Windows OLE Sicherheitslücke: CVE-2025-21298 im Krankenhaus

Microsoft veröffentlichte am 14. Januar 2025 im Rahmen seines monatlichen Patchdays Details zu einer kritischen Schwachstelle in Windows Object Linking and Embedding (OLE). Die Sicherheitslücke CVE-2025-21298 betrifft die gesamte Windows- und Windows-Server-Produktlinie – und damit potenziell jede klinische IT-Infrastruktur, die auf Microsoft-Technologie setzt. Für Krankenhäuser und andere Gesundheitseinrichtungen ist die Schwachstelle besonders relevant: Outlook gehört zum Standard-Arbeitsplatz, OLE-Objekte sind in klinischen Workflows allgegenwärtig, und die Kombination aus Zero-Click-Angriffspotenzial und kritischer CVSS-Einstufung rechtfertigt eine unmittelbare Priorisierung durch ISB und IT-Leitung.

Was steckt hinter CVE-2025-21298?

Windows OLE ist eine Microsoft-Technologie, die das Einbetten und Verknüpfen von Objekten zwischen Anwendungen ermöglicht – beispielsweise eine Excel-Tabelle in einem Word-Dokument oder ein eingebettetes Bild in einer Outlook-E-Mail. OLE ist tief im Windows-Betriebssystem verankert und wird von zahlreichen Applikationen genutzt, darunter das gesamte Microsoft-Office-Ökosystem.

Die Schwachstelle mit der Kennung CVE-2025-21298 ermöglicht Remote Code Execution (RCE). Das bedeutet: Ein Angreifer kann bei erfolgreicher Ausnutzung beliebigen Code im Kontext des angegriffenen Nutzers ausführen – ohne dass dieser eine Datei aktiv öffnen, ausführen oder einem Link folgen muss. Laut Microsoft reicht es aus, wenn eine speziell präparierte E-Mail in Microsoft Outlook geöffnet oder im Vorschaufenster angezeigt wird.

Dieser Angriffsvektor ist technisch als Zero-Click-Angriff zu klassifizieren. Der Nutzer muss keinerlei aktive Handlung vollziehen; allein das Laden der Vorschau genügt, um den Exploit auszulösen. Das macht CVE-2025-21298 besonders gefährlich – klassische Awareness-Maßnahmen wie die Schulung von Mitarbeitern zum Umgang mit verdächtigen Anhängen greifen hier nicht.

Das BSI stufte die Schwachstelle mit Kritikalität 2 (von 4 Stufen, wobei 1 die höchste ist) ein und empfiehlt eine stark priorisierte Mitigation. Zum Zeitpunkt der Veröffentlichung am 14. Januar 2025 lagen Microsoft keine Berichte über eine aktive Ausnutzung in freier Wildbahn vor. Erfahrungsgemäß ändert sich dieser Status jedoch schnell, sobald Sicherheitsforscher oder Bedrohungsakteure öffentlich verfügbare Details nutzen, um funktionsfähige Exploits zu entwickeln.

Bedrohungslage für Krankenhäuser: Warum diese Schwachstelle besondere Aufmerksamkeit verdient

Klinische Einrichtungen sind aus mehreren Gründen besonders exponiert:

Hohe Outlook-Dichte: Microsoft Outlook ist in deutschen Krankenhäusern der De-facto-Standard für interne und externe Kommunikation. Arztbriefe, Überweisungen, Laborberichte, administrative Korrespondenz – ein erheblicher Teil der täglichen Kommunikation läuft über Outlook-Postfächer. Jeder Arbeitsplatz, der Outlook mit aktivierter Vorschau verwendet, ist potenziell angreifbar.

Breite Angriffsfläche durch OLE: Windows OLE ist nicht auf Outlook beschränkt. Die Technologie ist in Word, Excel, PowerPoint und weiteren Applikationen tief integriert. Klinische Dokumentationssysteme, die OLE-Funktionalitäten nutzen, oder Berichte, die als OLE-eingebettete Objekte weitergegeben werden, erweitern die potenzielle Angriffsfläche über das E-Mail-Postfach hinaus.

