MOVEit Schwachstelle: Kritische SFTP-Lücke im Gesundheitswesen

Einleitung

Die MOVEit Schwachstelle CVE-2024-5806 hat seit ihrer Veröffentlichung am 25. Juni 2024 die Sicherheitscommunity in Alarmbereitschaft versetzt: Bereits wenige Stunden nach dem Advisory von Progress wurden aktive Ausnutzungsversuche durch ShadowServer dokumentiert. Mit einem CVSS Base-Score von 9.1 zählt die Lücke im SFTP-Modul von MOVEit Transfer zur höchsten Kritikalitätsstufe. Für Krankenhäuser und andere Gesundheitseinrichtungen, die MOVEit Transfer für den sicheren Dateitransfer — etwa beim Austausch von Befunden, Abrechnungsdaten oder Patientenakten — einsetzen, ist das Risiko besonders hoch: Ein erfolgreicher Angriff ermöglicht unbefugten Lesezugriff, Manipulation und Löschung vertraulicher Daten. Dieser Artikel fasst den technischen Sachverhalt zusammen, zeigt die spezifische Bedrohungslage für den Krankenhausbereich auf und gibt konkrete Handlungsempfehlungen für ISB, CISO und IT-Leitung.

Was steckt hinter CVE-2024-5806?

Technischer Sachverhalt

CVE-2024-5806 betrifft das SFTP-Modul von MOVEit Transfer. Die Schwachstelle ist als CWE-287 (Improper Authentication) klassifiziert — ein Authentifizierungs-Bypass, der es entfernten Angreifern ermöglicht, sich ohne gültige Credentials gegenüber dem SFTP-Dienst zu authentifizieren.

Die Angriffsbedingungen im Überblick:

  • Exponierter SFTP-Dienst: Der SFTP-Port muss vom Internet aus erreichbar sein.
  • Bekannter Nutzername: Angreifer benötigen den Namen eines Kontos, das sich extern authentifizieren kann. Diese Information ist in vielen Umgebungen über OSINT, Phishing oder frühere Datenlecks beschaffbar.
  • Keine weitere Authentifizierung erforderlich: Ist die Schwachstelle ausnutzbar, können Angreifer Dateien lesen, verändern oder löschen — ohne Passwort oder weiteren Faktor.

Zusätzlich hatte der Hersteller Progress in einem zweiten Advisory auf eine kritische Schwachstelle in der Drittanbieter-Komponente IPWorks SSH hingewiesen, die in MOVEit Transfer integriert ist. Laut Update 1 des BSI (Version 1.1 der Cybersicherheitswarnung) mitigieren die Patches für CVE-2024-5806 auch diese Drittanbieter-Schwachstelle — beide Lücken werden durch denselben Patch geschlossen.

Einordnung: Warum CVSS 9.1?

Ein CVSS Base-Score von 9.1 ergibt sich hier aus der Kombination von Remote-Ausnutzbarkeit (keine physische Nähe erforderlich), niedriger Angriffskomplexität und erheblichem Schadenpotenzial für Vertraulichkeit und Integrität der Daten. Die fehlende Anforderung nach Authentifizierung als Angriffsvorbedingung ist das kritischste Element — und erklärt, warum Proof-of-Concept-Exploits so schnell in der Wildnis zirkulierten.

Warum Krankenhäuser besonders im Fokus stehen

MOVEit Transfer im Gesundheitswesen

MOVEit Transfer von Progress ist ein weit verbreitetes Tool für Managed File Transfer (MFT) — also den strukturierten, protokollierten Austausch großer Dateimengen zwischen Organisationen. Im Gesundheitswesen wird es häufig für folgende Szenarien eingesetzt:

  • Übermittlung von Abrechnungsdaten an Krankenkassen
  • Austausch von Befunden und Bilddaten (DICOM, HL7) mit Zuweisern und Laboren
  • Dateitransfer zwischen Standorten bei Verbundkrankenhäusern
  • Übergabe von Daten an externe Dienstleister (Radiologie, Pathologie, IT-Dienstleister)

Gerade diese Datenströme enthalten besonders schützenswerte Gesundheitsdaten im Sinne von Art. 9 DSGVO. Ein Abfluss dieser Daten löst nicht nur erhebliche Datenschutzfolgen aus, sondern gefährdet unmittelbar das Vertrauen der Patienten — und im schlimmsten Fall die klinische Versorgung.

Regulatorischer Druck im Hintergrund

Für Krankenhäuser mit mehr als 30.000 vollstationären Fällen pro Jahr gilt seit Oktober 2024 der verschärfte Rahmen des §391 SGB V, der konkrete IT-Sicherheitsmaßnahmen auf Basis des B3S-Standards oder vergleichbarer Nachweise fordert. Seit dem NIS2UmsuCG, das in Deutschland seit 2025 in Kraft ist, unterliegen viele Krankenhäuser als wichtige Einrichtungen verschärften Anforderungen nach §30 BSIG: Dazu zählen technische Maßnahmen zur Angriffserkennung, Patch-Management und Incident-Response-Kapazitäten.

Ein ungepatchtes MOVEit-System ist in diesem regulatorischen Kontext nicht nur ein technisches Versäumnis — es kann als Verletzung der nach §30 BSIG geforderten Stand-der-Technik-Maßnahmen gewertet werden. Tritt ein Sicherheitsvorfall ein, greifen die Meldepflichten nach §32 BSIG (für NIS2-pflichtige Einrichtungen) sowie die DSGVO Art. 33/34 (Meldung an die Datenschutzaufsicht und ggf. Betroffenenbenachrichtigung).

Hinweis: Für eine rechtliche Einschätzung Ihrer individuellen Melde- und Haftungssituation wenden Sie sich bitte an einen auf IT-Recht und Datenschutz spezialisierten Anwalt.

Konkrete Handlungsempfehlungen für ISB und IT-Leitung

1. Sofortmaßnahmen: Patch und Isolation

Die wichtigste Maßnahme ist unmissverständlich: Einspielen des vom Hersteller bereitgestellten Patches für CVE-2024-5806. Da der Patch laut BSI (Update 1) auch die IPWorks-SSH-Komponente absichert, schließt ein einzelnes Update beide bekannten Angriffsvektoren.

Prüfen Sie dazu: - Welche Version von MOVEit Transfer ist im Einsatz? - Ist der SFTP-Dienst aktiv und von außen erreichbar? - Wann wurde zuletzt gepatcht, und existiert ein Patch-Management-Prozess für externe MFT-Systeme?

Wenn ein sofortiges Patchen nicht möglich ist (z.B. wegen laufender kritischer Transfers oder Wartungsfenstern), sollten Sie als temporäre Mitigationsmaßnahme den externen Zugriff auf den SFTP-Port (typischerweise TCP 22) auf bekannte und vertrauenswürdige IP-Adressen beschränken oder den Dienst vorübergehend vom Internet isolieren.

2. Bestandsaufnahme und Asset-Inventar

CVE-2024-5806 ist ein Lehrbeispiel dafür, warum ein aktuelles Asset-Inventar unverzichtbar ist. Viele Einrichtungen wissen nicht zuverlässig, wo MOVEit Transfer (oder vergleichbare MFT-Lösungen) betrieben werden — insbesondere bei ausgelagerten IT-Dienstleistern oder in Verbundstrukturen.

Konkrete Schritte: - Inventarisierung aller eingesetzten MFT- und SFTP-Lösungen inklusive Versionsnummern - Prüfung, ob Drittdienstleister in Ihrem Auftrag MOVEit Transfer betreiben (Supply-Chain-Risiko) - Überprüfung der Netzwerksegmentierung: Ist der MFT-Server in einer DMZ isoliert oder hat er direkten Zugang zu klinischen Systemen?

3. Indicators of Compromise prüfen

Da Angriffsversuche unmittelbar nach Veröffentlichung des Advisories dokumentiert wurden, sollten Sie Log-Auswertungen rückwirkend bis mindestens zum 25. Juni 2024 durchführen:

  • SFTP-Verbindungsprotokolle auf ungewöhnliche Authentifizierungsversuche oder erfolgreiche Logins aus unbekannten IP-Bereichen
  • Dateioperationen (insbesondere Massenabruf oder Löschungen) in den MOVEit-Logs
  • Alerts in SIEM oder IDS/IPS auf Verbindungsversuche gegen den SFTP-Port
  • Abgleich mit IOCs aus BSI-Sicherheitsmitteilungen und ShadowServer-Feeds

Wenn Sie Anomalien feststellen, gilt: Incident-Response-Prozess aktivieren — Isolation des betroffenen Systems, forensische Sicherung, Benachrichtigung der Verantwortlichen.

4. Meldepflichten im Blick behalten

Sollten Sie Hinweise auf eine erfolgreiche Kompromittierung finden, greifen mehrere Meldepflichten:

Pflicht Rechtsgrundlage Frist Adressat
Erstmeldung Sicherheitsvorfall §32 BSIG (NIS2-pflichtige Einrichtungen) 24 Stunden nach Kenntnis BSI
Detailmeldung §32 BSIG 72 Stunden BSI
Datenschutzverletzung DSGVO Art. 33 72 Stunden Zuständige Datenschutzaufsicht
Betroffenenbenachrichtigung DSGVO Art. 34 Unverzüglich (bei hohem Risiko) Betroffene Personen

5. Langfristige Maßnahmen: Supply Chain und Drittanbieter

Die MOVEit Schwachstelle ist nicht das erste und wird nicht das letzte Mal sein, dass eine weit verbreitete MFT-Lösung kritisch kompromittiert wird — man denke an den MOVEit-Massenangriff durch die Cl0p-Gruppe im Jahr 2023, der ebenfalls kritische Infrastrukturen weltweit betraf.

Für ISB und CISO bedeutet das: Drittanbieter-Software und MFT-Lösungen müssen explizit im Risikomanagement und im Patch-Management-Prozess berücksichtigt werden. Folgende Maßnahmen sollten mittelfristig im ISMS verankert sein:

  • Vertragsgestaltung mit IT-Dienstleistern: Patch-SLAs explizit in AVVs und IT-Dienstleistungsverträgen verankern — wie schnell müssen kritische Schwachstellen geschlossen werden?
  • BSI-Feeds abonnieren: Die BSI Sicherheitsmitteilungen (CERT-Bund) sind ein kostenloser, hochwertiger Frühwarnkanal. Stellen Sie sicher, dass relevante Warnungen automatisch Ihren ISB erreichen.
  • Netzwerksegmentierung: MFT-Systeme gehören in isolierte DMZ-Segmente ohne direkte Routingpfade zu klinischen Netzen (KIS, RIS, PACS).
  • Minimales Exposure: Der SFTP-Dienst sollte nur für tatsächlich benötigte externe Gegenstellen erreichbar sein — nicht pauschal für das gesamte Internet.

Checkliste: MOVEit CVE-2024-5806 im Krankenhaus

□ MOVEit Transfer-Versionen im Einsatz inventarisiert
□ Patch von Progress für CVE-2024-5806 eingespielt
□ SFTP-Port-Exposure geprüft und ggf. eingeschränkt
□ Logs rückwirkend ab 25.06.2024 auf IOCs ausgewertet
□ Drittdienstleister mit MOVEit-Betrieb identifiziert und
  Patchstatus abgefragt
□ Netzwerksegmentierung des MFT-Servers überprüft
□ Incident-Response-Prozess auf Aktualität geprüft
□ Meldepflichten BSI / Datenschutzaufsicht bekannt und
  Kontakte hinterlegt
□ BSI Sicherheitsmitteilungen für relevante Produkte
  abonniert

Fazit: Patch, Detect, Report

Die MOVEit Schwachstelle CVE-2024-5806 illustriert ein wiederkehrendes Muster: Kritische Infrastrukturen wie Krankenhäuser setzen weit verbreitete, oft extern exponierte Software ein — und werden zum Ziel, sobald eine entsprechende Lücke bekannt wird. Die Antwort muss systematisch sein: schnelles Patchen, proaktive Log-Auswertung und ein ISMS, das Drittanbieter und Managed-File-Transfer-Systeme explizit im Scope führt. Für eine erste Einschätzung Ihrer aktuellen Sicherheitslage empfehlen wir das ISMShield Assessment — ein strukturiertes Werkzeug, das ISB und CISO im Krankenhaus bei der Priorisierung von Maßnahmen unterstützt.

Weitere Hintergrundartikel zu Patch-Management, Incident Response und NIS2-Anforderungen finden Sie im ISMShield Wissenszentrum.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen