Ivanti EPMM Sicherheitslücke: Krankenhäuser handeln jetzt

Mobile Device Management gehört in nahezu jeder Klinik zur kritischen Infrastruktur – und Ivanti EPMM ist dabei eines der am weitesten verbreiteten Systeme. Am 7. Mai 2026 veröffentlichte das BSI eine Cybersicherheitswarnung mit Kritikalität 2: Ivanti EPMM weist mehrere schwerwiegende Schwachstellen auf, darunter eine, die bereits aktiv für Angriffe genutzt wird. Für IT-Sicherheitsverantwortliche in Krankenhäusern ist das kein theoretisches Risiko – es ist eine konkrete Bedrohungslage, die sofortiges Handeln erfordert.

Dieser Artikel fasst zusammen, was bekannt ist, warum der Gesundheitssektor besonders exponiert ist und welche technischen und regulatorischen Schritte jetzt anstehen.

Was ist bekannt: Die Schwachstellen im Überblick

Das monatliche Advisory von Ivanti vom 7. Mai 2026 umfasst fünf Schwachstellen in Endpoint Manager Mobile (EPMM), die nach CVSS v3.1 allesamt als „hoch" eingestuft werden. Die Verwundbarkeiten liegen in drei Kategorien:

Unzureichende Zertifikatsvalidierung
Mangelhafte Eingabevalidierung
Schwachstellen in der Zugriffskontrolle

Im Mittelpunkt steht CVE-2026-6973: Ivanti bestätigt, dass diese Schwachstelle bereits in einer begrenzten Anzahl realer Angriffe ausgenutzt wurde. Das BSI hat die Warnung entsprechend mit Kritikalität 2 eingestuft – was bedeutet: bekannte Ausnutzung in freier Wildbahn, dringender Handlungsbedarf.

Voraussetzung für CVE-2026-6973: Die Angreifer benötigen Administrator-Konten auf dem Zielsystem. Das klingt zunächst nach einer Einschränkung – ist es aber nicht, wenn man den Kontext betrachtet.

Betroffene Versionen: Alle Ivanti EPMM-Systeme mit Softwareversion 12.8.0.0 oder älter, sofern kein aktueller Patch eingespielt wurde.

Warum dieser Angriff für Krankenhäuser besonders gefährlich ist

Der Zusammenhang mit früheren Kompromittierungen

Das BSI weist explizit darauf hin, dass die jetzt aktiv ausgenutzte Schwachstelle CVE-2026-6973 in direktem Zusammenhang mit den im Januar 2026 bekannt gewordenen Angriffen auf Ivanti EPMM steht. Damals wurden CVE-2026-1281 und CVE-2026-1340 ausgenutzt – und dabei könnten Administrator-Zugangsdaten abgeflossen sein.

Das bedeutet: Wer im Januar 2026 von den früheren Ivanti-EPMM-Schwachstellen betroffen war und die Zugangsdaten nicht vollständig rotiert hat, ist jetzt mit hoher Wahrscheinlichkeit ein Angriffsziel. Kompromittierte Admin-Credentials von Januar sind heute der Schlüssel für CVE-2026-6973.

MDM als Kronjuwel im Krankenhausnetz

Mobile Device Management-Systeme wie Ivanti EPMM sind im klinischen Umfeld keine peripheren Komponenten. Sie verwalten typischerweise:

Pflegetablets und mobile Visitenwagen
Ärztliche Smartphones mit Zugriff auf KIS/RIS/PACS
Geräte mit Zugang zu klinischen Kommunikationslösungen
Medizinische Wearables und IoT-Endpunkte

Ein kompromittiertes MDM-System bedeutet faktisch: Der Angreifer hat Zugriff auf alle verwalteten Endgeräte, kann Konfigurationen ändern, Schadsoftware verteilen und sensible Daten abziehen – einschließlich Patientendaten nach DSGVO. Die Angriffsoberfläche ist systembedingt breit, und der Schaden bei erfolgreicher Ausnutzung ist im klinischen Betrieb unmittelbar spürbar.

KRITIS und NIS2: Erhöhte Sorgfaltspflicht

Krankenhäuser ab einem bestimmten Versorgungsgrad gelten seit dem Inkrafttreten des NIS2UmsuCG als wesentliche oder wichtige Einrichtungen nach dem BSIG. Das bringt konkrete Pflichten mit sich: Nach §30 BSIG sind geeignete technische und organisatorische Maßnahmen zum Schutz der Netz- und Informationssysteme vorzuhalten. Eine bekannte, aktiv ausgenutzte Schwachstelle in einem zentralen IT-System – und nicht zu patchen – ist mit dieser Pflicht nicht vereinbar.

Darüber hinaus gilt für Krankenhäuser, die unter die KRITIS-Schwellenwerte fallen oder dem §391 SGB V unterliegen, die Pflicht zur Umsetzung des B3S Krankenhaus beziehungsweise der branchenspezifischen Anforderungen an die IT-Sicherheit. Schwachstellenmanagement und Patch-Management sind dort explizit geforderte Maßnahmen.

Hinweis: Für eine abschließende rechtliche Bewertung Ihrer individuellen Situation wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.

Technische Sofortmaßnahmen: Was jetzt zu tun ist

1. Patch unverzüglich einspielen

Ivanti hat mit dem Advisory vom 7. Mai 2026 aktualisierte Releases veröffentlicht. Alle Systeme mit Version 12.8.0.0 oder älter müssen umgehend aktualisiert werden. Prüfen Sie die Ivanti-Sicherheitsseite auf die aktuell gepatchte Version und spielen Sie diese über Ihren etablierten Change-Management-Prozess ein – bei aktiver Ausnutzung kann dieser Prozess im Notfall beschleunigt werden (Emergency Change).

Empfehlung: Legen Sie EPMM-Patches in Ihrem Patch-Management als Kritikalität 1 an und behandeln Sie sie außerhalb regulärer Wartungsfenster.

2. Administrator-Zugangsdaten vollständig rotieren

Wenn Ihre Umgebung im Zeitraum Januar 2026 von CVE-2026-1281 oder CVE-2026-1340 betroffen war – oder wenn Sie das damals nicht mit Sicherheit ausschließen konnten – müssen alle Administrator-Zugangsdaten für Ivanti EPMM sofort gewechselt werden. Das schließt ein:

Lokale Admin-Konten im EPMM-System
Dienstkonten mit erhöhten Berechtigungen
API-Keys und Integrations-Credentials
Verbundene Verzeichnisdienste (Active Directory/LDAP) auf Passthrough-Konten prüfen

3. Multi-Faktor-Authentifizierung für Admin-Zugang erzwingen

Auch wenn MFA die Schwachstelle selbst nicht schließt, reduziert sie das Risiko erheblich, dass abgeflossene Credentials unmittelbar für CVE-2026-6973 genutzt werden können. Prüfen Sie, ob der administrative Zugang zu Ihrem EPMM-System durch MFA abgesichert ist. Falls nicht: Das ist die wichtigste Kompensationsmaßnahme bis zum Patch.

4. Netzwerkzugriff auf die EPMM-Verwaltungsoberfläche einschränken

Ist die EPMM-Administrationsoberfläche aus dem allgemeinen Krankenhausnetz erreichbar oder gar aus dem Internet? Das sollte nicht der Fall sein. Beschränken Sie den Zugriff über Firewall-Regeln auf dedizierte Admin-Workstations oder ein separates Management-VLAN. Ivanti EPMM sollte grundsätzlich nicht direkt aus dem Internet administrierbar sein.

5. Logs und Anomalien prüfen

Analysieren Sie die EPMM-Systemlogs auf Anzeichen einer bereits stattgefundenen Kompromittierung – insbesondere rückwirkend für den Zeitraum seit Januar 2026. Suchen Sie nach:

Ungewöhnlichen Admin-Anmeldungen (Zeitpunkt, Quell-IP)
Konfigurationsänderungen außerhalb geplanter Change-Fenster
Unerwarteten Device-Enrollment-Aktionen
API-Aufrufen von unbekannten Endpunkten

Falls Ihr SIEM diese Log-Quellen nicht bereits ingested, ist jetzt der richtige Zeitpunkt, das zu korrigieren.

Meldepflichten: Was bei Verdacht auf Kompromittierung gilt

BSI-Meldepflicht nach BSIG

Stellen Sie eine tatsächliche oder wahrscheinliche Kompromittierung Ihrer Ivanti-EPMM-Umgebung fest, greifen für wesentliche und wichtige Einrichtungen die Meldepflichten nach §32 BSIG. Die Fristen sind gestaffelt:

Erstmeldung (Frühwarnung): innerhalb von 24 Stunden nach Kenntnis des erheblichen Vorfalls
Bestätigungsmeldung: innerhalb von 72 Stunden
Abschlussbericht: innerhalb von einem Monat

Ein kompromittiertes MDM-System, das Patientendaten oder klinische Endgeräte verwaltet, ist in der Regel als erheblicher Sicherheitsvorfall einzustufen.

DSGVO-Meldepflicht

Wenn durch eine EPMM-Kompromittierung personenbezogene Daten – und im klinischen Umfeld sind das immer auch Gesundheitsdaten nach Art. 9 DSGVO – betroffen sein könnten, besteht nach Art. 33 DSGVO eine Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde innerhalb von 72 Stunden. Bei hohem Risiko für Betroffene kommt nach Art. 34 DSGVO die Benachrichtigung der betroffenen Personen hinzu.

Hinweis: Die konkrete Einschätzung der Meldepflicht im Einzelfall erfordert rechtliche Beratung. Wenden Sie sich bei Unsicherheit an Ihren Datenschutzbeauftragten und ggf. an einen Rechtsanwalt.

Lessons Learned: Ivanti EPMM als systemisches Muster

Die Ivanti-EPMM-Schwachstellen von 2026 sind kein Einzelfall – sie sind Teil eines Musters, das die gesamte MDM/EMM-Produktkategorie betrifft und schon 2023 und 2024 sichtbar war. Für CISO und ISB im Krankenhaus lassen sich daraus strukturelle Schlüsse ziehen:

1. MDM-Systeme gehören ins Hochrisikoregister Viele Risikoinventare unterschätzen MDM als „Verwaltungssystem". Es ist tatsächlich ein zentrales Steuerungssystem für Endgeräte mit klinischem Datenzugang – und muss entsprechend bewertet werden.

2. Credential-Hygiene nach Incidents ist kein Optional-Schritt Der Januar-2026-Vorfall hätte zur vollständigen Rotation aller Admin-Credentials führen müssen. Wer das nicht gemacht hat, zahlt heute den Preis. Nach jedem Incident mit Verdacht auf Credential-Abfluss ist das Rotieren von Zugangsdaten Pflicht, nicht Kür.

3. Kompensationsmaßnahmen müssen dokumentiert und aktiv sein Wenn ein Patch nicht sofort eingespielt werden kann (Abhängigkeiten, Kompatibilitätsprüfungen), braucht es dokumentierte, aktive Kompensationsmaßnahmen: MFA, Netzwerksegmentierung, erhöhtes Monitoring. Das ist nicht nur sicherheitstechnisch richtig – es ist auch die Anforderung aus §30 BSIG und dem B3S Krankenhaus.

4. Threat Intelligence muss in den Alltag integriert werden BSI-Cybersicherheitswarnungen wie diese sollten automatisiert in Ihre Betriebsprozesse fließen – über RSS-Feeds, CERT-Abonnements oder integrierte Threat-Intelligence-Plattformen. Wer erst durch Pressemeldungen von aktiv ausgenutzten Schwachstellen erfährt, handelt zu spät.

Checkliste: Sofortmaßnahmen Ivanti EPMM CVE-2026-6973

Maßnahme	Priorität	Status
Ivanti EPMM-Version prüfen (≤ 12.8.0.0?)	Kritisch	☐
Patch auf aktuelle Version einspielen	Kritisch	☐
Admin-Credentials rotieren	Kritisch	☐
MFA für Admin-Zugang aktivieren	Hoch	☐
Netzwerkzugriff auf Admin-UI einschränken	Hoch	☐
Logs seit Januar 2026 auf IOCs prüfen	Hoch	☐
EPMM in SIEM-Log-Erfassung aufnehmen	Mittel	☐
Meldepflicht BSI/DSB prüfen (bei Verdacht)	Situativ	☐
Risikoeintrag im ISMS aktualisieren	Mittel	☐

Quellen und weiterführende Links

BSI Cybersicherheitswarnung (07.05.2026): Ivanti EPMM: Systeme über neue Schwachstelle angegriffen
Ivanti Security Advisory (Mai 2026): Ivanti EPMM Sicherheitshinweise – verfügbar im Ivanti Support Portal
BSI IT-Grundschutz: Kompendium und Bausteine
B3S Krankenhaus: Branchenspezifischer Sicherheitsstandard für die Gesundheitsversorgung
BSIG §30/§32: Anforderungen und Meldepflichten für wesentliche und wichtige Ein

Kostenlose NIS2-Bestandsaufnahme starten →