Zimbra Sicherheitslücke CVE-2024-45519: Sofortmaßnahmen

Einleitung

Seit Oktober 2024 wird die kritische Zimbra Sicherheitslücke CVE-2024-45519 aktiv ausgenutzt – mit einem ungewöhnlichen Angriffsvektor: manipulierte E-Mail-Header. Für Krankenhäuser und Kliniken, die Zimbra als Kollaborationslösung für interne Kommunikation oder Patientenkorrespondenz einsetzen, ist das Risiko besonders hoch. Kompromittierte E-Mail-Server öffnen Angreifern Tür und Tor zu klinischen Systemen, KIS-Anbindungen und sensiblen Patientendaten. Dieser Artikel fasst zusammen, was über die Schwachstelle bekannt ist, welche Systeme betroffen sind und welche Maßnahmen IT-Verantwortliche im Gesundheitswesen jetzt umsetzen müssen.

Was ist passiert: Chronologie und Angriffsvektor

Am 1. Oktober 2024 veröffentlichte das IT-Sicherheitsunternehmen Proofpoint einen Bericht über aktiv laufende Angriffe auf Zimbra-Installationen. Im Fokus stand dabei CVE-2024-45519, eine Schwachstelle im Postjournal-Dienst von Zimbra Collaboration. Der Hersteller hatte bereits am 4. September 2024 einen Patch bereitgestellt – zum Zeitpunkt der Angriffswelle waren damit knapp vier Wochen vergangen, ohne dass alle exponierten Systeme aktualisiert worden waren.

Das BSI stufte die Schwachstelle mit Kritikalität 2 ein und veröffentlichte am 2. Oktober 2024 eine entsprechende Cybersicherheitswarnung (BSI-Warnung 2024-282632-1032).

Der Angriffsvektor im Detail:

Die Angreifer versenden präparierte E-Mails an Zimbra-Server. Das Besondere: Der schadhaft Code wird nicht im E-Mail-Body oder als Anhang transportiert, sondern im CC-Feld der E-Mail. Wenn der Zimbra-Server die eingehende Nachricht verarbeitet, wertet der postjournal-Dienst dieses Feld aus – und führt dabei ohne ausreichende Eingabevalidierung den eingeschleusten Code mit den Rechten des Dienstprozesses aus. Dies entspricht dem klassischen Muster einer Remote Code Execution (RCE) ohne vorherige Authentifizierung.

Eine detaillierte technische Analyse von Project Discovery zeigt, dass der Exploit ausschließlich dann greift, wenn die postjournal-Funktion in Zimbra aktiv ist. Diese ist nicht in allen Standardinstallationen aktiviert, wird jedoch in Umgebungen mit Journaling-Anforderungen – beispielsweise für Compliance-Archivierung – häufig eingesetzt, wie sie im Gesundheitswesen durchaus verbreitet ist.

Einordnung in den CVSS-Kontext:

CVE-2024-45519 wurde mit einem CVSS-Score von 9.8 (kritisch) bewertet. Die Kombination aus Netzwerkzugang, fehlendem Authentifizierungserfordernis und hoher Komplexitätsschwelle von nahezu null macht diese Schwachstelle zu einem bevorzugten Ziel für automatisierte Angriffskampagnen.

Warum Krankenhäuser besonders gefährdet sind

Zimbra ist in mittelständischen und öffentlichen Einrichtungen weit verbreitet – gerade im kommunalen und gemeinnützigen Krankenhausbereich wird die Open-Source-Variante oder die Network Edition häufig als kostengünstige Alternative zu Microsoft Exchange eingesetzt. Drei Faktoren erhöhen das Risiko im Gesundheitsbereich strukturell:

1. Patchzyklen unter operativem Druck In Krankenhäusern konkurrieren Wartungsfenster für IT-Systeme mit dem 24/7-Betrieb. Ein E-Mail-Server gilt häufig als kritische Kommunikationsinfrastruktur, bei der selbst kurze Downtimes als inakzeptabel gelten. Die Folge: Patches werden verzögert eingespielt, obwohl das Zeitfenster zwischen Patch-Veröffentlichung (4. September) und Angriffsbeginn (ab Ende September 2024) mit knapp vier Wochen sehr eng war.

2. Journaling-Funktionen für Compliance-Anforderungen Einrichtungen, die unter die Anforderungen der Abgabenordnung (§ 147 AO), des Handelsgesetzbuchs (§ 257 HGB) oder interner Dokumentationspflichten fallen, betreiben häufig aktives E-Mail-Journaling. Genau diese Konfiguration aktiviert den verwundbaren postjournal-Dienst.

3. Exponierte MX-Records und fehlende Netzwerksegmentierung E-Mail-Server müssen per Definition aus dem Internet erreichbar sein. In unzureichend segmentierten Netzwerken – ein bekanntes Defizit in vielen Krankenhäusern laut BSI-Lageberichten – kann ein kompromittierter Mailserver als Sprungbrett in klinische Netzwerksegmente dienen, in denen medizinische Geräte, PACS oder KIS-Systeme betrieben werden.

Im Kontext von § 391 SGB V (IT-Sicherheitsanforderungen für Krankenhäuser) und dem B3S Krankenhaus sind Krankenhäuser ab einer bestimmten Versorgungsstufe verpflichtet, den Stand der Technik für kritische Infrastrukturen zu gewährleisten und erhebliche Sicherheitsvorfälle an das BSI zu melden. Eine erfolgreich ausgenutzte RCE-Schwachstelle auf dem E-Mail-Server erfüllt in den meisten Fällen die Meldeschwelle.

Betroffene Versionen und Patch-Status

Die Schwachstelle CVE-2024-45519 betrifft folgende Zimbra-Versionen:

Version	Betroffen bis	Gefixter Stand
Zimbra 9.0	9.0.0 Patch 41 und älter	Ab Patch 41 (September 2024)
Zimbra 10.0	10.0.9 und älter	Ab 10.0.9 (September 2024)
Zimbra 10.1	10.1.1 und älter	Ab 10.1.1 (September 2024)

Hinweis: Zimbra 8.x hat das End-of-Life überschritten und erhält keine Sicherheits-Updates mehr. Systeme auf Basis von Zimbra 8.x gelten als dauerhaft exponiert und sollten umgehend migriert oder abgelöst werden.

Prüfen Sie Ihre installierte Version über die Zimbra-Admin-Konsole oder via CLI:

zmcontrol -v

Sofortmaßnahmen: Was IT-Verantwortliche jetzt tun müssen

Schritt 1: Patch umgehend einspielen

Der wichtigste Schritt bleibt die Installation des vom Hersteller bereitgestellten Patches (verfügbar seit 4. September 2024). Sollte das Patch-Deployment aufgrund von Change-Management-Prozessen verzögert sein, eskalieren Sie dies als Notfall-Change gemäß Ihrem ISMS.

Schritt 2: postjournal-Dienst prüfen und ggf. deaktivieren

Falls ein sofortiger Patch nicht realisierbar ist, kann als temporäre Mitigationsmaßnahme der postjournal-Dienst deaktiviert werden:

zmprov ms `zmhostname` zimbraPostJournalEnabled FALSE
zmcontrol restart

Wichtig: Prüfen Sie vor der Deaktivierung, ob Journaling-Funktionen für interne Compliance-Anforderungen oder Archivierungsvorgaben aktiv genutzt werden. Stimmen Sie die Deaktivierung mit Ihrer Rechts- und Compliance-Abteilung ab.

Schritt 3: Kompromittierung prüfen – Indicators of Compromise

Analysieren Sie Ihre Zimbra-Logs auf Hinweise einer bereits erfolgten Ausnutzung. Verdächtige Muster im Mail-Log (/opt/zimbra/log/mailbox.log) sind unter anderem:

Ungewöhnliche Prozesse, die vom zimbra-Systembenutzer gestartet wurden
Ausgehende Verbindungen des Zimbra-Prozesses zu externen IPs
Manipulation von Konfigurationsdateien oder Cronjobs im Zimbra-Verzeichnis
Base64-enkodierte Strings in Mail-Headern (CC-Feld) in den SMTP-Logs

Project Discovery hat in ihrer technischen Analyse (siehe Quellenabschnitt) konkrete Payload-Muster veröffentlicht, anhand derer forensische Untersuchungen durchgeführt werden können.

Schritt 4: Netzwerksegmentierung überprüfen

Stellen Sie sicher, dass Ihr Zimbra-Server nicht ohne Filterung mit klinischen Systemen kommunizieren kann. Eingehende SMTP-Verbindungen sollten auf Port 25 auf den Mailserver beschränkt bleiben; interne Weiterleitungen in Richtung KIS, PACS oder Medizingerätenetzwerke müssen über explizit erlaubte Regeln in einer Next-Generation-Firewall oder einem internen Zonenkonzept kontrolliert werden.

Schritt 5: Meldepflichten prüfen

Wenn Sie Anzeichen einer Kompromittierung feststellen oder nicht ausschließen können, dass eine Ausnutzung stattgefunden hat, prüfen Sie folgende Meldepflichten:

BSI (§ 32 BSIG): Meldepflicht für Betreiber kritischer Infrastrukturen und wichtige/wesentliche Einrichtungen nach NIS2UmsuCG bei erheblichen Sicherheitsvorfällen. Krankenhäuser, die unter das NIS2UmsuCG fallen, müssen erhebliche Vorfälle innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (detaillierter Bericht) melden.
Datenschutzbehörde (Art. 33 DSGVO): Bei Verletzung des Schutzes personenbezogener Daten (insbesondere Patientendaten) Meldung an die zuständige Landesbehörde innerhalb von 72 Stunden.
§ 391 SGB V: Krankenhäuser mit entsprechender Einordnung melden erhebliche Störungen an das BSI.

Hinweis: Für die rechtliche Bewertung Ihrer Meldepflichten im konkreten Einzelfall wenden Sie sich an einen auf IT- und Datenschutzrecht spezialisierten Rechtsanwalt.

Lehren für das ISMS: Strukturelle Konsequenzen

Die Zimbra Sicherheitslücke CVE-2024-45519 ist kein isolierter Einzelfall, sondern ein weiteres Beispiel für das strukturelle Problem des verzögerten Patchings bei exponierten Diensten. Folgende ISMS-Prozesse sollten überprüft und angepasst werden:

Vulnerability Management mit SLA-Eskalation Definieren Sie in Ihrem Vulnerability-Management-Prozess klare Patchfristen in Abhängigkeit vom CVSS-Score. Ein empfehlenswerter Rahmen für kritische Infrastrukturen im Gesundheitswesen:

CVSS-Score	Maximale Patchfrist
9.0–10.0 (Kritisch)	72 Stunden (nach Patch-Verfügbarkeit)
7.0–8.9 (Hoch)	7 Tage
4.0–6.9 (Mittel)	30 Tage

Automatisches Monitoring von BSI-Sicherheitsmitteilungen Das BSI veröffentlicht Cybersicherheitswarnungen über mehrere Kanäle: das WID-Portal, den BSI-Newsletter und RSS-Feeds. Integrieren Sie diese Feeds in Ihr SIEM oder Ihr Ticketsystem, damit kritische Warnungen ohne manuelle Prüfprozesse direkt als Incidents angelegt werden.

Notfall-Change-Prozess für Sicherheitspatches Etablieren Sie einen dokumentierten Notfall-Change-Pfad, der es ermöglicht, kritische Sicherheitspatches auch außerhalb regulärer Wartungsfenster einzuspielen. Dieser Prozess sollte im Einklang mit ISO 27001 (Annex A, Maßnahme 8.8 – Management technischer Schwachstellen) und den Anforderungen des B3S Krankenhaus stehen.

Inventarisierung aller exponierten Dienste Ein aktuelles Asset-Inventar aller aus dem Internet erreichbaren Dienste ist Grundvoraussetzung für ein funktionierendes Patch-Management. Im BSI IT-Grundschutz ist dies im Baustein OPS.1.1.3 (Patch- und Änderungsmanagement) verankert.

Checkliste: CVE-2024-45519 – Maßnahmen auf einen Blick

[ ] Zimbra-Version ermitteln (zmcontrol -v)
[ ] Patch auf Zimbra 9.0 Patch 41 / 10.0.9 / 10.1.1 oder höher eingespielt
[ ] Falls kein Patch möglich: postjournal-Dienst deaktiviert und dokumentiert
[ ] Mail-Logs und Systemlogs auf Indicators of Compromise geprüft
[ ] Netzwerksegmentierung zwischen Mailserver und klinischen Systemen verifiziert
[ ] Meldepflichten nach BSIG, DSGVO und SGB V geprüft
[ ] BSI-Sicherheitsmitteilungen in SIEM/Ticketsystem integriert
[ ] Notfall-Change-Prozess für kritische Patches dokumentiert und getestet

Möchten Sie Ihre Zimbra-Umgebung und Ihr Patch-Management bewerten lassen?

Das ISMShield Assessment hilft IT-Verantwortlichen in Krankenhäusern dabei, Lücken im Vulnerability Management und der Netzwerksegmentierung systematisch zu identifizieren – auf Basis des B3S Krankenhaus und BSI IT-Grundschutz. Weitere Informationen finden Sie unter ismshield.bpcgmbh.com/assessment/.