Webex Sicherheitslücke: Metadaten-Abfluss im Klinikbetrieb

Videokonferenzsysteme sind im Krankenhausbetrieb längst unverzichtbar – für Teambesprechungen, Tumorkonferenzen, Konsile mit externen Spezialisten und Verwaltungsabläufe. Umso ernster wiegt eine Sicherheitslücke in Webex by Cisco, die Sicherheitsforschende im Juni 2024 öffentlich gemacht haben: Die Schwachstelle ermöglichte den Abfluss von Meeting-Metadaten und unter bestimmten Bedingungen den unautorisierten Zugriff auf laufende Konferenzen. Das BSI hat den Vorfall mit Kritikalität 2 eingestuft und eine Cybersicherheitswarnung veröffentlicht. Für Einrichtungen im Gesundheitswesen, die unter §391 SGB V, NIS2 oder dem B3S Krankenhaus reguliert sind, ergeben sich daraus konkrete Handlungspflichten.

Was ist passiert: Die Webex Sicherheitslücke im Detail

Am 10. Juni 2024 veröffentlichte das BSI die Cybersicherheitswarnung 2024-248744-1032 zur Webex Sicherheitslücke im Bereich Metadaten. Grundlage war ein koordiniertes Disclosure-Verfahren: Journalisten und Sicherheitsforschende hatten die Schwachstelle unabhängig entdeckt, Cisco informiert und den Sachverhalt anschließend publiziert. Cisco bestätigte den Befund am 4. Juni 2024 in einem eigenen Advisory.

Technischer Kern der Schwachstelle:

Über eine unsichere API-Schnittstelle ließen sich Metadaten zu Webex-Meetings abrufen – darunter Meeting-IDs, Zeitstempel, teilnehmerbezogene Informationen und weitere strukturelle Konferenzparameter. Durch systematische Enumeration (das iterative Durchprobieren von Meeting-IDs) konnten Angreifer aktive und geplante Meetings identifizieren, ohne dafür authentifiziert zu sein.

Der eigentliche Risikotreiber lag jedoch in der Konfiguration: Meetings ohne Passwortschutz konnten nach erfolgreicher Enumeration direkt betreten werden. Wer also unsichere Konfigurationsstandards im Einsatz hatte, war unmittelbar exponiert – nicht nur für Metadaten-Abfluss, sondern potenziell für unautorisierten Zugriff auf laufende Konferenzinhalte.

Einordnung der BSI-Kritikalität:

Die BSI-Einstufung mit Kritikalität 2 auf einer vierstufigen Skala (1 = niedrig, 4 = kritisch) signalisiert eine mittlere Bedrohungslage. Für den Gesundheitssektor ist diese Einstufung jedoch nicht direkt übertragbar: Der Schutzbedarf medizinischer Kommunikation ist strukturell höher als in anderen Branchen – Vertraulichkeit von Patientendaten, besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und der Betrieb kritischer Infrastrukturen verschieben die Risikobeurteilung erheblich nach oben.

Relevanz für Krankenhäuser: Warum Metadaten unterschätzt werden

Im Klinikalltag werden Webex oder vergleichbare Collaboration-Plattformen für Szenarien eingesetzt, in denen Vertraulichkeit kein optionales Feature ist:

  • Tumorkonferenzen mit Patientenbezug
  • Psychiatrische Fallbesprechungen
  • Konsile mit externen Fachärztinnen
  • CISO- und IT-Security-Runden mit sensiblen Systeminfos
  • Krisenstabs- und Notfallbesprechungen

Metadaten aus solchen Meetings – selbst ohne Inhalte – können erhebliche Informationen transportieren. Wer wann mit wem eine Konferenz abgehalten hat, welche Abteilungen beteiligt waren, wie lange und wie häufig bestimmte Gruppen kommunizieren: Das ist nachrichtendienstlich relevantes Material und im Kontext von gezielten Angriffen wertvolle Reconnaissance-Information.

Datenschutzrechtliche Einordnung:

Metadaten aus Videokonferenzen sind personenbezogene Daten im Sinne der DSGVO. Werden sie durch einen unbefugten Dritten abgerufen, liegt grundsätzlich eine Datenpanne im Sinne von Art. 4 Nr. 12 DSGVO vor. Je nach Kontext – insbesondere wenn aus den Metadaten Rückschlüsse auf Gesundheitszustände, Behandlungsverläufe oder Patientenidentitäten möglich sind – greifen Art. 9 DSGVO (besondere Kategorien personenbezogener Daten) und die verschärften Anforderungen des BDSG.

Die Pflicht zur Meldung an die zuständige Aufsichtsbehörde nach Art. 33 DSGVO (binnen 72 Stunden) und ggf. zur Benachrichtigung Betroffener nach Art. 34 DSGVO ist in solchen Szenarien sorgfältig zu prüfen.

Hinweis: Für eine abschließende rechtliche Bewertung im Einzelfall wenden Sie sich an einen auf Datenschutzrecht spezialisierten Anwalt.

Regulatorische Pflichten: Was Kliniken jetzt konkret schulden

§391 SGB V und B3S Krankenhaus

Krankenhäuser, die als KRITIS-Betreiber eingestuft sind (Schwellenwert: 30.000 vollstationäre Fälle pro Jahr), unterliegen seit 2019 dem B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard). Dieser fordert explizit:

  • ein systematisches Schwachstellenmanagement für eingesetzte IT-Systeme
  • die regelmäßige Überprüfung von Konfigurationsstandards
  • ein dokumentiertes Patch- und Updatemanagement

Die Webex Sicherheitslücke ist ein klassischer Testfall für diese Anforderungen: Haben Sie Webex im Asset-Inventar? Ist die Konfiguration dokumentiert? War die Passwortpflicht für Meetings als Sicherheitsanforderung definiert und überprüft?

Für Häuser, die §391 SGB V ohne KRITIS-Schwellenwert unterliegen (gilt seit dem KHZG-Kontext für alle Krankenhäuser mit entsprechender Förderung), gelten vergleichbare Maßstäbe über die technischen und organisatorischen Maßnahmen gemäß §391 Abs. 1 SGB V i.V.m. dem Stand der Technik.

NIS2 (NIS2UmsuCG, in Kraft seit 2025)

Mit dem NIS2-Umsetzungsgesetz (NIS2UmsuCG), das seit 2025 in Deutschland gilt, sind größere Krankenhäuser als „wichtige Einrichtungen" eingestuft. Das BSIG in seiner aktuellen Fassung schreibt in §30 konkrete Mindestmaßnahmen vor, darunter:

  • Sicherheit in der Lieferkette und bei Dienstleistern (§30 Abs. 2 Nr. 4 BSIG)
  • Maßnahmen zur Zugriffskontrolle (§30 Abs. 2 Nr. 3 BSIG)
  • Schwachstellenmanagement und Patch-Management

Webex ist ein Drittanbieter-Dienst. Die Sicherheitsverantwortung endet nicht an der SaaS-Grenze: Konfiguration, Rollout-Standards und Überprüfung der Sicherheitseinstellungen verbleiben beim Betreiber.

Meldepflichtige Vorfälle sind nach §32 BSIG unverzüglich (innerhalb von 24 Stunden für eine Erstmeldung) an das BSI zu übermitteln, wenn erhebliche Sicherheitsvorfälle vorliegen.

Sofortmaßnahmen und Härtungsempfehlungen

Die folgenden Maßnahmen richten sich unmittelbar an IT-Leitung und ISB in Krankenhäusern, die Webex einsetzen oder eingesetzt haben:

1. Patch-Status verifizieren

Prüfen Sie, ob Ihre Webex-Umgebung (On-Premises-Komponenten wie Webex Meetings Server oder hybride Deployments) auf dem aktuellen Stand ist. Reine Cloud-Nutzer sollten verifizieren, ob Cisco die Schwachstelle serverseitig vollständig geschlossen hat – Cisco hat dies in seinem Advisory vom 4. Juni 2024 grundsätzlich bestätigt, aber die eigene Konfiguration bleibt in Ihrer Verantwortung.

2. Passwortpflicht für alle Meetings erzwingen

Stellen Sie über die administrativen Webex-Richtlinien sicher, dass:

  • alle neuen Meetings automatisch passwortgeschützt sind
  • bestehende Serienkonferenzen nachgezogen werden
  • Meeting-Links nicht ungeschützt in öffentlich zugänglichen Verzeichnissen oder Kalendereinladungen mit externem Zugriff stehen

3. Konfigurationsaudit durchführen

Überprüfen Sie Ihre Webex-Administrationskonsole auf:

  • Gastzugang und anonyme Teilnahmemöglichkeiten
  • Warteraum-Konfiguration (Lobby-Funktion aktiviert?)
  • Meeting-Aufzeichnungsberechtigungen
  • API-Zugriffsrechte und Integrationen

4. Incident-Response-Check

Bewerten Sie retrospektiv: Gab es im Zeitraum vor dem Cisco-Advisory (also vor dem 4. Juni 2024) Auffälligkeiten in Webex-Zugriffslogs? Falls Logging für Webex-API-Zugriffe konfiguriert war, sollten diese Daten gesichtet werden.

5. Datenschutz-Folgenabschätzung prüfen

Falls Webex für Meetings mit Patientenbezug oder besonders schützenswerten Inhalten eingesetzt wird, prüfen Sie, ob eine bestehende DSFA (Datenschutz-Folgenabschätzung nach Art. 35 DSGVO) die aktualisierte Bedrohungslage abdeckt. Bei wesentlichen Änderungen ist die DSFA zu aktualisieren.

Strukturelle Lehre: Collaboration-Tools im Sicherheitsmanagement

Die Webex Sicherheitslücke ist kein Einzelfall – sie ist symptomatisch für eine strukturelle Herausforderung: Collaboration-Tools werden in vielen Einrichtungen als „Commodity-Software" behandelt, nicht als sicherheitskritische Komponente der IT-Infrastruktur.

Was ein reifes ISMS hier fordert:

Ein ISO-27001-konformes oder B3S-orientiertes ISMS sollte Videokonferenzplattformen explizit im Asset-Inventar führen – mit Schutzbedarfsfeststellung, Konfigurationsstandards und zugeordnetem Verantwortlichen. Die BSI-Grundschutz-Bausteine SYS.1.1 (Allgemeiner Server) und APP.1.1 (Webbrowser) sowie der Baustein OPS.1.1.3 (Patch- und Änderungsmanagement) sind als Orientierungsrahmen anwendbar, auch wenn es keinen dedizierten Webex-Baustein gibt.

Supply-Chain-Perspektive:

NIS2 betont explizit die Sicherheit in der Lieferkette. SaaS-Anbieter wie Cisco Webex sind Lieferanten im regulatorischen Sinne. Prüfen Sie, ob Ihre Vertragsgrundlagen mit Cisco hinreichende Regelungen zu Security Advisories, Patching-Fristen und Incident-Notification enthalten. Fehlen diese, ist das ein Befund für Ihr nächstes Lieferanten-Audit.

Awareness als Sicherheitsebene:

Technische Härtung allein reicht nicht. Mitarbeitende, die Webex-Meetings anlegen, müssen wissen, warum Passwortschutz Pflicht ist – nicht optionale Empfehlung. Awareness-Maßnahmen zu sicherer Nutzung von Collaboration-Tools sollten in das jährliche Schulungsprogramm nach §391 SGB V integriert sein.

Wenn Sie wissen möchten, wie gut Ihr Haus bei solchen Konfigurationsfragen aufgestellt ist, bietet das ISMShield Assessment einen strukturierten Einstieg in die Lageeinschätzung.

Checkliste: Webex-Sicherheit im Klinikbetrieb

Maßnahme Priorität Verantwortlich
Patch-Status Webex verifizieren Hoch IT-Betrieb
Passwortpflicht für alle Meetings erzwingen Hoch IT-Admin / ISB
Konfigurationsaudit Webex-Admin-Konsole Hoch IT-Admin
API-Zugriffe und Integrationen prüfen Mittel IT-Admin
Retrospektive Log-Analyse (vor 04.06.2024) Mittel SOC / IT-Betrieb
DSFA auf Aktualität prüfen Mittel DSB
Lieferantenvertrag Cisco auf Security-Klauseln prüfen Mittel ISB / Einkauf
Awareness-Schulung Collaboration-Tools aktualisieren Mittel ISB
Webex ins Asset-Inventar aufnehmen (falls fehlend) Hoch ISB
Meldepflicht-Prüfung (Art. 33 DSGVO / §32 BSIG) Hoch DSB / ISB
Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen