Gesundheitssektor im Visier von Cyberkriminellen

IT-Hygiene

Veröffentlicht 21.05.2021 09:20, kiw

IT-Hygiene ist das A und O

Krankenhäuser und andere Organisationen aus dem Bereich der kritischen Infrastrukturen werden immer häufiger zur Zielscheibe von Angreifern. Wie die Frankfurter Allgemeine Sonntagszeitung kürzlich berichtete, registrierte die Bundesregierung im Jahr 2020 bis Anfang November 43 erfolgreiche Angriffe auf Gesundheitsdienstleister. Dies entspreche mehr als doppelt so vielen Attacken wie im gesamten Jahr 2019. Quelle dieser Informationen war eine Antwort der Bundesregierung auf eine Anfrage im Bundestag.

Dass Angriffe von Kriminellen im Gesundheitssektor auch tatsächlich lebensgefährlich sein können, zeigte sich im September dieses Jahres bei einer Attacke auf das Universitätsklinikum Düsseldorf – nach dieser konnte die Notaufnahme des Krankenhauses seine reguläre Arbeit zeitweise nicht mehr durchführen. Die Folge: Eine Patientin musste in ein Wuppertaler Krankenhaus umgeleitet werden und starb schließlich. Zur Zeit des Vorfalls hieß es in einem Bericht des Justizministeriums, es sei zur Verschlüsselung von 30 Servern des Klinikums gekommen. Auf einem der Server wurde ein Erpresserschreiben hinterlassen, das allerdings an die Düsseldorfer Heinrich Heine-Universität gerichtet war. In dem Schreiben forderten die Erpresser zur Kontaktaufnahme auf – eine konkrete Summe wurde laut dem Bericht nicht genannt. Insgesamt fiel die Notfallversorgung des Universitätsklinikums – einem wichtigen Knotenpunkt in der Gesundheitsversorgung der Region – für 13 Tage aus, da Ärzte nicht richtig auf Röntgenbilder und Computertomogramme zugreifen konnten. Erst einen Monat später versorgte die Uniklinik wieder so viele Patienten wie zuvor. Stand Ende November war die Aufarbeitung noch nicht vollständig abgeschlossen.

Internationale und nationale Behörden sehen angespannte IT-Sicherheitslage

Auch andere Staaten sind natürlich von der erhöhten Bedrohungslage im Healthcare-Bereich betroffen. So warnte das FBI, die zentrale US-amerikanische Sicherheitsbehörde, Ende Oktober vor der Gefahr durch Ransomware für die Infrastruktur des US-Gesundheitssystems. Konkret warnt das Bundesamt, dass Cyberkriminelle eine Welle von Verschlüsselungsattacken lostreten, die darauf abzielen, IT-Systeme von Krankenhäusern lahmzulegen. Dies kann sich selbstverständlich auf die Versorgung der Patienten auswirken – und dies gerade in Zeiten, in denen in den USA die Fälle von COVID-19 sprunghaft ansteigen.

In einer gemeinsamen Mitteilung warnten das FBI und zwei weitere Bundesbehörden, dass sie „glaubwürdige Informationen über eine erhöhte und unmittelbar bevorstehende Gefahr der Cyberkriminalität für US-Krankenhäuser und Gesundheitsdienstleister“ hätten. In der Warnung hieß es, dass böswillige Gruppen mit Angriff en auf den Sektor zielen, die „Datendiebstahl und die Unterbrechung von Gesundheitsdiensten“ zur Folge hätten. Auch das deutsche BSI (Bundesamt für Sicherheit in der Informationstechnik) zeigte im Juni in zwei selbst in Auftrag gegebenen Studien, dass technische Schutzmaßnahmen von den Healthcare-Betreibern der jeweiligen Einrichtungen zwar in der Regel gut umgesetzt wurden, insbesondere in Kliniken aber noch Nachholbedarf bei organisatorischen IT-Sicherheitsmaßnahmen besteht. So stellte das BSI im Rahmen der Studien etwa fest, dass sich ein systematisches IT-Risikomanagement in vielen Häusern noch nicht auf dem notwendigen Niveau befindet.

IT-Hygiene: Die technische und menschliche Ebene

Die Warnung des FBIs und Vorfälle wie der in Düsseldorf folgen einem Muster von Bedrohungsaktivitäten, die im Laufe des Jahres 2020 vermehrt beobachtet werden konnten. Angriff e von Kriminellen traten und treten in Zeiten der aktuellen Pandemie verstärkt auf – besonders dann, wenn die Krankenhaussysteme am anfälligsten und verwundbarsten sind. Die gute Nachricht hier ist, dass die Bundesbehörden wie in den USA das FBI und in Deutschland das BSI verstärkt tätig werden und ihre Aufmerksamkeit darauf richten, um ihren Teil dazu beitragen, die Gesundheitsdienstleister über drohende Gefahren zu informieren. Es ist die Art von Vorwarnung, die dazu beitragen kann, dass Kliniken und andere Healthcare-Dienstleister sich vorbereitet halten.

Doch wie können Krankenhäuser, Arztpraxen und andere Akteure im Gesundheitssektor sich effektiv schützen? Wo sollen sie anfangen? Auf kurze Sicht sollten sie sich auf einige wenige Schlüsselbereiche konzentrieren. Der erste ist das Thema IT-Hygiene. Hier stehen Frage im Vordergrund wie „Sind alle Systeme gepatcht?“, außerdem wichtig ist die Frage „Hat die Organisation in diesem Zusammenhang ein Echtzeitverständnis über wirklich alle ihre Assets?“. Und zuletzt noch die Frage: „Laufen die Geräte mit der neuesten Version?“. Ein gutes Patch- und Software-Management kann die Angriffsoberfläche erheblich einschränken und somit das Risiko eines Ausfalls einzelner Abteilungen oder gar der ganzen Klinik auf ein Minimum reduzieren. Der zweite Punkt, den Healthcare-Provider im Auge behalten sollten, sind die Mitarbeiter. Viele der genannten Angriffe beginnen mit einer gezielten Phishing-E-Mail, die von einem unachtsamen Angestellten geöffnet wird.

Längerfristig sind die Häufigkeit und Raffinesse dieser Angriffe eine guter Erinnerung daran, dass Prävention letztlich nur die halbe Miete ist. Unternehmen aus dem Gesundheitsbereich müssen unbedingt über Sichtbarkeit und Erkennungsmöglichkeiten in all ihren Betriebsabläufen verfügen – insbesondere im Fall von Lösegeldforderungen. Denn nur dann können infizierte Geräte schnell und gezielt abgeschaltet oder unter Quarantäne gestellt werden. Wenn es um Lösegeldforderungen geht, kann die Fähigkeit, schnell den ‚großen roten Knopf‘ zu drücken, den entscheidenden Unterschied ausmachen und verheerende Folgen für das Wohl der Patienten verhindern.