SharePoint Zero-Day Schwachstelle: Notfall-Patch jetzt

Kritische RCE-Lücke CVE-2025-53770 wird aktiv für Ransomware-Angriffe ausgenutzt – auch Krankenhäuser müssen sofort handeln.

Die SharePoint Zero-Day Schwachstelle „ToolShell" hat seit Ende Juli 2025 Sicherheitsteams weltweit in Alarmbereitschaft versetzt. Was zunächst als gepatchtes Problem galt, entpuppte sich schnell als unterschätzte Bedrohung: Angreifer fanden Wege, die im Juli-Patchday veröffentlichten Fixes zu umgehen, und nutzen die Schwachstellen seither aktiv für Ransomware-Deployments aus. Für Krankenhäuser und Gesundheitseinrichtungen, die SharePoint als Intranet, Dokumentenmanagement oder Kollaborationsplattform betreiben, ist das Bedrohungsbild besonders ernst: Ein kompromittierter SharePoint-Server kann als Einstiegspunkt in klinische Systeme dienen und den Betrieb gefährden. Dieser Artikel fasst zusammen, was bekannt ist, welche Sofortmaßnahmen zwingend erforderlich sind und was die Empfehlungen für ein nachhaltiges Patch-Management bedeuten.

Was ist passiert: ToolShell und der Patch-Bypass

Am 19. Juli 2025 veröffentlichte Microsoft ein außerplanmäßiges Security Advisory für Microsoft SharePoint. Auslöser waren beobachtete Angriffe auf Schwachstellen, die eigentlich bereits durch den regulären Juli-Patchday adressiert worden waren. Die ursprünglichen CVEs CVE-2025-49704 und CVE-2025-49706 wurden durch modifizierte Exploit-Techniken neu ausgenutzt – registriert als CVE-2025-53770 bzw. CVE-2025-53771.

Die Lage eskalierte schnell. Das IT-Sicherheitsunternehmen Eye Security machte am selben Tag erste öffentliche Erkenntnisse bekannt und prägte den Namen „ToolShell" für die Angriffskampagne. Das BSI stufte die Schwachstellen mit Kritikalität 3 (von 4) ein und veröffentlichte am 4. August 2025 eine aktualisierte Sicherheitswarnung der Version 1.2.

Die technischen Details im Überblick:

CVE	CVSS	Typ	Beschreibung
CVE-2025-53770	9.8 (kritisch)	RCE	Remote Code Execution ohne Authentifizierung
CVE-2025-53771	6.3 (mittel)	Spoofing	Netzwerkbasierte Spoofing-Angriffe

Die Kombination beider Schwachstellen ist besonders gefährlich: CVE-2025-53770 erlaubt einem nicht authentisierten Angreifer die vollständige Ausführung von Code auf dem Server. CVE-2025-53771 wird ergänzend für Spoofing-Angriffe genutzt, um Authentifizierungsmechanismen zu unterlaufen oder weitere Schritte im Netzwerk zu verschleiern.

Angreifer, die beide Schwachstellen erfolgreich kombinieren, erlangen nach aktuellen Erkenntnissen:

MachineKey-Konfigurationsdetails des betroffenen SharePoint-Servers (diese können für weitere Angriffe auf IIS-basierte Dienste missbraucht werden)
Vollständigen Zugriff auf SharePoint-Inhalte, einschließlich Dateisystemen und interner Konfigurationen
Die Möglichkeit zur Ausführung beliebigen Codes im Kontext des SharePoint-Dienstes

Besonders alarmierend: Das BSI bestätigt, dass in Deutschland noch immer über 80 On-Premise SharePoint-Systeme verwundbar waren (Stand 3. August 2025). Gleichzeitig sind dem BSI veraltete Installationen bekannt, die trotz End-of-Life-Status (EoL) noch betrieben werden und damit keinerlei Sicherheitsupdates mehr erhalten.

Angriffsmuster und Ransomware-Deployments

Die ToolShell-Kampagne ist kein opportunistisches Scanning-Event. Seit den ersten erkannten Angriffen wurden laut BSI koordinierte Angreifergruppierungen beobachtet, die aktiv verschiedene Ransomware-Varianten auf verwundbaren SharePoint-Servern installieren. Das Muster entspricht dem klassischen Vorgehen moderner Ransomware-Akteure:

Initialer Zugriff über CVE-2025-53770 (unauthentizierte RCE, kein Benutzerinteraktion erforderlich)
Persistenz und Lateral Movement unter Nutzung der erbeuteten MachineKeys und des vollständigen Dateisystemzugriffs
Reconnaissance auf Basis der SharePoint-Inhalte: interne Konfigurationen, Zugangsdaten in Dokumenten, Netzwerkpläne
Ransomware-Deployment auf dem SharePoint-Server und ggf. erreichbaren Netzwerksegmenten

Für Krankenhäuser ergibt sich daraus ein spezifisches Risikoprofil: SharePoint wird in vielen Einrichtungen als zentrales Dokumentenmanagementsystem für klinische Leitlinien, Verfahrensanweisungen und administrative Prozesse genutzt. Ein verschlüsselter oder kompromittierter SharePoint-Server unterbricht nicht nur die Kommunikation – er kann als Sprungbrett in medizinisch kritische Systeme dienen, sofern keine konsequente Netzwerksegmentierung vorhanden ist.

Sofortmaßnahmen: Was jetzt zwingend erforderlich ist

Das BSI ist in seiner Warnung eindeutig: Die im Juli veröffentlichten Sicherheitsupdates reichen nicht aus. Die Notfall-Patches müssen installiert werden. Hier ist die priorisierte Handlungsliste für IT-Leitung und ISB:

1. Betroffene SharePoint-Versionen identifizieren

Die ToolShell-Schwachstellen betreffen Microsoft SharePoint On-Premise-Installationen. Microsoft hat in der Folge Patches auch für SharePoint Enterprise Server 2016 nachgereicht. Prüfen Sie unverzüglich:

Welche SharePoint-Versionen sind im Haus im Einsatz?
Sind diese On-Premise oder über SharePoint Online (Microsoft 365) betrieben? (Bei SharePoint Online übernimmt Microsoft das Patching – diese Systeme sind nicht betroffen)
Welcher Patch-Stand liegt aktuell vor?
Existieren End-of-Life-Installationen (z. B. SharePoint 2013 oder älter)?

2. Notfall-Patches unverzüglich einspielen

Installieren Sie die von Microsoft bereitgestellten Notfall-Updates für alle betroffenen SharePoint On-Premise-Installationen. Der reguläre Juli-Patchday reicht nicht aus – die Notfall-Patches adressieren explizit den Patch-Bypass über CVE-2025-53770 und CVE-2025-53771.

Referenz: Microsoft Security Update Guide

3. Systeme auf Kompromittierung prüfen

Bevor oder parallel zum Patching sollten Sie prüfen, ob eine Kompromittierung bereits stattgefunden hat:

Analyse der IIS-Logs auf ungewöhnliche POST-Requests und unbekannte User-Agents
Event Logs des SharePoint-Servers auf unbekannte Prozessausführungen, PowerShell-Aktivitäten und ungewöhnliche Dienststarts prüfen
MachineKey-Konfigurationsdateien auf unbefugten Zugriff oder Exfiltration prüfen (web.config, applicationHost.config)
SIEM-Korrelationen auf Lateral-Movement-Indikatoren aus dem SharePoint-Netzwerksegment heraus

Das BSI stellt in seiner Warnung Indicators of Compromise (IoC) bereit – diese sollten umgehend in IDS/IPS, SIEM und EDR-Systeme eingepflegt werden.

4. Netzwerkzugang zu SharePoint temporär einschränken

Sofern kein sofortiges Patching möglich ist (z. B. wegen Change-Management-Prozessen oder Testanforderungen), sollten Sie den Internetzugang zu SharePoint-Servern umgehend über Firewall-Regeln einschränken oder den Server vollständig vom Internet isolieren. Intranet-only-Betrieb reduziert die Angriffsfläche erheblich, schützt jedoch nicht vor bereits kompromittierten internen Systemen.

5. End-of-Life-Systeme sofort adressieren

Das BSI weist explizit darauf hin, dass EoL-Versionen ohne verfügbare Sicherheitsupdates eine dauerhaft kritische Gefahr darstellen. Für Einrichtungen unter §391 SGB V sowie als KRITIS-Betreiber eingestufte Krankenhäuser ist der Betrieb nicht gepatchter, EoL-befindlicher Systeme ein unmittelbares Compliance-Risiko. Leiten Sie Migration oder Ablöseprojekte ein und dokumentieren Sie den aktuellen Zustand im Risikoregister.

Rechtliche und regulatorische Einordnung für Krankenhäuser

Die ToolShell-Kampagne trifft Krankenhäuser in einem regulatorisch anspruchsvollen Umfeld:

§391 SGB V verpflichtet Krankenhäuser seit dem 1. Januar 2022 zur Umsetzung eines ISMS auf Basis des B3S Krankenhaus oder einer vergleichbaren anerkannten Norm. Die zugrunde liegenden Anforderungen umfassen explizit Patch-Management und das zeitnahe Schließen bekannter Schwachstellen. Eine nicht behobene kritische RCE-Schwachstelle (CVSS 9.8) über mehrere Wochen hinweg ist gegenüber dem ISMS-Prüfer nur schwer zu begründen.

NIS2 (NIS2UmsuCG), das in Deutschland seit 2025 gilt, erfasst Krankenhäuser als wichtige Einrichtungen im Sektor Gesundheitswesen. §30 BSIG definiert Mindestanforderungen für technische und organisatorische Sicherheitsmaßnahmen, die Schwachstellenmanagement und Patch-Management explizit einschließen. §32 BSIG regelt Meldepflichten: Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (Erstmeldung) gemeldet werden. Ein erfolgreicher Angriff über ToolShell ist als erheblicher Sicherheitsvorfall einzustufen.

DSGVO (Art. 32, Art. 33): Werden durch eine erfolgreiche SharePoint-Kompromittierung personenbezogene Gesundheitsdaten betroffen, besteht innerhalb von 72 Stunden eine Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde.

B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard): Der B3S fordert im Bereich Patch- und Schwachstellenmanagement eine risikobasierte Priorisierung. Schwachstellen mit CVSS ≥ 9.0 auf exponierten Systemen sollten innerhalb von 72 Stunden mit einem Workaround oder einem Patch adressiert werden.

Hinweis: Dieser Artikel dient der technischen und regulatorischen Orientierung. Für rechtliche Bewertungen wenden Sie sich an einen auf IT- und Gesundheitsrecht spezialisierten Anwalt.

Nachhaltige Maßnahmen: Lehren aus ToolShell

Die ToolShell-Kampagne zeigt exemplarisch mehrere strukturelle Schwachstellen, die über den Einzelfall hinausweisen:

Patch-Bypass als neue Normalität: Die Tatsache, dass ein bereits gepatchter CVE durch modifizierte Exploit-Techniken als neuer CVE wieder ausgenutzt wird, unterstreicht, dass einmaliges Patchen nicht ausreicht. Ein kontinuierliches Vulnerability-Management mit regelmäßiger Neubewertung bereits gepatchter Systeme ist erforderlich.

EoL-Systeme als dauerhaftes Strukturrisiko: Der Betrieb von SharePoint-Versionen ohne Sicherheitssupport ist keine Ausnahme, sondern laut BSI eine verbreitete Realität. Krankenhäuser sollten ein vollständiges Asset-Inventar mit Lifecycle-Status aller Systeme führen und EoL-Daten als Pflichtfeld im Risikoregister abbilden.

Netzwerksegmentierung schützt vor Lateral Movement: Ist ein SharePoint-Server kompromittiert, entscheidet die Netzwerkarchitektur darüber, wie weit sich ein Angreifer im Netzwerk bewegen kann. SharePoint-Server sollten in einem dedizierten DMZ- oder Server-Segment betrieben werden, mit strikten Firewall-Regeln gegenüber klinischen Systemen (KIS, RIS, PACS, Medizingerätenetzwerke).

Incident-Response-Readiness: Die Reaktionszeit auf ToolShell wird in vielen Organisationen durch fehlende Prozesse verzögert – nicht durch fehlende technische Fähigkeiten. Ein erprobtes Incident-Response-Playbook für Ransomware-Szenarien und ein klar definierter Eskalationspfad (CISO, IT-Leitung, Geschäftsführung, BSI-Meldung) sind keine Nice-to-haves, sondern regulatorische Anforderung.

Wenn Sie prüfen möchten, wie gut Ihre Einrichtung für solche Szenarien aufgestellt ist, bietet das ISMS-Assessment von ISMShield einen strukturierten Einstieg.

Checkliste: SharePoint ToolShell – Sofortmaßnahmen

[ ] SharePoint-Versionen und Patch-Stand inventarisiert
[ ] EoL-Installationen identifiziert und im Risikoregister erfasst
[ ] Notfall-Patches von Microsoft eingespielt (nicht nur Juli-Patchday)
[ ] IIS-Logs und Event Logs auf Kompromittierungshinweise analysiert
[ ] BSI-IoCs in SIEM, IDS/IPS und EDR eingepflegt
[ ] Netzwerkzugang zu SharePoint-Serv

Kostenlose NIS2-Bestandsaufnahme starten →