Ivanti EPMM Sicherheitslücke: Krankenhäuser handeln jetzt

Mobilgeräte-Management ist in Krankenhäusern und Kliniken längst kritische Infrastruktur: Ärzte greifen per Smartphone auf KIS-Daten zu, Pflegepersonal nutzt Tablets für die Dokumentation, und MDM-Lösungen wie Ivanti EPMM steuern diese Geräteflotte zentral. Genau diese Verwaltungsebene steht seit dem 7. Mai 2026 erneut im Fokus des BSI: Ivanti hat für sein Endpoint Manager Mobile eine Reihe schwerwiegender Schwachstellen veröffentlicht – darunter eine, bei der bereits aktive Angriffe bekannt sind. Für ISB und IT-Leitungen in Gesundheitseinrichtungen besteht unmittelbarer Handlungsbedarf.

Was das BSI gemeldet hat: Fünf Schwachstellen, eine mit aktiver Ausnutzung

Das BSI hat die Cybersicherheitswarnung 2026-255045-1032 mit Kritikalität 2 (von 4) eingestuft. Ivanti selbst beschreibt im monatlichen Advisory für EPMM fünf Schwachstellen, die nach CVSS 3.1 allesamt als „hoch" bewertet werden. Die Ursachen liegen in:

  • Unzureichender Zertifikatsvalidierung
  • Fehlerhafter Eingabevalidierung
  • Schwachstellen in der Zugriffskontrolle

Im Zentrum der Warnung steht CVE-2026-6973: Ivanti bestätigt, dass für diese Schwachstelle bereits Informationen über eine begrenzte Anzahl aktiver Angriffe vorliegen. Die Ausnutzung setzt zwar voraus, dass Angreifer bereits über Administratoren-Zugangsdaten verfügen – doch genau hier liegt das eigentliche Problem.

Warum der Kontext zu CVE-2026-1281 und CVE-2026-1340 entscheidend ist

Im Januar 2026 wurden zwei weitere kritische Schwachstellen in Ivanti EPMM bekannt (CVE-2026-1281 und CVE-2026-1340), über die Angreifer bereits aktiv Systeme kompromittierten. Das BSI weist explizit darauf hin, dass Zugangsdaten aus diesen Angriffen abgeflossen sein könnten. Das bedeutet in der Praxis: Wer im Januar 2026 betroffen war und seitdem keine vollständige Credential-Rotation und Kompromittierungsanalyse durchgeführt hat, muss davon ausgehen, dass aktive Angreifer bereits über gültige Admin-Credentials verfügen – und CVE-2026-6973 damit trivial ausnutzen können.

Betroffen sind alle Ivanti EPMM-Systeme mit Softwareversion 12.8.0.0 oder älter, die noch kein aktuelles Release von Ivanti eingespielt haben.

Warum Krankenhäuser besonders exponiert sind

MDM-Systeme wie Ivanti EPMM nehmen in Krankenhausnetzwerken eine privilegierte Stellung ein: Sie verwalten Geräte mit Zugang zu klinischen Systemen, verteilen Konfigurationen und Zertifikate, und haben in der Regel weitreichende Schnittstellen ins interne Netz. Ein kompromittiertes MDM ist damit kein peripheres IT-Problem, sondern ein potenzieller Pivotpunkt in die klinische IT-Infrastruktur.

Für Einrichtungen, die unter §391 SGB V fallen – also Krankenhäuser mit mehr als 30.000 vollstationären Fällen pro Jahr sowie KRITIS-relevante Häuser –, ergeben sich daraus unmittelbare Pflichten:

Meldepflichten nach §32 BSIG (NIS2UmsuCG): Seit dem Inkrafttreten des NIS2UmsuCG gelten für Krankenhäuser als „wichtige Einrichtungen" im Sinne von NIS2 verschärfte Meldepflichten. Sicherheitsvorfälle, die erhebliche Auswirkungen auf den Betrieb haben können, sind dem BSI zu melden – mit einer Erstmeldung innerhalb von 24 Stunden.

Technische Maßnahmen nach §30 BSIG: Die Norm schreibt explizit das Vorhalten geeigneter technischer Maßnahmen vor, darunter Schwachstellenmanagement und zeitnahes Patching. Eine bekannte, aktiv ausgenutzte Schwachstelle in einem kritischen System wie dem MDM und ausbleibende Reaktion wäre hier schwer zu rechtfertigen.

B3S Krankenhaus: Der branchenspezifische Sicherheitsstandard für Krankenhäuser setzt konkrete Anforderungen an das Patch- und Schwachstellenmanagement. Die vorliegende Warnung ist ein klassischer Testfall, ob entsprechende Prozesse tatsächlich greifen.

Sofortmaßnahmen: Was jetzt zu tun ist

1. Bestandsaufnahme und Versionsprüfung

Zunächst muss geprüft werden, welche Ivanti EPMM-Version im Einsatz ist. Alle Installationen mit Version 12.8.0.0 oder älter sind betroffen. Diese Information sollte über das CMDB oder direkt über die Ivanti-Administrationsoberfläche abrufbar sein.

2. Patch einspielen – unverzüglich

Ivanti hat korrigierte Releases veröffentlicht. Das Update ist prioritär einzuspielen. Bei Krankenhäusern, die MDM in die klinische Infrastruktur integriert haben, ist vorher eine kurze Risikoabwägung sinnvoll (Patch-Test auf Staging-Umgebung), aber der Zeitdruck durch aktive Angriffe rechtfertigt keine langen Verzögerungen.

Pragmatischer Hinweis für die Praxis: Wenn kein Staging-System existiert, dokumentieren Sie die Risikoabwägung und führen Sie das Update im definierten Wartungsfenster durch – aber noch diese Woche.

3. Kompromittierungsanalyse für den Zeitraum ab Januar 2026

Wer Ivanti EPMM betreibt, muss prüfen, ob das System im Kontext der Januar-2026-Angriffe (CVE-2026-1281 / CVE-2026-1340) kompromittiert wurde. Konkret bedeutet das:

  • Auswertung von EPMM-Logs auf ungewöhnliche Admin-Logins (Zeiten, IP-Adressen, User-Agents)
  • Prüfung, ob unbekannte Administrator-Accounts angelegt wurden
  • Korrelation mit SIEM-Daten auf laterale Bewegungen aus dem MDM-Segment
  • Prüfung von Zertifikatstore und Konfigurationsänderungen

Wenn ein SIEM vorhanden ist: Erstellen Sie eine dedizierte Erkennungsregel für ungewöhnliche EPMM-Admin-Aktivitäten, falls noch nicht geschehen.

4. Credential-Rotation aller Admin-Konten

Unabhängig davon, ob eine Kompromittierung nachgewiesen werden kann: Sämtliche EPMM-Administratoren-Passwörter und API-Schlüssel sind zu rotieren. Service-Accounts, die EPMM nutzen, sind in die Rotation einzuschließen. Prüfen Sie außerdem, ob EPMM-Admin-Konten Single-Sign-On-fähig sind und ob dort MFA erzwungen wird.

5. Netzwerksegmentierung prüfen

Ist der Ivanti EPMM-Server aus dem Internet erreichbar? MDM-Systeme benötigen oft externe Erreichbarkeit für Geräteenrollment – aber der Administrationsbereich sollte niemals aus dem Internet zugänglich sein. Wenn vorhanden: WAF-Regeln auf verdächtige Zugriffsmuster prüfen, ggf. temporäre IP-Allowlisting für Admin-Zugang.

Mittelfristige Maßnahmen: Aus dem Incident lernen

Die wiederkehrenden Schwachstellen in Ivanti-Produkten – EPMM war bereits 2023 und 2025 Ziel kritischer Warnungen – sind ein Anlass, die eigene MDM-Strategie strukturell zu überdenken.

Schwachstellenmanagement operationalisieren

Viele Krankenhäuser haben ein Schwachstellenmanagement auf dem Papier, aber keinen definierten Prozess, der sicherstellt, dass BSI-Warnungen innerhalb von 24-48 Stunden in konkrete Handlungsaufträge übersetzt werden. Die vorliegende Warnung ist ein guter Anlass, diesen Prozess zu testen und zu dokumentieren:

  • Wer empfängt BSI-Sicherheitsmitteilungen?
  • Wer bewertet die Relevanz für das eigene System?
  • Wer hat die Entscheidungsbefugnis für Notfallpatches?
  • Wie wird die Umsetzung nachverfolgt und dokumentiert?

Für die ISMS-Dokumentation nach ISO 27001 / BSI Grundschutz ist dies Pflichtbestandteil. Das ISMShield.ai Wissenszentrum bietet weiterführende Artikel zu Schwachstellenmanagement-Prozessen im Krankenhaus.

MDM als kritisches System behandeln

Ivanti EPMM sollte im Risikokatalog und in der Business Impact Analyse explizit als kritisches System geführt werden – mit entsprechenden Schutzanforderungen:

  • Separates Netzwerksegment für MDM-Server
  • Privileged Access Workstation (PAW) für Administration
  • Vier-Augen-Prinzip für administrative Änderungen
  • Regelmäßige Backups der MDM-Konfiguration (getrennt vom System)
  • Wiederanlaufplan, falls MDM-System kompromittiert oder ausgefallen ist

Lieferanten-Monitoring als ISMS-Komponente

Ivanti ist kein Einzelfall: Die Häufung von Sicherheitsvorfällen bei einzelnen Herstellern über mehrere Produktgenerationen hinweg ist ein Signal für strukturelle Sicherheitsdefizite beim Hersteller. Im Rahmen des Supply-Chain-Risikomanagements – das §30 BSIG und ISO 27001 fordern – sollte dieser Aspekt in Lieferantenbewertungen einfließen. Konkret: Wie reagiert ein Hersteller auf Schwachstellen? Wie schnell werden Patches veröffentlicht? Gibt es ein Bug-Bounty-Programm?

Checkliste: Ivanti EPMM Sicherheitslücke – Sofortmaßnahmen

Maßnahme Priorität Verantwortung
EPMM-Version prüfen (≤ 12.8.0.0 betroffen?) Sofort IT-Betrieb
Patch auf aktuelles Release einspielen Sofort (< 72h) IT-Betrieb / Change Management
Log-Analyse auf ungewöhnliche Admin-Aktivitäten ab Januar 2026 Sofort SOC / IT-Security
Credential-Rotation alle Admin-Konten & API-Keys Sofort IT-Betrieb
MFA für EPMM-Admins erzwingen (falls nicht aktiv) Diese Woche IT-Security
Netzwerkzugang Admin-Interface prüfen / einschränken Diese Woche Netzwerk
SIEM-Regel für EPMM-Anomalien erstellen Diese Woche SOC
Vorfall dokumentieren (für ISMS-Nachweispflicht) Parallel ISB
Bewertung: Meldepflicht nach §32 BSIG ausgelöst? Parallel ISB / CISO
MDM in BIA und Risikoregister als kritisches System prüfen Mittelfristig ISB

Einordnung: Meldepflicht prüfen

Ein Hinweis, der in der operativen Hektik leicht untergeht: Wenn bei der Kompromittierungsanalyse Hinweise auf eine tatsächliche Kompromittierung des EPMM-Systems gefunden werden – also nicht nur die potenzielle Verwundbarkeit, sondern ein tatsächlicher Sicherheitsvorfall –, ist zu prüfen, ob eine Meldepflicht nach §32 BSIG ausgelöst wird. Für NIS2-Einrichtungen gilt die 24-Stunden-Erstmeldung an das BSI bei erheblichen Sicherheitsvorfällen. Hinweise auf Credentials-Diebstahl und mögliche Datenabflüsse über das MDM-System würden diese Schwelle sehr wahrscheinlich erreichen.

Für die genaue rechtliche Einordnung Ihres konkreten Falls wenden Sie sich an einen auf IT-Recht und Datenschutz spezialisierten Anwalt.

Wenn Sie unsicher sind, ob Ihre Einrichtung unter die NIS2-Pflichten oder §391 SGB V fällt, können Sie Ihre Betroffenheit mit dem ISMShield Assessment-Tool prüfen.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich