Windows OLE Sicherheitslücke: CVE-2025-21298 sofort patchen

Die Windows OLE Sicherheitslücke CVE-2025-21298 ist eine der kritischsten Schwachstellen des Januar-Patchdays 2025 – und sie betrifft nahezu jede Windows-Infrastruktur im Krankenhaus. Besonders brisant: Für eine erfolgreiche Kompromittierung genügt es, dass ein Nutzer eine manipulierte E-Mail in Outlook öffnet oder die Voransicht aktiviert. Für Krankenhäuser und Kliniken, in denen Outlook als zentrales Kommunikationsmittel im klinischen Alltag gesetzt ist, ergibt sich damit eine unmittelbare Angriffsfläche. Dieser Artikel ordnet die Schwachstelle technisch ein, beschreibt die Auswirkungen für das Gesundheitswesen und zeigt, welche Maßnahmen Priorität haben.

Was ist CVE-2025-21298 – und warum ist Windows OLE kritisch?

Das BSI hat die Schwachstelle CVE-2025-21298 mit Kritikalität 2 (auf einer Skala von 1–4, wobei 1 die höchste Priorität darstellt) eingestuft und am 14. Januar 2025 eine Cybersicherheitswarnung veröffentlicht. Die Grundlage bildet der monatliche Microsoft-Patchday vom selben Tag.

Windows Object Linking and Embedding (OLE) ist eine Kerntechnologie in Windows und der gesamten Microsoft-Office-Produktfamilie. OLE ermöglicht es Anwendungen, Inhalte aus anderen Applikationen einzubetten und zu verknüpfen – beispielsweise eine Excel-Tabelle innerhalb eines Word-Dokuments oder ein eingebettetes Objekt innerhalb einer Outlook-E-Mail. Die Technologie ist tief im Windows-Betriebssystem verankert und wird nicht nur in Office, sondern auch von zahlreichen Drittanwendungen genutzt, die auf COM/OLE-Schnittstellen aufbauen.

Die Schwachstelle ermöglicht Remote Code Execution (RCE): Ein Angreifer kann durch das Versenden einer speziell präparierten E-Mail beliebigen Code auf dem System des Empfängers ausführen – ohne dass der Nutzer eine Datei aktiv herunterladen oder eine Aktion jenseits des E-Mail-Öffnens durchführen muss. Laut Microsoft-Angaben zum Zeitpunkt der Veröffentlichung reicht es aus, wenn die manipulierte E-Mail im Outlook-Vorschaufenster angezeigt wird. Das ist das klassische Profil einer Zero-Interaction-Schwachstelle, wie sie bei gezielten Angriffen auf kritische Infrastrukturen besonders gerne ausgenutzt wird.

Zum Zeitpunkt der BSI-Warnung (14. Januar 2025) lagen keine bestätigten Exploits in freier Wildbahn vor. Das ändert jedoch nichts an der Dringlichkeit: Erfahrungsgemäß vergehen nach einem öffentlich bekannten Patchday-Disclosure nur wenige Tage bis Wochen, bis funktionierende Exploits öffentlich verfügbar sind oder in Exploit-Kits integriert werden.

Betroffene Systeme: Welche Infrastruktur im Krankenhaus ist betroffen?

Die Schwachstelle betrifft die Windows- und Windows-Server-Produktlinie in ihrer Gesamtheit, soweit keine aktuellen Sicherheitsupdates eingespielt wurden. Konkret bedeutet das für die typische Krankenhausinfrastruktur:

Clients: - Alle Windows-Workstations (Windows 10, Windows 11) mit Microsoft Outlook - Verwaltungs-PCs, Arztarbeitsplätze, Schreibkräfte-Terminals - Thin-Client-Umgebungen, die auf Windows-Remotesitzungen zugreifen

Server: - Windows Server-Systeme (alle unterstützten Versionen), auf denen Exchange Server oder andere OLE-nutzende Dienste betrieben werden - Terminalserver/RDS-Farmen, auf denen Outlook im Mehrbenutzerbetrieb läuft

Besondere Risikolage im Krankenhaus: - KIS-Anbindungen: Viele Krankenhausinformationssysteme (KIS) und klinische Applikationen kommunizieren über COM/OLE-Schnittstellen oder nutzen Office-Integration (z. B. Befundexport nach Word/Excel). Eine kompromittierte Workstation kann lateral in diese Systeme eindringen. - Medizingeräte-Kommunikation: Geräte, die über Windows-basierte Integrationssoftware mit dem KIS kommunizieren, sind indirekt gefährdet, wenn der Kommunikationsrechner betroffen ist. - Exchange-Server on-premises: Viele Krankenhäuser betreiben noch eigene Exchange-Installationen. Ein kompromittierter Exchange-Server hätte fatale Folgen für die gesamte interne Kommunikation.

Risikoeinschätzung unter §391 SGB V und B3S Krankenhaus

Für Krankenhäuser ab 30.000 vollstationären Fällen pro Jahr gelten seit Oktober 2023 die Anforderungen des §391 SGB V in Verbindung mit dem Branchenspezifischen Sicherheitsstandard (B3S) für die Gesundheitsversorgung im Krankenhaus. Beide Regelwerke fordern explizit ein systematisches Schwachstellenmanagement und eine zeitnahe Behebung bekannter Sicherheitslücken in kritischen Systemen.

Unter dem BSI-Grundschutz (konkret: OPS.1.1.3 – Patch- und Änderungsmanagement) ist die zeitnahe Einspielpflicht für sicherheitsrelevante Updates für alle Betreiber kritischer Infrastrukturen klar definiert. Seit dem Inkrafttreten des NIS2UmsuCG (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz) gelten verschärfte Anforderungen für Einrichtungen des Gesundheitswesens, die als wichtige oder besonders wichtige Einrichtungen eingestuft sind. Dazu zählen neben KRITIS-Krankenhäusern zunehmend auch mittelgroße Einrichtungen, die bislang außerhalb der klassischen KRITIS-Schwelle lagen.

Für die Risikobeurteilung gilt: Ein bekannter, öffentlich dokumentierter RCE-Exploit in einem universell eingesetzten Kommunikationssystem (Outlook) mit der Möglichkeit der Vorschau-basierten Ausnutzung ist nach gängiger Risikomatrix als kritisch einzustufen. Sollte es zu einem erfolgreichen Angriff kommen, der auf das Ausnutzen von CVE-2025-21298 zurückzuführen ist, und wurde das verfügbare Sicherheitsupdate nicht zeitnah eingespielt, entsteht eine erhebliche Nachweispflicht gegenüber der BSI-Meldepflicht nach §32 BSIG sowie ggf. gegenüber der zuständigen Aufsichtsbehörde.

Hinweis: Für rechtliche Beratung zu Haftungsfragen und Meldepflichten wenden Sie sich an einen auf IT-Recht spezialisierten Anwalt.

Sofortmaßnahmen: Priorisiertes Vorgehen für IT-Leitung und ISB

Die folgende Maßnahmenreihenfolge orientiert sich an gängiger Incident-Response-Praxis und den Empfehlungen des BSI:

1. Sofort-Workaround (innerhalb von 24 Stunden)

Sofern das Sicherheitsupdate nicht unmittelbar deploybar ist, empfiehlt Microsoft als Workaround die Deaktivierung des RTF-Formats in Outlook. Konkret: Eingehende E-Mails im RTF-Format können so konfiguriert werden, dass sie in Outlook als Nur-Text angezeigt werden. Dies unterbricht den primären Angriffsvektor, schränkt aber die Funktionalität für Nutzer ein.

GPO-basierte Umsetzung: Über Gruppenrichtlinien lässt sich die Outlook-Konfiguration zentral steuern. Die entsprechenden Registry-Schlüssel zur RTF-Deaktivierung sollten über das Active Directory auf alle Outlook-Clients ausgerollt werden. Sprechen Sie dabei auch Terminalserver-Umgebungen gezielt an – hier wird die Gruppenrichtlinie oft übersehen.

2. Patch-Deployment (höchste Priorität, innerhalb von 72 Stunden)

Microsoft hat das Sicherheitsupdate am 14. Januar 2025 veröffentlicht. Es sollte über WSUS, Microsoft Endpoint Configuration Manager (MECM/SCCM) oder das jeweilige Patch-Management-Tool priorisiert ausgerollt werden.

Checkliste Patch-Deployment: - [ ] Patch in der Testumgebung validieren (insbesondere KIS-Kompatibilität prüfen) - [ ] Pilotgruppe definieren (IT-Mitarbeiter, nicht klinische Kern-Workstations) - [ ] Rollout auf alle Clients und Server mit Outlook/OLE-Nutzung - [ ] Windows-Server-Systeme einschließen (nicht nur Clients) - [ ] Patch-Status im Asset-Inventar dokumentieren - [ ] Verifikation durch Vulnerability-Scan nach Deployment

3. Monitoring und Detektionsmaßnahmen

Parallel zum Patching sollten die Detektionsfähigkeiten kurzfristig geschärft werden:

  • SIEM-Regeln: Alerts auf ungewöhnliche Prozessstarts aus dem Outlook-Kontext (z. B. OUTLOOK.EXE spawnt cmd.exe, powershell.exe, wscript.exe oder andere Interpreter) konfigurieren oder verschärfen.
  • EDR-Lösungen: Behavioral-Detection-Regeln für OLE-basierte Code-Ausführung aktivieren, sofern vorhanden.
  • E-Mail-Gateway: Prüfen, ob eingehende E-Mails mit eingebetteten OLE-Objekten gefiltert oder in einer Sandbox analysiert werden können.
  • Netzwerksegmentierung: Sicherstellen, dass klinische Kern-Systeme (KIS, PACS, Medizingerätenetz) durch Firewall-Regeln gegen laterale Bewegung aus dem Office-Netz geschützt sind. Eine saubere Segmentierung limitiert den Blast-Radius im Kompromittierungsfall erheblich.

4. Kommunikation intern

Der ISB sollte die IT-Leitung und ggf. die Krankenhausleitung über die Schwachstelle und die eingeleiteten Maßnahmen informieren. Eine kurze Nutzer-Awareness-Mitteilung – insbesondere der Hinweis, keine unerwarteten E-Mails mit unbekannten Absendern zu öffnen und die Voransicht bei Verdacht zu meiden – ist sinnvoll, obwohl der primäre Schutz technischer Natur sein muss.

Strukturelle Lehren: Patch-Management im Krankenhaus dauerhaft verbessern

CVE-2025-21298 ist kein Einzelfall – Microsoft-Patchdays bringen regelmäßig kritische Schwachstellen in weit verbreiteter Infrastruktur. Für ISB und IT-Leitung im Krankenhaus ergibt sich daraus der Auftrag, das Patch-Management strukturell so aufzustellen, dass kritische Updates innerhalb definierter Fristen deploybar sind.

Häufige Schwachstellen im Krankenhaus-Patchmanagement:

  • Abhängigkeit von KIS-Freigaben: Viele Krankenhäuser können Patches nicht autonom einspielten, sondern benötigen die Freigabe durch den KIS-Hersteller. Hier ist es ratsam, mit Herstellern SLAs für Patch-Freigaben zu vereinbaren und Eskalationspfade für kritische Sicherheitsupdates zu definieren.
  • Fehlende Segmentierung von Test- und Produktivumgebung: Ohne Testumgebung wird aus Vorsicht nicht gepatcht – was die Angriffsfläche langfristig vergrößert.
  • Unvollständiges Asset-Inventar: Systeme, die nicht im Inventar erfasst sind, werden beim Patchzyklus vergessen. Regelmäßige Netzwerk-Scans (z. B. mit Nessus, OpenVAS oder integrierten SIEM-Funktionen) sind hier essenziell.
  • Fehlende Priorisierung: Nicht jeder Patch hat dieselbe Dringlichkeit. Ein risikobasiertes Patch-Management mit definierten SLAs je CVSS-Score (z. B. CVSS ≥ 9.0 → 72 Stunden, CVSS 7.0–8.9 → 7 Tage) schafft Handlungssicherheit für die IT.

Der B3S Krankenhaus fordert explizit ein dokumentiertes Patch-Management-Prozess. Wenn Sie Ihren aktuellen Reifegrad in diesem Bereich überprüfen möchten, bietet das ISMShield Assessment einen strukturierten Einstieg.

Weitere Hintergrundartikel zu technischen Schutzmaßnahmen und ISMS-Themen finden Sie im ISMShield Wissenszentrum.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen