Cyberangriffe auf Krankenhäuser

Seit Jahren nehmen Cyberangriffe auf Krankenhäuser kontinuierlich zu. Ein Grund dafür ist die allgemeine Zunahme von Hacker-Attacken, die keine Institution verschonen; ein anderer die zunehmend umfangreiche, komplexe und meist historisch gewachsene IT-Landschaft in den Kliniken. Lehmann/Matusiewicz verweisen in ihrem Text (siehe unter Links und Materialien) zudem auf unterbesetzte, unterfinanzierte oder vollständig ausgelagerte IT-Abteilungen. Sie zeigen auch, dass Cyberangriffe auf Krankenhäuser höhere Kosten verursachen als in allen anderen Sektoren.

Gefährdung ernst nehmen

Krankenhäuser gehören zweifellos zur kritischen Infrastruktur, ihre (nicht nur Cyber-)Sicherheit verdient damit besondere Aufmerksamkeit. Wie einzelne Vorfälle zeigen, können Cyberangriffe auf Kliniken durchaus gefährlich für Patient:innen werden, fast immer geraten dabei auch (teils hochsensible) Daten in die falschen Hände. Dabei ist zu beachten, dass Daten von Patient:innen teilweise kein Verfallsdatum haben; sie können nach Bekanntwerden eines Vorfalls nicht einfach geändert und damit ungültig gemacht werden wie z.B. Passwörter oder EMail-Adressen.

Zweifellos ist die Bedrohung hoch mit potenziell dramatischen Folgen für die Bevölkerung. Axel Ekkernkamp, Mitglied des Wehrmedizinischen Beirats, sagt dem Tagesspiegel: „Nie in der Bundesrepublik waren Krankenhäuser so bedroht wie heute. ... Sabotage in Kliniken hätte einen massenpsychologischen Effekt, der besonders verheerend wäre. Deshalb sind Krankenhäuser nicht nur hochattraktive Ziele für Lösegelderpresser, sondern auch für diverse Feinde von Freiheit und Demokratie.“ Nicht zuletzt im Kriegsfall werden auch staatlich organisierte Cyberangriffe erwartet, wie sie bereits - gesteuert vom Iran - in Israel stattfanden. Neben Krankenhäusern können auch Arztpraxen, Krankenkassen und auf Kund:innen aus dem Gesundheitsbereich spezialisierte IT-Dienstleister Ziel von Angriffen sein. Eine Umfrage ergab, dass 2022 drei Viertel aller Gesundheitseinrichtungen Angriffsversuche registrierten, von denen ein Drittel Folgen hatte. Häufiger als in anderen Bereichen sind Krankenhäuser auch bereit, für die Entschlüsselung ihrer Daten Lösegelder zu zahlen, was ebenfalls einen Anreiz für potenzielle Angreifer darstellt.

Die virtuelle Absicherung ist so notwendig wie der Schutz vor traditionellen Gefahren. Oder könnten Sie sich ein Krankenhaus ohne Feuerlöscher und Fluchtwege vorstellen?“ Jörg Asma, Partner Cyber Security bei PwC Deutschland (Quelle)

Chronologie der Sicherheitsvorfälle

Die folgende Aufzählung ist mit Sicherheit nicht vollständig; Ergänzungen sind willkommen.

2020

Ein folgenschwerer Hackerangriff traf im Sommer 2020 die Düsseldorfer Uniklinik; er führte ersten Berichten zufolge zum Tod einer Patientin, ohne dass die Kausalität feststeht. Da die IT-Systeme der Uniklinik ausgefallen waren, wurde sie in ein anderes, 25 km entferntes Krankenhaus verlegt, wo sie nach einer verspäteten Behandlung starb. Das Krankenhaus stand 13 Tage lang für Rettungsdienste nicht zur Verfügung. Das eigentliche Ziel der Erpresser war die Universität selbst gewesen; nachdem die Polizei ihnen mitteilte, dass ein Krankenhaus betroffen und Patienten gefährdet waren, zogen sie ihre Forderung zurück und händigten den Schlüssel aus, mit dem die verschlüsselten Daten wiederhergestellt werden konnten.

