Cyberangriffe auf Krankenhäuser: Steigende Zahlen mit potentiell fatalen Folgen

Dass auch Krankenhäuser Opfer von Cyberangriffen werden können, hat das Universitätsklinikum Düsseldorf im September am eigenen Leib zu spüren bekommen. Die Folge: Die Notaufnahme konnte nicht mehr richtig arbeiten. Der Zugriff auf wichtige Daten war nicht mehr zuverlässig möglich, sodass Daten häufig handschriftlich oder per USB-Stick weitergegeben wurden. Es dauerte vier Wochen, bis das Krankenhaus wieder so viele Patient:innen wie zuvor versorgen konnte. Hier entsteht schnell Lebensgefahr. Nachdem die Polizei mit den Hackenden Kontakt aufgenommen hatte, entschlüsselten diese die Daten aber kostenlos.

Bei den Cyberangriffen auf Krankenhäuser kommt häufig sogenannte „Ransomware“ zum Einsatz. Die Software dient der Verschlüsselung der Daten, die dann nur nach Auszahlung eines Lösegeldes von den Hackenden wieder entschlüsselt werden. Das kann den Krankenhausbetrieb massiv einschränken. Vor allem, wenn keine entsprechende Datensicherung vorliegt. Der Angriff auf das Universitätsklinikum in Düsseldorf war genau so eine Attacke.

Im Unglücksfall verlaufen Cyberangriffe aber nicht so glimpflich wie in Düsseldorf. Werden die Daten nicht nur eingefroren, sondern auch gespeichert, könnten sensible Patient:innendaten veröffentlicht werden. Zusätzlich können Cyberangriffe die medizinische Versorgung einschränken. In Krankenhäusern wird immer häufiger modernste Computertechnologie eingesetzt. Diese können im Zuge eine Attacke lahmgelegt und Menschenleben gefährdet werden. 

Nicht nur in der Industrie, sondern auch in Krankenhäusern schreitet die Digitalisierung voran. Das erhöht gleichzeitig aber die die Anzahl möglicher Angriffsziele für Cyberkriminelle. Häufig sind einzelne Geräte und Systeme untereinander vernetzt, sodass Schadsoftware sich besser verbreiten kann. Nicht selten werden modernste Systeme parallel zu veralteten und nicht mehr gepflegten Geräten verwendet. Hier kann schnell ein Sicherheitsrisiko entstehen. Zudem werden die verschiedenen Netze wie Gästenetz, Verwaltungsnetz oder Medizintechniknetz nicht immer ausreichend getrennt bzw. segmentiert. 

In Krankenhäusern liegt der Fokus in der Regel nicht auf der IT-Sicherheit. Es geht ganz im Gegenteil um Menschen und wie ihnen geholfen werden kann. Und das möglichst schnell. IT-Sicherheit ist dabei zweitrangig und eine Anmeldung, um auf Daten zugreifen zu können, wird häufig als lästig und zeitintensiv empfunden. Doch gerade eine mangelnde IT-Infrastruktur kann dazu führen, dass Menschenleben gefährdet werden. Die erforderliche IT-Sicherheit umzusetzen, ohne die Abläufe in Krankenhäusern einzuschränken, ist ein Balanceakt, der nur schwer zu meistern ist.

Hinzu kommt, dass das Personal auf Grund von Schichtwechseln etc. regelmäßig wechselt und die gestiegenen Anforderungen an die IT-Sicherheit in Aus- und Weiterbildungen nicht ausreichend thematisiert werden. Außerdem sind viele Teile von Krankenhäusern öffentlich zugänglich. Nur in Bereichen wie der Intensivstation gibt es Zugangsbeschränkungen. Das kann Unbefugten den Zugriff auf Hard- und Software ermöglichen. Häufig fehlen zusätzlich finanzielle Mittel, um die IT-Infrastruktur an die tatsächlichen Bedürfnisse anzupassen.

Die möglichen Folgen eines Cyberangriffs zeigen, wie wichtig es ist, dass gerade Krankenhäuser sich angemessen schützen. Laut Bundesamt für Sicherheit in der Informationstechnik sind Krankenhäuser insgesamt gut geschützt, es bleiben aber offene Baustellen. So zum Beispiel organisatorische Sicherheitsmaßnahmen. Dafür ist es von zentraler Bedeutung, dass alle Prozesse analysiert, Risiken erkannt und durch IT-Sicherheitsmaßnahmen geschützt werden. 

Da kein Krankenhaus dem anderen gleicht, muss ein individuelles Konzept inklusive Informationssicherheitsmanagementsystem (ISMS) auf Basis der jeweiligen Anforderungen erstellt, umgesetzt und stetig geprüft werden. Neben Richtlinien sollte ein ISMS zusätzlich Rahmenbedingungen zum IT-Risikomanagement für alle Systeme und Komponenten enthalten. Dies sollte auf Basis der prozessorientierten Risikobetrachtung geschehen. Zusätzlich ist es sinnvoll, das IT-Notfallmanagement zu erweitern.