Fortinet FortiOS Sicherheitslücke: CVE-2024-55591 im Krankenhaus
Firewalls der FortiGate-Serie gehören in vielen deutschen Krankenhäusern und Kliniken zur Standardinfrastruktur – und genau diese Geräte stehen seit Mitte Januar 2025 im Fokus einer aktiv ausgenutzten Zero-Day-Schwachstelle. Das BSI stufte CVE-2024-55591 mit Kritikalität 3 (höchste Stufe) ein; der CVSS-Score von 9,6 unterstreicht die Brisanz. Für ISBs und IT-Leitungen im Gesundheitswesen bedeutet das: sofortiger Handlungsbedarf, keine Ausnahmen.
Dieser Artikel beschreibt, was genau passiert ist, welche Systeme betroffen sind, welche technischen Sofortmaßnahmen greifen und wie Sie den Vorfall in Ihren ISMS-Prozess einbetten – inklusive der für Krankenhäuser relevanten Meldepflichten nach BSIG und SGB V.
Was ist passiert – der Sachverhalt im Überblick
Am 14. Januar 2025 veröffentlichte Fortinet ein Security Advisory zur Schwachstelle CVE-2024-55591 in FortiOS und FortiProxy. Noch vor Veröffentlichung des Patches wurde die Lücke aktiv in freier Wildbahn ausgenutzt – klassisches Zero-Day-Szenario. Das BSI reagierte am selben Tag mit einer Cybersicherheitswarnung der Kritikalität 3.
Technischer Kern der Schwachstelle:
CVE-2024-55591 ist ein Authentication Bypass via Alternate Path (CWE-288). Ein nicht authentifizierter Angreifer kann über das Node.js-WebSocket-Modul, das für die Verwaltungsschnittstelle von FortiOS und FortiProxy genutzt wird, Super-Admin-Privilegien erlangen – ohne gültige Credentials. Der CVSS-Score 9,6 (kritisch) reflektiert die Kombination aus Fernausnutzbarkeit, fehlender Authentifizierung und maximalem Rechtegewinn.
Betroffene Versionen im Detail:
| Produkt | Betroffene Versionen |
|---|---|
| FortiOS | 7.0.0 – 7.0.16 |
| FortiProxy | 7.2.0 – 7.2.12 |
| FortiProxy | 7.0.0 – 7.0.19 |
Nicht betroffen laut Fortinet: FortiOS 6.4, 7.2, 7.4, 7.6 sowie FortiProxy 2.0, 7.4, 7.6. Diese Releases enthalten den anfälligen Code-Pfad nicht. Eine Überprüfung der exakten Versionsnummer aller eingesetzten Geräte ist dennoch obligatorisch – Versionsverwaltung im Asset-Inventar ist in vielen Häusern lückenhaft.
Warum Krankenhäuser besonders exponiert sind
Gesundheitseinrichtungen betreiben FortiGate-Appliances häufig an neuralgischen Punkten: als Perimeter-Firewall, als Segmentierungselement zwischen klinischem Netz (Medizintechnik, PACS, KIS) und administrativem Netz sowie als VPN-Gateway für Fernwartungszugänge externer Dienstleister und Medizintechnikhersteller.
Genau dieser Kontext macht die Schwachstelle im Krankenhausumfeld besonders gefährlich:
Super-Admin auf der Firewall = vollständige Netzwerkkontrolle. Wer die FortiGate administriert, kann Routing-Regeln ändern, Traffic abfangen, Segmentierungsgrenzen aufheben und VPN-Tunnel manipulieren. Ein Angreifer mit diesen Rechten kann sich lateral durch das gesamte Krankenhausnetz bewegen – inklusive Zugriff auf klinische Systeme, die patientenbezogene Daten verarbeiten.
Verwaltungsschnittstellen sind oft exponiert. In der Praxis sind Management-Interfaces von Firewalls nicht selten über das Internet erreichbar – sei es für Remote-Administration oder weil historisch gewachsene Konfigurationen nie bereinigt wurden. Genau dieser Angriffsvektor wird bei CVE-2024-55591 genutzt.
Medizintechnik ist schwer patchbar. Systeme hinter der FortiGate – etwa vernetzte Medizingeräte nach MDR, PACS-Server oder Laborinfrastruktur – lassen sich oft nicht kurzfristig isolieren oder patchen. Die Firewall als schützende Barriere muss deshalb selbst integer sein.
Lieferketten und Fernwartung. Viele Krankenhäuser nutzen FortiGate als VPN-Endpunkt für externe Dienstleister. Eine kompromittierte Firewall kann zum Einfallstor werden, über das Angreifer unter dem Deckmantel legitimierter Fernwartungszugänge agieren – ein klassisches Supply-Chain-Risiko.
Sofortmaßnahmen: Was jetzt technisch zu tun ist
Die folgende Priorisierung richtet sich an IT-Leitung und ISB. Die Maßnahmen sind nach Dringlichkeit geordnet.
1. Asset-Inventar prüfen – heute
Ermitteln Sie unverzüglich alle FortiOS- und FortiProxy-Instanzen in Ihrem Netz. Nutzen Sie Ihr CMDB oder führen Sie einen gezielten Scan durch. Dokumentieren Sie exakte Versionsnummern. Ohne vollständiges Inventar ist keine belastbare Risikoaussage möglich.
2. Management-Interface sofort vom Internet trennen
Stellen Sie sicher, dass die Verwaltungsschnittstelle (HTTPS-Management, SSH) nicht über das Internet erreichbar ist. Das ist der primäre Angriffsvektor für CVE-2024-55591. Prüfen Sie Firewall-Policies und ACLs. Management-Zugriff darf ausschließlich aus dedizierten Management-VLANs oder über einen separaten Out-of-Band-Kanal erfolgen.
Fortinet empfiehlt als Workaround explizit: - Management-Interface auf Loopback-Interface beschränken - Trusted Hosts konfigurieren, sodass Admin-Zugriff nur aus definierten IP-Bereichen möglich ist
3. Patch einspielen
Fortinet hat Patches bereitgestellt. Ziel-Versionen:
| Produkt | Gepatchte Version |
|---|---|
| FortiOS 7.0.x | 7.0.17 oder höher |
| FortiProxy 7.2.x | 7.2.13 oder höher |
| FortiProxy 7.0.x | 7.0.20 oder höher |
Spielen Sie die Updates im Rahmen eines Notfall-Change-Prozesses ein. Dokumentieren Sie den Change und das Zeitfenster für Ihren ISMS-Nachweis. Testen Sie nach dem Update die Konnektivität kritischer Systeme (KIS, PACS, Medizintechniksegmente).
4. Kompromittierungsindikatoren (IoC) prüfen
Da die Schwachstelle bereits aktiv ausgenutzt wird, reicht Patchen allein nicht. Prüfen Sie, ob Ihre Systeme bereits kompromittiert wurden:
- Überprüfen Sie Admin-Accounts auf unbekannte oder neu angelegte Super-Admin-Konten
- Analysieren Sie FortiOS-Systemlogs auf ungewöhnliche Login-Aktivitäten, insbesondere über die WebSocket-Schnittstelle
- Suchen Sie nach unbekannten VPN-Konfigurationen oder geänderten Policy-Regeln
- Korrelieren Sie Firewall-Logs mit Ihrem SIEM auf anomale Verbindungen zur Management-IP
Fortinet hat in seinem Advisory spezifische Log-Einträge beschrieben, die auf eine Ausnutzung hinweisen. Ziehen Sie diese zur Überprüfung heran.
5. Incident-Response-Entscheidung treffen
Wenn Sie Kompromittierungsindikatoren finden oder nicht ausschließen können, dass Ihre Systeme betroffen sind: Leiten Sie unverzüglich Ihren Incident-Response-Prozess ein. Das bedeutet konkret: Isolation des betroffenen Systems, forensische Sicherung, Einbeziehung Ihres CISO und ggf. eines externen IR-Dienstleisters.
Meldepflichten für Krankenhäuser in Deutschland
Dieser Abschnitt ist für ISBs und Compliance-Verantwortliche besonders relevant. Für rechtlich verbindliche Einschätzungen wenden Sie sich bitte an einen auf IT-Recht spezialisierten Anwalt.
BSI-Meldepflicht nach BSIG (NIS2UmsuCG)
Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) gelten erweiterte Meldepflichten. Krankenhäuser, die als wichtige Einrichtungen oder kritische Anlagen eingestuft sind, unterliegen den Meldepflichten nach §32 BSIG.
Bei einem erheblichen Sicherheitsvorfall – also einem Vorfall, der den Betrieb erheblich beeinträchtigt oder beeinträchtigen kann – gilt: - Erstmeldung innerhalb von 24 Stunden nach Kenntnisnahme (Frühwarnung) - Detailmeldung innerhalb von 72 Stunden - Abschlussbericht innerhalb von einem Monat
Die bloße Existenz einer kritischen Schwachstelle auf Ihren Systemen löst noch keine Meldepflicht aus. Sobald Sie jedoch Hinweise auf eine tatsächliche Ausnutzung haben, ist die Meldepflicht sehr wahrscheinlich erfüllt. Melden Sie über das BSI-Portal (MELDEPLATTFORM.BSI.BUND.DE).