Heterogene Patch-Stände: Krankenhäuser betreiben regelmäßig eine Mischung aus aktuellen und älteren Windows-Versionen. Systeme, die an medizinische Geräte gekoppelt sind oder unter MDR-Anforderungen (EU-Medizinprodukteverordnung) stehen, können nicht ohne weiteres gepatcht werden. Systeme mit langen Validierungszyklen oder solche, die von Herstellern explizit zertifizierte Betriebssystemversionen voraussetzen, bleiben möglicherweise über Wochen oder Monate ungepatcht.

Kritische Prozesse: Ein erfolgreicher RCE-Angriff auf ein medizinisches Arbeitsplatzsystem kann den Weg in klinische Netzwerke ebnen. Von dort aus sind lateral movements in Richtung KIS (Krankenhausinformationssystem), PACS (Bildarchivierungssystem) oder OT-Netzwerke (Medizintechnik) möglich – mit potenziell unmittelbaren Auswirkungen auf die Patientenversorgung.

Sofortmaßnahmen: Priorisiertes Patching und kurzfristige Workarounds

Patch einspielen

Microsoft stellt das Sicherheitsupdate für CVE-2025-21298 seit dem 14. Januar 2025 über Windows Update sowie den Microsoft Update Catalog bereit. Die höchste Priorität gilt für:

  • Alle Systeme mit Microsoft Outlook (Desktop-Client, alle Versionen)
  • Alle Windows-Server, die als Mail-Server oder Exchange-Infrastruktur fungieren
  • Alle Windows-Arbeitsplatzsysteme im klinischen und administrativen Umfeld

Für WSUS- und SCCM-gesteuerte Umgebungen empfiehlt sich die Klassifizierung des Updates als kritisch mit sofortiger Deployment-Freigabe außerhalb des regulären Patch-Zyklus. Im Gesundheitswesen bedeutet das konkret: Warten auf den nächsten monatlichen Patchday ist angesichts des Zero-Click-Angriffsvektors keine vertretbare Option.

Workaround: RTF-Vorschau deaktivieren

Microsoft empfiehlt als Workaround – insbesondere für Systeme, die nicht sofort gepatcht werden können – die Deaktivierung der automatischen Vorschau von RTF-Dateien in Outlook. Dieser Workaround reduziert die Angriffsfläche, schließt die Lücke jedoch nicht vollständig.

Die Einstellung kann per Gruppenrichtlinie ausgerollt werden:

Benutzerkonfiguration → Administrative Vorlagen →
Microsoft Outlook → E-Mail-Sicherheit →
"Outlook nicht automatisch im RTF-Format anzeigen" → Aktiviert

Für Umgebungen ohne sofortige Patch-Möglichkeit sollte dieser Workaround unverzüglich ausgerollt werden, kombiniert mit einer erhöhten Überwachung des E-Mail-Traffics.

Outlook-Vorschaufenster organisatorisch einschränken

Als ergänzende Maßnahme kann das Vorschaufenster in Outlook per Richtlinie vollständig deaktiviert werden. Dies schränkt die Usability ein, beseitigt jedoch den Zero-Click-Vektor vollständig. Für besonders exponierte Rollen – beispielsweise Sekretariate, die täglich externe E-Mails empfangen – ist diese Maßnahme eine sinnvolle temporäre Option.

Systeme, die nicht sofort gepatcht werden können: Risikobasierter Umgang

Dies ist das strukturelle Problem im Krankenhaus-Umfeld: Nicht jedes System kann unmittelbar gepatcht werden. Medizinische Geräte, die unter MDR-Anforderungen stehen, oder Softwaresysteme mit expliziten Betriebssystem-Zertifizierungen durch den Hersteller erfordern einen abgestimmten Prozess.

Empfehlungen für ungepatchte Systeme:

  1. Netzwerksegmentierung prüfen: Systeme, die nicht gepatcht werden können, sollten über Firewall-Regeln so isoliert sein, dass ausgehende Verbindungen zu unbekannten Endpunkten unterbunden werden. Lateral Movement aus einem kompromittierten System heraus wird damit erschwert.

  2. Herstellerkommunikation eskalieren: Kontaktieren Sie Hersteller von Medizinprodukten aktiv und fordern Sie eine Einschätzung sowie eine Patch-Freigabe an. Dokumentieren Sie diese Kommunikation für Audit-Zwecke.

  3. Kompensatorische Kontrollen dokumentieren: Halten Sie schriftlich fest, welche Systeme nicht gepatcht werden konnten, warum, und welche Ausgleichsmaßnahmen (Netzwerksegmentierung, Workaround, Monitoring) stattdessen implementiert wurden. Diese Dokumentation ist für §391 SGB V-Audits sowie für NIS2-Nachweise relevant.

  4. SIEM-Alarme schärfen: Richten Sie Erkennungsregeln für anomale Prozesse ein, die aus Outlook oder OLE-assoziierten Prozessen heraus gestartet werden (z. B. outlook.exe als Parent-Prozess für cmd.exe, powershell.exe oder wscript.exe).

Einordnung in den regulatorischen Rahmen

Für Krankenhäuser ab 30.000 vollstationären Fällen jährlich gilt seit Oktober 2024 die aktualisierte Pflicht zur Umsetzung des B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard). Der B3S fordert explizit ein systematisches Schwachstellenmanagement und priorisiertes Patching kritischer Sicherheitslücken. CVE-2025-21298 erfüllt alle Kriterien, die eine Sofortreaktion außerhalb regulärer Patch-Zyklen rechtfertigen.

Mit dem NIS2UmsuCG, das seit März 2025 in Deutschland gilt, wurden die Anforderungen an Risikomanagementmaßnahmen für wesentliche und wichtige Einrichtungen verschärft. Krankenhäuser fallen in der Regel in die Kategorie "wesentliche Einrichtungen". §30 BSIG schreibt unter anderem Maßnahmen zur Vermeidung von Sicherheitsvorfällen vor – dazu gehört explizit das zeitnahe Schließen bekannter kritischer Schwachstellen.

Nach §391 SGB V sind Krankenhäuser verpflichtet, angemessene technische und organisatorische Maßnahmen zur IT-Sicherheit umzusetzen und diese nachzuweisen. Ein dokumentierter Prozess, der zeigt, wie CVE-2025-21298 bewertet, priorisiert und behandelt wurde, ist Teil dieser Nachweispflicht.

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für eine rechtliche Einschätzung Ihrer spezifischen Compliance-Pflichten wenden Sie sich an einen auf IT-Recht und Gesundheitsrecht spezialisierten Rechtsanwalt.

Checkliste: CVE-2025-21298 im Krankenhaus

Maßnahme Priorität Status
Patch MS Januar 2025 auf allen Outlook-Systemen einspielen Kritisch ☐
WSUS/SCCM: Update als kritisch klassifiziert und freigegeben Kritisch ☐
RTF-Vorschau-Workaround per GPO ausgerollt (ungepatchte Systeme) Hoch ☐
Inventar ungepatchter Systeme erstellt und begründet Hoch ☐
Herstellerkommunikation für MDR-Systeme gestartet Hoch ☐
Netzwerksegmentierung für ungepatchte Systeme überprüft Hoch ☐
SIEM-Regeln für OLE/Outlook-basierte Angriffsmuster ergänzt Mittel ☐
Dokumentation für §391 SGB V / NIS2-Nachweise erstellt Mittel ☐
Awareness-Information an Mitarbeitende (sekundäre Maßnahme) Niedrig ☐
Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich