufen.

Hinweis: Für die konkrete rechtliche Bewertung Ihrer Meldepflicht im Einzelfall wenden Sie sich an einen auf IT-Sicherheitsrecht spezialisierten Rechtsanwalt.

DSGVO-Meldepflicht

Wurden durch eine Kompromittierung personenbezogene Daten — insbesondere Patientendaten — unbefugt zugänglich oder ist dies nicht auszuschließen, greift zusätzlich Art. 33 DSGVO mit einer 72-Stunden-Frist zur Meldung an die zuständige Datenschutzaufsichtsbehörde.

Lehren für das ISMS: Strukturelle Maßnahmen nach dem Vorfall

Diese Schwachstelle ist kein Einzelfall — sie ist Ausdruck eines strukturellen Musters bei Perimeter-Sicherheitsgeräten (vergleiche: Ivanti, Pulse Secure, Cisco ASA in den Vorjahren). Für Informationssicherheitsbeauftragte ergibt sich daraus Handlungsbedarf auf ISMS-Ebene.

Patch-Management-Prozess für Netzwerk-Infrastruktur

Netzwerk-Appliances (Firewalls, VPN-Gateways, Proxys) müssen in den formalen Patch-Management-Prozess integriert sein — mit definierten Eskalationspfaden für Kritikalität-3-Meldungen des BSI
Notfall-Patch-Verfahren (Emergency Change) mit vorab definierten Genehmigungswegen und Rollback-Plänen etablieren
SLA für kritische Patches: maximal 48 Stunden bei aktiver Ausnutzung

Netzwerksegmentierung und Management-Plane Separation

Eine der wirksamsten Residualmaßnahmen gegen diese Schwachstellenklasse ist die konsequente Trennung von Management-Plane und Datenpfad:

Dediziertes Out-of-Band-Management-Netzwerk (OOB) für alle Netzwerk-Appliances
Kein direkter Internetzugang für Management-Interfaces
Jumphost-Konzept mit MFA für alle administrativen Zugriffe auf Netzwerk-Infrastruktur

Diese Maßnahmen sind auch nach B3S Krankenhaus und BSI IT-Grundschutz (SYS.1.1, NET.1.1) gefordert.

Vulnerability Management: Aktive Überwachung von BSI-Mitteilungen

Das BSI veröffentlicht Cybersicherheitswarnungen (früher: Sicherheitsmitteilungen) für kritische Schwachstellen. Diese müssen operativ in den Vulnerability-Management-Prozess einfließen:

Automatisiertes Monitoring von BSI-Cybersicherheitswarnungen (RSS, API)
Abgleich mit eingesetzten Produktversionen im Asset-Management (CMDB)
Eskalationsweg zum ISB und zur IT-Leitung bei Kritikalität 2 und 3

Kompromittierungsannahme als Standard-Mindset

Bei Zero-Days mit aktiver Ausnutzung gilt: Assume Breach. Das bedeutet konkret: - Forensische Sicherung von Logs vor dem Patching - Threat-Hunting-Aktivitäten parallel zur Remediation - Überprüfung aller Systeme, die hinter der betroffenen Firewall erreichbar sind

Checkliste: Sofortmaßnahmen CVE-2024-55591

☐ Bestandsaufnahme: Welche FortiOS/FortiProxy-Versionen sind im Einsatz?
☐ Webmanagement-Interface aus dem Internet entfernt (Workaround)?
☐ IP-Allowlisting für Admin-Zugriff konfiguriert?
☐ Logs auf unbekannte Adminkonten und Konfigurationsänderungen geprüft?
☐ Patch auf nicht-verwundbare Version eingespielt?
☐ Kompromittierungsanalyse (IoC-Abgleich) durchgeführt?
☐ Incident-Response-Prozess ausgelöst (falls Kompromittierung festgestellt)?
☐ Meldepflichten geprüft (BSI/BSIG, §391 SGB V, DSGVO Art. 33)?
☐ Change-Management-Dokumentation abgeschlossen?
☐ Lessons Learned in ISMS-Prozess eingespielt?

Fazit

Die Fortinet FortiOS Sicherheitslücke CVE-2024-55591 ist ein Paradebeispiel für die Bedrohungslage, der Krankenhäuser und Kliniken täglich ausgesetzt sind: kritische Infrastrukturkomponenten mit maximalem Schadpotenzial, Zero-Day-Charakter und aktiver Ausnutzung zum Zeitpunkt der Veröffentlichung. Die Kombination aus sofortigem Workaround, priorisiertem Patching und paralleler Kompromittierungsana

Kostenlose NIS2-Bestandsaufnahme starten →