Im Rahmen eines Security Assessments haben wir eine Sicherheitslücke in der Passwortverschlüsselung (CVE-2024-52334) in Siemens Healthineers syngo.plaza VB30E entdeckt – einem in Krankenhäusern eingesetzten Archivierungssystem für medizinische Bilddaten. Die Sicherheitslücke ermöglicht es einem Angreifer, Original-Passwörter aus unzureichend verschlüsselten Speichern mit einem statischen Schlüssel wiederherzustellen und sich so möglicherweise unbefugten Zugriff auf medizinische Daten zu verschaffen.
Entdeckte Sicherheitslücke
CVSS v4.0 Score
Die Schwachstelle: Schwache Passwortverschlüsselung in syngo.plaza
Die Schwachstelle wird als CWE-261 (schwache Verschlüsselung für Passwörter) klassifiziert. syngo.plaza hat gespeicherte Passwörter nicht ordnungsgemäß verschlüsselt, sodass ein Angreifer mit Zugriff auf die entsprechenden Daten Klartext-Anmeldedaten wiederherstellen konnte.
Wir haben die Schwachstelle im Rahmen einer koordinierten Offenlegung gemeldet, und Siemens Healthineers hat sie mit einem Hotfix behoben.
Siemens Healthineers Security Advisory: SSA-016040
Disclosure Timeline
- Sicherheitslücke während der Kundeninteraktion entdeckt
- An Siemens Healthineers gemeldet
10.02.2026:
- Siemens Healthineers veröffentlicht Sicherheitshinweis SSA-016040
Wir danken Siemens Healthineers für die professionelle Abwicklung dieser Offenlegung.
Ein Muster, keine Anomalie
Diese Erkenntnis überraschte uns nicht. Statische Passwörter, fest codierte Schlüssel und unzureichende kryptografische Schutzmaßnahmen sind seit mehr als zwei Jahrzehnten ein Dauerproblem bei OT-Produkten. Das Problem beschränkt sich nicht auf einen einzelnen Anbieter oder Sektor, sondern ist ein branchenweites Muster, das in historischen Designentscheidungen und den besonderen Einschränkungen dieser Umgebungen begründet ist.
Unsere Empfehlung
Betreiber betroffener Systeme sollten unbedingt den Hotfix für syngo.plaza (VB30E_HF07) gemäß der Empfehlung SSA-016040 von Siemens Healthineers anwenden. Darüber hinaus empfehlen wir die regelmäßige Durchführung von Penetration Tests.
Hersteller sollten hardcoded Zugangsdaten entfernen und die Produktsicherheit gemäß regulatorischer Vorgaben ganzheitlich über den gesamten Lebenszyklus integrieren.
