WatchGuard Firebox Sicherheitslücke: CVE-2025-14733 aktiv ausgenutzt

Die WatchGuard Firebox Sicherheitslücke CVE-2025-14733 ist seit dem 18. Dezember 2025 öffentlich bekannt und wird nach BSI-Einschätzung bereits aktiv ausgenutzt. Für Krankenhäuser und Kliniken, die WatchGuard-Firewalls im Einsatz haben, besteht unmittelbarer Handlungsbedarf: Eine nicht authentifizierte Remote Code Execution mit einem CVSS-v4.0-Score von 9,3 ist eine der gefährlichsten Schwachstellenklassen überhaupt. Dieser Artikel fasst zusammen, was bekannt ist, welche Systeme betroffen sind und welche Sofortmaßnahmen IT-Sicherheitsverantwortliche in Gesundheitseinrichtungen jetzt ergreifen müssen.

Was ist passiert: Die Schwachstelle im Überblick

Am 18. Dezember 2025 veröffentlichte WatchGuard ein Security Advisory zu einer kritischen Zero-Day-Schwachstelle in der Firewall-Familie Firebox mit WatchGuard Fireware OS. Das BSI stufte die Schwachstelle am 19. Dezember 2025 mit der Kritikalitätsstufe 2 (von 4, entspricht „hoch/kritisch") ein und veröffentlichte eine eigene Sicherheitsmitteilung.

Die technischen Fakten auf einen Blick:

Merkmal Details
CVE-Kennung CVE-2025-14733
CVSS-Score 9,3 / 10 (CVSS v4.0, kritisch)
Betroffene Systeme WatchGuard Firebox mit Fireware OS
Angriffsvektor Remote, netzwerkbasiert
Authentifizierung Keine erforderlich
Auswirkung Remote Code Execution (RCE)
Exploitation-Status Aktiv ausgenutzt (In-the-Wild)

Die Schwachstelle liegt im iked-Prozess des Fireware-Betriebssystems. Dieser Prozess ist für die Verwaltung von IKEv2-Verbindungen bei VPNs zuständig. Ein nicht authentifizierter Angreifer kann durch speziell präparierte Pakete an den IKEv2-Dienst Code auf dem Gerät ausführen — ohne vorherige Anmeldung, ohne Benutzerinteraktion, direkt aus dem Netz.

Das bedeutet konkret: Wer eine WatchGuard Firebox mit erreichbarem IKEv2/VPN-Dienst betreibt, ist potenziell kompromittierbar. Bei Krankenhäusern, die Remote-Zugriffe für Telemedizin, externe Dienstleister oder Heimarbeitsplätze über WatchGuard-VPNs abwickeln, ist die Angriffsfläche entsprechend groß.

Warum Krankenhäuser besonders im Fokus stehen

Gesundheitseinrichtungen sind seit Jahren bevorzugte Ziele von Ransomware-Gruppen und staatlich gesteuerten Akteuren. Firewalls sind dabei häufig der erste Angriffsvektor — nicht trotz, sondern wegen ihrer Rolle als Perimeter-Schutz: Sie sind per Definition aus dem Internet erreichbar, verwalten VPN-Zugänge und sind oft der einzige Übergang zwischen klinischem Netz und Außenwelt.

Eine RCE-Schwachstelle in der Firewall selbst ist besonders gravierend, weil:

  • Die Firewall die erste Verteidigungslinie ist — fällt sie, sind nachgelagerte Netzwerksegmente direkt exponiert.
  • VPN-Gateways oft auf Firewalls laufen — ein kompromittiertes Gerät ermöglicht Man-in-the-Middle-Angriffe auf verschlüsselte Verbindungen.
  • Firewalls selten durch andere Security-Tools überwacht werden — SIEM und EDR erfassen Firewall-Prozesse häufig nicht oder nur eingeschränkt.
  • Patch-Zyklen im Krankenhaus oft länger sind — Wartungsfenster, 24/7-Betrieb und kritische Abhängigkeiten verzögern Updates.

Für Einrichtungen, die unter §391 SGB V als KRITIS-Krankenhaus eingestuft sind oder die NIS2-Pflichten gemäß NIS2UmsuCG unterliegen, kommt eine weitere Dimension hinzu: die Meldepflicht bei Sicherheitsvorfällen.

Regulatorische Einordnung: Meldepflichten und Nachweispflichten

NIS2 und NIS2UmsuCG

Seit dem NIS2UmsuCG (Umsetzungsgesetz zur NIS2-Richtlinie) gelten verschärfte Pflichten für Betreiber wesentlicher und wichtiger Einrichtungen im Gesundheitssektor. Krankenhäuser ab bestimmten Schwellenwerten fallen als wesentliche Einrichtungen in den Anwendungsbereich.

Relevant für CVE-2025-14733:

  • §32 BSIG (Meldepflichten): Erhebliche Sicherheitsvorfälle sind dem BSI zu melden — binnen 24 Stunden eine Erstmeldung, binnen 72 Stunden ein vollständiger Bericht. Sollte Ihre Firebox kompromittiert worden sein oder konkrete Anhaltspunkte für eine Kompromittierung vorliegen, löst das die Meldepflicht aus.
  • §30 BSIG (Technische Maßnahmen): Betreiber sind verpflichtet, geeignete und verhältnismäßige technische Maßnahmen zum Schutz ihrer Netze zu treffen. Das Einspielen verfügbarer Patches für kritische Schwachstellen zählt zum Mindeststandard.

§391 SGB V und B3S Krankenhaus

Für Krankenhäuser, die als KRITIS eingestuft sind, gilt §391 SGB V: Sie müssen den aktuellen Stand der Technik in der Informationssicherheit einhalten und dies alle zwei Jahre durch Audits nachweisen. Das BSI-Branchenspezifische Sicherheitsstandard (B3S) für Krankenhäuser konkretisiert diese Anforderungen. Patch-Management für kritische Systeme und die zeitnahe Reaktion auf bekannte Schwachstellen sind dort explizit gefordert.

Praktischer Hinweis: Dokumentieren Sie bereits jetzt, wann Sie von der Schwachstelle erfahren haben, welche Systeme betroffen sind und welche Maßnahmen Sie wann ergriffen haben. Diese Dokumentation ist Bestandteil des Nachweises gegenüber Aufsichtsbehörden und im Rahmen von ISMS-Audits nach ISO 27001/BSI-Grundschutz.

Für rechtliche Beratung zu Meldepflichten und Haftungsfragen wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.

Sofortmaßnahmen: Was jetzt zu tun ist

Die folgende Maßnahmenreihenfolge richtet sich an IT-Sicherheitsverantwortliche, die WatchGuard Firebox-Systeme betreiben. Handeln Sie nach dem Prinzip Identifizieren → Isolieren → Patchen → Untersuchen → Dokumentieren.

1. Bestandsaufnahme: Welche Systeme sind betroffen?

  • Inventarisieren Sie alle WatchGuard Firebox-Geräte im Netz (inkl. Außenstellen, MVZ, angeschlossene Einrichtungen).
  • Identifizieren Sie die eingesetzten Firmware-Versionen.
  • Prüfen Sie, ob der IKEv2-Dienst aus dem Internet erreichbar ist (Standard bei Site-to-Site-VPN und Remote-Access-VPN).

2. Sofortmilderung: Angriffsfläche reduzieren

Falls ein sofortiger Patch nicht möglich ist:

  • IKEv2 auf Firebox-Geräten deaktivieren, sofern nicht betriebsnotwendig. Prüfen Sie, ob IKEv1 oder SSL-VPN als Übergangs-Workaround genutzt werden kann (beachten Sie dabei die jeweiligen Sicherheitseigenschaften).
  • Zugriff auf UDP-Port 500 und 4500 (IKEv2-Standardports) aus dem Internet einschränken oder auf bekannte IP-Bereiche limitieren, sofern dies betrieblich darstellbar ist.
  • Management-Interface der Firebox nicht aus dem Internet erreichbar halten (falls noch nicht umgesetzt).

3. Patchen: Firmware-Update sofort einspielen

WatchGuard hat mit dem Advisory ein Update bereitgestellt. Prüfen Sie das offizielle WatchGuard-Advisory auf die gepatchte Firmware-Version und spielen Sie das Update mit höchster Priorität ein. Planen Sie bei Bedarf ein Notfall-Wartungsfenster — die Risikoabwägung ist angesichts eines aktiv ausgenutzten CVSS-9.3-Fehlers eindeutig.

  • Laden Sie Firmware ausschließlich aus offiziellen WatchGuard-Quellen herunter.
  • Prüfen Sie Hashwerte der Firmware vor dem Einspielen.
  • Dokumentieren Sie den Patch-Zeitpunkt und die Firmware-Version nach dem Update.

4. Kompromittierungsanalyse: Indicators of Compromise prüfen

Da die Schwachstelle bereits aktiv ausgenutzt wird, reicht Patchen allein nicht aus. Prüfen Sie aktiv, ob Ihre Geräte bereits kompromittiert wurden:

  • Logs der Firebox auswerten: Achten Sie auf ungewöhnliche iked-Prozessaktivitäten, unbekannte Verbindungen, Konfigurationsänderungen ohne dokumentierten Change-Prozess.
  • Netzwerk-Traffic analysieren: Auffällige ausgehende Verbindungen aus dem Firewall-Segment, ungewöhnliche DNS-Anfragen, Beaconing-Muster.
  • SIEM-Korrelation: Falls WatchGuard-Logs in Ihr SIEM integriert sind, erstellen Sie Regeln für Anomalien im IKE-Dienst und für nicht autorisierte Admin-Zugriffe.
  • WatchGuard Threat Detection nutzen: WatchGuard bietet eigene Security-Services — prüfen Sie, ob diese aktiviert sind und entsprechende Alerts vorliegen.

Sollten Sie Hinweise auf eine Kompromittierung finden, aktivieren Sie Ihren Incident-Response-Plan und ziehen Sie ggf. externe Forensik-Unterstützung hinzu.

5. Dokumentation für Compliance und Audit

Halten Sie schriftlich fest:

  • Datum und Uhrzeit der Kenntnisnahme der Schwachstelle
  • Ergebnis der Bestandsaufnahme (welche Geräte, welche Versionen)
  • Ergriffene Sofortmaßnahmen mit Zeitstempel
  • Patch-Durchführung (wer, wann, welche Version)
  • Ergebnis der Kompromittierungsanalyse
  • Ggf. Meldung an das BSI (sofern Vorfall vorliegt)

Diese Dokumentation ist Bestandteil Ihres ISMS und wird bei Audits nach §391 SGB V, B3S oder ISO 27001 relevant.

Checkliste: WatchGuard CVE-2025-14733 im Krankenhaus

□ Alle Firebox-Geräte inventarisiert (inkl. Außenstellen)
□ Betroffene Firmware-Versionen identifiziert
□ IKEv2-Erreichbarkeit aus Internet geprüft
□ Sofortmaßnahme zur Angriffsflächen-Reduktion umgesetzt
□ Offizielles WatchGuard-Patch-Advisory geprüft
□ Firmware-Update eingespielt und dokumentiert
□ Firewall-Logs auf Kompromittierung untersucht
□ SIEM-Regeln für IoC-Erkennung erstellt
□ Incident-Response-Plan bei Verdacht aktiviert
□ BSI-Meldepflicht geprüft (§32 BSIG, NIS2UmsuCG)
□ Gesamten Vorgang dokumentiert (ISMS-konform)
□ Lessons Learned in Patch-Management-Prozess integriert

Einordnung: Zero-Days an Netzwerkgrenzen als Muster

CVE-2025-14733 ist kein Einzelfall. Die aktive Ausnutzung von VPN- und Firewall-Schwachstellen durch Angreifer — oft Ransomware-Gruppen oder staatlich gesteuerte Akteure — zieht sich als rotes Muster durch die Bedrohungslage der letzten Jahre. Ivanti, Cisco, Palo Alto, Fortinet und nun erneut WatchGuard: Die Netzwerkperimeter von Organisationen, die aus dem Internet erreichbar sein müssen, sind ein bevorzugtes Angriffsziel.

Für Krankenhäuser ergibt sich daraus eine strukturelle Konsequenz: Patch-Management für Netzwerkgeräte muss dieselbe Priorität und denselbe Prozessreife haben wie Server-Patching. Zu häufig werden Firewalls als „gesetzt" behandelt und über Monate nicht aktualisiert. Zero-Days wie CVE-2025-14733 zeigen, dass dies ein inakzeptables Risiko ist.

Ergänzend empfiehlt sich eine Defense-in-Depth-Strategie: Die Firewall ist nicht die einzige Schutzschicht. Netzwerksegmentierung, Zero-Trust-Ansätze für Remote-Zugriffe, MFA auf allen Zugangssystemen und kontinuierliches Monitoring über SIEM reduzieren den Schaden, selbst wenn ein Perimeter-Gerät kompromittiert wird.

Wenn Sie Ihren aktuellen Sicherheitsstatus und Ihre Patch-Management-Prozesse systematisch bewerten möchten, kann ein strukturiertes Assessment helfen, blinde Flecken sichtbar zu machen: ismshield.bpcgmbh.com/assessment/

Weitere Fachbeiträge zu Schwachstellen-Management, Incident Response und ISMS im Krankenhaus finden Sie im ISMShield Wissenszentrum.

  • **BSI Sicherheitsmitteilung CVE
Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich