SharePoint Sicherheitslücke kritisch: CVE-2026-20963

Eine ungepatchte SharePoint-Instanz reicht aus, um das gesamte Netzwerk eines Krankenhauses zu kompromittieren. Seit dem 18. März 2026 steht CVE-2026-20963 im CISA-Katalog aktiv ausgenutzter Schwachstellen – mit einem CVSS-Score von 9,8 und ohne Authentifizierungserfordernis. Für Krankenhäuser und Kliniken, die SharePoint als Dokumentenmanagement- oder Intranetplattform betreiben, besteht unmittelbarer Handlungsbedarf. Dieser Artikel erklärt, was technisch passiert ist, welche Risiken entstehen und welche Maßnahmen jetzt zu ergreifen sind.

Was ist passiert: Von CVSS 8,8 auf 9,8 in zwei Monaten

Die Sicherheitslücke CVE-2026-20963 wurde erstmals am 13. Januar 2026 im Rahmen des regulären Microsoft-Patchdays öffentlich bekannt. Zum damaligen Zeitpunkt stufte Microsoft die Schwachstelle mit einem CVSS-Score von 8,8 („hoch") ein – unter der Annahme, dass ein Angreifer für eine erfolgreiche Ausnutzung zumindest über ein gültiges Konto auf dem Zielsystem verfügen müsse. Dies ist eine sogenannte pre-authentication barrier, die die praktische Ausnutzbarkeit erheblich einschränkt.

Am 18. März 2026 nahm die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle in ihren Known Exploited Vulnerabilities (KEV) Catalog auf – ein verlässlicher Indikator, dass aktive Angriffe in der Praxis beobachtet werden. Zeitgleich korrigierte Microsoft sein ursprüngliches Advisory: Die Schwachstelle ist entgegen der ersten Einschätzung ohne vorherige Authentifizierung ausnutzbar. Der CVSS-Score wurde entsprechend auf 9,8 (kritisch) nach CVSS v3.1 angehoben.

Am 25. März 2026 veröffentlichte das BSI eine Cybersicherheitswarnung der Kritikalitätsstufe 2 und CERT-EU ein eigenes Advisory. Beide verweisen auf die Notwendigkeit der bereits im Kontext der ToolShell-Angriffskampagne des Vorjahres empfohlenen Schutzmaßnahmen.

Technische Kernaussage: Bei einer erfolgreichen Ausnutzung kann ein nicht authentifizierter Angreifer aus der Ferne beliebigen Code auf dem SharePoint-Server ausführen (Remote Code Execution, RCE) und das System vollständig übernehmen. Von einem kompromittierten SharePoint-Server aus ist der Weg in weitere Netzsegmente – inklusive klinischer Systeme und Medizintechnik – kurz.

Risikobewertung für Krankenhäuser: Warum SharePoint besonders kritisch ist

SharePoint ist in deutschen Krankenhäusern weit verbreitet. Typische Einsatzszenarien sind:

  • Dokumentenmanagementsysteme für Richtlinien, SOPs und Qualitätsdokumente
  • Intranets und Mitarbeiterportale
  • Kollaborationsplattformen für Abteilungen und Projekte, häufig als Bestandteil von Microsoft 365 oder als On-Premises-Installation

Gerade On-Premises-Installationen – also lokal betriebene SharePoint-Server, die nicht über die Cloud automatisch aktualisiert werden – sind durch CVE-2026-20963 unmittelbar gefährdet. Die Risikobewertung aus Sicht des ISMS ergibt sich aus mehreren Faktoren:

Schutzbedarf: SharePoint-Instanzen in Krankenhäusern enthalten regelmäßig sensible Daten: Dienstpläne, Behandlungsstandards, organisatorische Unterlagen, teils auch personenbezogene Mitarbeiterdaten. Nach DSGVO und BDSG unterliegen diese Daten besonderen Schutzpflichten.

Netzwerkposition: SharePoint-Server sind oft eng in die Active-Directory-Infrastruktur integriert. Ein kompromittierter SharePoint-Server kann als Ausgangspunkt für Lateral Movement genutzt werden – also die horizontale Ausbreitung eines Angreifers im Netzwerk. In Krankenhäusern, in denen klinische Systeme und administrative IT nicht vollständig segmentiert sind, kann dies bis zu KIS, PACS oder medizintechnischen Geräten reichen.

Externe Erreichbarkeit: Viele Krankenhäuser haben SharePoint aus Gründen der Erreichbarkeit für Telearbeit oder externe Mitarbeiter über das Internet zugänglich gemacht. Genau hier setzt eine unauthentifizierte RCE-Schwachstelle mit maximalem Schaden an.

Für Einrichtungen, die unter §391 SGB V fallen (Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr), ergibt sich zudem eine Meldepflicht bei erheblichen Sicherheitsstörungen gegenüber der zuständigen Behörde. Eine aktive Ausnutzung von CVE-2026-20963 wäre ein meldepflichtiges Ereignis.

Sofortmaßnahmen: Was jetzt zu tun ist

1. Patch einspielen – unverzüglich

Microsoft hat den Patch für CVE-2026-20963 bereits mit dem Januar-Patchday am 13.01.2026 bereitgestellt. Wenn dieser Patch in Ihrer Umgebung noch nicht eingespielt wurde, hat dies höchste Priorität. Prüfen Sie:

  • Alle On-Premises SharePoint-Instanzen (SharePoint Server 2016, 2019, Subscription Edition)
  • SharePoint-Komponenten in Hybrid-Setups
  • Abhängige Dienste wie SharePoint-Workflows oder angebundene Drittanwendungen

Für SharePoint-Installationen in Microsoft 365 (Cloud) übernimmt Microsoft das Patching – dennoch sollte die eigene Konfiguration und der Patch-Status des zugehörigen Microsoft 365 Tenants überprüft werden.

2. Kompromittierungsindikatoren (IoCs) prüfen

Da die Schwachstelle seit mindestens Mitte März aktiv ausgenutzt wird, reicht das Einspielen des Patches allein nicht aus. Überprüfen Sie umgehend, ob Ihre Systeme bereits kompromittiert wurden:

  • Logauswertung: Analysieren Sie SharePoint-Zugriffslogs auf ungewöhnliche Muster, insbesondere anonyme oder nicht authentifizierte Anfragen an sensible Endpunkte, unerwartete POST-Requests und auffällige User-Agent-Strings.
  • SIEM-Abfragen: Wenn ein SIEM betrieben wird, sollten Korrelationsregeln für SharePoint-RCE-Muster und ToolShell-ähnliche Angriffsmuster aktiviert werden.
  • EDR-Überprüfung: Prüfen Sie auf dem SharePoint-Server auffällige Prozesse, insbesondere Child-Prozesse von IIS oder w3wp.exe, die auf Webshell-Aktivität hindeuten könnten.
  • Netzwerkverbindungen: Suchen Sie nach ausgehenden Verbindungen vom SharePoint-Server zu unbekannten externen Zielen.

CERT-EU verweist in seinem Advisory explizit auf die ToolShell-Angriffskampagne des Vorjahres. Die dort dokumentierten Indikatoren und Angriffsmuster sind als Referenz heranzuziehen.

3. Zugang temporär einschränken

Bis der Patch eingespielt und die Kompromittierungsüberprüfung abgeschlossen ist, sollten Sie den Internetzugang zu SharePoint-Instanzen restriktiv handhaben:

  • Beschränkung des externen Zugriffs auf VPN mit MFA
  • WAF-Regeln aktivieren oder verschärfen (Web Application Firewall)
  • IP-Whitelisting für administrative Zugänge

4. Incident-Response-Plan aktivieren, wenn Kompromittierung festgestellt wird

Sollten Hinweise auf eine Kompromittierung vorliegen, greift der Incident-Response-Prozess. Für Krankenhäuser als KRITIS-relevante Einrichtungen gilt:

  • Meldepflicht nach §32 BSIG (BSI-Gesetz) bei erheblichen Sicherheitsvorfällen
  • Meldepflicht nach §391 SGB V bei IT-Sicherheitsstörungen mit Auswirkung auf die Patientenversorgung
  • DSGVO Art. 33 DSGVO i.V.m. §65 BDSG: Meldung einer Datenschutzverletzung an die zuständige Datenschutzbehörde binnen 72 Stunden, wenn personenbezogene Daten betroffen sind

Für rechtliche Beratung zu Meldepflichten und Haftungsfragen wenden Sie sich an einen Rechtsanwalt.

Einordnung in das ISMS: Strukturelle Lehren aus CVE-2026-20963

Die SharePoint Sicherheitslücke ist kein Einzelfall – sie illustriert ein strukturelles Problem, das ISBs und IT-Leitungen in ihrer ISMS-Arbeit adressieren müssen.

Patch-Management als ISMS-Kerndisziplin

Das BSI Grundschutz-Kompendium fordert in Baustein SYS.1.1 (Allgemeiner Server) und APP.3.2 (Webserver) systematisches Patch- und Änderungsmanagement. Die Realität in Krankenhäusern ist häufig eine andere: Patches werden verzögert eingespielt, weil Abhängigkeiten zu klinischen Anwendungen, fehlende Testumgebungen oder knappe Wartungsfenster dies erschweren.

CVE-2026-20963 zeigt, dass diese Verzögerungen fatale Konsequenzen haben können. Der Patch war seit dem 13. Januar 2026 verfügbar – Systeme, die Anfang April noch ungepatch waren, waren mindestens sechs Wochen lang aktiv exponiert, obwohl seit März bekannt war, dass die Schwachstelle ohne Authentifizierung ausnutzbar ist.

Empfehlung für das ISMS: Definieren Sie SLA für kritische Patches (z.B. CVSS ≥ 9,0: Patch binnen 72 Stunden oder kompensatorische Maßnahmen) und verankern Sie diese in Ihrer Sicherheitsleitlinie. Der B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard) fordert unter Maßnahme M9 systematisches Schwachstellenmanagement – hier kann eine konkrete Reaktionszeit-SLA dokumentiert werden.

Schwachstellenmonitoring: Von reaktiv zu proaktiv

In vielen Häusern werden BSI-Sicherheitsmitteilungen erst dann gelesen, wenn ein Vorfall eingetreten ist. Ein proaktiver Ansatz sieht anders aus:

  • Abonnement der BSI-Cybersicherheitswarnungen (kostenfrei unter bsi.bund.de)
  • CVE-Monitoring-Tools oder SIEM-Integration für relevante Produktkategorien
  • Regelmäßige Vulnerability Scans der exponierten Systeme
  • Threat Intelligence Feeds für den Healthcare-Sektor (z.B. H-ISAC)

Netzwerksegmentierung als Schadensbegrenzung

Selbst wenn ein SharePoint-Server kompromittiert wird, muss dies nicht zwingend zum Vollkompromiss des gesamten Netzwerks führen – vorausgesetzt, die Segmentierung ist konsequent umgesetzt. Die BSI-Grundschutz-Umsetzungshinweise und der B3S Krankenhaus fordern eine klare Trennung zwischen administrativer IT, klinischen Systemen und Medizintechnik.

Ein kompromittierter SharePoint-Server in einem isolierten Netzsegment mit minimalen Berechtigungen und ohne direkte Verbindung zu KIS oder PACS ist ein beherrschbares Ereignis. Ohne Segmentierung wird er zum Einfallstor.

Checkliste: Sofortmaßnahmen CVE-2026-20963

Maßnahme Priorität Verantwortlich
Patch-Status aller SharePoint-Server prüfen Kritisch / sofort IT-Betrieb
Januar-Patch einspielen, falls nicht geschehen Kritisch / sofort IT-Betrieb
Logs auf Kompromittierungsindikatoren analysieren Kritisch / sofort SOC / SIEM-Team
Externen Zugriff auf VPN+MFA beschränken Hoch / heute Netzwerk-Team
WAF-Regeln für SharePoint prüfen/anpassen Hoch / heute Netzwerk-Team
ToolShell-IoCs im SIEM/EDR abfragen Hoch / 24h SOC
ISB und IT-Leitung informieren Hoch / sofort IT-Betrieb
Incident-Response-Prozess vorbereiten Mittel / 24h ISB
Dokumentation des Patch-Vorgangs für Audit Mittel / 48h IT-Betrieb / ISB

Primärquellen:

Regulatorische Grundlagen: - BSI-Gesetz (BSIG), insbesondere §30 (Sicherheitsmaßnahmen) und §32 (Meldepflichten) - SGB V §391 (IT-Sicherheit in Krankenhäusern) - B3S Krankenhaus – Branchenspezifischer Sicherheitsstandard

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen