SonicWall Firewall Sicherheitslücke: Ransomware über SSLVPN

Einleitung

Seit Ende Juli 2025 beobachten Sicherheitsforscher von Arctic Wolf und Huntress aktive Ransomware-Angriffe auf SonicWall Gen 7 Firewalls mit aktiviertem SSLVPN-Dienst. Am 4. August 2025 bestätigte SonicWall selbst das erhöhte Angriffsrisiko, und das BSI veröffentlichte am 7. August 2025 eine Cybersicherheitswarnung mit Kritikalität 2. Besonders alarmierend: Angreifer konnten Systeme kompromittieren, die zum Zeitpunkt des Angriffs auf aktuellem Patch-Stand waren und Multi-Faktor-Authentifizierung (MFA) aktiviert hatten. Für Krankenhäuser und andere KRITIS-Betreiber, die SonicWall-Appliances als Perimeter- oder Remote-Access-Lösung einsetzen, besteht unmittelbarer Handlungsbedarf.

Was ist passiert: Angriffsverlauf im Detail

Die Angriffe folgen einem klar strukturierten Muster, das aus den Berichten von Arctic Wolf, Huntress und der BSI-Sicherheitsmitteilung rekonstruierbar ist:

Phase 1 – Initialer Zugriff und Credential-Diebstahl: Angreifer erlangten über den SSLVPN-Dienst auf SonicWall Gen 7 Firewalls initialen Zugriff und entwendeten Zugangsdaten. Wie genau der initiale Zugriff erfolgte, war zunächst unklar – eine Zero-Day-Schwachstelle wurde vermutet.

Phase 2 – Privilegienmissbrauch: Die Täter nutzten über-privilegierte lokale Konten, um administrative Kontrolle zu übernehmen. Neu angelegte Benutzerkonten, etablierte SSH-Verbindungen und zusätzliche Tools sicherten persistenten Zugriff.

Phase 3 – Defense Evasion: Gezielt wurden Sicherheitsfunktionen der Firewall deaktiviert, um eine Erkennung durch Monitoring-Systeme zu erschweren. Dieser Schritt ist aus operativer Sicht besonders kritisch, weil er die Detektionsfähigkeit des SIEM direkt untergräbt.

Phase 4 – Ransomware-Deployment und Lateral Movement: Die Ransomware-Gruppe Akira rollte anschließend Ransomware aus und bewegte sich lateral im Netzwerk. Für Krankenhäuser bedeutet Lateral Movement in diesem Kontext eine direkte Gefährdung klinischer Systeme, KIS und medizintechnischer Infrastruktur.

Ursachenanalyse: CVE-2024-40766 und Migrationsfehler

Das Update der BSI-Warnung (Version 1.1) bringt wichtige Klarheit zur Ursache: Eine neue Zero-Day-Schwachstelle war nach aktuellem Erkenntnisstand nicht ausschlaggebend. Stattdessen identifiziert SonicWall zwei zentrale Ursachen:

CVE-2024-40766: Die bekannte Schwachstelle im Fokus

Die Sicherheitslücke CVE-2024-40766 betrifft die SonicOS-Management-Oberfläche und den SSLVPN-Dienst und ermöglicht unter bestimmten Umständen unauthentisierten Zugriff. Der CVSS-Score dieser Schwachstelle liegt bei 9.3 (kritisch). SonicWall hatte bereits im August 2024 Patches bereitgestellt und explizit vor einer aktiven Ausnutzung gewarnt.

Dass diese Schwachstelle über ein Jahr nach Patch-Veröffentlichung noch erfolgreich ausgenutzt werden konnte, verweist auf ein strukturelles Problem: Patch-Management auf Netzwerkkomponenten wird in vielen Organisationen weniger konsequent betrieben als auf Endpunkten oder Servern. Firewalls gelten als "stabile Infrastruktur" und werden im Patch-Zyklus häufig nachrangig behandelt – ein Trugschluss mit gravierenden Konsequenzen.

Migrationsfehler: Lokale Passwörter nicht geändert

Der zweite, aus Sicht des Risikomanagements noch beunruhigendere Befund: SonicWall stellte fest, dass viele betroffene Systeme eine Migration von Gen 6 auf Gen 7 Firewalls durchlaufen hatten. Entgegen der ausdrücklichen Herstellerempfehlung wurden lokale Benutzerpasswörter nach der Migration nicht geändert. Damit blieben möglicherweise schwache oder bereits kompromittierte Credentials aus der alten Infrastruktur aktiv.

Dieser Befund ist ein klassischer Fall eines Migrations-Residualrisikos: Konfigurationsschulden aus Legacy-Systemen werden in neue Umgebungen übertragen. Für IT-Leiter und ISB bedeutet dies, dass jede Migrationsprojekt-Checkliste explizit Credential-Rotation und Berechtigungsbereinigung umfassen muss.

Warum MFA hier nicht ausreichte

Die Berichte betonen ausdrücklich, dass kompromittierte Systeme MFA aktiviert hatten. Dies darf nicht als Argument gegen MFA missverstanden werden – MFA bleibt eine essenzielle Schutzmaßnahme. Die Angriffe legen jedoch nahe, dass CVE-2024-40766 möglicherweise ermöglicht, den Authentifizierungsprozess teilweise zu umgehen oder Session-Tokens zu missbrauchen. Solange die genaue Angriffskette nicht vollständig publiziert ist, sollte MFA als notwendige, aber nicht hinreichende Maßnahme behandelt werden.

Relevanz für Krankenhäuser: Regulatorische und operative Dimension

KRITIS und §391 SGB V: Meldepflicht beachten

Für Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr gilt seit Oktober 2023 der KRITIS-Status nach BSI-Gesetz. Seit der Umsetzung des NIS2UmsuCG (in Kraft seit März 2025) gelten für KRITIS-Betreiber verschärfte Anforderungen gemäß §30 BSIG (technisch-organisatorische Maßnahmen) und §32 BSIG (Meldepflichten). Eine Kompromittierung durch die beschriebene SonicWall-Schwachstelle mit Auswirkungen auf die Verfügbarkeit oder Integrität kritischer Systeme löst eine Meldepflicht gegenüber dem BSI aus: erhebliche Sicherheitsvorfälle sind binnen 24 Stunden (Frühwarnung) und 72 Stunden (Erstmeldung) zu melden.

Zusätzlich gilt seit 2023 §391 SGB V, der Krankenhäuser verpflichtet, nach dem B3S Krankenhaus oder einem gleichwertigen Standard geeignete IT-Sicherheitsmaßnahmen nachzuweisen. Der B3S Krankenhaus fordert explizit ein systematisches Patch-Management sowie die Absicherung von Remote-Access-Lösungen – beides direkt relevant für das beschriebene Angriffsszenario.

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für die Einordnung konkreter Meldepflichten im Einzelfall wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.

BSI Grundschutz: Betroffene Bausteine

Aus BSI-Grundschutz-Perspektive sind insbesondere folgende Bausteine relevant:

  • NET.3.2 Firewall: Anforderungen an sicheren Betrieb, Konfiguration und Patch-Management von Firewalls
  • NET.3.3 VPN: Sichere Konfiguration von VPN-Zugängen, Authentifizierung und Zugriffssteuerung
  • OPS.1.1.3 Patch- und Änderungsmanagement: Priorisierung kritischer Sicherheitsupdates auf Netzwerkkomponenten
  • ORP.4 Identitäts- und Berechtigungsmanagement: Anforderung zur regelmäßigen Überprüfung und Rotation von Zugangsdaten

Sofortmaßnahmen und Härtungsempfehlungen

Folgende Maßnahmen sollten priorisiert umgesetzt werden. Die Dringlichkeit orientiert sich an der aktiven Ausnutzung im Feld.

Sofortmaßnahmen (innerhalb 24–48 Stunden)

  • Patch-Status prüfen: Verifizieren Sie, ob CVE-2024-40766 auf allen SonicWall Gen 7 Systemen gepatcht ist. Der erforderliche Patch wurde mit SonicOS 7.1.1-7058 und höher bereitgestellt.
  • SSLVPN-Exposure reduzieren: Falls SSLVPN nicht zwingend erforderlich ist, Management-Zugriff und SSLVPN-Dienst auf das notwendige Minimum einschränken oder temporär deaktivieren.
  • Lokale Administrator-Credentials rotieren: Insbesondere auf Systemen, die eine Migration von Gen 6 durchlaufen haben. Alle lokalen Benutzerkonten auf notwendige Berechtigung prüfen.
  • Audit der SSLVPN-Logs: Überprüfung der Authentifizierungslogs auf anomale Login-Muster, unbekannte Quell-IPs, ungewöhnliche Zugriffszeiten und neue Benutzerkonten.

Mittelfristige Härtungsmaßnahmen

  • Über-privilegierte Konten bereinigen: Prinzip der minimalen Rechtevergabe (Least Privilege) auf Firewall-Konten konsequent durchsetzen. Lokale Admin-Konten auf das absolute Minimum reduzieren, Nutzung zentraler IAM-Lösungen prüfen.
  • SSH-Zugriff einschränken: SSH-Zugriff auf Management-Interfaces auf definierte Jump-Hosts oder Management-VLANs beschränken.
  • Sicherheitsfeatures sperren: Konfigurationsseitig sicherstellen, dass kritische Sicherheitsfunktionen nicht durch nicht-privilegierte Rollen deaktiviert werden können.
  • SIEM-Integration validieren: Prüfen, ob Firewall-Logs vollständig an das SIEM übertragen werden und ob Detektionsregeln für die beschriebenen Angriffsmuster (neue Konten, SSH-Zugänge, Deaktivierung von Security-Features) existieren.
  • Netzwerksegmentierung verifizieren: Sicherstellen, dass ein kompromittierter SSLVPN-Endpunkt keinen direkten Zugriff auf klinische Netzwerke, KIS oder medizintechnische Segmente ermöglicht.

Checkliste: Migration Gen 6 → Gen 7

Für alle Organisationen, die eine solche Migration durchgeführt haben oder planen:

  • [ ] Alle lokalen Benutzerpasswörter nach Migration geändert?
  • [ ] Nicht benötigte lokale Konten aus Gen 6 deaktiviert/gelöscht?
  • [ ] Berechtigungskonzept aus Gen 6 auf Gen 7-Anforderungen geprüft und aktualisiert?
  • [ ] Patch-Stand von Gen 7 vor Produktivgang verifiziert?
  • [ ] SSLVPN-Konfiguration nach Migration neu bewertet?
  • [ ] Migrationsprotokoll dokumentiert und durch ISB freigegeben?

Lessons Learned: Strukturelle Schlussfolgerungen

Dieser Vorfall liefert drei übergreifende Lektionen, die über SonicWall hinaus Gültigkeit haben:

1. Netzwerkkomponenten gehören in den Patch-Management-Prozess. Firewalls, Switches und VPN-Konzentratoren sind keine "Fire-and-Forget"-Geräte. Sie müssen im gleichen Rhythmus und mit gleicher Priorität gepatcht werden wie Server und Endpunkte. Der B3S Krankenhaus und BSI Grundschutz (OPS.1.1.3) fordern dies explizit.

2. Migrationsprojekte erzeugen Residualrisiken. Die Übernahme von Konfigurationen aus Legacy-Systemen überträgt auch deren Schwachstellen. Jede Migration muss eine explizite Sicherheitsvalidierungsphase umfassen, die Credential-Rotation, Berechtigungsbereinigung und Konfigurationshärtung beinhaltet.

3. MFA schützt nicht vor allem – Defense-in-Depth bleibt unverzichtbar. Wenn Schwachstellen den Authentifizierungsprozess umgehen können, muss die nächste Verteidigungslinie greifen: Netzwerksegmentierung, die laterale Bewegung erschwert; SIEM-Regeln, die anomales Verhalten erkennen; und Incident-Response-Prozesse, die eine schnelle Eindämmung ermöglichen.

Für eine strukturierte Bestandsaufnahme Ihrer aktuellen Sicherheitslage empfiehlt sich ein initialer Security-Assessment: ismshield.bpcgmbh.com/assessment/

Weitere Hintergrundartikel zu verwandten Themen finden Sie im ISMShield-Wissenszentrum unter ismshield.ai/wissen/.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich