MOVEit Schwachstelle: Kritische SFTP-Lücke im Krankenhaus absichern

Einleitung

Die MOVEit Schwachstelle CVE-2024-5806 hat seit ihrer Veröffentlichung am 25. Juni 2024 die IT-Sicherheitsgemeinschaft in Alarmbereitschaft versetzt – und das zu Recht. Mit einem CVSS Base-Score von 9.1 erlaubt die kritische Lücke im SFTP-Modul von MOVEit Transfer es entfernten Angreifern, die Authentifizierung vollständig zu umgehen und auf vertrauliche Daten zuzugreifen, diese zu bearbeiten oder zu löschen. Für Krankenhäuser und Kliniken, die MOVEit Transfer für den sicheren Dateiübertragungsaustausch – etwa für Patientendaten, Abrechnungsinformationen oder Laborbefunde – einsetzen, ist diese Schwachstelle kein abstraktes Risiko, sondern eine unmittelbare Bedrohung mit konkreten regulatorischen und operativen Konsequenzen. Bereits wenige Stunden nach Bekanntwerden der Schwachstelle registrierte ShadowServer erste aktive Ausnutzungsversuche, was den Handlungsdruck für IT-Verantwortliche im Gesundheitswesen nochmals erhöht.

Was steckt hinter CVE-2024-5806? Technische Einordnung

Die Schwachstelle im Detail

CVE-2024-5806 betrifft das SFTP-Modul von Progress MOVEit Transfer. Klassifiziert unter CWE-287 (Improper Authentication) ermöglicht sie es Angreifern, den Authentifizierungsmechanismus zu umgehen, ohne gültige Credentials vollständig vorweisen zu müssen. Die Voraussetzungen für eine erfolgreiche Ausnutzung sind in der Praxis erschreckend niedrig:

Bekannter Nutzername: Der Angreifer benötigt lediglich einen validen Usernamen, der für externe Authentifizierung freigeschaltet ist.
Exponierter SFTP-Dienst: Der SFTP-Port muss vom Internet aus erreichbar sein – eine Konfiguration, die in vielen Krankenhäusern für B2B-Datenaustausch mit Laboren, Versicherungen oder Abrechnungsdienstleistern bewusst geöffnet ist.

Sind beide Bedingungen erfüllt, kann ein Angreifer ohne weiteres Zutun Dateien lesen, manipulieren oder löschen. Im Kontext von Patientendaten bedeutet das: Datenschutzverletzung, mögliche Manipulation klinischer Daten und erheblicher Reputationsschaden.

Die IPWorks SSH-Komponente als Zusatzrisiko

Das Update 1.1 der BSI-Sicherheitsmitteilung 2024-248937-1032 präzisiert einen weiteren Aspekt: Die Patches für CVE-2024-5806 adressieren gleichzeitig eine Schwachstelle in der Drittanbieter-Komponente IPWorks SSH. Dieses Detail ist für Supply-Chain-Überlegungen im Krankenhaus-Umfeld relevant – es zeigt, dass Schwachstellen in Managed-File-Transfer-Lösungen häufig Kaskadeneffekte über eingebettete Bibliotheken entfalten, die im Patch-Management-Prozess explizit berücksichtigt werden müssen.

Historischer Kontext: MOVEit ist kein Einzelfall

MOVEit Transfer war bereits 2023 Ziel der Clop-Ransomware-Gruppe, die über eine SQL-Injection-Lücke (CVE-2023-34362) weltweit Hunderte Organisationen kompromittierte – darunter Gesundheitseinrichtungen in Europa und den USA. Die erneute kritische Schwachstelle 2024 macht deutlich: Managed-File-Transfer-Software ist ein bevorzugtes Angriffsziel, weil sie definitionsgemäß sensible Daten transportiert und oft tief in Geschäftsprozesse integriert ist. Für CISOs im Krankenhaus bedeutet das: MOVEit-Instanzen sind High-Value-Targets und müssen entsprechend priorisiert behandelt werden.

Betroffenheit im Krankenhaus: Wo wird MOVEit eingesetzt?

Krankenhäuser und Kliniken verwenden Managed-File-Transfer-Lösungen wie MOVEit Transfer typischerweise in folgenden Szenarien:

Anwendungsfall	Betroffene Datenkategorie	Risiko bei Kompromittierung
Laborbefundübermittlung	Patientendaten (§ 203 StGB-geschützt)	Datenschutzverletzung, DSGVO-Meldepflicht
KV-Abrechnung / DRG	Abrechnungsdaten, Diagnosen	Integrität der Abrechnung
Radiologiebilder (DICOM-Transfer)	Medizinische Bilddaten	Manipulation klinischer Entscheidungsgrundlagen
Austausch mit Zuweisern	Arztbriefe, Epikrisen	Vertraulichkeitsverletzung
Softwareverteilung / Updates	System-Binaries	Supply-Chain-Risiko

Wenn Ihre Einrichtung MOVEit Transfer in einem dieser Szenarien einsetzt und der SFTP-Dienst extern erreichbar ist, besteht unmittelbarer Handlungsbedarf.

Regulatorische Pflichten: Was gilt für Krankenhäuser in Deutschland?

BSI-Sicherheitsmitteilung und BSIG

Das BSI hat CVE-2024-5806 mit Kritikalität 2 eingestuft und eine offizielle Sicherheitsmitteilung veröffentlicht. Für Krankenhäuser, die als KRITIS-Einrichtungen (ab 30.000 vollstationäre Fälle/Jahr) unter das BSIG fallen, ergibt sich aus § 30 BSIG die Pflicht, angemessene technische und organisatorische Maßnahmen zur Absicherung kritischer Infrastrukturen zu ergreifen. BSI-Sicherheitsmitteilungen sind dabei kein unverbindlicher Hinweis, sondern ein klares Signal, welche Risiken das BSI als relevant einstuft.

NIS2UmsuCG und §391 SGB V

Seit dem Inkrafttreten des NIS2UmsuCG gilt für wesentliche und wichtige Einrichtungen – wozu Krankenhäuser ab einer bestimmten Größe zählen – eine verschärfte Pflicht zum Risikomanagement (§ 30 BSIG n.F.). Konkret bedeutet das: Bekannte kritische Schwachstellen in eingesetzter Software müssen zeitnah adressiert werden. Eine fehlende oder verzögerte Reaktion auf eine öffentlich bekannte, aktiv ausgenutzte Schwachstelle mit CVSS 9.1 wäre im Rahmen eines Audits schwer vertretbar.

Parallel dazu verpflichtet § 391 SGB V Krankenhäuser zur Umsetzung der IT-Sicherheitsanforderungen gemäß dem B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard). Der B3S adressiert explizit das Patch- und Schwachstellenmanagement als Kernelement eines funktionierenden ISMS. Das Versäumnis, auf eine kritische, öffentlich kommunizierte Schwachstelle zu reagieren, kann bei einem Vorfall zur Haftungsfrage werden.

DSGVO-Meldepflicht im Schadenfall

Wird CVE-2024-5806 erfolgreich ausgenutzt und sind Patientendaten betroffen, greift Art. 33 DSGVO: Die zuständige Datenschutzaufsichtsbehörde muss innerhalb von 72 Stunden nach Bekanntwerden der Verletzung informiert werden. Bei mehr als 500 betroffenen Personen oder besonders sensiblen Daten (Gesundheitsdaten nach Art. 9 DSGVO) ist zusätzlich die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO zu prüfen. Krankenhäuser sollten sicherstellen, dass ihr Incident-Response-Prozess diese Meldefristen explizit abbildet.

Hinweis: Für rechtliche Beratung zu Meldepflichten und Haftungsfragen wenden Sie sich an einen auf IT-Recht und Datenschutz spezialisierten Anwalt.

Sofortmaßnahmen: Schritt-für-Schritt-Vorgehen für IT-Verantwortliche

Phase 1: Bestandsaufnahme (innerhalb von 24 Stunden)

1. Inventarisierung Identifizieren Sie alle MOVEit Transfer-Instanzen in Ihrer Umgebung – inklusive Test-, Staging- und produktiven Systemen. Prüfen Sie auch, ob Dienstleister oder Auftragsverarbeiter MOVEit Transfer in Ihrem Auftrag betreiben.

2. Versionsprüfung Betroffene Versionen laut Progress-Advisory: - MOVEit Transfer 2023.0.x (vor 2023.0.11) - MOVEit Transfer 2023.1.x (vor 2023.1.6) - MOVEit Transfer 2024.0.x (vor 2024.0.2)

3. SFTP-Exponierung prüfen Ermitteln Sie, ob der SFTP-Port (Standard: TCP 22) vom Internet aus erreichbar ist. Firewall-Logs, Netzwerk-Scans und SIEM-Auswertungen helfen dabei, die tatsächliche Angriffsfläche zu quantifizieren.

Phase 2: Sofortmitigation (parallel zur Bestandsaufnahme)

Wenn ein sofortiges Patchen nicht möglich ist, empfiehlt das BSI sowie der Hersteller Progress folgende temporäre Maßnahmen:

SFTP-Dienst deaktivieren oder einschränken: Wenn SFTP nicht zwingend für den laufenden Betrieb benötigt wird, deaktivieren Sie den Dienst bis zum Patch-Einspielen. Prüfen Sie, ob ausschließlich bekannte IP-Adressen (Allowlisting) Zugriff erhalten können.
Netzwerksegmentierung aktivieren: Stellen Sie sicher, dass der MOVEit-Server nicht unnötig tief ins interne Netz kommunizieren kann. Laterale Bewegungen nach einem initialen Zugriff müssen durch Segmentierung eingedämmt werden.
Nutzernamen-Exposition reduzieren: Da Angreifer einen validen Nutzernamen benötigen, sollten externe SFTP-Accounts auf ein Minimum reduziert und generische Nutzernamen vermieden werden.

Phase 3: Patch-Einspielen (so schnell wie möglich)

Progress hat Patches für alle betroffenen Versionen bereitgestellt. Spielen Sie die korrigierten Versionen ein: - MOVEit Transfer 2023.0.11 - MOVEit Transfer 2023.1.6 - MOVEit Transfer 2024.0.2

Der Patch adressiert laut BSI-Update 1.1 gleichzeitig die Schwachstelle in der IPWorks-SSH-Komponente – ein weiterer Grund, den Patch vollständig und ohne Modifikation einzuspielen.

Phase 4: Kompromittierungsprüfung (Indicator of Compromise)

Da aktive Ausnutzungsversuche bereits seit kurz nach der Veröffentlichung dokumentiert sind, reicht das Patchen allein nicht aus. Prüfen Sie:

SFTP-Logs: Ungewöhnliche Login-Versuche mit validen Nutzernamen vor dem Patch-Zeitpunkt
Dateisystem-Integrität: Unerwartete Dateizugriffe, -änderungen oder -löschungen
Netzwerkverbindungen: Ausgehende Verbindungen vom MOVEit-Server zu unbekannten externen Adressen
Windows Event Logs / Syslog: Authentifizierungsereignisse außerhalb der Geschäftszeiten oder von unbekannten Quell-IPs

Wenn Ihr SIEM bereits vor dem Patch-Zeitpunkt aktiv war, sollten Sie gezielt nach Authentifizierungsereignissen am SFTP-Dienst suchen, die keinem bekannten Nutzungskontext entsprechen.

Checkliste: MOVEit CVE-2024-5806 im Krankenhaus

□ MOVEit Transfer-Instanzen vollständig inventarisiert (intern + Dienstleister)
□ Betroffene Versionen identifiziert
□ SFTP-Exponierung ins Internet geprüft und dokumentiert
□ Temporäre Mitigation aktiviert (SFTP-Einschränkung / IP-Allowlisting)
□ Patches auf alle Instanzen eingespielt (inkl. IPWorks SSH-Fix)
□ Patch-Zeitpunkt und durchführende Person dokumentiert
□ Logs auf Indicators of Compromise (IoC) geprüft
□ Dienstleister/Auftragsverarbeiter informiert und Patch-Status abgefragt
□ Incident-Response-Prozess ausgelöst, falls IoCs gefunden
□ DSGVO-Prüfung: Sind Patientendaten betroffen? 72h-Frist im Blick
□ Ergebnis im Risikoregister dokumentiert
□ Informationssicherheitsbeauftragter informiert

Strukturelle Lehre: Patch-Management und Supply Chain im ISMS verankern

CVE-2024-5806 ist nicht nur ein Patch-Problem – es ist ein Governance-Problem. Krankenhäuser, die über ein reifes ISMS nach ISO 27001 oder gemäß B3S verfügen, sollten folgende strukturellen Maßnahmen prüfen:

Schwachstellenmanagement-Prozess formalisieren: BSI-Sicherheitsmitteilungen sollten in einen definierten Prozess einfließen: Eingang → Bewertung → Priorisierung → Mitigation → Dokumentation. Wer ist zuständig? In welchem Zeitrahmen muss bei CVSS ≥ 9.0 reagiert werden? Diese Entscheidungen dürfen nicht ad hoc getroffen werden.

Drittanbieter-Komponenten im Asset-Register führen: Die IPWorks-SSH-Komponente in MOVEit ist ein Lehrbuchbeispiel für Supply-Chain-Risiken. Wenn Sie

Kostenlose NIS2-Bestandsaufnahme starten →