Ivanti EPMM Sicherheitslücke: Krankenhäuser jetzt handeln

Mobilgerätemanagement gehört in modernen Krankenhäusern zur kritischen Infrastruktur – und genau dort schlägt eine aktuelle BSI-Warnung an: Am 7. Mai 2026 veröffentlichte Ivanti ein monatliches Advisory für Endpoint Manager Mobile (EPMM), das fünf als „hoch" eingestufte Schwachstellen dokumentiert. Eine davon, CVE-2026-6973, wird bereits aktiv ausgenutzt. Für Krankenhäuser und Kliniken mit KRITIS-Status ergibt sich daraus unmittelbarer Handlungsbedarf – sowohl technisch als auch aus Meldepflicht-Perspektive. Dieser Artikel erklärt, was die Ivanti EPMM Sicherheitslücke bedeutet, warum der Kontext zu früheren Angriffen besonders brisant ist und welche Schritte ISB und IT-Leitungen jetzt priorisieren müssen.

Was das BSI-Advisory konkret beschreibt

Das BSI hat die Warnung mit Kritikalität 2 eingestuft – das entspricht einer hohen Bedrohungslage. Das Advisory umfasst fünf Schwachstellen, alle mit CVSS-Score „hoch" nach CVSS 3.1. Die Ursachen liegen in:

  • Unzureichender Zertifikatsvalidierung
  • Fehlerhafter Eingabevalidierung
  • Schwachstellen in der Zugriffskontrolle

Im Mittelpunkt steht CVE-2026-6973: Ivanti bestätigt selbst, dass bereits Angriffe stattgefunden haben. Die Schwachstelle setzt zwar voraus, dass Angreifer über Administrator-Zugangsdaten verfügen – doch genau hier liegt das eigentliche Problem.

Betroffen sind alle Ivanti EPMM-Instanzen mit Softwareversion 12.8.0.0 oder älter, sofern die neu veröffentlichten Releases noch nicht eingespielt wurden.

Warum der Kontext zu Januar 2026 so kritisch ist

Die eigentliche Brisanz dieser Schwachstelle entsteht nicht isoliert, sondern im Zusammenhang mit der Angriffswelle vom Januar 2026. Damals wurden Ivanti-EPMM-Systeme über CVE-2026-1281 und CVE-2026-1340 angegriffen. Das BSI weist ausdrücklich darauf hin: Die bei diesen Angriffen möglicherweise abgeflossenen Administrator-Zugangsdaten könnten nun direkt für die Ausnutzung von CVE-2026-6973 verwendet werden.

Das bedeutet für betroffene Einrichtungen im Klartext:

Wer im Januar 2026 kompromittiert wurde – oder es möglicherweise war, ohne es bemerkt zu haben –, steht jetzt vor einem verketteten Angriffsrisiko.

Dieses Muster ist aus der Ransomware-Praxis bekannt: Initiale Kompromittierungen werden nicht sofort ausgenutzt. Zugangsdaten werden gehortet, gehandelt oder erst Monate später für Folgeaktionen eingesetzt. Im klinischen Umfeld, wo EPMM-Systeme typischerweise Zugriff auf E-Mail-Profile, VPN-Konfigurationen, WLAN-Credentials und Geräterichtlinien haben, ist die potenzielle Schadenswirkung erheblich.

Konkret zu prüfen ist daher:

  1. Wurden die Systeme im Januar-Zeitraum auf Indikatoren einer Kompromittierung (IoCs) untersucht?
  2. Wurden nach den Januar-Vorfällen alle Administrator-Passwörter für EPMM rotiert?
  3. Existieren Logs aus dem Zeitraum Januar bis heute, die anomales Verhalten auf dem EPMM-System zeigen?

Wer diese Fragen nicht mit Sicherheit bejahen kann, sollte den aktuellen Vorfall nicht als isoliertes Patch-Ereignis behandeln, sondern eine vollständige forensische Überprüfung des Systems einleiten.

Technische Sofortmaßnahmen: Schritt für Schritt

1. Patch-Stand sofort verifizieren

Prüfen Sie unverzüglich, welche EPMM-Version in Ihrer Einrichtung läuft. Ivanti hat mit dem Advisory neue Releases veröffentlicht. Alle Systeme auf Version 12.8.0.0 oder älter sind verwundbar. Die aktuellen Patch-Versionen sind über das Ivanti-Kundenportal abrufbar.

Kritisch: Prüfen Sie nicht nur das Haupt-EPMM-System, sondern auch etwaige Staging-, Test- oder Schulungsinstanzen, die möglicherweise weniger regelmäßig gepatcht werden.

2. Administrator-Zugangsdaten sofort rotieren

Unabhängig davon, ob eine Kompromittierung im Januar 2026 nachgewiesen werden kann: Alle Administrator-Accounts für Ivanti EPMM sind sofort zu rotieren. Dazu gehören:

  • Lokale Admin-Accounts auf dem EPMM-System
  • Technische Serviceaccounts, die das System für Integrationen nutzt
  • Zugangsdaten für angebundene Verzeichnisdienste (AD/LDAP), soweit EPMM schreibend zugreift

3. Multi-Faktor-Authentifizierung für Admins erzwingen

Falls noch nicht geschehen: Administrativer Zugang zu EPMM-Systemen muss über MFA abgesichert sein. Das gilt nicht nur für Web-Konsolen, sondern auch für API-Zugriffe. Privileged Access Management (PAM) sollte langfristig als Rahmen etabliert werden.

4. Netzwerkzugriff auf EPMM einschränken

EPMM-Systeme sollten nicht aus dem allgemeinen Netz erreichbar sein. Prüfen Sie:

  • Ist der Admin-Zugang auf dedizierte Management-Netzsegmente beschränkt?
  • Ist der öffentlich exponierte Anteil (Enrollment-Interface für Geräte) vom Admin-Backend getrennt?
  • Existieren Firewall-Regeln, die eingehende Verbindungen auf bekannte IP-Bereiche begrenzen?

5. Log-Analyse und IoC-Suche

Ziehen Sie Logs der EPMM-Infrastruktur aus dem Zeitraum Januar bis heute und suchen Sie nach:

  • Unbekannten Admin-Logins oder Login-Versuchen zu unüblichen Zeiten
  • Konfigurationsänderungen an Geräteprofilen oder Policies, die nicht dokumentiert sind
  • Zugriffen aus unbekannten IP-Adressen oder Geolokationen
  • Auffälligem API-Verkehr

Falls Sie ein SIEM im Einsatz haben: Stellen Sie sicher, dass EPMM-Logs darin integriert sind.

Meldepflichten: Was jetzt für Krankenhäuser gilt

BSIG und NIS2UmsuCG

Krankenhäuser, die als KRITIS-Betreiber oder als wichtige bzw. besonders wichtige Einrichtung nach dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) eingestuft sind, unterliegen den Meldepflichten gemäß § 32 BSIG. Eine meldepflichtige Situation entsteht, wenn ein Sicherheitsvorfall die Verfügbarkeit, Integrität oder Vertraulichkeit von Systemen erheblich beeinträchtigt oder beeinträchtigen könnte.

Wichtig: Die bloße Existenz der Schwachstelle auf Ihren Systemen ist noch kein meldepflichtiger Vorfall. Wenn Sie jedoch Hinweise auf eine tatsächliche Kompromittierung – etwa anomale Logs, unerklärliche Konfigurationsänderungen oder Dateiänderungen auf dem EPMM-System – feststellen, entsteht Meldepflicht. Die erste Meldung muss innerhalb von 24 Stunden nach Kenntnisnahme beim BSI erfolgen, ein detaillierter Folgebericht binnen 72 Stunden.

§391 SGB V

Für Krankenhäuser mit gesetzlicher Verpflichtung nach § 391 SGB V gilt: Die dort geforderten Informationssicherheitsmaßnahmen schließen ein zeitnahes Patch-Management und die Reaktion auf bekannte kritische Schwachstellen explizit ein. Ein nicht gepatchtes EPMM-System trotz vorliegender BSI-Warnung kann im Rahmen eines Audits oder nach einem Vorfall als Versäumnis gewertet werden.

B3S Krankenhaus

Der branchenspezifische Sicherheitsstandard für Krankenhäuser (B3S) fordert unter anderem ein funktionierendes Schwachstellenmanagement und die Umsetzung von Herstellerempfehlungen bei kritischen Sicherheitslücken innerhalb angemessener Fristen. Bei aktiv ausgenutzten Schwachstellen – wie CVE-2026-6973 – ist „angemessen" im Sinne des B3S als unverzüglich zu interpretieren.

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für eine rechtliche Einordnung Ihrer konkreten Meldepflicht-Situation wenden Sie sich an einen auf IT-Recht oder Medizinrecht spezialisierten Anwalt.

Einordnung in das Risikomanagement Ihres ISMS

Die Ivanti EPMM Sicherheitslücke ist ein Lehrstück für ein bekanntes Muster im Schwachstellenmanagement: Kritische Lücken in weit verbreiteter Verwaltungssoftware werden nicht einmalig geschlossen, sondern in Wellen ausgenutzt. Wer im Januar 2026 die Ivanti-Vorfälle nur als „externes Ereignis" behandelt hat, ohne die eigene Infrastruktur tiefgehend zu untersuchen, steht jetzt möglicherweise vor den Konsequenzen.

Für Ihr ISMS ergeben sich daraus strukturelle Empfehlungen:

Schwachstellenmanagement als Dauerprozess: BSI-Sicherheitsmitteilungen sollten in einen definierten Prozess münden, der innerhalb von 24 Stunden nach Veröffentlichung eine erste Bewertung und Priorisierung sicherstellt. Nutzen Sie dafür idealerweise einen Vulnerability-Scanner, der CVSS-Scores und Erreichbarkeit im eigenen Netz korreliert.

Asset-Inventar aktuell halten: Die Frage „Betreiben wir Ivanti EPMM?" sollte in einer reifen ISMS-Umgebung binnen Minuten beantwortbar sein. Falls nicht, liegt ein grundlegendes Asset-Management-Problem vor.

Privilegierte Zugänge separat behandeln: Administrative Zugänge zu MDM/EPMM-Systemen sind höchstprivilegiert – sie kontrollieren potenziell alle verwalteten Endgeräte. Sie gehören in ein PAM-System mit Sitzungsaufzeichnung, regelmäßiger Rotation und MFA-Pflicht.

Verkettete Angriffspfade in der Risikoanalyse berücksichtigen: Einzelne CVEs isoliert zu bewerten reicht nicht aus. Fragen Sie: Welche Angriffsketten entstehen, wenn ein System kompromittiert wird? Was hat ein Angreifer mit EPMM-Admin-Rechten alles im Zugriff?

Checkliste: Sofortmaßnahmen bei Ivanti EPMM

# Maßnahme Priorität Status
1 EPMM-Version prüfen, alle Instanzen Kritisch ☐
2 Patch auf aktuelles Release einspielen Kritisch ☐
3 Alle Admin-Passwörter rotieren Kritisch ☐
4 MFA für Admin-Zugang erzwingen Hoch ☐
5 Netzwerkzugang auf Management-Netz beschränken Hoch ☐
6 Logs seit Januar 2026 auf IoCs analysieren Hoch ☐
7 Bewertung: Meldepflicht nach § 32 BSIG? Hoch ☐
8 Incident-Response-Plan aktivieren (bei Verdacht) Situativ ☐
9 Ergebnis dokumentieren (ISMS-Nachweis) Standard ☐

Fazit

Die aktuelle Ivanti EPMM Sicherheitslücke ist kein Routinevorfall – die Verkettung mit den Januar-2026-Angriffen macht sie zu einem potenziellen Hochrisiko-Szenario für alle Einrichtungen, die EPMM betreiben und ihre Systeme damals nicht vollständig forensisch analysiert haben. Für Krankenhäuser und Kliniken gilt: Patch jetzt, Zugangsdaten rotieren, Logs analysieren, und Meldepflichten prüfen. Wer einen ISMS-Reifegrad-Check für sein Schwachstellenmanagement durchführen möchte, findet bei ISMShield.ai einen geeigneten Einstiegspunkt.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich