Webex Sicherheitslücke: Metadaten-Abfluss im Klinikbetrieb

Videokonferenzen sind aus dem Klinikalltag nicht mehr wegzudenken – Teambesprechungen, Konsile, Lieferantengespräche, Strategiemeetings mit der Geschäftsführung. Cisco Webex gehört dabei zu den meistgenutzten Plattformen im deutschen Gesundheitswesen. Eine im Juni 2024 öffentlich gewordene Sicherheitslücke zeigt jedoch, dass selbst etablierte Enterprise-Tools kritische Schwachstellen enthalten können – mit potenziell schwerwiegenden Folgen gerade für Einrichtungen, in denen sensible Patientendaten und strategische Informationen diskutiert werden. Das BSI hat die Schwachstelle mit Kritikalität 2 bewertet und eine offizielle Sicherheitsmitteilung veröffentlicht.

Was ist passiert: Die Webex Sicherheitslücke im Detail

Am 10. Juni 2024 veröffentlichte das BSI eine Cybersicherheitswarnung zur Webex Sicherheitslücke Metadaten (BSI-Referenz: 2024-248744-1032). Grundlage war eine Entdeckung von Journalisten und Sicherheitsforschenden, die die Schwachstelle zunächst identifizierten, Cisco darüber informierten und den Sachverhalt anschließend publizierten. Cisco bestätigte die Schwachstelle am 4. Juni 2024 in einem eigenen Advisory.

Die Lücke erlaubte es, auf Metadaten laufender und geplanter Webex-Meetings zuzugreifen. Konkret bedeutet das: Angreifer konnten durch Enumeration – also das systematische Durchprobieren von Meeting-IDs – weitere Meetings identifizieren, deren Metadaten auslesen und sich unter bestimmten Umständen unautorisiert einwählen.

Technisch relevant sind dabei zwei Angriffsstufen:

Metadaten-Enumeration: Über die Webex-API oder das Webinterface konnten Meeting-IDs und zugehörige Metadaten (u. a. Titel, Zeitpunkt, Teilnehmerlisten) abgerufen werden, ohne dafür autorisiert zu sein. Dies allein stellt bereits eine Datenschutzverletzung dar.
Unautorisierter Meeting-Zutritt: In Kombination mit Meetings, die nicht durch ein Passwort geschützt waren, konnten sich die Sicherheitsforschenden direkt einwählen. Wer also ein Meeting ohne Passwortschutz betrieb, war bei aktivem Ausnutzen der Enumeration-Schwachstelle potenziell vollständig exponiert.

Die BSI-Einstufung mit Kritikalität 2 bedeutet, dass eine erhöhte Gefährdung besteht – kein CVSS-10-Notfall, aber auch kein Bagatellfall, der ignoriert werden darf.

Warum Krankenhäuser besonders betroffen sind

Für den Klinikbetrieb ist diese Webex Sicherheitslücke aus mehreren Gründen besonders relevant.

Sensible Meeting-Inhalte im Gesundheitswesen

In Webex-Meetings im Krankenhaus werden regelmäßig Informationen besprochen, die weit über „interne Absprachen" hinausgehen:

Patientenbezogene Fallbesprechungen (Tumorboards, Intensivvisiten remote)
Strategische Planungen (M&A, Kooperationen, Personalentscheidungen)
IT-Sicherheitslage (ISMS-Besprechungen, Incident-Response-Koordination)
Lieferantengespräche mit Zugang zu Systeminformationen
Verwaltungs- und Vorstandsrunden mit finanziellen und regulatorischen Inhalten

Allein der Zugriff auf Metadaten – Titel und Zeitpunkt eines Meetings wie „Notfallplan Ransomware Q3 2024" oder „Gespräch Datenschutzbeauftragter DSGVO-Vorfall" – kann für einen Angreifer wertvolle Aufklärungsinformationen liefern. Im Kontext gezielter Angriffe auf Krankenhäuser, wie sie in den letzten Jahren mehrfach in Deutschland dokumentiert wurden, ist das kein abstraktes Szenario.

DSGVO-Relevanz: Datenpanne oder nicht?

Die rechtliche Einordnung ist wichtig: Werden durch die Enumeration Meeting-Teilnehmerlisten mit Namen und ggf. Funktion von Mitarbeitenden abgerufen, handelt es sich um personenbezogene Daten im Sinne der DSGVO (Art. 4 Nr. 1). Ein unautorisierter Zugriff auf solche Daten ist grundsätzlich als Datenpanne gemäß Art. 33 DSGVO zu bewerten.

Ob im konkreten Fall eine Meldepflicht gegenüber der zuständigen Datenschutzaufsichtsbehörde (in Krankenhäusern je nach Bundesland unterschiedlich) besteht, hängt vom tatsächlichen Ausmaß des Zugriffs ab. Die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO läuft ab dem Moment, in dem die verantwortliche Stelle Kenntnis erlangt.

Hinweis: Für die rechtliche Bewertung im Einzelfall wenden Sie sich an einen Datenschutzbeauftragten oder einen auf IT-Recht spezialisierten Anwalt.

KRITIS und §391 SGB V: Meldepflichten im Blick

Für Krankenhäuser, die als KRITIS-Betreiber eingestuft sind (Schwellenwert: ≥ 30.000 vollstationäre Fälle pro Jahr), gelten die Meldepflichten nach § 32 BSIG. Erhebliche Sicherheitsvorfälle müssen dem BSI gemeldet werden. Mit dem NIS2UmsuCG, das seit Oktober 2024 in Deutschland gilt, wurde der Kreis meldepflichtiger Einrichtungen im Gesundheitssektor deutlich erweitert.

Auch wenn die Webex-Schwachstelle primär beim Hersteller lag und von Cisco behoben wurde: Krankenhäuser, in denen ein tatsächlicher unbefugter Zugriff auf Meetings stattgefunden hat, sollten prüfen, ob ein meldepflichtiger Vorfall vorliegt. § 391 SGB V verpflichtet Krankenhäuser zudem generell zu angemessenen technisch-organisatorischen Maßnahmen für die IT-Sicherheit – unzureichende Konfiguration von Kollaborationstools fällt direkt darunter.

Ursachenanalyse: Technik trifft Konfiguration

Die Webex-Schwachstelle ist ein klassisches Beispiel für das Zusammenspiel von Produktschwachstelle und unsicherer Konfiguration – ein Muster, das ISB und CISOs aus zahlreichen anderen Vorfällen kennen.

Ebene 1 – Produktschwachstelle: Die Möglichkeit, Meeting-Metadaten ohne Autorisierung zu enumerieren, ist ein Fehler in der API-Logik von Cisco Webex. Dieser liegt allein beim Hersteller und wurde durch ein Patch/Advisory adressiert.

Ebene 2 – Konfigurationsfehler: Passwortlose Meetings sind in Webex technisch möglich und in der Vergangenheit häufig eingesetzt worden, um Einladungslinks schnell weitergeben zu können. Diese Bequemlichkeit ist das zweite Einfallstor. Ohne Passwortschutz war bei aktiver Ausnutzung der Enumeration ein direkter Zugang möglich.

Ebene 3 – Fehlende Inventarisierung: Viele Einrichtungen wissen nicht, wie ihre Webex-Instanz konfiguriert ist, welche Standardeinstellungen gelten und welche Abteilungen regelmäßig passwortlose Meetings anlegen. Ohne ein aktuelles Asset- und Konfigurationsmanagement für Kollaborationstools bleibt diese Angriffsfläche unsichtbar.

Sofortmaßnahmen und Härtungsempfehlungen

Folgende Maßnahmen sollten ISB und IT-Leitung in Krankenhäusern jetzt umsetzen oder überprüfen:

Kurzfristig (sofort)

Webex-Version prüfen: Stellen Sie sicher, dass Ihre Webex-Installation auf dem aktuellen Patch-Stand ist. Prüfen Sie das Cisco Advisory vom 4. Juni 2024 auf die betroffenen Versionen.
Passwortpflicht aktivieren: Setzen Sie in den Webex-Administrationseinstellungen durch, dass alle Meetings passwortgeschützt sein müssen. Dies kann organisationsweit als Pflichteinstellung erzwungen werden.
Lobbyraum-Funktion aktivieren: Nutzen Sie die Waiting-Room/Lobbyraum-Funktion, sodass Teilnehmer erst nach aktiver Freigabe durch den Host das Meeting betreten können.
Meeting-Aufzeichnungen und Logs prüfen: Sichten Sie, ob in den vergangenen Monaten ungewöhnliche Zugriffsversuche oder unbekannte Teilnehmer in Meetings aufgetaucht sind.

Mittelfristig (innerhalb von 4 Wochen)

Richtlinie für Kollaborationstools erstellen/aktualisieren: Definieren Sie verbindliche Sicherheitsstandards für Webex (und andere Konferenztools wie Teams, Zoom): Passwortpflicht, Lobbyraum, Aufzeichnungsverbote für sensible Runden, Freigabe externer Teilnehmer.
Awareness-Maßnahme: Informieren Sie Meeting-Organisierende in Ihrer Einrichtung über die Schwachstelle und die neuen Anforderungen. Besonders Sekretariate und Abteilungsleitungen, die regelmäßig Meetings anlegen, sollten sensibilisiert werden.
Konfigurationsaudit: Führen Sie ein Audit der Webex-Administrationseinstellungen durch. Prüfen Sie, welche Standardwerte gesetzt sind und ob diese den eigenen Sicherheitsrichtlinien entsprechen.

Langfristig (ISMS-Integration)

Kollaborationstools in Risikoregister aufnehmen: Videokonferenz-Plattformen sind kritische Infrastruktur für den Klinikbetrieb und sollten entsprechend im Risikoregister nach ISO 27001 oder BSI IT-Grundschutz geführt werden.
Patch-Management-Prozess für SaaS-Tools: Für Cloud-gehostete Dienste wie Webex gilt: Patches erfolgen herstellerseitig, aber die Konfiguration liegt beim Betreiber. Etablieren Sie einen Prozess, bei dem BSI-Sicherheitsmitteilungen und Hersteller-Advisories für alle eingesetzten Kollaborationstools regelmäßig gesichtet und bewertet werden.
Lieferantenbewertung: Cisco Webex sollte als kritischer IT-Dienstleister im Rahmen Ihrer Supply-Chain-Sicherheitsstrategie (relevant unter NIS2/NIS2UmsuCG) bewertet und vertraglich eingebunden sein.

Checkliste: Webex-Härtung für Krankenhäuser

Maßnahme	Verantwortlich	Erledigt
Aktuelle Webex-Version verifiziert	IT-Betrieb	☐
Passwortpflicht für alle Meetings aktiviert	IT-Admin / Webex-Admin	☐
Lobbyraum-Funktion organisationsweit aktiviert	IT-Admin	☐
Meeting-Logs auf Anomalien geprüft	IT-Security / ISB	☐
Richtlinie Kollaborationstools aktualisiert	ISB	☐
Mitarbeitende informiert (Awareness)	ISB / Kommunikation	☐
Konfigurationsaudit Webex-Admin durchgeführt	IT-Admin	☐
Risikoregister um Kollaborationstools ergänzt	ISB	☐
DSGVO-Prüfung: Datenpanne meldepflichtig?	DSB	☐
Cisco als Lieferant in Lieferantenbewertung aufgenommen	ISB / Einkauf	☐

Einordnung: Was dieser Vorfall grundsätzlich lehrt

Die Webex Sicherheitslücke ist kein Einzelfall. Sie steht exemplarisch für eine Kategorie von Schwachstellen, die für Krankenhäuser zunehmend relevant wird: Sicherheitslücken in Cloud-basierten Produktivitäts- und Kollaborationstools, die tief in den Arbeitsalltag integriert sind, aber häufig am Rand des formalen ISMS-Scopes liegen.

Anders als ein medizinisches Gerät oder ein Krankenhausinformationssystem (KIS) fällt Webex selten in die erste Reihe der Risikobetrachtung. Das ist ein strukturelles Problem: Die tatsächliche Sensibilität der in diesen Tools besprochenen Informationen steht oft in keinem Verhältnis zur Sorgfalt, mit der die Tools konfiguriert und überwacht werden.

Drei übergeordnete Lektionen:

Konfigurationssicherheit ist Ihre Verantwortung, auch bei SaaS: Herstellerpflicht und Betreiberpflicht sind klar zu trennen. Was Cisco patcht, patcht Cisco. Was Sie konfigurieren müssen, bleibt Ihre Aufgabe.
Metadaten sind schutzbedürftig: Der Inhalt eines Meetings ist nicht die einzige Angriffsfläche. Wer sich trifft, wann, zu welchem Thema – diese Informationen sind für Angreifer im Aufklärungsstadium hochwertig.
BSI-Sicherheitsmitteilungen als Pflichtlektüre: Das BSI informiert zeitnah über relevante Schwachstellen in weit verbreiteten Produkten. Ein strukturierter Prozess zur Auswertung dieser Mitteilungen – mindestens wöchentlich – ist keine Kür, sondern Grundanforderung unter §391 SGB V und NIS2UmsuCG.

Kostenlose NIS2-Bestandsaufnahme starten →