Uniklinik Düsseldorf: Angriff trotz installiertem Patch

Von Benedikt Langer · 13. Oktober 2026 · 6 Minuten Lesezeit

Am 23. September 2020 meldete sich die Uniklinik Düsseldorf nach dreizehn Tagen Abmeldung wieder für die Notfallversorgung an. Angreifer hatten über eine Citrix-Lücke den Verschlüsselungstrojaner DoppelPaymer eingeschleust, obwohl die Patches seit Januar installiert waren. Der Fall führt vor, dass Patchen und die Prüfung auf eine frühere Kompromittierung getrennte Aufgaben sind.

Das Wichtigste in Kürze

Der Patch war eingespielt. Das Klinikum hatte das Update für die ausgenutzte Lücke nach eigener Darstellung am Veröffentlichungstag installiert, die Citrix-Patches liefen seit dem 27. Januar 2020.
Die Ursache blieb offen. Mit Ermittlungsstand 23. September 2020 lagen keine weiteren gesicherten Informationen zu Ursache und Tathergang vor.
Patch und Kompromittierungsprüfung sind getrennte Aufgaben. Nach Angaben des BSI konnten Citrix-Systeme, die schon vor den Januar-Updates kompromittiert waren, Angreifern weiterhin Zugriff ermöglichen.

Verwandt: PHP-Lücken: Sicherheitsbehörden raten zum Abschalten

Ausgangslage im Universitätsklinikum

Das Universitätsklinikum Düsseldorf ist an der Notfallversorgung im Großraum Düsseldorf beteiligt. Im Einsatz war ein Citrix NetScaler Gateway. Das ist eine Zugangslösung, über die sich Nutzer aus dem Internet mit internen Anwendungen verbinden.

Der Sicherheitsstand dieses Zugangs war vor dem Angriff dokumentiert. Die von Citrix bereitgestellten Patches waren seit dem 27. Januar 2020 im System des Klinikums installiert. Nach eigener Darstellung des Klinikums war das Update für die später ausgenutzte Lücke bereits am Tag seiner Veröffentlichung eingespielt.

Im Frühsommer 2020 folgte ein externer Penetrationstest. Bei einem solchen Test greift ein beauftragter Dienstleister die eigene Infrastruktur an, um Schwachstellen zu finden. Zu der später ausgenutzten Lücke ergab der Test keinen Befund. Zwei zusätzlich beauftragte Spezialfirmen hatten bei ihren Untersuchungen zu dieser Schwachstelle nach damaligem Kenntnisstand ebenfalls keinen Hinweis auf eine Gefährdung gefunden.

Was ist ein Loader? Ein Loader ist ein Schadprogramm, dessen Aufgabe darin besteht, weitere Schadsoftware auf ein bereits kompromittiertes System nachzuladen und auszuführen. Er richtet selbst meist keinen direkten Schaden an und dient den Angreifern als Brückenkopf für die eigentliche Nutzlast. Im Düsseldorfer Fall brachte ein Loader den Verschlüsselungstrojaner DoppelPaymer ins Kliniksystem.

Zeitachse des Angriffs

Seit dem 10. September 2020 war das IT-System des Klinikums weitreichend gestört. Das Haus meldete sich von der Notfallversorgung ab. Am 17. September war es noch immer abgemeldet.

Die Angreifer nutzten eine Sicherheitslücke im eingesetzten Citrix NetScaler Gateway, um in das Serversystem einzudringen. Über einen Loader brachten sie den Verschlüsselungstrojaner DoppelPaymer ins Kliniksystem. Ein Verschlüsselungstrojaner, auch Ransomware genannt, macht Daten durch Verschlüsselung unbrauchbar und dient als Druckmittel für eine Lösegeldforderung.

Am 21. September 2020 äußerte sich das Bundesamt für Sicherheit in der Informationstechnik zu Citrix-Systemen. Nach Angaben des BSI konnten Systeme, die bereits vor Installation der Sicherheitsupdates im Januar 2020 kompromittiert worden waren, Angreifern auch nach Schließung der Schwachstelle CVE-2019-19781 weiterhin Zugriff auf das System und dahinterliegende Netzwerke ermöglichen. CVE-Nummern sind die Kennungen eines öffentlichen Katalogs bekannter Schwachstellen.

Am 23. September 2020 meldete sich das Klinikum nach insgesamt dreizehn Tagen Abmeldung wieder für die Notfallversorgung im Großraum Düsseldorf an. Am 30. September 2020 lag der überarbeitete Bericht der Landesregierung vor. Sein Ermittlungsstand datiert vom 23. September.

Entscheidungen des Klinikums

Über die gesamte Störung hielt das Universitätsklinikum die Abmeldung von der Notfallversorgung aufrecht. Über die Rückkehr entschied das Haus anhand einer detaillierten Checkliste. Sie führte die IT-Systeme auf, die für die jeweiligen Krankheitsbilder und Behandlungsbereiche zwingend wieder sicher arbeiten mussten. Die Wiederöffnung der Notaufnahme hing damit an konkret benannten Systemen je Versorgungsbereich.

Auch in der Kommunikation traf das Klinikum eine Entscheidung. Am 18. September 2020 machte es öffentlich, dass das Update am Veröffentlichungstag installiert war. Zugleich gab es bekannt, dass weder der Penetrationstest noch die beiden Spezialfirmen einen Befund zur Lücke geliefert hatten. Damit war früh öffentlich, dass der Angriff über eine Schwachstelle lief, für die das Update bereits eingespielt war.

Wiederanlauf und offene Fragen

Mit der Anmeldung am 23. September 2020 nahm das Klinikum die Notfallversorgung wieder auf. Die Erreichbarkeit des Hauses per E-Mail war zu diesem Zeitpunkt noch nicht wiederhergestellt.

Ursache und Tathergang blieben weitgehend ungeklärt. Über die Ausnutzung der Citrix-Lücke und den Loader hinaus lagen mit Ermittlungsstand 23. September 2020 keine weiteren gesicherten Informationen vor. Wie die Angreifer die bereits gepatchte Lücke nutzen konnten, gehörte damit zu den offenen Punkten. Ob in Düsseldorf die vom BSI beschriebene Konstellation einer Kompromittierung vor dem Januar-Update vorlag, war mit diesem Stand nicht gesichert.

Folgerungen für CISOs im DACH-Raum

Aus dem Düsseldorfer Verlauf lassen sich für Sicherheitsverantwortliche drei Folgerungen ableiten.

Patch und Kompromittierungsprüfung sind getrennte Aufgaben. Ein installierter Patch beantwortet nicht die Frage, ob ein System schon vor dem Update kompromittiert war. Das Klinikum hatte die erste Aufgabe am Veröffentlichungstag erledigt. Die Ursache des Angriffs blieb trotzdem zunächst offen.
Zugangssysteme brauchen eine eigene Anomaliesuche. Nach Empfehlung des BSI sollten Betreiber von Citrix Gateway ihre Netzinfrastruktur und Systeme auf Anomalien untersuchen und ihre Schutzmaßnahmen anpassen. Für Systeme, die vor einem Patch angreifbar waren, ersetzt das Update diese Untersuchung nicht.
Der Wiederanlauf folgt den Versorgungsprozessen. Die Düsseldorfer Checkliste ordnete IT-Systeme den Krankheitsbildern und Behandlungsbereichen zu. Auf dieser Grundlage lief die Notfallversorgung wieder an, während die E-Mail-Erreichbarkeit noch fehlte.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Sind beim Angriff Daten aus dem Klinikum abgeflossen?

Nach dem damaligen Kenntnisstand des Klinikums vom 17. September 2020 war ein Abfluss konkreter Daten nicht belegt. Diese Einschätzung stammt aus der Zeit, in der das Haus noch von der Notfallversorgung abgemeldet war.

An wen richtete sich das Erpresserschreiben?

Nach Angaben des Ärzteblatts richtete sich das beim Angriff hinterlassene Erpresserschreiben an die Universität. Den Verschlüsselungstrojaner DoppelPaymer brachten die Angreifer ins Kliniksystem.

Was riet das BSI Betreibern ohne eigene Untersuchungskompetenz?

Nach Empfehlung des BSI sollten Betreiber von Citrix Gateway und Citrix Application Delivery Controller in diesem Fall einen externen IT-Sicherheitsdienstleister hinzuziehen. Die Empfehlung umfasste neben der Anomaliesuche auch die Anpassung der Schutzmaßnahmen.

Lesetipps der Redaktion

LesetippLinux-Kernel-Lücke: Ubuntu liefert noch keinen Patch LesetippCisco-VPN wird angegriffen: Wer jetzt patchen muss LesetippKI-Agenten brauchen begrenzte Vollmachten

Bildquelle: KI-generiert (November 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinCloud-Souveränität könnte 115 Milliarden Euro kosten MyBusinessFutureKI-Assistenten bringen seltener Zielkunden als die Suche Digital ChiefsSchwarz setzt auf Cohere: Was Aleph-Alpha-Kunden tun