SharePoint Sicherheitslücke Zero-Day: ToolShell aktiv ausgenutzt
Kritische CVE-2025-53770/53771-Schwachstellen erfordern sofortiges Handeln in Krankenhäusern
Einleitung
Seit dem 19. Juli 2025 warnt das BSI mit Kritikalitätsstufe 3 vor der massiven Ausnutzung einer SharePoint Sicherheitslücke Zero-Day, die unter dem Namen „ToolShell" bekannt wurde. Angreifer hebeln dabei die Schutzmaßnahmen des regulären Juli-Patchdays aktiv aus — gepatchte Systeme sind ohne die Notfall-Updates weiterhin verwundbar. Für Krankenhäuser und andere Gesundheitseinrichtungen, die Microsoft SharePoint On-Premises im Einsatz haben, besteht akuter Handlungsbedarf: Die Schwachstellen ermöglichen nicht authentifizierten Angreifern vollständige Remote-Code-Execution sowie Zugriff auf sämtliche SharePoint-Inhalte, Dateisysteme und interne Konfigurationen. Ransomware-Kampagnen, die ToolShell bereits aktiv ausnutzen, machen die Bedrohungslage für kritische Infrastrukturen im Gesundheitswesen besonders ernst.
Was steckt hinter ToolShell? Die technische Ausgangslage
Die als „ToolShell" bezeichnete Angriffskampagne kombiniert zwei Schwachstellen, die zunächst durch den regulären Microsoft-Patchday vom Juli 2025 adressiert worden waren — bis Angreifer modifizierte Exploit-Varianten entwickelten, die die veröffentlichten Patches umgehen:
CVE-2025-53770 (Basis: CVE-2025-49704) - CVSS-Score: 9.8 / 10 (kritisch) - Angriffspfad: Netzwerk, ohne Authentifizierung - Auswirkung: Remote Code Execution (RCE) — ein Angreifer kann beliebigen Code auf dem SharePoint-Server ausführen, ohne sich zuvor anmelden zu müssen
CVE-2025-53771 (Basis: CVE-2025-49706) - CVSS-Score: 6.3 (mittel) - Angriffspfad: Netzwerkseitige Spoofing-Angriffe - Funktion im Angriffsszenario: Wird in Kombination mit CVE-2025-53770 genutzt, um Authentifizierungsmechanismen zu umgehen und den Angriff zu stabilisieren
Die Verkettung beider CVEs ist entscheidend: CVE-2025-53771 ermöglicht es Angreifern, durch Spoofing-Techniken MachineKey-Konfigurationsdetails aus dem Zielsystem zu extrahieren. Diese kryptografischen Schlüssel sind der Kern des Angriffs — wer den MachineKey kennt, kann in ASP.NET-basierten Anwendungen signierte Tokens und ViewState-Objekte fälschen und damit eine vollständige Session-Übernahme oder Code-Ausführung erreichen. Im zweiten Schritt liefert CVE-2025-53770 die eigentliche RCE-Fähigkeit.
Das IT-Sicherheitsunternehmen Eye Security hat erste Erkenntnisse am 19. Juli 2025 öffentlich gemacht. Seitdem dokumentiert das BSI eine aktive Ausnutzung durch verschiedene Angreifergruppen, die auf kompromittierten SharePoint-Servern Ransomware installieren. Stand 3. August 2025 waren in Deutschland noch immer mehr als 80 On-Premises-SharePoint-Systeme verwundbar.
Besonders alarmierend: Das BSI weist explizit darauf hin, dass in Deutschland auch End-of-Life-Versionen von SharePoint produktiv betrieben werden, für die keine Sicherheitsupdates mehr verfügbar sind. Die nachträgliche Veröffentlichung eines Patches für SharePoint Enterprise Server 2016 — eine Version, die sich eigentlich bereits außerhalb des regulären Support-Zyklus befindet — unterstreicht die Schwere der Lage.
Relevanz für Krankenhäuser: Warum das Gesundheitswesen besonders betroffen ist
SharePoint On-Premises ist in deutschen Krankenhäusern und Kliniken weit verbreitet. Die Plattform wird für die interne Dokumentenverwaltung, Qualitätsmanagement-Systeme, Intranet-Portale, klinische Verfahrensanweisungen und den Datenaustausch zwischen Abteilungen genutzt. In einigen Einrichtungen sind SharePoint-Instanzen direkt oder indirekt mit klinischen Systemen wie KIS, RIS oder PACS verbunden — oder zumindest im selben Netzwerksegment betrieben.
Die Kombination aus RCE-Fähigkeit und fehlender Authentifizierungsvoraussetzung macht ToolShell zu einem idealen initialen Zugriffsvektor für Ransomware-Gruppen, die es auf Gesundheitseinrichtungen abgesehen haben. Der vollständige Zugriff auf SharePoint-Inhalte bedeutet im Krankenhaus-Kontext konkret:
- Zugriff auf Patientendaten und damit potenzielle DSGVO-Datenschutzverletzungen (Art. 33/34 DSGVO, §65 BDSG)
- Auslesen von Zugangsdaten, Konfigurationsdetails und internen Netzwerkdokumenten
- Lateral Movement im Krankenhausnetzwerk als Einstiegspunkt
- Einsatz von Ransomware mit dem Ziel, den Krankenhausbetrieb lahmzulegen
Unter dem Gesichtspunkt von §391 SGB V sind Krankenhäuser verpflichtet, angemessene technische und organisatorische Maßnahmen zur IT-Sicherheit umzusetzen. Die Ausnutzung einer bekannten, patchbaren Schwachstelle — insbesondere wenn Notfall-Updates verfügbar, aber nicht installiert sind — stellt einen klaren Verstoß gegen diese Anforderung dar. Gleiches gilt für den Betrieb von EoL-Software ohne kompensierende Maßnahmen, der dem B3S Krankenhaus und den Anforderungen des BSI IT-Grundschutzes (insb. SYS.1.1, OPS.1.1.3) klar widerspricht.
Für als KRITIS eingestufte Krankenhäuser gelten darüber hinaus die Meldepflichten nach §32 BSIG (NIS2UmsuCG): Ein erfolgreicher Angriff über ToolShell mit erheblicher Auswirkung auf die Verfügbarkeit oder Vertraulichkeit von Systemen ist innerhalb von 24 Stunden beim BSI zu melden (Erstmeldung), innerhalb von 72 Stunden zu konkretisieren und nach spätestens einem Monat durch einen Abschlussbericht zu ergänzen.
Sofortmaßnahmen: Was jetzt zu tun ist
Die Handlungsempfehlungen folgen einer klaren Prioritätenreihenfolge. Bei aktiver Ausnutzung in freier Wildbahn und CVSS 9.8 gilt: Patchen hat absoluten Vorrang.
1. Bestandsaufnahme (heute)
Inventarisieren Sie alle SharePoint On-Premises-Instanzen in Ihrer Einrichtung: - Welche SharePoint-Versionen sind im Einsatz? (2016, 2019, Subscription Edition) - Sind die Notfall-Updates von Microsoft installiert? (Nicht der reguläre Juli-Patchday — die spezifischen Out-of-Band-Patches) - Gibt es EoL-Instanzen, die noch produktiv genutzt werden? - Sind SharePoint-Server direkt aus dem Internet erreichbar oder nur intern?
2. Notfall-Patches sofort einspielen
Microsoft hat spezifische Notfall-Updates außerhalb des regulären Patchday-Zyklus veröffentlicht — inklusive eines nachträglich veröffentlichten Patches für SharePoint Enterprise Server 2016. Die regulären Juli-2025-Patches reichen nicht aus. Stellen Sie sicher, dass die Patches für CVE-2025-53770 und CVE-2025-53771 installiert sind.
Bei SharePoint Enterprise Server 2016: Überprüfen Sie, ob der nachträglich veröffentlichte Patch eingespielt wurde — dieser war nicht im ursprünglichen Juli-Patchday enthalten.
3. Kompromittierungsindikatoren prüfen (IoC-Analyse)
Da ToolShell seit Wochen aktiv ausgenutzt wird, reicht das Patchen allein nicht aus. Führen Sie eine Analyse auf Kompromittierungsindikatoren (Indicators of Compromise, IoC) durch:
- Überprüfung der IIS-Logs auf ungewöhnliche POST-Anfragen, insbesondere auf
_layouts,_vti_binund unbekannte ASPX-Dateipfade - Suche nach neu erstellten oder modifizierten ASPX-Dateien auf dem SharePoint-Server (WebShells)
- Analyse von Windows Event Logs auf ungewöhnliche Prozessaufruf-Ketten (z. B.
w3wp.exespawnt PowerShell, cmd.exe oder certutil) - Prüfung der MachineKey-Konfiguration in web.config auf Veränderungen
- SIEM-Abfragen auf laterale Bewegungen vom SharePoint-Server aus
Eye Security und andere Anbieter haben IoC-Listen veröffentlicht, die als Grundlage dienen sollten. Das BSI-Advisory enthält ebenfalls Hinweise auf weiterführende Quellen.
4. Netzwerkseitige Abschirmung als Übergangsmassnahme
Sofern Patches nicht sofort eingespielt werden können (z. B. aufgrund notwendiger Testläufe in produktionskritischen Umgebungen), sind unmittelbar kompensierende Maßnahmen zu implementieren:
- Blockieren Sie eingehende Verbindungen zu SharePoint-Servern aus dem Internet, sofern kein geschäftlicher Zwang besteht
- Setzen Sie WAF-Regeln (Web Application Firewall) ein, um bekannte Exploit-Muster zu blockieren — mit dem expliziten Hinweis, dass WAF-Regeln keinen vollständigen Schutz bieten
- Implementieren Sie Netzwerksegmentierung: SharePoint-Server dürfen keine unkontrollierten lateralen Verbindungen in Richtung klinischer Kernsysteme aufbauen können
- Deaktivieren Sie, wo möglich, nicht benötigte SharePoint-Dienste und -Endpunkte
5. EoL-Systeme: Sofortiger Handlungsbedarf
Für SharePoint-Installationen ohne Sicherheitsupdate-Support gibt es keine sichere Betriebsoption mehr. Folgende Maßnahmen sind unverzüglich einzuleiten:
- Kurzfristig: Isolierung des EoL-Systems vom restlichen Netzwerk, sofern der Betrieb nicht sofort eingestellt werden kann
- Mittelfristig: Migrationsplanung zu einer unterstützten SharePoint-Version oder Microsoft 365 (Cloud)
- Dokumentieren Sie das Restrisiko und holen Sie eine formale Risikoakzeptanz der Geschäftsführung ein — dies ist aus Compliance-Sicht (B3S, §391 SGB V) zwingend erforderlich
Checkliste: SharePoint ToolShell — Sofortmassnahmen für ISB
| Massnahme | Priorität | Erledigt |
|---|---|---|
| Inventar aller SharePoint On-Premises-Instanzen erstellen | Kritisch | ☐ |
| Installierte Patch-Stände gegen Notfall-Updates prüfen | Kritisch | ☐ |
| Notfall-Patches für CVE-2025-53770 / CVE-2025-53771 einspielen | Kritisch | ☐ |
| IoC-Analyse auf bestehende Kompromittierung durchführen | Kritisch | ☐ |
| Internetexponierung von SharePoint-Servern prüfen und reduzieren | Hoch | ☐ |
| WAF/Firewall-Regeln als kompensierende Massnahme aktivieren | Hoch | ☐ |
| Netzwerksegmentierung zu klinischen Systemen prüfen | Hoch | ☐ |
| EoL-Instanzen identifizieren und isolieren | Hoch | ☐ |
| SIEM-Alerting auf SharePoint-spezifische Angriffsmuster konfigurieren | Mittel | ☐ |
| Migrationsplan für EoL-Systeme aufsetzen | Mittel | ☐ |
| Vorfall dokumentieren und ggf. BSI-Meldepflicht prüfen (§32 BSIG) | Je nach Status | ☐ |
| Datenschutzbeauftragten bei Datenzugriff informieren (Art. 33 DSGVO) | Je nach Befund | ☐ |
Übergeordnete Lessons Learned: Patch-Management im Krankenhaus
ToolShell illustriert ein strukturelles Problem, das über diesen einzelnen Vorfall hinausgeht: Der reguläre monatliche Patchday reicht bei kritischen Zero-Day-Schwachstellen nicht aus. Für ISB und CISO in Krankenhäusern ergeben sich daraus konkrete strategische Schlussfolgerungen:
Notfall-Patch-Prozess etablieren: Ihr Patch-Management-Prozess muss zwischen dem regulären Patchday-Rhythmus und Out-of-Band-Notfall-Patches differenzieren. Für CVSS ≥ 9.0 mit nachgewiesener aktiver Ausnutzung sollte ein beschleunigter Prozess mit einem Zeitfenster von 24–72 Stunden gelten — nicht der übliche zweiwöchige oder monatliche Zyklus.
EoL-Software systematisch adressieren: Die Tatsache, dass in Deutschland noch immer EoL-Versionen von SharePoint betrieben werden, ist kein Einzelfall, sondern symptomatisch für den Umgang mit Lebenszyklusmanagement in ressourcenknappen Krankenhäusern. Ein Asset-Lifecycle-Register mit expliziten EoL-Daten und Migrationsplänen ist eine Grundanforderung des BSI IT-Grundschutzes und des B3S Krankenhaus.
Internetexponierung reduzieren: SharePoint On-Premises-Instanzen sollten grundsätzlich nicht direkt aus dem Internet erreichbar sein, sofern kein zwingender Bedarf besteht. Wo externer Zugriff notwendig ist, sind VPN