Ein Auto ohne AdBlue kann unter Umständen noch fahren, aber auf die Straße darf der Wagen eigentlich nicht mehr. Prof. Thomas Jäschke von der Datatree AG hat dieses Bild in seinem Vortrag beim Clubabend des Bundesverbands der Krankenhaus-IT-Leiterinnen und -Leiter bemüht, um ein massives Problem in deutschen Kliniken zu beschreiben. Denn bei in die Jahre gekommener Hard- und Software stellt sich oft dieselbe Frage: Ist der Betrieb eines System sicher oder legal, nur weil es technisch noch läuft?

Oft sieht es im Klinikalltag so aus: Ein alter Server brummt im Keller vor sich hin, das Archivsystem spuckt brav Patientenakten aus und das Ultraschallgerät macht seinen Job. Updates? Fehlanzeige. Den Stecker ziehen kann die IT-Abteilung trotzdem nicht einfach. Steuerrechtlich gelten zehn Jahre Aufbewahrungsfrist, bei medizinischen Akten reden wir über 15 bis 30 Jahre. Die Daten müssen also zwingend abrufbar bleiben.

Heikel wird die Lage, sobald Medizintechnik ins Spiel kommt. Hier hängt die Hardware oft an ganz spezifischen, teils sehr alten Software- oder Betriebssystemversionen. Spielt man hier eigenmächtig ein Update ein, riskiert man nicht selten die Zulassung des gesamten Geräts.

Eine Liste ist noch kein Risikomanagement

Einig waren sich die Teilnehmer bei der Veranstaltung, dass eine gemeinsame Liste alter Systeme notwendig ist, aber noch lange nicht ausreicht. Asset-Datenbanken und Inventare schaffen Transparenz, allerdings beginnt die eigentliche Arbeit danach. Welche Prozesse hängen an einem System? Welche Daten werden verarbeitet? Welche Schnittstellen bestehen? Welche Folgen hätte ein Ausfall? Wer entscheidet, ob ein System weiterbetrieben, isoliert, ersetzt oder abgeschaltet wird?

Gerade im Krankenhaus entscheidet nicht allein das Alter eines Systems über dessen Kritikalität. Ein alter Server kann vertretbar sein, wenn er sauber isoliert ist und nur noch für Archivzwecke benötigt wird. Ein anderes System kann hochkritisch sein, weil daran Diagnostik, Kommunikation, Medizintechnik oder zentrale Infrastruktur hängen. Risiken entstehen demnach nicht nur durch die Technik, sondern auch durch den Prozess, in dem die Technik eingesetzt wird.

NIS2 und B3S erhöhen den Druck

Hängen jedoch zentrale Systeme oder Kommunikationswege an veralteter Technik, werden Angreifern Tür und Tor geöffnet. Dabei sind Themen wie Lifecycle-Management, Risikobewertung, Notfallplanung, Lieferkettensteuerung und Co. nicht neu. Inzwischen lässt der Gesetzgeber allerdings keine Ausreden mehr zu. Durch NIS2 und den Branchenspezifischen Sicherheitsstandard fürs Krankenhaus (B3S) stehen Krankenhäuser als kritische Infrastruktur massiv unter Druck, Informationssicherheit nachweisbar zu steuern. Die IT kann darauf hinweisen, an welchen Stellen Handlungsbedarf besteht.

Die Entscheidung über den Weiterbetrieb, eine Isolation, beziehungsweise die Abschaltung der kritischen Bereiche, oder notwendige Investitionen bleiben jedoch eine organisatorische Verantwortung. In der Praxis liegt hier oft die größte Hürde. Viele Häuser kennen ihre Altlasten, aber für die Umsetzung fehlen die Zeit, das Budget, das Personal, eine Priorisierung und klare Eskalationswege.

(mack)

Still und heimlich, ohne viel Federlesen, hat Mozilla die Unterstützung veralteter Betriebssysteme abermals verlängert. Bis März 2027 sollen Nutzerinnen und Nutzer der von den Herstellern nicht mehr unterstützten Betriebssysteme weiterhin in den Genuss von Sicherheitsupdates für den Webbrowser gelangen.

Der Support von Microsoft endete zwischen den Jahren 2016 und 2023 für die genannten Windows-Betriebssysteme. Die erhalten damit keine Sicherheitsupdates mehr, weshalb sich Nutzerinnen und Nutzer damit nicht mehr ins Internet wagen sollten. Jedoch liefert der Firefox-ESR-Browser immerhin noch einen mit aktuellen Sicherheitsflicken ausgestatteten Browser dafür aus. Der im März aktualisierte Support-Beitrag nennt weiterhin den August 2026 als Support-Ende. Allerdings nennt der Release-Fahrplan für Firefox ESR nun diese Änderung.

Der offizielle Release-Fahrplan von Firefox ESR listet derzeit bis Ende Januar 2027 konkrete neue Firefox-ESR-115-Versionen auf, weiter ist er schlicht noch nicht ausgefüllt.

Nicht nur Alt-Windows-Nutzer im Glück, auch macOS-User

Auch der Support-Beitrag, der die Verlängerung für Firefox ESR 115 unter macOS 10.12 (Sierra), macOS 10.13 (High Sierra) und macOS 10.14 (Mojave) angekündigt hat, zeigt noch den alten Status aus dem März. Auch hier kommen Nutzer der Betriebssystem-Oldies, die keinen Support von Apple mehr erhalten, in den Genuss der Support-Verlängerung bis März 2027.

Im März dieses Jahres hatte Mozilla den Support von Firefox ESR 115 unter den genannten Betriebssystemen bereits verlängert. Bis dahin hatte die Mozilla-Stiftung eigentlich geplant, die Unterstützung für die alten Betriebssysteme im Februar dieses Jahres einzustellen. Das haben die Entwickler schließlich bis August 2026 ausgeweitet. Jetzt legt Mozilla nochmals ein gutes halbes Jahr Verlängerung nach.

(dmk)

Im DNS-basierten Adblocker-System Pi-hole haben die Entwickler mehrere Sicherheitslücken geschlossen. Die ermöglichen etwa die Rechteausweitung zu root oder die Übernahme von Admin-Sitzungen.

In einem Blogbeitrag haben die Pi-hole-Programmierer die Änderungen zusammengefasst und geben eine Übersicht über die geschlossenen Sicherheitslecks. Von den insgesamt sechs Schwachstellen gelten vier als hohes Risiko, eine als mittleres und eine als niedriges. User, die als „pihole“-User Code ausführen dürfen, können durch Ersetzen von „/etc/pihole/logrotate“ an root-Rechte gelangen (CVE-2026-50130, CVSS 8.8, Risiko „hoch“). Zudem war der Session-Timeout-Mechanismus faktisch wirkungslos, sodass jede jemals gültige Session-ID mit administrativem Zugang diesen dauerhaft gewährte (kein CVE-Eintrag, CVSS 8.8, Risiko „hoch“). Zudem waren Denial-of-Service-Attacken (DoS) aufgrund fehlender Ratenbegrenzung möglich (CVE-2025-62165, CVSS 7.5, Risiko „hoch“).

Angemeldete Admins konnten außerdem beliebige Befehle auf dem Pi-hole-Server ausführen, wenn Angreifer im Teleporter (das Tool zum Umzug von Pi-hole auf andere Systeme) zwei Lücken kombinierten (kein CVE-Eintrag, CVSS 7.2, Risiko „hoch“). Eine weitere Lücke erlaubte das Einschmuggeln von Befehlen, die als „pihole“-User im System ausgeführt werden (kein CVE-Eintrag, CVSS 6.6, Risiko „mittel“). Angemeldete Angreifer hätten zudem HTTP-Antwort-Header einschleusen können (kein CVE-Eintrag, CVSS 3.5, Risiko „niedrig“).

Aktualisierte Software

Die Sicherheitslücken schließen die Versionen Pi-hole-FTL v6.7, Pi-hole-Web v6.6 sowie Pi-hole-Core v6.4.3. Um die Aktualisierung auf die neuen Softwarestände durchzuführen, müssen Admins ein Terminal öffnen und darin den Befehl sudo pihole -up aufrufen. Der bringt die Komponenten auf den aktuellen Stand und startet die Dienste auch gleich neu. Interessierte finden zudem im Blogbeitrag detaillierte Änderungen und Verbesserungen an den Pi-hole-Komponenten.

Zuletzt hatte das Pi-hole-Projekt im Mai Schwachstellen im eingesetzten dnsmasq ausgebessert, durch die Angreifer etwa Schadcode hätten einschmuggeln können.

(dmk)