§391 SGB V – IT-Sicherheit in Krankenhäusern
§391 SGB V verpflichtet Krankenhäuser zur Umsetzung angemessener technischer und organisatorischer Maßnahmen für die IT-Sicherheit, orientiert am B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard). Der B3S fordert unter anderem ein systematisches Patch-Management und Schwachstellenmanagement als verpflichtende Maßnahmen.
Eine ungepatchte kritische Schwachstelle in der Perimeter-Firewall, die aktiv ausgenutzt wird, ist ein klares Indiz für eine Lücke im Schwachstellenmanagement – und damit potenziell ein Compliance-Befund bei der nächsten Prüfung.
DSGVO-Meldepflicht
Wenn durch eine Kompromittierung der FortiGate personenbezogene Daten (Patientendaten) betroffen sind – also Zugriff, Abfluss oder Manipulation möglich war –, besteht nach Art. 33 DSGVO eine Meldepflicht an die zuständige Landesdatenschutzbehörde innerhalb von 72 Stunden. Bei hohem Risiko für betroffene Personen ist zudem eine Benachrichtigung der Betroffenen nach Art. 34 DSGVO zu prüfen.
Einbettung in den ISMS-Prozess
Diese Schwachstelle ist kein isoliertes technisches Ereignis – sie sollte Anlass sein, Ihren ISMS-Prozess für Schwachstellenmanagement zu schärfen.
Risikoregister aktualisieren: Erfassen Sie CVE-2024-55591 als Risiko mit aktueller Behandlungsstrategie (Patch/Workaround). Dokumentieren Sie den Behandlungsstatus und das Restrisiko.
Schwachstellenmanagement-Prozess überprüfen: Haben Sie einen definierten Prozess, der BSI-Sicherheitsmitteilungen systematisch auswertet und in priorisierte Maßnahmen übersetzt? Kritikalität 3 des BSI muss eine sofortige Reaktionskaskade auslösen – in der Praxis scheitert das oft an fehlenden Prozessen oder unklaren Verantwortlichkeiten.
Asset-Inventar als Fundament: Diese Schwachstelle zeigt erneut: Ohne vollständiges, aktuelles Asset-Inventar (inklusive Softwareversionen) ist kein gezieltes Schwachstellenmanagement möglich. ISO 27001 Annex A.8.1 und der BSI-Grundschutz (OPS.1.1.1, ORP.4) fordern dies explizit.
Change-Management-Prozess für Notfälle: Haben Sie einen definierten Notfall-Change-Prozess, der kritische Patches außerhalb regulärer Wartungsfenster ermöglicht? Wenn nicht, ist dieser Vorfall ein guter Anlass, einen solchen zu etablieren.
Lieferanten und Dienstleister einbeziehen: Prüfen Sie, ob externe Dienstleister, die über FortiGate-VPN auf Ihre Systeme zugreifen, ihrerseits betroffen sind. Fordern Sie Nachweise über den Patch-Status bei kritischen Lieferanten.
Wenn Sie unsicher sind, ob Ihr ISMS die notwendigen Prozesse für solche Szenarien abdeckt, bietet ISMShield.ai unter ismshield.bpcgmbh.com/assessment/ eine strukturierte Selbstbewertung für Krankenhäuser an. Weitere Hintergrundartikel zu Schwachstellenmanagement und Patch-Prozessen finden Sie im ISMShield Wissenszentrum.
Checkliste: CVE-2024-55591 im Krankenhaus
- [ ] Alle FortiOS- und FortiProxy-Versionen im Asset-Inventar erfasst
- [ ] Betroffene Versionen identifiziert (FortiOS 7.0.0–7.0.16, FortiProxy 7.0.0–7.0.19 / 7.2.0–7.2.12)
- [ ] Management-Interface vom Internet getrennt / Trusted Hosts konfiguriert
- [ ] Patch auf FortiOS 7.0.17+ bzw. FortiProxy 7.0.20+ / 7.2.13+ eingespielt
- [ ] Logs auf Kompromittierungsindikatoren geprüft (neue Admin-Accounts, anomale WebSocket-Zugriffe)
- [ ] Risikoregister aktualisiert,