SonicWall Sicherheitslücke kritisch: CVE-2024-40766 im Fokus

Die SonicWall Sicherheitslücke kritisch einzustufen ist keine Übertreibung: CVE-2024-40766 erreicht einen CVSS-Score von 9,3 und ermöglicht unauthentifizierten Zugriff auf sensible Ressourcen in SonicOS-basierten Firewalls. Für Krankenhäuser und Kliniken, die SonicWall-Appliances als Perimeterschutz oder für SSL-VPN-Zugänge einsetzen, besteht akuter Handlungsbedarf. Das BSI hat die Schwachstelle mit Kritikalitätsstufe 2 bewertet und bereits im September 2024 vor aktiver Ausnutzung gewarnt. Wer bis heute noch nicht gepatcht hat, betreibt ein erhebliches Restrisiko – sowohl technisch als auch regulatorisch.

Was steckt hinter CVE-2024-40766?

Am 22. August 2024 veröffentlichte SonicWall ein Security Advisory zu einer schwerwiegenden Schwachstelle in SonicOS, dem Betriebssystem, das in den Firewall-Produktreihen Gen 5, Gen 6 und Gen 7 zum Einsatz kommt. Die Schwachstelle ist unter der Kennung CVE-2024-40766 registriert und wurde mit einem CVSS-v3-Score von 9,3 (kritisch) bewertet.

Der zugrundeliegende Schwachstellentyp ist CWE-284 (Improper Access Control) – eine unsachgemäße Zugriffskontrolle, die es Angreifenden erlaubt, ohne vorherige Authentifizierung auf sensible Systemressourcen zuzugreifen. Konkret betroffen sind zwei Angriffsflächen:

Management-Interface: Das Verwaltungsportal der Firewall ist ohne gültige Credentials erreichbar.
SSLVPN-Zugriff: Remote-Access-Verbindungen über SSL-VPN können kompromittiert werden.

Zusätzlich kann die Schwachstelle unter bestimmten Voraussetzungen zu einem Absturz der Firewall führen – ein Availability-Angriff mit potenziell unmittelbaren Auswirkungen auf den Klinikbetrieb.

Am 6. September 2024 ergänzte SonicWall sein Advisory um einen kritischen Hinweis: Die Schwachstelle wird bereits aktiv ausgenutzt (In-the-Wild-Exploitation). Das BSI übernahm diesen Hinweis in seine Sicherheitsmitteilung und hob damit den Handlungsdruck weiter an.

Betroffene Produkte und Versionen

Die Schwachstelle betrifft eine breite Palette von SonicWall-Produkten. Konkret sind dies zum Zeitpunkt der Erstveröffentlichung folgende Firmware-Linien:

Produktgeneration	Betroffene SonicOS-Versionen
Gen 5 Firewalls	SonicOS 5.9.x und früher
Gen 6 Firewalls	SonicOS 6.5.x und früher
Gen 7 Firewalls (NSv)	SonicOS 7.0.1-5035 und früher

Krankenhäuser, die SonicWall-Geräte als Next-Generation Firewall, VPN-Gateway für Homeoffice-Zugänge oder zur Segmentierung klinischer Netze einsetzen, sollten ihre Asset-Inventur unverzüglich prüfen. Insbesondere ältere Gen-5- und Gen-6-Geräte, die häufig in gewachsenen IT-Infrastrukturen anzutreffen sind, verdienen besondere Aufmerksamkeit.

Hinweis: Die genaue Liste betroffener Modelle und aktueller Patch-Stände entnehmen Sie bitte direkt dem SonicWall Advisory sowie der BSI-Sicherheitsmitteilung 2024-274200-1032. Firmware-Versionsstände können sich seit Erstveröffentlichung geändert haben.

Angriffsszenario: Was können Angreifer konkret tun?

Die Kombination aus unauthentifiziertem Zugriff und aktivem Management-Interface ist für Angreifer besonders attraktiv. Ein typisches Angriffsszenario läuft in mehreren Phasen ab:

Phase 1 – Reconnaissance: Automatisierte Scanner (z. B. über Shodan oder Censys) identifizieren exponierte SonicWall-Management-Interfaces oder SSLVPN-Endpunkte im Internet.

Phase 2 – Initial Access: Über die Schwachstelle CVE-2024-40766 erlangen Angreifer ohne Credentials Zugriff auf administrative Ressourcen. Im SSLVPN-Kontext ist der Aufbau eines authentifizierten Tunnels in das Netzwerk möglich.

Phase 3 – Lateral Movement: Sobald ein Angreifer im internen Netz ist, kann er sich zu medizinischen Systemen, KIS/RIS/PACS-Servern oder Active-Directory-Infrastruktur vorarbeiten.

Phase 4 – Impact: Ransomware-Deployment, Datenexfiltration von Patientendaten (DSGVO-Relevanz), Sabotage medizintechnischer Systeme oder schlicht der DoS-Absturz der Firewall mit Netzwerkausfall.

Für den Krankenhausbetrieb ist besonders Phase 4 kritisch: Ein erzwungener Netzwerkausfall kann unmittelbar zur Beeinträchtigung der Patientenversorgung führen und löst Meldepflichten nach mehreren Rechtsgrundlagen aus.

Regulatorische Einordnung für Krankenhäuser in Deutschland

Für deutsche Krankenhäuser ist die SonicWall Sicherheitslücke kritisch nicht nur aus technischer, sondern auch aus regulatorischer Perspektive zu bewerten. Folgende Rechtsrahmen greifen hier:

NIS2UmsuCG (seit 2025 in Kraft)

Krankenhäuser ab einer bestimmten Größe fallen unter die NIS2-Richtlinie, umgesetzt in Deutschland durch das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), das seit 2025 gilt. § 30 BSIG verpflichtet betroffene Einrichtungen zu angemessenen technischen und organisatorischen Maßnahmen – dazu gehört explizit das zeitnahe Einspielen von Sicherheits-Updates für kritische Komponenten wie Firewalls. § 32 BSIG regelt die Meldepflichten: Erhebliche Sicherheitsvorfälle müssen dem BSI innerhalb von 24 Stunden (Erstmeldung) gemeldet werden.

§ 391 SGB V

Krankenhäuser, die nicht unter KRITIS fallen, unterliegen seit dem Krankenhausversorgungsverbesserungsgesetz (KHVVG) den IT-Sicherheitsanforderungen nach § 391 SGB V. Die dort referenzierte Pflicht zum Betrieb eines ISMS nach dem B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard) schließt ein strukturiertes Schwachstellenmanagement ein. Eine bekannte, öffentlich kommunizierte kritische Schwachstelle ohne zeitnahe Remediation wäre bei einer Prüfung schwer zu rechtfertigen.

B3S Krankenhaus und BSI IT-Grundschutz

Sowohl der B3S Krankenhaus als auch der BSI IT-Grundschutz (insbesondere der Baustein NET.3.2 Firewall) fordern ein dokumentiertes Patch-Management und die regelmäßige Überprüfung von Perimeter-Komponenten auf bekannte Schwachstellen. CVE-2024-40766 ist seit September 2024 öffentlich bekannt und in der NVD gelistet – eine Nichtbehandlung ist dokumentationspflichtig und muss mit einer nachvollziehbaren Risikobegründung versehen werden.

DSGVO und BDSG

Ein erfolgreicher Angriff über CVE-2024-40766, der zu einem Abfluss von Patientendaten führt, löst die 72-Stunden-Meldepflicht nach Art. 33 DSGVO gegenüber der zuständigen Datenschutzaufsichtsbehörde aus. Krankenhäuser verarbeiten besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO – hier gelten erhöhte Sorgfaltspflichten.

Rechtlicher Hinweis: Die obige Darstellung dient der technischen und regulatorischen Orientierung. Für verbindliche rechtliche Einschätzungen zu Meldepflichten und Haftungsfragen wenden Sie sich bitte an einen auf IT-Recht oder Gesundheitsrecht spezialisierten Rechtsanwalt.

Sofortmaßnahmen und Remediation

Das folgende Vorgehen orientiert sich an der BSI-Empfehlung sowie den allgemeinen Best Practices für Schwachstellen mit aktiver Ausnutzung:

1. Inventarisierung (sofort)

Alle SonicWall-Appliances im Asset-Management identifizieren
Firmware-Version jedes Geräts dokumentieren
Prüfen, ob Management-Interface oder SSLVPN aus dem Internet erreichbar ist

2. Patch-Einspielen (höchste Priorität)

SonicWall hat Patches für alle betroffenen Produktgenerationen bereitgestellt. Die aktuellen Firmware-Versionen sind über das SonicWall-Kundenportal verfügbar. Priorisierung:

Gen 7 (NSv): Update auf SonicOS 7.0.1-5035 oder höher
Gen 6: Update auf SonicOS 6.5.4.15-94n oder höher
Gen 5: Update auf SonicOS 5.9.x.x (aktueller Patchstand gemäß Hersteller)

3. Workarounds bei verzögertem Patching

Falls ein sofortiges Patchen aus Verfügbarkeitsgründen (z. B. geplantes Wartungsfenster) nicht möglich ist, empfiehlt SonicWall:

Management-Zugriff auf vertrauenswürdige IP-Adressen beschränken (Allowlist)
SSLVPN-Zugriff temporär deaktivieren, sofern betrieblich vertretbar
Management-Interface nicht aus dem Internet erreichbar machen (Firewall-Regeln, Out-of-Band-Management)

4. Kompromittierungsindikatoren prüfen

Angesichts der bekannten aktiven Ausnutzung seit September 2024 sollten Systeme auf Anzeichen einer Kompromittierung untersucht werden:

SonicWall-Syslogs auf anomale Authentifizierungsversuche und unbekannte Admin-Sessions prüfen
SIEM-Auswertung: Verbindungsaufbau von unbekannten IPs zum Management-Port (Standard: 8443 oder 443)
Prüfung auf unautorisierte Konfigurationsänderungen (VPN-User, Routing-Regeln, NAT-Policies)
Netzwerk-Traffic-Analyse auf ungewöhnliche ausgehende Verbindungen aus dem Firewall-Segment

5. Dokumentation für das ISMS

Schwachstelle im Schwachstellenmanagement-Register erfassen
Durchgeführte Maßnahmen mit Datum und Verantwortlichkeit dokumentieren
Bei Verzögerung: Risikobegründung und kompensierende Maßnahmen schriftlich festhalten
Ggf. Behandlung im nächsten Management-Review oder ISMS-Audit vorbereiten

Strukturelle Lehren für das Krankenhaus-ISMS

CVE-2024-40766 ist kein Einzelfall – es ist ein weiteres Beispiel in einer langen Reihe kritischer Schwachstellen in Netzwerk-Perimeter-Produkten (vergleichbar mit früheren Fällen bei Citrix NetScaler, Fortinet FortiGate oder Pulse Secure). Für ISBs und CISOs im Gesundheitswesen lassen sich daraus strukturelle Konsequenzen ableiten:

Perimeter ist kein Vertrauensanker mehr: Firewalls und VPN-Gateways sind selbst angriffsfähige Systeme. Ein Zero-Trust-Architekturprinzip, das keine implizite Vertrauensstellung für interne Netzwerkzonen annimmt, reduziert den Blast Radius solcher Schwachstellen erheblich.

Patch-SLAs für kritische Netzwerkkomponenten definieren: Im Rahmen des Schwachstellenmanagements sollten Krankenhäuser formale Service Level Agreements für Patch-Zyklen definieren – idealerweise: CVSS ≥ 9,0 mit aktiver Ausnutzung → Patching innerhalb von 48–72 Stunden oder sofortige Kompensationsmaßnahme.

Externe Angriffsfläche kontinuierlich monitoren: Tools wie Shodan-Monitoring oder dedizierte Attack Surface Management (ASM)-Lösungen helfen dabei, exponierte Management-Interfaces frühzeitig zu erkennen, bevor Angreifer dies tun.

SSLVPN-Alternativen evaluieren: Wo es betrieblich möglich ist, sollten Krankenhäuser den Einsatz modernerer Remote-Access-Architekturen (z. B. ZTNA – Zero Trust Network Access) als mittel- bis langfristige Alternative zu klassischen SSL-VPN-Gateways prüfen.

Wenn Sie wissen möchten, wie gut Ihr aktuelles Schwachstellenmanagement und Ihre Patch-Prozesse für solche Szenarien aufgestellt sind, können Sie mit dem ISMShield Assessment eine strukturierte Bestandsaufnahme durchführen. Weitere Artikel zu verwandten Themen wie Netzwerksegmentierung, Incident Response und ISMS-Anforderungen finden Sie im [ISMShield Wissenszent

Kostenlose NIS2-Bestandsaufnahme starten →