SharePoint Sicherheitslücke kritisch: CVE-2026-20963

Eine ungepatchte SharePoint-Instanz reicht aus, um Ihre gesamte Krankenhaus-IT zu kompromittieren. Seit dem 18. März 2026 steht CVE-2026-20963 im KEV-Katalog der CISA – und die Schwachstelle ist ohne Authentifizierung ausnutzbar. Was das für Krankenhäuser und KRITIS-Betreiber bedeutet und welche Maßnahmen jetzt erforderlich sind.

Ausgangslage: Wie aus einer „hohen" eine kritische Bedrohung wurde

Am 13. Januar 2026 veröffentlichte Microsoft im Rahmen des regulären Patch-Tuesday ein Advisory zu CVE-2026-20963 in Microsoft SharePoint. Der initiale CVSS-Score lag bei 8.8 von 10 – eingestuft als „hoch". Zu diesem Zeitpunkt ging Microsoft noch davon aus, dass ein Angreifer für die Ausnutzung ein gültiges Konto auf dem Zielsystem benötigt. Der Patch war verfügbar, die Dringlichkeit schien handhabbar.

Was folgte, ist ein Lehrbuchbeispiel für die Dynamik moderner Schwachstellen: Im März 2026 revidierte Microsoft diese Einschätzung fundamental. Die Ausnutzung ist ohne jede Authentifizierung möglich. Der CVSS-Score wurde auf 9.8 von 10 (kritisch) angehoben – einer der höchsten erreichbaren Werte. Am 18. März 2026 nahm die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) die Schwachstelle in ihren Known Exploited Vulnerabilities (KEV)-Katalog auf, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Das BSI veröffentlichte am 25. März 2026 eine Cybersicherheitswarnung der Kritikalität 2. Am selben Tag publizierte CERT-EU ein Advisory und verwies explizit auf die Empfehlungen aus der ToolShell-Angriffskampagne des Vorjahres.

Für Krankenhäuser, die SharePoint als Intranet, Dokumentenmanagement oder Kollaborationsplattform betreiben, ergibt sich damit eine akute Bedrohungslage, die sofortiges Handeln erfordert.

Was CVE-2026-20963 technisch bedeutet

Remote Code Execution ohne Authentifizierung

CVE-2026-20963 ermöglicht einem entfernten Angreifer die unauthentifizierte Remote Code Execution (RCE) auf verwundbaren SharePoint-Servern. Konkret bedeutet das:

Kein Benutzerkonto erforderlich: Der Angreifer benötigt keinen Zugang zum Active Directory, keine SharePoint-Lizenz und keine gestohlenen Credentials.
Vollständige Systemkompromittierung: Bei erfolgreicher Ausnutzung kann der Angreifer beliebigen Code mit den Rechten des SharePoint-Dienstkontos ausführen – typischerweise mit hohen Systemprivilegien.
Netzwerk-Pivot-Potenzial: SharePoint-Server sind in Krankenhausumgebungen häufig tief in der Active-Directory-Infrastruktur verankert. Von einem kompromittierten SharePoint-Server aus sind Lateral Movement in Richtung KIS, RIS, PACS und klinische Systeme realistisch.

Angriffsvektor und Expositionsrisiko

Der Angriffsvektor ist netzwerkbasiert (Network, AV:N im CVSS-Vektorsatz). Das bedeutet: Jeder SharePoint-Server, der über das Netzwerk erreichbar ist – sei es aus dem Internet, aus einem Krankenhaus-WLAN oder aus einem schlecht segmentierten internen Netz – ist potenziell angreifbar.

Besondere Risikokonstellationen im Krankenhausumfeld:

Szenario	Risikobewertung
SharePoint direkt im Internet (Reverse Proxy, kein WAF)	Kritisch
SharePoint nur intern, aber ohne Segmentierung	Hoch
SharePoint mit Anbindung an Patientendaten/KIS	Hoch
SharePoint in Azure/Hybrid-Umgebung (SharePoint Online)	Abhängig von Konfiguration – SharePoint Online von Microsoft gepatcht
On-Premises SharePoint, Patch eingespielt	Risiko behoben

Wichtig: SharePoint Online (Microsoft 365) ist von CVE-2026-20963 nach aktuellem Stand nicht betroffen. Die Schwachstelle betrifft On-Premises-Installationen.

Regulatorische Einordnung: Was Krankenhäuser jetzt beachten müssen

Pflichten unter §391 SGB V und B3S Krankenhaus

Krankenhäuser, die als KRITIS-Betreiber eingestuft sind (Schwellenwert: ≥ 30.000 vollstationäre Fälle pro Jahr), sind nach §391 SGB V verpflichtet, den Stand der Technik in der IT-Sicherheit einzuhalten und dies alle zwei Jahre durch einen anerkannten Prüfer nachzuweisen. Der Branchenspezifische Sicherheitsstandard (B3S) für die Gesundheitsversorgung im Krankenhaus konkretisiert diese Anforderungen.

Für CVE-2026-20963 relevant sind insbesondere:

Patch-Management (B3S Kapitel 8.3): Der Standard fordert ein systematisches Schwachstellen- und Patch-Management. Kritische Patches sind „zeitnah" einzuspielen. Bei einem CVSS-Score von 9.8 mit bestätigter aktiver Ausnutzung ist eine Frist von mehr als 72 Stunden nur in sehr begründeten Ausnahmefällen vertretbar.
Netzwerksegmentierung: Krankenhäuser müssen sicherstellen, dass ein kompromittierter Server nicht als Sprungbrett in medizinische Netzwerksegmente dienen kann.

NIS2UmsuCG: Meldepflichten und Sorgfaltspflichten

Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) in Deutschland gelten verschärfte Anforderungen. Für Krankenhäuser als Einrichtungen des Gesundheitswesens, die unter NIS2 fallen, ergeben sich aus §32 BSIG konkrete Meldepflichten:

24 Stunden: Erstmeldung bei erheblichem Sicherheitsvorfall an das BSI
72 Stunden: Detailliertere Meldung mit erster Einschätzung
1 Monat: Abschlussbericht

Kommt es durch die Ausnutzung von CVE-2026-20963 zu einem Sicherheitsvorfall mit Auswirkungen auf die Verfügbarkeit oder Integrität kritischer Dienste, greift diese Meldekette. Gleichzeitig ist bei einer Verletzung des Schutzes personenbezogener Daten (z. B. Patientendaten auf SharePoint) nach Art. 33 DSGVO eine Meldung an die zuständige Datenschutzaufsichtsbehörde innerhalb von 72 Stunden erforderlich.

Hinweis: Für rechtliche Beratung zu konkreten Meldepflichten in Ihrem Einzelfall wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.

Sofortmaßnahmen: Was jetzt zu tun ist

1. Bestandsaufnahme (sofort, heute)

Bevor gepatcht werden kann, muss bekannt sein, was überhaupt betroffen ist:

Inventur aller SharePoint-Instanzen: On-Premises, Hybrid, ggf. noch SharePoint 2016/2019 als Legacy-Systeme
Versionsidentifikation: Über die SharePoint Central Administration oder PowerShell ((Get-SPFarm).BuildVersion)
Netzwerkexposition prüfen: Ist SharePoint direkt oder indirekt aus dem Internet erreichbar? Welche internen Netze haben Zugriff?

2. Patch einspielen (höchste Priorität)

Microsoft hat den Patch bereits seit dem Januar-Patchday (13.01.2026) bereitgestellt. Die Aktualisierung auf die gepatchte Version ist die einzig verlässliche Lösung:

Laden Sie das entsprechende kumulative Update für Ihre SharePoint-Version aus dem Microsoft Security Update Guide herunter
Testen Sie den Patch in einer Testumgebung, sofern dies ohne Zeitverlust möglich ist
Bei KRITIS-Betrieb: Dokumentieren Sie die Patch-Aktivität für Ihren Nachweis nach §391 SGB V

3. Notfallmaßnahmen bei verzögertem Patching

Kann der Patch aus betrieblichen Gründen nicht sofort eingespielt werden (z. B. laufende Kliniksysteme ohne Wartungsfenster), sind folgende Kompensationsmaßnahmen umzusetzen:

Netzwerkseitige Isolation: Beschränken Sie den Zugriff auf den SharePoint-Server auf die zwingend notwendigen Quell-IP-Adressen per Firewall-Regel
WAF-Regeln aktivieren: Falls ein Web Application Firewall (WAF) vorgelagert ist, aktivieren Sie spezifische Regeln für CVE-2026-20963
Monitoring erhöhen: Aktivieren Sie erweiterte Protokollierung auf dem SharePoint-Server (IIS-Logs, SharePoint ULS-Logs) und übertragen Sie diese in Ihr SIEM
Externe Erreichbarkeit temporär deaktivieren: Deaktivieren Sie jeden externen Zugriff auf SharePoint bis zum Patch

4. Kompromittierungsindikatoren (IoCs) prüfen

In Anlehnung an die Empfehlungen aus der ToolShell-Kampagne (CERT-EU Advisory, 25.03.2026) sollten folgende Indikatoren geprüft werden:

Ungewöhnliche Prozesse, die vom SharePoint-Dienstkonto (SPFARM, SPSERVICE) gestartet wurden
Neue oder veränderte ASPX-Dateien in SharePoint-Verzeichnissen (potenzielle Webshells)
Ausgehende Netzwerkverbindungen vom SharePoint-Server zu unbekannten externen Hosts
Auffällige Einträge in den IIS Access Logs (POST-Requests auf SharePoint-interne Endpunkte von nicht autorisierten Quellen)

Wenn Sie Kompromittierungshinweise finden: Isolieren Sie das System sofort, leiten Sie Incident-Response-Maßnahmen ein und ziehen Sie Ihren Forensik-Dienstleister hinzu. Bei KRITIS-Betreibern greift die 24-Stunden-Meldepflicht nach §32 BSIG.

Strukturelle Lehren für das Schwachstellenmanagement im Krankenhaus

CVE-2026-20963 illustriert ein wiederkehrendes Muster, das im Schwachstellenmanagement systematisch adressiert werden muss.

Das CVSS-Score-Problem

Ein initialer CVSS-Score von 8.8 mag intern als „noch planbar" klassifiziert worden sein. Die Neubewertung auf 9.8 ohne Authentifizierung zeigt: CVSS-Scores sind Momentaufnahmen. Ein effektives Schwachstellenmanagement nach ISO 27001 / BSI IT-Grundschutz muss daher:

Re-Evaluierungszyklen für kritische Schwachstellen vorsehen (mindestens wöchentliches Review der KEV-Liste der CISA)
Threat-Intelligence-Feeds auswerten, nicht nur den initialen Advisory-Score
Exploitability-Kriterien stärker gewichten: Sobald ein Exploit als „in the wild" gilt (KEV-Aufnahme), gelten kürzere Patchfristen als intern festgelegt

Patch-Fenster für klinische Umgebungen

Viele Krankenhäuser kämpfen mit dem Dilemma: Patch-Einspielen erfordert Downtime, Downtime gefährdet die Versorgung. Die Lösung liegt in vordefinierten, regelmäßigen Wartungsfenstern – idealerweise monatlich synchron mit dem Microsoft Patch-Tuesday – kombiniert mit klaren Eskalationspfaden für Patches der Kritikalität „kritisch mit aktiver Ausnutzung".

SharePoint als unterschätzter Angriffsvektor

SharePoint wird in Krankenhäusern oft als „Intranet-Plattform" wahrgenommen und nicht als sicherheitskritisches System. Tatsächlich ist SharePoint häufig:

mit dem Active Directory tief integriert
über VPN oder direkt aus dem Internet erreichbar
Speicherort sensibler Dokumentation (SOPs, Patientenformulare, Dienstpläne)

Eine robuste Netzwerksegmentierung nach B3S und BSI IT-Grundschutz (NET.1.1) ist daher nicht optional, sondern Pflicht.

Checkliste: CVE-2026-20963 im Krankenhaus

[ ] Alle SharePoint On-Premises-Instanzen inventarisiert und Versionsstand dokumentiert
[ ] Patch vom Januar-Patchday (13.01.2026) eingespielt oder Zeitplan definiert
[ ] Netzwerkexposition des SharePoint-Servers geprüft und ggf. eingeschränkt
[ ] IIS- und SharePoint-Logs auf IoCs untersucht
[ ] SIEM-Alerting für SharePoint-Anomalien aktiviert
[ ] Kompensationsmaßnahmen dokumentiert (für KRITIS-Nachweis §391 SGB V)
[ ] Incident-Response-Plan für den Kompromittierungsfall liegt vor
[ ] Meldepflichtige Vorfälle gemäß §32 BSIG / Art. 33 DSGVO im Eskalationspfad abgebildet

Fazit

Die SharePoint Sicherheitslücke CVE-2026-20963 ist eine der gefährlichsten Schwachstellen des Jahres 2026 für On-Premises-Infrastrukturen. Die Kombination aus maximalem CVSS-Score, unauthentifizierter Remote Code Execution und bestätigter aktiver Ausnutzung lässt keinen Interpretationsspielraum: Patchen hat absolute Priorität. Für Krankenhäuser als KRITIS-Betreiber kommen regulatorische Pflichten aus §391 SGB V, B3S, N

Kostenlose NIS2-Bestandsaufnahme starten →