Ivanti EPMM Sicherheitslücke: Sofortmaßnahmen für Kliniken
Zwei kritische Zero-Day-Schwachstellen in Ivanti Endpoint Manager Mobile (EPMM) werden seit mindestens Sommer 2025 aktiv ausgenutzt – auch gegen deutsche Organisationen. Das BSI stuft die Bedrohungslage mit Kritikalität 3 ein. Für Krankenhäuser und Kliniken, die EPMM zur Verwaltung mobiler Endgeräte einsetzen, besteht unmittelbarer Handlungsbedarf: Die Schwachstellen ermöglichen nicht nur Remote Code Execution, sondern auch den Abfluss sensibler Gerätedaten und laterale Bewegungen im Netzwerk – ein Angriffsszenario mit direktem Patientendatenbezug und KRITIS-Relevanz.
Was ist bekannt: Die Schwachstellen CVE-2026-1281 und CVE-2026-1340
Am 29. Januar 2026 veröffentlichte Ivanti ein Security Advisory zu zwei kritischen Schwachstellen in EPMM (ehemals MobileIron Core). Beide CVEs wurden nach CVSS 3.1 mit einem Score von 9.8 ("kritisch") bewertet – dem höchsten erreichbaren Wert im kritischen Bereich.
CVE-2026-1281 ermöglicht einem nicht authentifizierten, entfernten Angreifer die Ausführung beliebigen Codes auf der EPMM-Appliance. Ivanti bestätigte, dass diese Schwachstelle bereits bei einer begrenzten Anzahl von Kunden aktiv ausgenutzt wurde – zum Zeitpunkt der Veröffentlichung handelte es sich damit um einen echten Zero-Day mit laufender Exploitation.
CVE-2026-1340 erweitert das Angriffspotenzial: In Kombination mit CVE-2026-1281 erlaubt sie tiefergehende Systemzugriffe und vereinfacht das anschließende Lateral Movement im verbundenen Netzwerk.
Besonders alarmierend für den Krankenhauskontext: EPMM-Appliances halten typischerweise umfangreiche Inventar- und Konfigurationsdaten aller verwalteten Mobilgeräte vor – inklusive Gerätezertifikate, Netzwerkkonfigurationen, Nutzerprofile und potenziell VPN-Credentials. Ein erfolgreicher Angriff liefert Angreifern damit eine vollständige Karte der mobilen Infrastruktur.
Das IT-Sicherheitsunternehmen watchTowr Labs veröffentlichte bereits am 30. Januar einen technischen Blogbeitrag inklusive Proof-of-Concept. Die Folge: Innerhalb kürzester Zeit nutzten weitere Bedrohungsakteure die veröffentlichten Informationen für eigene Angriffe. Das BSI bestätigte in seiner aktualisierten Sicherheitsmitteilung (Version 1.3, Stand 13. Februar 2026), dass auch deutsche Organisationen Ziel dieser Angriffe wurden.
Angriffsmuster: Was Forensiker beobachtet haben
Die forensische Analyse der bislang bekannten Vorfälle liefert wichtige Hinweise für die Erkennung einer möglichen Kompromittierung im eigenen Betrieb.
Variabilität der Payloads: Die eingesetzten Schadsoftware-Payloads und Indicators of Compromise (IoCs) variieren zwischen den einzelnen Vorfällen erheblich. Eine rein signaturbasierte Erkennung über statische IoC-Listen ist damit nicht ausreichend. Wer nur bekannte Hashes oder IP-Adressen prüft, kann befallene Systeme fälschlicherweise als sauber einstufen.
Charakteristisches Angriffsmuster – In-Memory Class Loader: Mehrfach wurde die Ablage von .jsp-Dateien beobachtet, die als In-Memory Class Loader fungieren. Diese Technik dient dazu, Schadcode im Arbeitsspeicher auszuführen, ohne persistente Dateien auf der Festplatte zu hinterlassen – klassisches Living-off-the-Land-Verhalten, das forensische Analysen erheblich erschwert.
Frühe Exploitation: Das BSI hat Hinweise, dass eine Ausnutzung der Schwachstelle mindestens seit Sommer 2025 stattgefunden haben könnte. Das bedeutet: Organisationen, die EPMM betreiben, müssen davon ausgehen, dass ein möglicher Einbruch bereits Monate zurückliegen kann – lange vor dem öffentlichen Advisory. Eine rückwirkende forensische Analyse der Systemlogs ist daher zwingend erforderlich, nicht nur ein aktueller Patch-Status.
Diese Zeitlinie ist für die Incident-Response-Planung im Krankenhaus von erheblicher Bedeutung: Wenn Patientendaten bereits seit Sommer 2025 abgeflossen sein könnten, greifen sowohl DSGVO-Meldepflichten (Art. 33, Art. 34 DSGVO) als auch – je nach Schwellenwert – die Meldepflichten nach §32 BSIG für KRITIS-Betreiber.
Betroffenheit im Krankenhaus: Warum EPMM-Umgebungen besonders exponiert sind
Ivanti EPMM ist im Gesundheitswesen weit verbreitet. Die Plattform verwaltet typischerweise:
- Klinische Mobilgeräte: Visitenwagen-Tablets, Pflegeassistenz-Smartphones, medizinische Handscanner
- BYOD-Geräte von Ärzten und Pflegepersonal mit Zugang zu klinischen Systemen (KIS, RIS, PACS)
- VPN- und WLAN-Profile für den sicheren Netzwerkzugang
- E-Mail-Konfigurationen und Zertifikate für verschlüsselte Kommunikation
- Gerätezertifikate für 802.1X-Netzwerkzugangskontrolle
Ein kompromittiertes MDM-System ist für Angreifer ein Multiplikator: Statt einzelne Endgeräte anzugreifen, erhalten sie über eine einzige Schwachstelle Einblick in die gesamte mobile Infrastruktur und potenziell gültige Credentials für Netzwerkzugänge. In Kombination mit Lateral Movement sind kritische Systeme wie das Krankenhausinformationssystem oder Medizingerätenetzwerke erreichbar.
Krankenhäuser, die als KRITIS-Betreiber nach BSIG eingestuft sind (ab 30.000 vollstationären Fällen pro Jahr), unterliegen zudem den verschärften Anforderungen des §30 BSIG für technische und organisatorische Maßnahmen sowie den Meldepflichten nach §32 BSIG. Auch der B3S für die Gesundheitsversorgung im Krankenhaus fordert explizit ein systematisches Schwachstellenmanagement und die zeitnahe Einspielung sicherheitskritischer Updates.
Für Krankenhäuser unterhalb der KRITIS-Schwelle gilt seit Januar 2025 §391 SGB V: Die dort geforderten branchenspezifischen Sicherheitsstandards umfassen ebenfalls Patch-Management und Incident-Response-Prozesse, die bei einer aktiven Zero-Day-Kampagne dieser Größenordnung aktiviert werden müssen.
Sofortmaßnahmen: Priorisierte Handlungsempfehlungen
Das BSI empfiehlt Betreibern, proaktiv sowohl Mitigation- als auch Detektionsmaßnahmen umzusetzen. Für den Krankenhausbetrieb empfiehlt sich folgende Priorisierung:
1. Patch sofort einspielen
Ivanti hat Patches für die betroffenen EPMM-Versionen bereitgestellt. Das Update ist prioritär und ohne Aufschub einzuspielen. Sofern Change-Management-Prozesse eine sofortige Umsetzung erschweren, ist ein Emergency Change nach ITIL-Prozess einzuleiten. Die aktive Ausnutzung der Schwachstelle rechtfertigt die Umgehung regulärer Freigabezyklen.
2. Erkennungsskript ausführen – Version vom 12. Februar nutzen
Ivanti hat in Zusammenarbeit mit dem NCSC-NL ein Exploitation Detection RPM Package entwickelt, das Appliances auf bekannte IoCs untersucht. Am 12. Februar wurde eine aktualisierte Version mit erweiterten Indikatoren veröffentlicht. Betreiber sollten zwingend diese neue Version nutzen – nicht die ursprüngliche – und das Skript auf allen EPMM-Appliances ausführen.
Das Erkennungsskript ist direkt über Ivanti verfügbar. Die Ergebnisse sollten dokumentiert und im Rahmen der ISMS-Dokumentationspflichten archiviert werden.
3. Rückwirkende Log-Analyse ab Sommer 2025
Angesichts der BSI-Hinweise auf eine mögliche Ausnutzung seit Sommer 2025 reicht ein aktueller Scan nicht aus. Führen Sie eine rückwirkende Analyse der EPMM-Systemlogs durch – soweit verfügbar. Prüfen Sie insbesondere:
- Ungewöhnliche HTTP-Requests an die EPMM-Weboberfläche
- Nicht autorisierte
.jsp-Datei-Uploads oder -Erstellungen - Unerwartete Prozessaufrufe der EPMM-Applikation
- Netzwerkverbindungen der Appliance zu unbekannten externen IPs
Falls Logs nicht ausreichend weit zurückreichen, dokumentieren Sie dies als Befund für das nächste Audit und justieren Sie die Log-Aufbewahrungsfristen entsprechend. BSI-Grundschutz-Baustein OPS.1.1.5 sowie der B3S empfehlen Aufbewahrungsfristen von mindestens 90 Tagen für sicherheitsrelevante Logs, in der Praxis sind 6–12 Monate sinnvoll.
4. Netzwerksegmentierung und Zugriffsbeschränkung prüfen
Prüfen Sie, ob Ihre EPMM-Appliance aus dem Internet erreichbar ist. Sofern keine zwingende externe Erreichbarkeit besteht, schränken Sie den Zugang auf bekannte IP-Bereiche ein oder stellen Sie den Zugang auf VPN-only um. Eine direkt aus dem Internet erreichbare MDM-Lösung ohne zusätzliche Schutzschicht ist ein hohes Risiko – unabhängig vom aktuellen Patch-Stand.
5. Meldepflichten prüfen
Sollte das Erkennungsskript oder die Log-Analyse Hinweise auf eine Kompromittierung liefern, greifen folgende Meldepflichten:
- DSGVO Art. 33 DSGVO i.V.m. §65 BDSG: Meldung an die zuständige Datenschutzaufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden, sofern personenbezogene Daten betroffen sind
- §32 BSIG (KRITIS-Betreiber): Meldung erheblicher Störungen an das BSI
- Interne Meldekette: Informationssicherheitsbeauftragter, Datenschutzbeauftragter, Krankenhausleitung – gemäß Ihrem Incident-Response-Plan
Für die konkrete rechtliche Einordnung im Einzelfall wenden Sie sich an einen auf IT-Recht spezialisierten Rechtsanwalt.
Checkliste: Ivanti EPMM Sicherheitslücke – Akutmaßnahmen
| # | Maßnahme | Priorität | Status |
|---|---|---|---|
| 1 | EPMM-Versionen inventarisieren und Patchbarkeit prüfen | Kritisch | ☐ |
| 2 | Emergency Change für Patch einleiten | Kritisch | ☐ |
| 3 | Ivanti-Patch einspielen (alle betroffenen Instanzen) | Kritisch | ☐ |
| 4 | Erkennungsskript v2 (12.02.2026) auf allen Appliances ausführen | Kritisch | ☐ |
| 5 | Ergebnis des Erkennungsskripts dokumentieren | Hoch | ☐ |
| 6 | Log-Analyse rückwirkend ab Juli 2025 durchführen | Hoch | ☐ |
| 7 | Externe Erreichbarkeit der EPMM-Appliance prüfen und ggf. einschränken | Hoch | ☐ |
| 8 | Meldepflichten gemäß DSGVO/BSIG prüfen | Hoch | ☐ |
| 9 | Betroffene Netzwerksegmente auf Lateral Movement untersuchen | Mittel | ☐ |
| 10 | Log-Aufbewahrungsfristen für EPMM-Logs überprüfen und anpassen | Mittel | ☐ |
| 11 | Findings in ISMS-Risikomanagement dokumentieren | Mittel | ☐ |
Einordnung in das ISMS: Strukturelle Lehren aus dem Vorfall
Die Ivanti EPMM Sicherheitslücke ist kein Einzelfall – sie reiht sich in eine Serie kritischer Schwachstellen in Ivanti-Produkten ein (zuletzt Ivanti Connect Secure, Policy Secure). Für CISOs und ISBs im Krankenhaus ergeben sich daraus strukturelle Handlungsfelder:
Lieferantenrisiko und Produktlebenszyklus: Wenn ein Hersteller wiederholt von kritischen Zero-Days betroffen ist, muss das Lieferantenrisikomanagement gemäß ISO 27001 (Anhang A.5.19 ff.) und BSI-Grundschutz (OPS.2.3) eine fundierte Bewertung auslösen. Ist das Produkt strategisch unverzichtbar? Welche Kompensationsmaßnahmen sind dauerhaft etablierbar?
MDM als hochprivilegiertes System: MDM-Lösungen verwalten Endgeräte mit Zugang zu klinischen Systemen. Sie müssen in der Risikoanalyse als Tier-1-Systeme eingestuft werden – mit entsprechend kurzen Patch-SLAs (≤24h für CVSS ≥9.0), erhöhtem Monitoring und Netzwerksegmentierung.
Patch-SLA im Notfallmodus: Prüfen Sie, ob Ihr ISMS einen definierten Prozess für kritische