Warum Hacker es jetzt auch auf Krankenhäuser abgesehen haben

Nun will der Bund in deren Sicherheit investieren. Doch Experten haben Zweifel an den Maßnahmen.

İm September war es Unbekannten gelungen, eine Schadsoftware ins System der Düsseldorfer Uni-Klinik einzuschleusen und 30 Server lahmzulegen. Schnell stellte sich heraus, dass das eigentliche Ziel die Heinrich-Heine-Universität war. Von den Ermittlern darauf angesprochen, dass sie Leben gefährdeten, erkannten die Täter ihren Irrtum und gaben die Schlüssel für die Entsperrung heraus.

Dennoch hatte das fatale Folgen: Ohne IT-System konnte eine lebensbedrohlich erkrankte Frau nicht aufgenommen werden und musste in ein anderes Krankenhaus eingeliefert werden, wo sie kurz darauf verstarb. Die Staatsanwaltschaft ermittelt deshalb zusätzlich wegen fahrlässiger Tötung.

Im Gesundheitsbereich mit dem Schwerpunkt Krankenhäuser sei die Zahl von Hackerangriffen von elf im Jahr 2018 auf 16 in 2019 und auf 43 im Jahr 2020 gestiegen, hatte die Bundesregierung auf eine Anfrage der FDP-Bundestagsfraktion vom 17. September geantwortet.

 
Schon zuvor war das „Krankenhauszukunftsgesetz“ (KHZG) auf den Weg gebracht worden. Danach will der Bund ab Januar 2021 drei Milliarden Euro bereitstellen, weitere 1,3 Milliarden Euro sollen die Länder aufbringen. Finanziert werden Projekte, die dem Ausbau von Notfallkapazitäten, der digitalen Transformation und der Informationssicherheit in Krankenhäusern dienen. Mindestens 15 Prozent sollen in IT-Sicherheit investiert werden.

Neues Gesetz nimmt Krankenhäuser aus
Das neue Gesetz wertet Markus Holzbrecher-Morys als richtigen Schritt, doch sieht der Geschäftsführer IT, Datenaustausch & eHealth bei der DKG (Deutsche Krankenhausgesellschaft) Nachbesserungsbedarf: „Das Gesetz sieht auch die Förderung von Maßnahmen zur Verbesserung der IT-Sicherheit als solche vor, etwa Firewalls, Werkzeuge zur Angriffserkennung und Schulungen.“

Doch ausgerechnet die zur kritischen Infrastruktur zählenden Krankenhäuser seien im KHZG ausgenommen. „Für diese Häuser bestehen theoretisch andere Fördermöglichkeiten, diese wurden in der Vergangenheit jedoch systematisch durch die Krankenkassen blockiert.“ Das könne man nicht nachvollziehen. „Wir setzen uns für eine vollständige Berücksichtigung dieser Krankenhäuser im Krankenhaus-Zukunftsfonds ein.“

Anzeige

Doch wer hackt Krankenhäuser und andere medizinische Einrichtungen? Zum einen sind es skrupellose Kriminelle, die Geld erpressen wollen. Zum anderen sind in Zeiten der Pandemie auch viele andere Akteure unterwegs, etwa Unternehmen der Privatwirtschaft und staatliche Stellen.

Meldungen über Cyberattacken gab und gibt es nicht nur hierzulande. Auch in den USA und Kanada wurden Vorfälle öffentlich, die speziell im Zusammenhang mit der Entwicklung von Impfstoffen gegen das Coronavirus standen.

Bundesamt in erhöhter Alarmbereitschaft

Das Abwehrzentrum gegen Cyber-Angriffe im Bundesamt für Sicherheit in der Informationstechnik (BSI) hat wegen möglicher Angriffe auf solche Unternehmen die interne Alarmbereitschaft erhöht. Interpol hatte bereits Anfang Dezember eine weltweite Warnung herausgegeben: „Während sich Regierungen darauf vorbereiten, den Impfstoff zu verbreiten, planen kriminelle Organisationen, in die Versorgungsketten einzudringen oder sie zu unterbrechen“, hieß es.

Das Erbeuten von Patientendaten hat sich als lukratives Geschäft für Kriminelle entwickelt. Je nach Umfang und Inhalt kann ein Datensatz im Darknet bis zu 2000 Euro bringen. Die Verwendungsmöglichkeiten reichen von Erpressungsversuchen der Patienten bis hin zum Versenden personalisierter Werbung.

„Gesundheitsdaten sind prinzipiell interessant, weil sie in den meisten Fällen mit anderen persönlichen Daten verbunden sind“, sagt Ariane Schenk vom Digitalverband Bitkom. Speziell bei den klassischen Arztpraxen sieht die Referentin für den Bereich Health & Pharma noch großen Nachholbedarf. „Viel Infrastruktur ist dort sehr einfach angreifbar.“ Niedergelassenen Ärzten rät sie deshalb, das IT-Management nicht in die eigene Hand zu nehmen, sondern seriöse externe Spezialisten mit dem Schutz des vertraulichen Datenmaterials zu beauftragen.

Grundsätzlich müsse von einer erhöhten Zahl von Cyberangriffen ausgegangen werden, das BSI weise in seinem Lagebericht 2020 aktuell 134 meldepflichtige Vorfälle aus, sagt Markus Holzbrecher-Morys. Die Mehrzahl entfiel zwar auf technisches Versagen, an zweiter Stelle stünden jedoch bereits Cyberangriffe.

Schnelle und professionelle Reaktion nötig
Der DKG-Experte will auch nicht ausschließen, dass eine gestiegene Sensibilität zu einer erhöhten Anzahl von Meldungen geführt haben könnte. Den umgekehrten Fall, das Verheimlichen von Cyberangriffen, etwa aus Angst vor Image-Beschädigung, hält er indes für unwahrscheinlich. „Es gibt eine Meldepflicht bei Cyberattacken für kritische Infrastrukturen.“

Außerdem bliebe etwa der Ausfall zentraler Infrastrukturen in einem Krankenhausbetrieb heute kaum mehr unbemerkt von Mitarbeitern oder Patienten. Verheimlichen sei zudem der falsche Weg, da es im Falle eines potenziellen Angriffs vor allem darauf ankäme, schnell und professionell zu reagieren – „gegebenenfalls auch mit externer Unterstützung durch spezielle Dienstleister oder das BSI“.

Ein Anliegen von Holzbrecher-Morys ist eine zukünftig noch engere Abstimmung aller Beteiligten. So wäre es wichtig, vom BSI Informationen darüber zu erhalten, ob es „neue Angriffsverhalten gibt, auf die wir im Rahmen unseres Branchenstandards für Krankenhäuser reagieren müssten. Was wir aber sowohl vom BSI als auch von Kliniken und anderen Einrichtungen wissen, ist, dass beim Phishing zunehmend Corona-bezogene Themen auftauchen.“

Größere Sorgen bereitet der DKG der Fachkräftemangel. „Diejenigen, die mit Beginn der Pandemie im März im Bereich IT beschäftigt waren, mussten von heute auf morgen viele zusätzliche Aufgaben erfüllen.“ Die Belastung der IT-Abteilungen sei massiv gestiegen. Auch ohne Corona habe die Verantwortung bereits ständig zugenommen und werde weiter steigen.

Deutschland recht gut aufgestellt
Anzeige

„Wir hören von vielen Krankenhäusern, wie schwierig es sei, Fachpersonal zu gewinnen und auch langfristig zu binden.“ Holzbrecher-Morys fordert, die Krankenhäuser diesbezüglich finanziell besserzustellen. „Man muss im Wettbewerb mit der Privatwirtschaft konkurrenzfähig sein.“

Dennoch sieht er Deutschland gut aufgestellt: „Man hat inzwischen gelernt, wie man die Auswirkungen eines Cyberangriffs möglichst gering hält. In der Regel können Krankenhäuser inzwischen mit diesem Problem gut umgehen. Von Einzelfällen abgesehen, sind wir in dem Sinn, dass die IT-Sicherheit uns keine zusätzlichen Sorgenfalten auf die Stirn getrieben hat, 2020 recht gut durch die Pandemie gekommen.“