Am frühen Donnerstagmorgen ist es passiert. Die IT-Systeme der Uniklinik Düsseldorf sind ausgefallen. Nichts ging mehr. Inzwischen wurde von den Behörden bestätigt, dass es sich bei dem Vorfall um einen Hackerangriff handelt. Isabel Pfeiffer-Poensgen, Ministerin für Kultur und Wissenschaft in NRW, erklärte im Landtag, dass ein Erpresserschreiben zugeschickt wurde, welches allerdings nach Einschalten der Polizei zurückgezogen worden sei. Die Düsseldorfer Uniklinik zählt zu den größten Krankenhäusern in Nordrhein-Westfalen und behandelt jährlich bis zu 350.000 Patienten.
Durch den Hackerangriff ist ein Normalbetrieb im Krankenhaus nicht möglich. Der Rettungsdienst zur Notaufnahme musste eingestellt werden, bedürftigen Personen wird geraten, das Krankenhaus vorerst nicht aufzusuchen und anstehende Behandlungstermine wurden abgesagt oder verschoben.
Dies ist nicht der erste Vorfall, bei dem die IT eines Krankenhauses durch einen Hackerangriff außer Kraft gesetzt wird. Es kommt immer wieder vor, dass Krankenhäuser, Praxen oder Forschungsinstitute ins Visier von Cyberkriminellen geraten. Im Sommer 2019 wurde die Trägergesellschaft Süd-West des Deutschen Roten Kreuzes Opfer eines Ransomware-Angriffs. Betroffen waren 13 Krankenhäuser. Schlimmeres konnte durch eine schnelle Reaktion und das Herunterfahren der IT-Systeme verhindert werden. Dennoch konnten Ärzte und Pflegepersonal tagelang nur mit Papier und Stift arbeiten. Im Dezember 2019 breitete sich die Emotet Schadsoftware in einem Krankenhaus im bayerischen Fürth aus. Darüber hinaus berichtete das Handelsblatt, dass seit Anfang 2020 – und somit seit Beginn der Ausbreitung des Coronavirus’ in Deutschland – das Risiko von Cyberangriffen auf Krankenhäuser weiter angestiegen ist. Beispielsweise nutzten Cyberkriminelle, die der rechtsextremen Gruppe „Staatsstreichorchester” angehören, die angespannte Lage und schickten ein Erpresserschreiben an Gesundheitsminister Jens Spahn. Es enthielt die Aufforderung, 25 Millionen Euro auf ein Bitcoin-Konto zu überweisen, um so großflächige Hackerangriffe auf deutsche Krankenhäuser zu verhindern. Wie der Vorfall ausging, ist allerdings nicht bekannt.
Warum werden Krankenhäuser öfter Opfer von Cyberangriffen?
Der Vorfall in der Uniklinik Düsseldorf verdeutlicht, dass Cyberangriffe auf Krankenhäuser massive Auswirkungen haben. Die Versorgung der Patienten ist eingeschränkt, Behandlungstermine und Operationen müssen im Extremfall abgesagt werden und hochsensible Daten können in falsche Hände geraten. Dadurch können Hacker massiven Druck ausüben. Das wiederum macht Krankenhäuser zu einem lukrativen Ziel für Cyberkriminelle.
Gleichzeitig sind Krankenhäuser potenziell sehr anfällig für Cyberangriffe, denn viele verschiedene Personen haben Zugriff auf die komplexen, vernetzten Computersysteme. Das bedarf eines hohen Grads an IT-Sicherheit. Dies bezieht sich zum einen auf ausreichend geschultes Personal, welches rund um die Uhr für die Sicherheit der Server und IT-Systeme sorgt. Zum anderen müssen auch die Mitarbeiter des Krankenhauses für Cyberrisiken sensibilisiert und ausreichend geschult werden. Für dieses hohe Level an Maßnahmen fehlt es oftmals an Ressourcen, seien es Kosten, Zeit oder auch Personal, was letztlich dazu führt, dass das Gefahrenrisiko eines Cyberangriffs steigt.
Zu den häufigsten Angriffsarten zählen die Verbreitung von Schadsoftware und Ransomware. Außerdem häufen sich DDoS Angriffe. Dabei kommt es zu einer gezielten Überlastung der Server, was letztlich ebenfalls einen normalen Krankenhausbetrieb und die damit verbundene Gesundheitsversorgung unmöglich macht.
Wie cybersicher ist das deutsche Gesundheitswesen?
Eine bevölkerungsrepräsentative Umfrage von PWC zum Thema “Datensicherheit in Kliniken und Arztpraxen” aus dem Jahr 2019 zeigt, dass 28 Prozent der Befragten Ausfälle der IT als großes Risiko einstufen hinsichtlich möglicher Komplikationen bei einem Krankenhausaufenthalt. Noch ernster schätzen die Befragten die Lage bei allgemeinmedizinischen Praxen ein. Hier glauben 45 Prozent, dass diese gar nicht oder zumindest nicht ausreichend auf Cybergefahren vorbereitet sind.
Seit 2019 gibt es die KRITIS- Verordnung des BSI (Bundesamt für Sicherheit in der Informationstechnik), die bestimmte Branchen aufgrund der Bedeutung und Relevanz, die sie für die gesamtdeutsche Bevölkerung haben, als angriffsrelevant und schützenswert einstuft. Krankenhäuser, die stationär mehr als 30.000 Patienten aufnehmen können, gehören dazu. Diese Institutionen müssen besondere Nachweise erbringen und IT-Sicherheitsanforderungen erfüllen. Zusätzlich unterliegen sie der Meldepflicht, sollten sie Opfer eines Cyberangriffs geworden sein. Diese BSI-Verordnung gilt allerdings nicht für kleinere Krankenhäuser und Arztpraxen. Diese sind eigenständig für ihre IT-Sicherheit verantwortlich. Laut der PWC Studie glauben allerdings 51 Prozent der Befragten, dass kleine und vor allem auch ländliche Krankenhäuser schlecht bzw. sehr schlecht auf Cyberangriffe vorbereitet sind.
Wie kann man sich als Krankenhaus vor Cyberangriffen schützen?
Wie in vielen anderen Branchen ist eine umfassende Sensibilisierung der Mitarbeiter wichtig. Das sehen auch die Befragten der PWC Studie so. 87 Prozent sagten, dass Schulungen und Trainings geeignete Maßnahmen sind, um Cyberangriffe in Kliniken und Praxen zu minimieren.
Richard Renner, Geschäftsführer bei Perseus, sagt:
“Ein hoher Grad an Sensibilisierung, regelmäßige Tests und Schulungen können dazu beitragen, dass Mitarbeiter auch in Stresssituationen wachsam und aufmerksam sind. Dadurch wird der falsche Klick oder der falsche Download verhindert. Sollten Hacker dennoch erfolgreich sein bei ihrer Attacke, ist schnelles Notfallmanagement essenziell. Bei einem Cyberangriff zählt jede Minute, um Schlimmeres verhindern zu können.”
Im Fall von Krankenhäusern können auch intensive und regelmäßige Penetrationstests helfen. Dabei werden IT-Systeme durch IT-Experten umfangreich getestet und Sicherheitslücken frühzeitig erkannt. Die Lücken können dann durch die Experten umgehend geschlossen werden, bevor ein Hacker diese als Einfallstor nutzen kann.