SonicWall Sicherheitslücke schließen: CVE-2025-23006

Zero-Day in der SMA 1000 Serie bedroht Krankenhausnetzwerke – Handlungsbedarf jetzt

Am 22. Januar 2025 veröffentlichte SonicWall ein Security Advisory zu einer kritischen Zero-Day-Schwachstelle in der Secure Mobile Access (SMA) 1000 Serie. Mit einem CVSS-Score von 9,8 und aktiver Ausnutzung durch Angreifer gehört CVE-2025-23006 zu den gefährlichsten Schwachstellen des Jahres 2025. Für Krankenhäuser und andere Gesundheitseinrichtungen, die SonicWall-Appliances für den Remote-Zugriff einsetzen, besteht unmittelbarer Handlungsbedarf. Das BSI hat die Schwachstelle in einer Sicherheitsmitteilung mit Kritikalität 2 eingestuft und empfiehlt sofortige Gegenmaßnahmen.

Dieser Artikel erläutert die technischen Details der Schwachstelle, die regulatorischen Implikationen für den Krankenhausbetrieb und gibt konkrete Handlungsempfehlungen für ISB und IT-Leitung.

Was steckt hinter CVE-2025-23006?

CVE-2025-23006 ist eine Pre-Authentication Remote Code Execution (RCE)-Schwachstelle in der Appliance Management Console (AMC) und der Central Management Console (CMC) der SonicWall SMA 1000 Serie. Die technische Ursache liegt in der unsicheren Deserialisierung von nicht vertrauenswürdigen Daten (CWE-502).

Was das in der Praxis bedeutet: Ein Angreifer benötigt keine gültigen Zugangsdaten, um die Schwachstelle auszunutzen. Er kann aus dem Netz heraus – ohne vorherige Authentifizierung – beliebigen Code auf der betroffenen Appliance ausführen. Gelingt dies, hat der Angreifer faktisch die vollständige Kontrolle über das Gateway, das den Remote-Zugriff ins Kliniknetzwerk vermittelt.

Die betroffenen Produkte im Überblick:

Produkt Betroffene Versionen
SonicWall SMA 1000 Serie (Appliance Management Console) vor 12.4.3-02854
SonicWall SMA 1000 Serie (Central Management Console) vor 12.4.3-02854

Nicht betroffen sind die SMA 100 Serie sowie SonicWall Firewalls anderer Produktlinien (NSa, NSsp, NSv). ISB und IT-Leitung sollten dies im Inventar prüfen, bevor vorschnell Entwarnung gegeben wird.

SonicWall selbst gibt in seinem Advisory an, dass CVE-2025-23006 wahrscheinlich bereits aktiv ausgenutzt wird. Das BSI hat dies in seiner Sicherheitsmitteilung (2025-213725-1032) vom 23. Januar 2025 aufgegriffen und empfiehlt dringend, verfügbare Patches unverzüglich einzuspielen.

Warum Krankenhäuser besonders exponiert sind

Krankenhäuser und Kliniken haben in den vergangenen Jahren massiv in Remote-Zugriffslösungen investiert – aus gutem Grund: Telemedizin, Homeoffice für Verwaltung und IT, sowie der externe Zugriff von Ärzten und Pflegepersonal auf klinische Informationssysteme sind heute betriebliche Realität. SonicWall SMA-Appliances gehören dabei zu den verbreiteten Lösungen für gesicherten Remote-Zugriff.

Genau diese Rolle macht die SMA 1000 Serie zu einem attraktiven Ziel für Angreifer: Wer die Management-Konsole kompromittiert, sitzt direkt am Eingang des klinischen Netzwerks. Von dort aus sind Lateral-Movement-Angriffe auf KIS, PACS, Medizingerätenetzwerke und Backup-Systeme möglich – ein klassischer erster Schritt bei Ransomware-Angriffen auf Gesundheitseinrichtungen.

Hinzu kommt die strukturelle Herausforderung vieler Krankenhäuser: Patch-Zyklen für Netzwerkgeräte sind oft länger als in anderen Branchen, weil Wartungsfenster mit dem 24/7-Betrieb und klinischen Abhängigkeiten kollidieren. Genau diese Lücke nutzen Angreifer aus.

