Ivanti Connect Secure Sicherheitslücke: CVE-2025-22457

Kritische RCE-Schwachstelle wird aktiv ausgenutzt – was Krankenhäuser jetzt tun müssen

Eine kritische Sicherheitslücke in Ivanti Connect Secure wird aktiv ausgenutzt – auch auf Systemen, die längst kein Support mehr erhalten. Für Krankenhäuser und andere Gesundheitseinrichtungen, die Ivanti-Produkte für den Remote-Zugang einsetzen, besteht unmittelbarer Handlungsbedarf. Das BSI hat die Schwachstelle mit Kritikalitätsstufe 3 (von 4) eingestuft und eine Cybersicherheitswarnung herausgegeben. Dieser Artikel analysiert die technischen Hintergründe, bewertet die Relevanz für den Krankenhausbetrieb und gibt konkrete Handlungsempfehlungen.

Was ist passiert: CVE-2025-22457 im Überblick

Am 3. April 2025 veröffentlichte Ivanti ein Security Advisory zur Schwachstelle CVE-2025-22457, die die Produkte Ivanti Connect Secure, Policy Secure und ZTA Gateways betrifft. Der CVSS-Score beträgt 9.0 (kritisch). Die Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, über das Netzwerk beliebigen Code auf einem verwundbaren Gerät auszuführen – ein sogenannter Remote Code Execution (RCE)-Angriff.

Technisch handelt es sich um einen Stack-basierten Pufferüberlauf (CWE-121): Durch gezielt manipulierte Eingaben kann der Stack-Speicher überschrieben werden, was die Ausführung von Angreifer-kontrolliertem Code ermöglicht. Für einen solchen Angriff sind keine Anmeldedaten erforderlich – die Angriffsfläche ist damit maximal.

Ein erschwerender Faktor ist die Entstehungsgeschichte der Schwachstelle: Ein Patch existiert bereits seit dem 11. Februar 2025 in Form von Ivanti Connect Secure Version 22.7.R2.6. Ivanti hatte den zugrundeliegenden Fehler jedoch zunächst lediglich als Bug klassifiziert – ohne sicherheitsrelevante Einstufung. Erst am 3. April 2025 folgte die Neubewertung als kritische Sicherheitslücke. Diese Verzögerung ist sicherheitstechnisch brisant: Sie bedeutet, dass Systeme, auf denen das Februar-Update nicht eingespielt wurde, seit über sieben Wochen ungeschützt angreifbar waren – ohne dass Verantwortliche von der Sicherheitsrelevanz des Updates wussten.

Ivanti und das Sicherheitsunternehmen Mandiant bestätigten inzwischen, dass aktive Ausnutzungen auf ungepatchten und End-of-Support-Systemen beobachtet wurden.

Betroffene Versionen und End-of-Support-Problematik

Verwundbar durch CVE-2025-22457 sind:

Ivanti Connect Secure, Policy Secure und ZTA Gateways in allen Versionen bis einschließlich 22.7.R2.5
Pulse Connect Secure 9.1.x und andere End-of-Support-Versionen (EoS)

Der zweite Punkt ist der kritischere in der Praxis: Laut BSI-Angaben vom 8. April 2025 betreiben in Deutschland noch über 180 Systeme veraltete Software-Versionen, ein erheblicher Anteil davon unter Versionen, die bereits das End-of-Support-Datum überschritten haben. Für diese Systeme wird es keinen offiziellen Patch von Ivanti geben.

Pulse Connect Secure 9.1.x ist dabei besonders problematisch: Diese Produktlinie wurde bereits vor Jahren abgekündigt. Wer diese Versionen noch betreibt, setzt seine Organisation einem nicht mehr behebbaren Risiko aus – es sei denn, die Systeme werden sofort vom Netz genommen oder migriert.

Für Krankenhäuser ist dies kein rein hypothetisches Szenario. Remote-Access-Lösungen wie Ivanti Connect Secure werden häufig für Telearbeit, Fernwartung medizinischer Geräte, Anbindung von Außenstandorten und Zugang externer Dienstleister eingesetzt. Ein kompromittiertes VPN-Gateway ist damit ein direkter Einstiegspunkt in das klinische Netzwerk.

Relevanz für Krankenhäuser: Warum VPN-Gateways ein Hochrisiko-Asset sind

Remote-Access-Systeme stehen im Gesundheitswesen unter besonderem Druck: Sie müssen rund um die Uhr verfügbar sein, werden von einer Vielzahl von Nutzergruppen – vom Arzt im Homeoffice bis zum Servicetechniker für Medizingeräte – genutzt und befinden sich direkt an der Perimeter-Grenze des Netzwerks. Für Angreifer sind sie damit bevorzugte Einstiegspunkte.

Vergangene Ransomware-Angriffe auf deutsche Krankenhäuser haben gezeigt, dass kompromittierte VPN-Zugänge regelmäßig als initialer Angriffsvektor dienten. Ein erfolgreicher Angriff über CVE-2025-22457 ermöglicht einem Angreifer, sich im Netzwerk zu bewegen, Anmeldedaten zu stehlen, Ransomware auszurollen oder medizinische Systeme zu manipulieren – mit unmittelbaren Auswirkungen auf die Patientensicherheit und den Krankenhausbetrieb.

Aus regulatorischer Sicht sind Krankenhäuser in Deutschland über mehrere Normen und Gesetze zur proaktiven Behandlung solcher Schwachstellen verpflichtet:

§391 SGB V verpflichtet Krankenhäuser ab einer bestimmten Bettenanzahl zur Umsetzung angemessener IT-Sicherheitsmaßnahmen und zur regelmäßigen Überprüfung nach dem B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard).
Das NIS2UmsuCG, das die NIS2-Richtlinie in deutsches Recht überführt hat, verpflichtet betroffene Einrichtungen zu einem strukturierten Schwachstellenmanagement als Teil der technischen und organisatorischen Maßnahmen nach §30 BSIG.
Das BSI-Grundschutz-Kompendium (insbesondere Baustein NET.3 Sicherheitsgateways und SYS.1 allgemein) fordert ein aktives Patch- und Lebenszyklusmanagement für Netzwerkkomponenten.
Die DSGVO (Art. 32) verlangt technische Maßnahmen zur Sicherheit der Verarbeitung personenbezogener Daten – dazu gehört auch das zeitnahe Schließen bekannter Sicherheitslücken.

Hinweis: Für eine rechtsverbindliche Einschätzung Ihrer konkreten Situation wenden Sie sich bitte an einen auf IT-Recht und Gesundheitsrecht spezialisierten Anwalt.

Sofortmaßnahmen: Was jetzt zu tun ist

1. Bestandsaufnahme (sofort)

Prüfen Sie unverzüglich, ob Ivanti Connect Secure, Policy Secure oder ZTA Gateways in Ihrer Umgebung betrieben werden. Dazu gehören:

Eigenbetriebene Systeme in Ihrem Rechenzentrum
Systeme unter Managed-Service-Verträgen mit Dienstleistern
Systeme in Tochtergesellschaften, Außenstandorten oder angebundenen MVZ

Erfassen Sie die genaue Softwareversion jedes Systems. Versionen bis einschließlich 22.7.R2.5 sowie alle 9.1.x-Versionen sind unmittelbar betroffen.

2. Patch einspielen (höchste Priorität)

Für Ivanti Connect Secure steht seit dem 11. Februar 2025 die Version 22.7.R2.6 als Patch bereit. Dieser muss umgehend eingespielt werden, sofern noch nicht geschehen. Prüfen Sie den Patch-Status auch bei externen Dienstleistern, die Ivanti-Systeme für Sie betreiben – und fordern Sie schriftliche Bestätigung der durchgeführten Maßnahmen an.

Für Policy Secure und ZTA Gateways kommuniziert Ivanti separate Patch-Zeitpläne. Verfolgen Sie das offizielle Advisory unter ivanti.com und abonnieren Sie die BSI-Cybersicherheitswarnungen.

3. End-of-Support-Systeme isolieren oder abschalten

Für Systeme, die unter End-of-Support-Versionen (insbesondere Pulse Connect Secure 9.1.x) laufen, gibt es keinen Patch. Handlungsoptionen:

Sofortige Isolation vom übrigen Netzwerk, bis eine Migration erfolgt ist
Abschaltung des Systems und temporärer Wechsel auf alternative Zugangswege
Beschleunigter Migrationsplan auf eine unterstützte und gepatchte Version

Das Weiterführen von End-of-Support-Software im produktiven Betrieb ist nach B3S und BSI-Grundschutz nicht vertretbar und kann bei einem Sicherheitsvorfall als organisatorisches Versagen gewertet werden.

4. Indicators of Compromise prüfen

Da aktive Ausnutzungen bereits bestätigt sind, reicht das Einspielen des Patches allein nicht aus. Prüfen Sie, ob Ihre Systeme bereits kompromittiert wurden. Ivanti und Mandiant haben Indicators of Compromise (IoCs) veröffentlicht. Überprüfen Sie:

Ungewöhnliche Prozesse oder Verbindungen auf dem VPN-Gateway
Anomalien in Authentifizierungsprotokollen (unbekannte Quell-IPs, ungewöhnliche Zeitstempel)
Veränderungen an Systemdateien oder Konfigurationen
Auffälligkeiten im SIEM, sofern das Gateway daran angebunden ist

Wenn Sie Hinweise auf eine Kompromittierung finden, aktivieren Sie Ihren Incident-Response-Plan und ziehen Sie forensische Unterstützung hinzu. Eine Meldepflicht nach §32 BSIG (NIS2-Regime) sowie ggf. nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzaufsichtsbehörde ist zu prüfen.

Strukturelle Lehren: Patch-Management und Lebenszyklussteuerung

CVE-2025-22457 zeigt exemplarisch eine Schwäche, die über den Einzelfall hinausgeht: Ein verfügbarer Patch allein schützt nicht, wenn dessen sicherheitsrelevante Bedeutung nicht kommuniziert wird. Die siebenwöchige Lücke zwischen Patch-Verfügbarkeit und Sicherheitseinstufung durch Ivanti ist ein Versagen auf Herstellerseite – aber sie offenbart auch eine strukturelle Schwäche auf der Betreiberseite, wenn Updates nur dann eingespielt werden, wenn sie explizit als "Sicherheits-Patch" ausgewiesen sind.

Für ein belastbares Patch-Management im Krankenhaus bedeutet das:

Alle Updates für Sicherheits-Gateways und Perimeter-Systeme sollten zeitnah eingespielt werden – unabhängig davon, ob sie als Bug-Fix oder Security-Patch klassifiziert sind.
End-of-Life-Tracking muss als fester Bestandteil des Asset-Managements implementiert sein. Systeme, die das Support-Ende erreichen, brauchen einen dokumentierten Migrationsplan.
Hersteller-Advisories und BSI-Warnungen sollten systematisch überwacht und in den internen Risikoprozess eingespeist werden. Das BSI stellt unter bsi.bund.de einen kostenlosen Warn- und Informationsdienst (WID) bereit.
Externe Dienstleister und MSSPs müssen vertraglich zur zeitnahen Patch-Umsetzung verpflichtet werden, mit definierten SLAs für kritische Schwachstellen.

Die Ivanti Connect Secure Sicherheitslücke CVE-2025-22457 ist kein Einzelfall. VPN- und Remote-Access-Produkte verschiedener Hersteller waren in den vergangenen Jahren wiederholt Ziel gezielter Angriffe. Eine strukturierte Herangehensweise an Schwachstellenmanagement ist keine Option – sie ist regulatorische Pflicht und betriebliche Notwendigkeit.

Checkliste: Sofortmaßnahmen CVE-2025-22457

Maßnahme	Priorität	Status
Inventar aller Ivanti Connect Secure / Policy Secure / ZTA-Instanzen erstellen	Sofort	☐
Softwareversionen aller Instanzen erfassen	Sofort	☐
Patch auf Version 22.7.R2.6 einspielen (Connect Secure)	Sofort	☐
Patch-Status bei externen Dienstleistern erfragen und dokumentieren	Sofort	☐
EoS-Systeme (Pulse Connect Secure 9.1.x) isolieren oder abschalten	Sofort	☐
IoC-Analyse auf allen betroffenen Systemen durchführen	24–48 Stunden	☐
SIEM-Alarme auf Anomalien im VPN-Traffic prüfen	24–48 Stunden	☐
Incident-Response-Plan aktivieren, falls Kompromittierung festgestellt	Bei Bedarf	☐
Meldepflichten nach §32 BSIG / Art. 33 DSGVO prüfen	Bei Bedarf	☐
Migrationsplan für EoS-Systeme dokumentieren und freigeben	Kurzfristig	☐

Quellen und weiterführende Links

BSI Cybersicherheitswarnung CVE-2025-22457 (Version 1.1): [https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2025/2025-238620-1032_csw.html](https://

Kostenlose NIS2-Bestandsaufnahme starten →