Ivanti Schwachstellen Sicherheit: Kritische CSA-Lücken aktiv ausgenutzt

Ivanti-Produkte stehen seit Jahren im Fokus von Angreifern – doch die kombinierte Ausnutzung zweier Schwachstellen in der Cloud Services Appliance (CSA) im September 2024 markiert eine neue Qualitätsstufe. Das BSI stufte die Lage mit Kritikalität 2 ein und warnte explizit vor laufenden Angriffen. Für Krankenhäuser und Kliniken, die Ivanti-Produkte im Einsatz haben, ist rasches Handeln geboten: Authentifizierungsumgehung gefolgt von Remote Code Execution ist das klassische Einfallstor für Ransomware und Datenabfluss.

Dieser Artikel erklärt, was genau passiert ist, welche technischen Details Sie kennen müssen und welche Maßnahmen Sie als ISB oder IT-Leitung jetzt umsetzen sollten – unter Berücksichtigung der deutschen Meldepflichten nach NIS2UmsuCG und §391 SGB V.

Was ist passiert: Die BSI-Warnung vom 20. September 2024 im Detail

Am 19. September 2024 veröffentlichte Ivanti ein Security Advisory zu aktiv ausgenutzten Schwachstellen in der Cloud Services Appliance (CSA). Das BSI griff die Meldung unmittelbar auf und stufte sie als Cybersicherheitswarnung der Kritikalität 2 ein – das entspricht einer ernsthaften Bedrohung mit nachgewiesener aktiver Ausnutzung.

Die CSA ist eine Netzwerk-Gateway-Lösung, die typischerweise für sicheren Remote-Zugriff, Netzwerk-Segmentierung und Policy-Enforcement eingesetzt wird. Gerade in Krankenhaus-IT-Umgebungen finden sich solche Appliances oft an neuralgischen Punkten zwischen internem Netz, medizinischen Subsystemen und externen Zugängen.

Die beiden involvierten CVEs im Überblick:

CVE	CVSS 3.0 Score	Bewertung	Angriffspunkt
CVE-2024-8963	9.4	Kritisch	Authentifizierungsumgehung (Path Traversal)
CVE-2024-8190	7.2	Hoch	OS Command Injection → Remote Code Execution

Das Besondere: Für CVE-2024-8190 lagen bereits seit dem 13. September 2024 erste Hinweise auf eine aktive Ausnutzung vor. Die Kombination beider Schwachstellen als verketteter Angriff wurde jedoch erst durch Folgeanalysen sichtbar – ein typisches Muster, bei dem initiale Einzelbewertungen das tatsächliche Risiko unterschätzen.

Technische Analyse: Wie die Angriffskette funktioniert

Das Verständnis der Angriffskette ist Voraussetzung dafür, die richtigen Gegenmaßnahmen zu priorisieren. Ivanti Schwachstellen Sicherheit beginnt mit der technischen Analyse des Angriffsvektors.

Schritt 1: Authentifizierungsumgehung via CVE-2024-8963

CVE-2024-8963 ist eine Path-Traversal-Schwachstelle mit einem CVSS-Score von 9.4. Ein nicht authentifizierter Angreifer kann durch manipulierte HTTP-Anfragen auf geschützte Endpunkte der CSA-Administrationsoberfläche zugreifen, ohne gültige Credentials zu besitzen. Der Angriff ist remote ausführbar, erfordert keine vorherige Authentifizierung und keine Nutzerinteraktion – in CVSS-Terminologie: Attack Vector Network, Attack Complexity Low, Privileges Required None, User Interaction None.

Schritt 2: Remote Code Execution via CVE-2024-8190

Ist die Authentifizierungsschranke gefallen, nutzen Angreifer CVE-2024-8190, eine OS Command Injection-Schwachstelle. Über manipulierte Eingaben an bestimmte API-Endpunkte lassen sich Systembefehle mit erhöhten Rechten auf dem zugrunde liegenden Betriebssystem ausführen. Das Ergebnis: vollständige Kontrolle über die Appliance.

Was Angreifer nach der Kompromittierung typischerweise tun

Nach der initialen Kompromittierung einer Gateway-Appliance folgen in der Regel:

Persistenz etablieren: Web Shells, modifizierte Konfigurationsdateien, neue Admin-Accounts
Netzwerk-Reconnaissance: Die Appliance sitzt typischerweise mit Sichtbarkeit auf interne Segmente
Lateral Movement: Nutzung der Vertrauensstellungen der Appliance gegenüber nachgelagerten Systemen
Credential Harvesting: Zugriff auf gespeicherte VPN-Credentials, Zertifikate, Service-Account-Passwörter
Ransomware-Deployment oder Datenexfiltration: Der finale Schritt, der in Krankenhäusern direkte Patientengefährdung bedeuten kann

Betroffene Produkte und Versionsstand

Laut Ivanti-Advisory und BSI-Warnung sind folgende Versionen der Ivanti Cloud Services Appliance betroffen:

CSA 4.6 und frühere Versionen: vollständig betroffen, End-of-Life seit September 2024
CSA 5.0: teilweise betroffen, Patch verfügbar

Wichtiger Hinweis zu CSA 4.6: Diese Version hatte zum Zeitpunkt der Warnmeldung bereits ihr End-of-Life-Datum erreicht. Ivanti stellte dennoch einen außerordentlichen Patch für CVE-2024-8963 bereit – aber grundsätzlich gilt: Systeme auf EOL-Versionen erhalten keine regulären Sicherheitsupdates mehr und sollten unverzüglich migriert oder abgelöst werden.

Prüfen Sie in Ihrem Asset-Management-System, ob und in welcher Version die Ivanti CSA in Ihrer Umgebung betrieben wird. In komplexen Krankenhaus-IT-Umgebungen mit gewachsenen Infrastrukturen sind EOL-Komponenten keine Seltenheit.

Maßnahmen: Was Sie jetzt tun müssen

Die folgende Maßnahmen-Priorisierung orientiert sich an der BSI-Empfehlung und berücksichtigt die typische Risikosituation im Krankenhaus-Umfeld.

Sofortmaßnahmen (innerhalb 24–48 Stunden)

1. Asset-Inventar prüfen Identifizieren Sie alle Ivanti CSA-Instanzen in Ihrer Umgebung, inklusive Versionsstände. Berücksichtigen Sie auch Systeme, die über Managed-Service-Provider oder externe Dienstleister betrieben werden – die Verantwortung für Meldepflichten verbleibt beim Betreiber der kritischen Infrastruktur.

2. Netzwerk-Isolation Schränken Sie den administrativen Zugriff auf die CSA-Managementoberfläche unverzüglich ein. Administrativer Zugriff sollte ausschließlich aus dedizierten Management-Netzen möglich sein, niemals direkt aus dem Internet.

3. Indikatoren für Kompromittierung (IoCs) suchen Prüfen Sie System- und Netzwerk-Logs auf Anomalien: - Unbekannte Administrations-Sessions oder neue Admin-Accounts - Ungewöhnliche ausgehende Verbindungen von der Appliance - Unerklärliche Konfigurationsänderungen - Web-Shell-Artefakte im Dateisystem

4. Patches einspielen - CSA 5.0: Aktualisierung auf die von Ivanti bereitgestellte gepatchte Version - CSA 4.6: Ivanti-Notchpatch für CVE-2024-8963 einspielen – und unmittelbar die Migration auf CSA 5.0 oder eine alternative Lösung planen

Mittelfristige Maßnahmen (innerhalb 2–4 Wochen)

Netzwerksegmentierung überprüfen Gateway-Appliances sollten in dedizierten DMZ-Zonen betrieben werden, mit klar definierten und minimalem Regelwerk für eingehende und ausgehende Verbindungen. Eine kompromittierte Appliance darf keinen direkten Zugriff auf interne klinische Systeme, KIS, PACS oder medizintechnische Netzwerke haben.

Logging und SIEM-Integration Stellen Sie sicher, dass alle relevanten Logs der Ivanti CSA in Ihr SIEM-System fließen und auf Anomalien korreliert werden. Besonders relevant: Auth-Logs, Admin-Aktivitäten, ausgehende Verbindungen.

Credential-Rotation Bei Verdacht auf Kompromittierung – oder auch prophylaktisch – sollten Passwörter und Zertifikate rotiert werden, die auf der Appliance gespeichert sind oder über sie übertragen wurden.

Meldepflichten: Was gilt für Krankenhäuser in Deutschland?

Hier ist Klarheit entscheidend. Für Krankenhäuser in Deutschland können mehrere Meldepflichten greifen:

NIS2UmsuCG / BSIG

Seit Umsetzung des NIS2UmsuCG gilt für Betreiber wesentlicher Einrichtungen im Gesundheitswesen (in der Regel Krankenhäuser ab definierten Schwellenwerten): Bei erheblichen Sicherheitsvorfällen besteht eine Meldepflicht gegenüber dem BSI nach §32 BSIG. Die Meldefrist beträgt 24 Stunden für eine Erstmeldung, 72 Stunden für einen vollständigen Bericht.

Ein erheblicher Sicherheitsvorfall liegt unter anderem vor, wenn Dienste erheblich beeinträchtigt werden oder Systeme kompromittiert wurden. Die bloße Existenz einer ungepatchten Schwachstelle löst noch keine Meldepflicht aus – die nachgewiesene oder hinreichend wahrscheinliche Ausnutzung hingegen kann es.

§391 SGB V

Für Krankenhäuser, die unter den Anwendungsbereich des §391 SGB V fallen (KRITIS-relevante Krankenhäuser), gelten ergänzende Anforderungen. Sicherheitsvorfälle sind der zuständigen Stelle zu melden. Prüfen Sie die für Ihr Haus geltenden Schwellenwerte und Meldewege.

Datenschutz: DSGVO und BDSG

Sofern durch eine Kompromittierung personenbezogene Daten – insbesondere Patientendaten – betroffen sein könnten, greift die Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Landesdatenschutzbehörde (72-Stunden-Frist ab Kenntnisnahme). Bei hohem Risiko für Betroffene ist zusätzlich die Benachrichtigung der betroffenen Patienten nach Art. 34 DSGVO zu prüfen.

Hinweis: Die konkrete Einordnung Ihres Vorfalls in die jeweiligen Meldepflichten ist im Einzelfall zu beurteilen. Für rechtliche Beratung wenden Sie sich an einen auf IT-Recht und Datenschutz spezialisierten Anwalt.

Lehren für das ISMS: Ivanti Schwachstellen Sicherheit als Strukturproblem

Der Ivanti-CSA-Vorfall ist kein Einzelfall – er ist Ausdruck eines strukturellen Problems, das viele Krankenhaus-IT-Umgebungen betrifft. Aus ISMS-Perspektive sind folgende Lektionen zu ziehen:

Patch-Management für Netzwerk-Appliances oft vernachlässigt Während Endpoint-Patching und Server-Patching in vielen Häusern prozessual verankert ist, fallen Netzwerk-Appliances, Firewalls und Gateway-Lösungen häufig durchs Raster. Der Grund: Sie gelten als "stabile Infrastruktur" und werden selten in reguläre Patch-Zyklen einbezogen. Das ist ein Risiko, das Ihr Risikoregister abbilden sollte.

EOL-Tracking als Pflichtaufgabe CVE-2024-8963 traf eine Version, die bereits EOL war. Ein belastbares Asset-Management muss End-of-Life-Daten für alle eingesetzten Systeme und Komponenten enthalten – und Ablauffristen müssen proaktiv in Migrationsplanungen überführt werden.

Externe Dienstleister in den Scope einbeziehen Wenn Ivanti CSA durch einen externen MSP oder Dienstleister betrieben wird, muss vertraglich und technisch sichergestellt sein, dass Patch-Fristen und Meldepflichten eingehalten werden. Supply-Chain-Sicherheit beginnt mit klaren Verträgen und regelmäßigen Nachweisen.

Threat Intelligence als ISMS-Input BSI-Sicherheitsmitteilungen wie diese sollten in Ihrem ISMS als Quelle für das Risikomanagement verankert sein. Abonnieren Sie die BSI-Warnmeldungen und definieren Sie einen Prozess, der sicherstellt, dass relevante Meldungen innerhalb von Stunden – nicht Tagen – die zuständigen technischen Teams erreichen.

Checkliste: Ivanti CSA – Sofortprüfung für ISB und IT-Leitung

[ ] Ivanti CSA im Asset-Inventar identifiziert und Versionsstand dokumentiert
[ ] Administrativer Zugriff auf Management-Interface auf Management-Netz eingeschränkt
[ ] Logs auf IoCs für aktive Kompromittierung geprüft
[ ] Patch für CVE-2024-8963 und CVE-2024-8190 eingespielt bzw. Workaround dokumentiert
[ ] CSA 4.6: Migrationsplan auf CSA 5.0 oder Alternative erstellt
[ ] Extern verwaltete Instanzen: Nachweis vom Dienstleister eingeholt
[ ] Meldepflicht-Prüfung durchgeführt (BSI, Landesdatenschutzbehörde)
[ ] Vorfall und Maßnahmen im ISMS dokumentiert
[ ] Netzwerksegmentierung der CSA-Zone überprüft
[ ] SIEM-Monitoring für CSA-relevante Events aktiviert

Nutzen Sie das ISMShield Assessment, um Ihren aktuellen Reifegrad im

Kostenlose NIS2-Bestandsaufnahme starten →