Die Schwachstelle ist auch deshalb besonders brisant, weil die AMC und CMC typischerweise aus dem Internet erreichbar sind oder zumindest über exponierte Schnittstellen verfügen – sonst könnten sie ihre Funktion als zentrales Management-Gateway nicht erfüllen. Eine Einschränkung auf interne Netze ist zwar möglich, aber im laufenden Betrieb häufig nicht kurzfristig umsetzbar.

Regulatorische Einordnung: Was bedeutet das für §391 SGB V und NIS2?

Für Krankenhäuser in Deutschland ist CVE-2025-23006 nicht nur ein technisches Problem – sie haben auch regulatorische Pflichten zu beachten.

§391 SGB V und B3S Krankenhaus

Seit dem 1. Januar 2022 sind Krankenhäuser verpflichtet, angemessene Maßnahmen zur IT-Sicherheit umzusetzen und dies gegenüber dem BSI nachzuweisen. Der Branchenspezifische Sicherheitsstandard (B3S) für die medizinische Versorgung im Krankenhaus konkretisiert diese Anforderungen. Im B3S ist das Schwachstellenmanagement explizit adressiert: Kritische Schwachstellen in exponierten Systemen müssen priorisiert und zeitnah behoben werden.

Ein CVSS-Score von 9,8 bei gleichzeitig aktiver Ausnutzung erfüllt jeden erdenklichen Prioritätsrahmen. Wer hier nicht reagiert und es zu einem Sicherheitsvorfall kommt, steht vor der Frage, ob die Anforderungen des B3S eingehalten wurden.

NIS2 und NIS2UmsuCG

Seit dem Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) gelten für Krankenhäuser, die als wichtige oder besonders wichtige Einrichtungen klassifiziert sind, verschärfte Anforderungen. Gemäß §30 BSIG (n.F.) sind geeignete technische und organisatorische Maßnahmen zum Schutz von Netz- und Informationssystemen zu treffen – ausdrücklich einschließlich Schwachstellenmanagement und Patch-Management.

Sollte es zu einem Sicherheitsvorfall kommen, der auf die ungepatchte SonicWall-Schwachstelle zurückzuführen ist, greift die Meldepflicht nach §32 BSIG (n.F.): Erhebliche Sicherheitsvorfälle sind dem BSI innerhalb von 24 Stunden (Erstmeldung) und 72 Stunden (detaillierte Meldung) zu melden. Ein Vorfall, der auf eine bekannte, gepatchte Schwachstelle zurückgeht, die nicht geschlossen wurde, dürfte die Aufsichtsbehörden auf den Plan rufen.

Datenschutz: DSGVO und BDSG

Eine Kompromittierung der SMA-Appliance kann den Zugriff auf personenbezogene Gesundheitsdaten ermöglichen. Damit wird auch die DSGVO relevant: Art. 33 DSGVO verpflichtet Verantwortliche, Datenschutzverletzungen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Art. 32 DSGVO fordert den Stand der Technik bei technischen Schutzmaßnahmen – der nach Veröffentlichung eines Patches nicht mehr eingehalten wird, wenn dieser nicht eingespielt wird.

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für eine rechtliche Einordnung im Einzelfall wenden Sie sich bitte an einen spezialisierten Anwalt für IT-Recht oder Datenschutzrecht.

Sofortmaßnahmen: SonicWall Sicherheitslücke schließen

Die folgende Checkliste richtet sich an ISB und IT-Leitung von Krankenhäusern mit SonicWall-Infrastruktur.

1. Betroffene Systeme identifizieren (heute)

  • Inventar prüfen: Welche SonicWall-Appliances sind im Einsatz?
  • Gezielt auf SMA 1000 Serien (Modelle: SMA 6200, 7200, 8200v, 6210, 7210) prüfen
  • Firmware-Version feststellen: Ist die Version vor 12.4.3-02854 im Einsatz?
  • Ist die AMC oder CMC aus dem Internet erreichbar?

2. Patch einspielen (so schnell wie möglich)

  • SonicWall hat Firmware-Version 12.4.3-02854 als Fix bereitgestellt
  • Update über das offizielle SonicWall-Portal beziehen und Integrität der Firmware prüfen
  • Patch im Notfall-Change-Prozess behandeln – reguläre Wartungsfenster sind hier nicht abzuwarten
  • Nach dem Update: Neustart und Funktionsprüfung des Remote-Access-Dienstes

3. Zugriff auf AMC/CMC einschränken (parallel zum Patchen)

  • Ist ein sofortiger Patch nicht möglich: Management-Konsole aus dem Internet abschneiden
  • Zugriff auf AMC/CMC auf definierte Management-Netze oder VPN-Zugänge beschränken
  • IP-Whitelisting für administrative Zugriffe aktivieren
  • Temporäre Abschaltung der AMC/CMC prüfen, sofern keine kritischen Remote-Access-Abhängigkeiten bestehen

4. Indicators of Compromise (IoC) prüfen

  • Log-Dateien der Appliance auf ungewöhnliche Aktivitäten vor dem Patch-Einspielen sichten
  • Auf unautorisierte Konfigurationsänderungen prüfen
  • Anomalien im Netzwerkverkehr vom/zum SMA-Gerät analysieren
  • Bei Verdacht auf Kompromittierung: Incident-Response-Prozess aktivieren, Gerät isolieren, forensische Sicherung einleiten

5. Meldepflichten prüfen

  • Gibt es Hinweise auf eine erfolgte Kompromittierung? → Meldung an BSI nach §32 BSIG und ggf. Datenschutzbehörde nach Art. 33 DSGVO einleiten
  • Interne Eskalationskette informieren: IT-Leitung, ISB, Geschäftsführung, Datenschutzbeauftragter
  • Dokumentation aller Maßnahmen und Entscheidungen für Nachweispflichten sicherstellen

Strukturelle Lehren für das Patch-Management

CVE-2025-23006 ist kein Einzelfall. SonicWall-Produkte waren bereits in der Vergangenheit Ziel kritischer Schwachstellen – ebenso wie Produkte anderer VPN- und Remote-Access-Hersteller (Ivanti, Citrix, Fortinet). Die Lehre ist immer dieselbe: Netzwerkgeräte am Perimeter sind hochattraktive Angriffsziele und werden gezielt auf bekannte Schwachstellen gescannt, oft innerhalb von Stunden nach Veröffentlichung eines CVEs.

Für Krankenhäuser bedeutet das konkret:

Patch-Management muss Perimeter-Geräte priorisieren. Remote-Access-Gateways, Firewalls und VPN-Konzentratoren sind keine "normalen" Server – sie verdienen einen eigenen, beschleunigten Patch-Prozess mit klaren SLAs. Kritische CVEs (CVSS ≥ 9,0 mit aktiver Ausnutzung) sollten innerhalb von 24–72 Stunden gepatcht werden, nicht im nächsten regulären Wartungsfenster.

Notfall-Change-Prozesse müssen für Security-Patches etabliert sein. Viele Krankenhäuser haben Change-Management-Prozesse, die für reguläre Updates ausgelegt sind. Für sicherheitskritische Patches braucht es einen separaten, schlanken Notfall-Change-Prozess, der schnelle Entscheidungen ermöglicht ohne klinische Risiken zu ignorieren.

BSI-Sicherheitsmitteilungen müssen zeitnah bearbeitet werden. Das BSI veröffentlicht regelmäßig Sicherheitsmitteilungen zu kritischen Schwachstellen. Diese sollten im ISMS als eigener Eingang definiert sein, mit klaren Verantwortlichkeiten für Prüfung und Eskalation.

Segmentierung schützt auch bei Kompromittierung. Wenn eine SMA-Appliance kompromittiert wird, entscheidet die Netzwerksegmentierung darüber, wie weit ein Angreifer ins klinische Netz vordringen kann. Management-Netze, KIS-Segmente und Medizingerätenetzwerke sollten so segmentiert sein, dass ein kompromittiertes Gateway nicht automatisch den gesamten Netzwerkzugriff ermöglicht.

Eine strukturierte Bewertung des eigenen Patch-Management-Reifegrads bietet das ISMShield Assessment – speziell entwickelt für Krankenhäuser und Gesundheitseinrichtungen im DACH-Raum.

Offizielle Quellen zur Schwachstelle: - BSI Sicherheitsmitteilung 2025-213725-1032 (23.01.2025): https://www.bsi.bund.de/SharedDocs/Cybersicherheitswarnungen/DE/2025/2025-213725-1032_csw.html - SonicWall Security Advisory zu CVE-2025-23006: https://psirt.global.sonicwall.com - NVD / NIST CVE-2025-23006: [https://nvd.nist.gov/vuln/detail/CVE-2025-23006](https://nvd.nist.gov/vuln/detail/CVE-2

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich