Zyxel Firewall Ransomware: Helldown bedroht Kliniknetze

Seit Herbst 2024 beobachten IT-Sicherheitsforschende eine aktive Angriffswelle, bei der Angreifer Zyxel Firewalls als Einfallstor für Ransomware-Attacken nutzen. Die Schadsoftware „Helldown" verschlüsselt nicht nur Datenträger, sondern exfiltriert vor der Verschlüsselung gezielt Daten – ein Muster, das im Gesundheitswesen besonders schwerwiegende Folgen haben kann. Für Krankenhäuser und Kliniken, die Zyxel-Produkte im Einsatz haben, besteht konkreter Handlungsbedarf. Dieser Artikel fasst zusammen, was bekannt ist, welche Risiken für Gesundheitseinrichtungen bestehen und welche Maßnahmen unmittelbar ergriffen werden sollten.

Was bisher bekannt ist: Die Helldown-Ransomware-Kampagne

Das BSI hat am 22. November 2024 eine Cybersicherheitswarnung (Kritikalität 2) veröffentlicht, in der es die Zyxel Firewall Ransomware-Angriffe durch Helldown dokumentiert. Die ersten Vorfälle wurden bereits im August 2024 beobachtet, eine zweite, größere Angriffswelle folgte im Oktober 2024.

Angriffsmuster: Helldown setzt auf sogenannte Double Extortion. Das bedeutet:

Exfiltration – Sensible Daten werden vor der eigentlichen Verschlüsselung aus dem Netzwerk ausgeleitet.
Verschlüsselung – Die Datenträger im kompromittierten Netzwerk werden verschlüsselt und damit unzugänglich gemacht.
Erpressung – Die Opfer werden mit der Veröffentlichung der gestohlenen Daten bedroht, falls kein Lösegeld gezahlt wird.

Als primärer Angriffsvektor wurden in den meisten untersuchten Fällen Zyxel Firewalls identifiziert. Zyxel hat am 21. November 2024 ein Security Advisory veröffentlicht und bestätigt, dass die ausgenutzte Sicherheitslücke in der Firmware-Version 5.39 (veröffentlicht am 3. September 2024) nicht mehr reproduzierbar ist. Ein öffentlich dokumentierter CVE-Eintrag für diese spezifische Schwachstelle lag zum Zeitpunkt der BSI-Warnung noch nicht vor – was die Einschätzung und das Patching-Management zusätzlich erschwert.

Was noch unklar ist: Die genaue technische Natur der Schwachstelle ist bislang nicht vollständig öffentlich dokumentiert. Es ist nicht bekannt, ob es sich um eine Zero-Day-Lücke handelte oder ob die Schwachstelle einem bekannten CVE zugeordnet werden kann. ISBs und CISOs sollten die BSI-Sicherheitsmitteilungen und die Zyxel-Advisories aktiv weiterverfolgen.

Warum Krankenhäuser besonders im Fokus stehen

Krankenhäuser und Kliniken sind für Ransomware-Angreifer aus mehreren Gründen attraktive Ziele:

Kritikalität der Verfügbarkeit: Patientendaten und medizinische Systeme müssen rund um die Uhr verfügbar sein. Der Druck, Systeme schnell wiederherzustellen, erhöht die Zahlungsbereitschaft bei Lösegeldforderungen.

Sensibilität der Daten: Patientendaten zählen nach Art. 9 DSGVO zur besonderen Kategorie personenbezogener Daten. Ihre Veröffentlichung durch Double-Extortion-Angriffe würde nicht nur Betroffene schädigen, sondern für die Einrichtung weitreichende rechtliche Konsequenzen nach sich ziehen – von der Meldepflicht nach Art. 33/34 DSGVO bis hin zu möglichen Bußgeldern nach BDSG.

Heterogene Netzwerkinfrastruktur: Viele Krankenhäuser betreiben gewachsene IT-Landschaften mit einer Vielzahl von Netzwerkkomponenten unterschiedlicher Hersteller. Zyxel-Produkte sind im mittelständischen und kommunalen Bereich weit verbreitet und finden sich entsprechend auch in Gesundheitseinrichtungen.

Regulatorische Pflichten: Für Krankenhäuser gelten seit dem 1. Januar 2022 verschärfte IT-Sicherheitsanforderungen nach § 391 SGB V. Einrichtungen ab 30.000 vollstationären Fällen pro Jahr müssen nachweisen, dass sie angemessene technische und organisatorische Maßnahmen zur Informationssicherheit umgesetzt haben. Ein erfolgreicher Ransomware-Angriff über eine bekannte – und behebbare – Schwachstelle in einem Perimeter-Gerät würde in einer Prüfung erheblichen Erklärungsbedarf erzeugen. Darüber hinaus gilt seit Oktober 2024 das NIS2UmsuCG: Krankenhäuser fallen als wichtige Einrichtungen im Sinne von NIS2 unter erweiterte Sicherheits- und Meldepflichten. Eine Meldepflicht gegenüber dem BSI besteht gemäß § 32 BSIG bei erheblichen Sicherheitsvorfällen innerhalb von 24 Stunden (Erstmeldung) bzw. 72 Stunden (detaillierte Meldung).

Sofortmaßnahmen: Was jetzt zu tun ist

Wenn Zyxel-Firewalls in Ihrer Einrichtung im Einsatz sind, sollten Sie unmittelbar handeln. Das BSI empfiehlt auf Basis des Zyxel-Advisories folgende Schritte:

1. Firmware sofort auf Version 5.39 oder höher aktualisieren

Dies ist die prioritäre Maßnahme. Zyxel hat bestätigt, dass die in den Angriffen ausgenutzte Schwachstelle in Firmware 5.39 nicht mehr reproduzierbar ist. Betroffene Modelle und der genaue Update-Pfad sind dem Zyxel Security Advisory vom 21. November 2024 zu entnehmen.

Hinweis zum Vorgehen im Klinikbetrieb: Firewall-Updates an Perimeter-Geräten erfordern in der Regel ein Wartungsfenster und eine vorherige Konfigurationssicherung. Koordinieren Sie das Update mit Ihrem Netzwerkteam und, falls relevant, mit dem Hersteller Ihrer medizinischen Informationssysteme (KIS, RIS, PACS), um ungeplante Ausfälle zu vermeiden.

2. Zugangsdaten auf allen betroffenen Geräten ändern

Zyxel gibt explizit an, dass Kunden mit aktueller Firmware und geänderten Zugangsdaten nicht mehr gefährdet sind. Das impliziert, dass kompromittierte oder Standard-Credentials ein wesentlicher Faktor bei den beobachteten Angriffen waren. Ändern Sie:

Administrator-Passwörter der Firewall-Management-Konsole
VPN-Zugangsdaten, sofern die Firewall als VPN-Gateway genutzt wird
Alle weiteren auf dem Gerät konfigurierten Konten

Prüfen Sie außerdem, ob auf den betroffenen Geräten Standardpasswörter aus der Auslieferung noch aktiv sind – ein häufig unterschätztes Risiko in gewachsenen Infrastrukturen.

3. Logs analysieren und Kompromittierung ausschließen

Wenn die Firmware bislang nicht aktuell war, sollten Sie davon ausgehen, dass eine Kompromittierung möglich ist. Prüfen Sie:

Firewall-Logs auf ungewöhnliche Verbindungen, insbesondere ausgehende Verbindungen in unbekannte Netze (potenzielle Exfiltration)
VPN-Logs auf unbekannte Authentifizierungen oder ungewöhnliche Verbindungszeiten
Netzwerk-Logs auf laterale Bewegungen nach einem möglichen initialen Zugriff über die Firewall
EDR-/SIEM-Daten auf Artefakte, die mit Helldown assoziiert werden (IOCs können bei Threat-Intelligence-Diensten oder über das BSI angefragt werden)

Falls Sie kein eigenes SIEM betreiben: Priorisieren Sie die Sichtung der Firewall-Systemlogs manuell. Im Zweifel ziehen Sie einen spezialisierten Incident-Response-Dienstleister hinzu.

4. Netzwerksegmentierung überprüfen

Ein erfolgreicher initialer Zugriff über eine Firewall ist kritisch, wird aber in seiner Wirkung erheblich begrenzt, wenn eine saubere Netzwerksegmentierung vorhanden ist. Prüfen Sie:

Sind klinische Systeme (OT/Medizintechnik) vom allgemeinen IT-Netz getrennt?
Existieren VLAN-Strukturen, die eine laterale Ausbreitung von Ransomware erschweren?
Sind Segmentgrenzen durch Firewallregeln tatsächlich durchgesetzt – oder nur dokumentiert?

Die B3S Krankenhaus (Branchenspezifischer Sicherheitsstandard, aktuelle Version 2023) sowie der BSI IT-Grundschutz (insbesondere Bausteine NET.1.1 Netzarchitektur und NET.3.2 Firewall) geben hier konkrete Anforderungen vor, an denen Sie Ihre bestehende Segmentierung messen können.

Lehren für das ISMS: Patch-Management und Perimeter-Sicherheit

Der Helldown-Vorfall illustriert strukturelle Schwächen, die über den konkreten Zyxel Firewall Ransomware-Fall hinausweisen und im Rahmen des ISMS adressiert werden sollten:

Patch-Management für Netzwerkgeräte oft vernachlässigt

In der Praxis konzentriert sich das Patch-Management vieler Einrichtungen auf Server-Betriebssysteme und Applikationen. Netzwerkgeräte – Firewalls, Switches, Router – werden seltener und weniger systematisch aktualisiert. Dabei sind sie oft direkt aus dem Internet erreichbar und stellen damit exponierte Angriffsflächen dar.

Empfehlung: Integrieren Sie Firmware-Updates für Netzwerkgeräte explizit in Ihren Patch-Management-Prozess. Definieren Sie maximale Patch-Zyklen auch für Perimeter-Geräte (z. B. kritische Patches innerhalb von 72 Stunden, High-Severity innerhalb von 7 Tagen) – analog zu den Anforderungen aus § 30 BSIG für angemessene technische Maßnahmen.

Zero-Day und unbekannte Schwachstellen – was tun?

In diesem Fall ist die genaue Schwachstelle noch nicht vollständig dokumentiert. Das erschwert das klassische CVE-basierte Patch-Management. Für solche Szenarien sollten folgende Kompensationsmaßnahmen vorhanden sein:

Minimierung der exponierten Angriffsfläche: Ist das Management-Interface der Firewall aus dem Internet erreichbar? Wenn nicht zwingend nötig, sollte es das nicht sein.
Monitoring und Anomalie-Erkennung: Ein SIEM oder zumindest ein zentrales Log-Management kann ungewöhnliche Aktivitäten frühzeitig sichtbar machen.
Vendor-Monitoring: Abonnieren Sie aktiv die Security-Advisories Ihrer eingesetzten Hersteller sowie die BSI-Sicherheitsmitteilungen (verfügbar unter bsi.bund.de).

Lieferketten- und Produktrisiken im Blick behalten

Netzwerkkomponenten kommen von einer begrenzten Anzahl von Herstellern. Wenn ein Hersteller wie Zyxel von einer aktiven Ausnutzung betroffen ist, müssen alle Einrichtungen, die diese Produkte einsetzen, schnell reagieren können. Halten Sie daher im ISMS ein aktuelles Inventar aller eingesetzten Netzwerkgeräte inklusive Firmware-Versionen vor – ein Asset-Management, das auch Netzwerkinfrastruktur umfasst, ist sowohl nach ISO 27001 (Kontrolle A.8.1) als auch nach BSI IT-Grundschutz (ORP.4, NET-Bausteine) gefordert.

Checkliste: Sofortmaßnahmen Zyxel Firewall Ransomware

Maßnahme	Verantwortlich	Priorität
Inventar: Alle Zyxel-Geräte im Netz identifizieren	IT / ISB	Sofort
Firmware-Version prüfen (Ziel: ≥ 5.39)	IT-Netzwerk	Sofort
Firmware-Update einplanen und durchführen	IT-Netzwerk	Kritisch
Alle Admin-Passwörter auf Zyxel-Geräten ändern	IT-Netzwerk	Kritisch
VPN-Zugangsdaten rotieren	IT-Netzwerk / IAM	Kritisch
Firewall- und VPN-Logs auf Anomalien prüfen	SOC / IT-Security	Hoch
SIEM-Alarme auf Helldown-IOCs konfigurieren	SOC	Hoch
Management-Interface aus Internet deaktivieren	IT-Netzwerk	Hoch
Netzwerksegmentierung auf Aktualität prüfen	IT-Architektur	Mittel
BSI- und Zyxel-Advisories weiterverfolgen	ISB	Laufend

Meldepflichten im Blick behalten

Sollten Sie bei der Log-Analyse Hinweise auf eine tatsächliche Kompromittierung finden, greifen mehrere Meldepflichten parallel:

BSI (§ 32 BSIG / NIS2UmsuCG): Erhebliche Sicherheitsvorfälle sind als wichtige Einrichtung innerhalb von 24 Stunden (Frühwarnung) und 72 Stunden (Meldung) beim BSI zu melden.
Datenschutzbehörde (Art. 33 DSGVO): Wenn personenbezogene Daten – insbesondere Patientendaten nach Art. 9 DSGVO – von der Exfiltration betro

Kostenlose NIS2-Bestandsaufnahme starten →