2021

Am 14.07.2021 meldete das Städtische Klinikum Wolfenbüttel einen Angriff mit Ransomware; den Hackern, so ein Sprecher des Klinikums, gehe es um Geld, Daten seien nicht abgeflossen. Die medizinische Versorgung sei nicht gefährdet, die notwendige Dokumentation sei vorerst auf Papier und Stift umgestellt worden. Ein Sprecher der Staatsanwaltschaft lobte die Vorbereitung der Klinik auf ein solches Szenario. Der Angriff sei schnell entdeckt worden, eine aktuelle Sicherung wichtiger Daten sei vorhanden.

Im September 2021 wurden die Rechner des privaten SRH-Klinikverbunds angegriffen. Betroffen waren wohl hauptsächlich Server in Bildungseinrichtungen des Verbunds, aus Sicherheitsgründen wurden jedoch die Systeme von vielen Kliniken ebenfalls zeitweilig vom Netz genommen.

Am 29.11.2021 wurde auf dem Mailserver der Bayerischen Krankenhausgesellschaft (BKG) Schadsoftware aktiv, die Mails mit Signaturen von Angestellten der Krankenhausgesellschaft verschickte; dies wurde zwei Tage später bekanntgegeben. Die Mail-Kommunikation der BKG war einige Tage lang nicht möglich. Weitere Systeme waren laut BKG nicht betroffen, insbesondere keine Krankenhäuser.

Zwei Tage später, am 01.12.2021 wurde dann in den IT-Systemen des Klinikums Braunschweig ein Schadprogramm entdeckt. Das Problem konnte jedoch innerhalb weniger Stunden behoben werden; in dieser Zeit war keine Mail-Kommunikation möglich. Für die Versorgung von Patient*innen relevante Systeme waren nicht betroffen.

2022

Das Klinikum Lippe mit Sitz in Detmold und weiteren Standorten in Lemgo und Bad Salzuflen, nach eigenen Angaben eines der größten kommunalen Krankenhäuser Deutschlands, wurde am 17.11.2022 Opfer eines Cyberangriffs. Die Überwachungssysteme des Klinikums bemerkten den Angriff, die gesamte IT-Infrastruktur wurde heruntergefahren und von externen Netzen getrennt. Das Klinikum schaltete das Landeskriminalamt ein und beauftragte zusätzlich spezielle IT-Dienstleistungsunternehmen. Die IT-Infrastruktur wurde nach Angaben der Klinik neu aufgesetzt. Anscheinend reichten jedoch die Datensicherungen nicht aus, verschlüsselte Daten mussten wiedergewonnen werden. Jedenfalls meldete das Klinikum am 30.11., "nach intensiven Verhandlungen mit den Erpressern" sei es gelungen, "die Übergabe der notwendigen Daten zur Entschlüsselung der Systeme zu erhalten". Ein Lösegeld sei nicht gezahlt worden.

2023

Am 31.01.2023 wurden die Homepages mehrerer Kliniken in Franken durch einen DDos-Angriff für einige Stunden beeinträchtigt. Die Angriffe konnten durch einfache Sicherheitsmaßnahmen abgewehrt werden und betrafen nicht die interne IT der Kliniken. Betroffen waren u.a. die Geomed-Klinik in Gerolzhofen (Landkreis Schweinfurt) sowie das Stadtkrankenhaus der kreisfreien Stadt Schwabach (Regierungsbezirk Mittelfranken). Es gibt Anzeichen dafür, dass die Angriffe von russischen Hackern ausgingen und mit dem Ukraine-Krieg in Zusammenhang stehen.

Nach einem "unberechtigten Zugriff" auf ihre IT-Systeme, der am 28.03.2023 festgestellt wurde, hat die Krankenkasse "BIG direkt gesund" ihre Systeme heruntergefahren und vom Internet getrennt. Das Fachportal heise sah Anzeichen für einen Cyberangriff, was die Krankenkasse jedoch nicht bestätigen wollte. Externe IT-Experten wurden hinzugezogen, der Vorfall wurde den Ermittlungsbehörden sowie den zuständigen Aufsichtsbehörden gemeldet. Einen Datenabfluss hat die Krankenkasse nicht festgestellt. Etwa eine Woche nach dem Vorfall gingen die Systeme nach und nach wieder ans Netz; dabei hatte die Auszahlung von Leistungen Priorität. Auch wenn es sich bei diesem Beispiel nicht um ein Krankenhaus handelt, so kann doch auch ein solcher Angriff Auswirkungen auf Kliniken haben, jedenfalls dann, wenn Zahlungen ausbleiben.

Am 10.05.2023 wurde das Netz des Bremer Klinikverbunds "Gesundheit Nord" (kurz Geno) vom Internet abgekoppelt, nachdem "ungewöhnliche Vorgänge" festgestellt wurden. Intern blieb das Netz intakt, so dass die Einrichtungen des Klinikverbundes sich untereinander E-Mails schicken konnten, doch war die elektronische Kommunikation nach außen nicht mehr möglich. Ob es sich um einen Cyberangriff handelte, konnte nach drei Tagen noch nicht mitgeteilt werden. Erst Ende Mai bestätigte der Klinikverbund, dass ein Cyberangriff stattgefunden hatte und dabei auch "in erheblichem Umfang" Daten abgeflossen waren, darunter auch Daten von Patient:innen. Begonnen hatte der Angriff auf dem Gerät eines externen IT-Dienstleisters. Eine Lösegeldforderung lag bis zu diesem Zeitpunkt nicht vor.

An der Universitätsklinik in Frankfurt am Main wurden bei einer Routinekontrolle am 06.10.2023 "Vorbereitungen auf einen möglichen Hackerangriff" entdeckt. Vorsorglich wurde das Netzwerk der Klinik vom Internet getrennt. Die Webseite des Klinikums war nicht mehr erreichbar, auch Mails wurden nicht mehr zugestellt. Hinweise auf Datenverluste, insbesondere abgeflossene Patient:innen-Daten, gab es laut der Klinikleitung nicht. Die Aufsichtsbehörden wurden informiert und ein Krisenstab eingerichtet, zur Analyse wurden Spezialfirmen herangezogen. Die Überprüfung und Wiederherstellung der Systeme, so eine erste Einschätzung, würde mehrere Wochen dauern. Die weiteren Untersuchungen führten dann jedoch zu der Entscheidung, das gesamte IT-System der Uniklinik neu aufzubauen. Dies biete, so der ärztliche Direktor, auch die Chance, moderne Standards und Sicherheit einzuführen, doch geschehe dies jetzt unter Zeitdruck. Unterdessen wurde wieder mit Papierakten, Faxgeräten und telefonischen Terminvereinbarungen gearbeitet. Auch die Termine der Uni-Lehrveranstaltungen wurden nicht mehr online, sondern über schwarze Bretter bekanntgemacht. Röntgen- und CT-Bilder wurden auf CD-ROM mit Boten übermittelt. Die Zeitschrift "Chip" zählt den Angriff zu den "5 heftigsten Hackerangriffen in Deutschland 2023".

Das Klinikum Esslingen (Baden-Württemberg) stellte am 28.11.2023 einen Angriff fest, der unter Ausnutzung einer Schwachstelle in der Kommunikationssoftware Citrix ausgeführt wurde. Laut Auskunft des Klinikums wurde "gezielt Schaden" bei einigen Servern angerichtet. Bildgebende Systeme in der Radiologie, im Bereich Ultraschall und Endoskopie seien betroffen. In der Verwaltung seien unternehmensinterne Daten gelöscht worden, Patientendaten seien jedoch nicht abgeflossen. Das Klinikum richtete einen Krisenstab ein und schaltete die Polizei ein. Die Klinikleitung rechnete damit, einen voll funktionsfähigen Klinikbetrieb innerhalb eines Tages wiederherzustellen.

Gleich drei Krankenhäuser, die alle zur Katholischen Hospitalvereinigung Ostwestfalen (KHO) gGmbH gehören, waren am 24.12.2023 Ziel eines Cyberangriffs. Es handelt sich um das Franziskus Hospital Bielefeld, das Sankt Vinzenz Hospital Rheda-Wiedenbrück und das Mathilden Hospital Herford; später wurde bekannt, dass auch Häuser in Erwitte und Geseke betroffen waren, die attackierten Kliniken haben zusammen 455 Betten. Vermutet wurde, dass mit der Ransomware Lockbit 3.0 Daten verschlüsselt wurden. Die Systeme wurden sofort heruntergefahren, die IT der betroffenen Krankenhäuser fiel komplett aus. Ein Team aus internen und externen IT-Sicherheitsspezialist:innen wurde gebildet, um den Vorfall aufzuklären und Daten zu sichern. Auch die Zentral- und Ansprechstelle Cybercrime Nordrhein-Westfalen (ZAC NRW) der Staatsanwaltschaft sowie Expert:innen der Polizei Dortmund wurden eingeschaltet. Die Versorgung der Patient:innen, so die Hospitalvereinigung, laufe mit geringen Einschränkungen weiter, die Kliniken wurden jedoch von der Notfallversorgung abgemeldet.

2024

Am 27.01.2024, traf es die Bezirkskliniken Mittelfranken (Bayern), ein kommunales Gesundheitsunternehmen des Bezirks Mittelfranken für psychische und neurologische Erkrankungen mit 3.200 Beschäftigten in neun Kliniken und zwei Heimen. Bei den Analysen stellte das Unternehmen fest, dass die Angreifer nicht nur Daten verschlüsselt, sondern zuvor auch abgezogen hatten, darunter auch personenbezogene und unternehmensinterne Daten. Alle IT-Systeme wurden vom Netz getrennt, Polizei, Staatsanwaltschaft und die Datenschutzbehörden wurden informiert. Die Kliniken wurden von der Notfallversorgung abgemeldet, ein Krisenstab wurde gebildet. Der Klinikbetrieb lief weiter, jedoch war teilweise die Kommunikation nach außen beeinträchtigt. Die Angreifer nahmen Kontakt mit dem Unternehmen auf, dieses weigerte sich jedoch, ein Lösegeld zu zahlen: "Wir nehmen bewusst die Umstände in Kauf, statt das kriminelle Handeln der Hacker zu unterstützen", heißt es in der entsprechenden Mitteilung des Unternehmens vom 01.02.

Zwei Tage später, am 29.01.2024, wurde ein Cyberangriff auf die Caritas-Klinik Dominikus in Berlin festgestellt. Nach eigenen Angaben leitete die Klinik gemeinsam mit einer externen Sicherheitsfirma unverzüglich Maßnahmen ein, um die Ausbreitung des Angriffs zu stoppen und die Situation zu analysieren. Ein Krisenstab wurde eingerichtet und Anzeige bei der Kriminalpolizei erstattet. Auch die Datenschutzbehörden wurden unterrichtet. Der Klinikbetrieb laufe weiter, doch wie in vorhergehenden Fällen wurde die Rettungsstelle des Krankenhauses von der Notfallversorgung abgemeldet. Die digitale Kommunikation und die Erreichbarkeit seien jedoch beeinträchtigt. Ein Mobiltelefon mit einer Notfallnummer stellte die Kommunikation sicher. Die Klinik sei durch Notfallpläne und eine klare Backup-Strategie gut vorbereitet und können die Krisensituation daher meistern. Die können aufgrund der riesigen Datenmenge jedoch dauern. Sollten Daten in falsche Hände gelangt sein, würden Betroffene umgehend informiert. Eine Woche nach dem Angriff, am 05.02., teilte die Klinik mit, dass die Telefonanlage wieder in Betrieb und die Klinik daher wieder regulär erreichbar sei. Die Maßnahmen zum Wiederaufbau der IT-Struktur seien zügig vorangeschritten, dauerten jedoch offenbar noch an.

Im Krankenhaus Lindenbrunn (Landkreis Hameln-Pyrmont, Niedersachsen) wurde am 09.02.2024 ein Cyberangriff festgestellt. Auch vier weitere Einrichtungen der Gesundheits- und Pflegeeinrichtungen in Hameln und im Landkreis Schaumburg waren betroffen. Alle Systeme wurden vom Netz genommen, die Führung der Patientenakten, die erst vor einem Jahr digitalisiert worden war, wurde in großer Eile wieder auf die Papierform umgestellt. Für die interne Kommunikation half die Feuerwehr mit Funkgeräten aus. Die Kommunikation des Krankenhauses nach außen war aber zunächst gestört, eine Notfall-Mailadresse wurde eingerichtet. Neben der Polizei wurde auch IT-Sicherheits-Fachleute und die Versicherung eingeschaltet. Die Patientenversorgung war laut der Klinik zu keiner Zeit gefährdet. Die anonymen Täter verlangten Lösegeld, das die Klinik nicht zahlte.

Die Katholische Jugendfürsorge der Diözese Augsburg (KJF) wurde Mitte April 2024 von einem Cyberangriff getroffen, der jedoch erst Anfang Mai bekannt wurde. Dabei wurden Daten von Krankenhäusern und anderen sozialen Einrichtungen in der gesamten bayerischen Region Schwaben entwendet, u.a. aus der größten Geburtsklinik der Region, dem Josefinum in Augsburg. Erbeutet wurden Personaldaten und Finanzdaten, Patientendaten und Gesundheitsdaten, jedoch keine Behandlungsdokumentationen oder Arztbriefe. Da keine Verschlüsselung oder ähnliche Sabotage stattfand, lief der IT-Betrieb ohne Störungen weiter. Die Vielzahl der potentiell Betroffenen - die KJF betriebt insgesamt 80 Einrichtungen - machte es schwer, alle diese Personen ausfindig zu machen und zu warnen.

Auch die Universitätsmedizin Mainz musste Anfang Mai einen Datendiebstahl bekanntgeben. Unbekannte hatten Zugriff auf ausgelagerte Dateien der Universitätsmedizin bei einem IT-Dienstleister. Dabei handelte es sich um Protokollierungsdateien, die E-Mail-Adressen von Absendern und Empfängern, den Betreff und den Zeitstempel enthalten. Mail-Inhalte waren nicht darunter. Die Datendiebe stellten diese Informationen, die für Phishing-Angriffe verwendet werden können, ins Darknet. Betroffen waren immerhin ca. 280.000 Personen, die per Mail informiert wurden, was teils für Irritationen und Rückfragen sorgte, da die Betroffenen Zweifel über die Echtheit der Warnung hatten.

Der Cyberangriff auf das Krankenhaus Agatharied wurde am 17.06.2024 bekannt. Agatharied ist ein Gemeindeteil der Gemeinde Hausham im Landkreis Miesbach (Bayern), das dortige Krankenhaus, eine GmbH in Trägerschaft des Landkreises, bietet in verschiedenen Fachbereichen Versorgung auf hohem Niveau, u.a. ist es Lehrkrankenhaus der Ludwig-Maximilian-Universität München. Nach dem Angriff wurde die Krankenhaus-IT vom Internet getrennt, die Kommunikation nach außen war nur noch telefonisch möglich. Da ein Ausfallkonzept vorhanden war, konnten die notwendigen Abläufe in kurzer Zeit auch analog sichergestellt werden. Ein Koordinationsstab wurde gebildet, der zunächst dreimal, nach einigen Tagen einmal täglich tagte. Bereits nach 36 Stunden war das Krankenhaus nach eigenen Angaben wieder "sehr gut handlungsfähig". Alles wurde "analogisiert", bis hin zu ausgetauschten Türzylindern, die zuvor elektronisch betätigt wurden. Die Krankenkassen reagierten mit Abschlagszahlungen darauf, dass die Klinik zunächst keine Rechnungen ausstellen konnte. Die Gehaltszahlungen waren nicht gefährdet, da sie über einen anderen, vom Angriff nicht betroffenen Server liefen.

Zur Analyse und Strafverfolgung wurden Ermittler:innen des Landeskriminalamts (LKA) und Expert:innen für Cyberkriminalität am Polizeipräsidium Oberbayern Süd in Rosenheim eingeschaltet. Den Feststellungen nachhandelte es sich um einen gezielten Angriff, der mit viel Know-How, maschineller Unterstützung und krimineller Energie durchgeführt wurde. Ein interner Fehler wie z.B. das Öffnen einer Mail mit Schadsoftware war dafür nicht notwendig. Die Angreifer verschlüsselten Daten, installierten aber keine Schadsoftware und haben - so der Stand nach zwei Wochen - wohl auch keine Daten kopiert.

Das Krankenhaus verfügte über eine online nicht erreichbare Datensicherung auf dem Stand des Vorabends des Angriffs. Daher konnten die Geräte mit ihrer Software und ihren Daten umfassend wiederhergestellt werden; wegen der großen Datenmengen und der notwendigen Prüfungen dauerte das einige Zeit. Eine Woche nach Bekanntwerden des Angriffs war ein knappes Drittel der Geräte wieder betriebsbereit, nach Ablauf der zweiten Woche etwa drei Viertel. Vier Wochen nach dem Angriff waren 360 von 500 Computern wieder einsatzfähig. 11 Tage später, nach dem Neustart des krankenhausinternen Netzes, wurde in Aussicht gestellt, dass am 29.7., rund sechs Wochen nach dem Angriff, alle Systeme wieder laufen sollten. Es dauerte dann doch vier Tage länger: Am 02.08. gab das Krankenhaus bekannt, dass die Verbindung zum Internet wiederhergestellt sei.

Um ein neues Sicherheitskonzept zu etablieren, mussten u.a. alle Mitarbeitenden sich neue, 16-stellige Passwörter geben. Nach Angaben des Krankenhauses war zum Zeitpunkt des Cyberangriffs die IT-Sicherheit auf dem aktuellen Stand, es verfügte auch über ein Informationssicherheitsmanagementsystem. Die Bayerische Krankenhausgesellschaft (BKG) forderte mehr Fördermittel für die IT-Sicherheit von Krankenhäusern; diese müssten die notwendigen Ausgaben aus ihrem laufenden, oft defizitären Betrieb bestreiten.

Die Wertachkliniken in Bobingen und Schwabmünchen (beide Landkreis Augsburg, Bayern) wurden am 01.09.2024 von einem Cyberangriff mit Ransomware getroffen. Die Verbindungen nach außen wurden gekappt, die Generalstaatsanwaltschaft Bamberg übernahm die die Ermittlungen. Zu diesem Zeitpunkt waren aber bereits teils sensible Daten im Umfang von 300 GByte (u.a. Bankdaten, Patientenakten, Adressen) abgeflossen, die kurz darauf im Darknet auftauchten. Als Ansprechstelle für möglicherweise Betroffene des Datenlecks wurde die BKP Compliant, ein Hinweisgeberportal, eingeschaltet. Ende Oktober liefen viele Systeme wieder, bis zur Rückkehr zum vollständigen Normalbetrieb würde aber noch einige Zeit verstreichen.

Am frühen Morgen des 13.10.2024 erfolgte ein Cyberangriff auf Systeme der Johannesstift Diakonie, die in Nord- und Ostdeutschland Krankenhäuser und weitere medizinische Einrichtungen betreibt betroffen waren vier Krankenhäuser und vier weitere Einrichtungen in Berlin und Wittenberg. Eine - laut Mitteilung der Johannesstift Diakonie - "bekannte, seit Jahren operierende internationale Hacker-Gruppe" hatte eine Vielzahl von Daten auf mehreren Servern verschlüsselt und forderte - der BZ zufolge - ein Lösegeld von vier Mio. € in Bitcoins. Alle IT-Systeme waren außer Betrieb, die Kliniken versuchten den Betrieb mit Papierakten und teilweise im Handbetrieb aufrechtzuerhalten. Zunächst waren die Krankenhäuser nur telefonisch erreichbar. Planbare Operationen wurden teilweise verschoben. Die Rettungsstellen der vier Krankenhäuser wurden zunächst abgemeldet, zwei Tage später konnten sie aber wieder arbeiten. Ebenso schnell gelang es, erste Server jedenfalls für den lesenden Zugriff wieder verfügbar zu machen, so dass. z.B. Dienstpläne eingesehen werden konnten. Das Landeskriminalamt nahm Ermittlungen auf, ein Team aus internen und externen IT-Expert:innen arbeitete daran, die IT-Infrastruktur wiederherzustellen und den Ablauf des Angriffs zu rekonstruieren. Die vorbeugenden Sicherheitsmaßnahmen und die Notfallkonzepte wirkten, so waren beispielsweise Datenbanken nicht vom Angriff betroffen. Auch die interne Kommunikation über ein Social Intranet lief ohne Komplikationen. Anzeichen, dass Daten abgeflossen sind, waren nicht erkennbar. Wann der normale Betrieb der IT-Systeme wieder möglich ist, konnte zunächst nicht gesagt werden.

Angriffe auf Krankenhäuser können Menschenleben gefährden

Noch ist kein Fall bekannt, dass ein Cyberangriff auf ein Krankenhaus unmittelbar zum Tod eines Menschen führte, doch indirekte Zusammenhänge sind nachgewiesen. In zwei Ende 2022 und im Herbst 2023 veröffentlichten Studien untersuchten Forscher:innen der University of Minnesota School of Public Health die Entwicklung von Cyberangriffen auf Gesundheitseinrichtungen und ihre Auswirkungen auf die Versorgung der Patient:innen. Sie mussten feststellen, dass sich die Zahl von Ransomware-Angriffen auf Einrichtungen des Gesundheitswesens in den USA zwischen 2016 und 2021 mehr als verdoppelt hatte. Die Folgen waren sehr unterschiedlich: Ausfall von Verwaltungssystemen, fehlender Zugang zu Patientendaten und Untersuchungsergebnissen, nicht funktionierende medizinische Geräte, Ausfall des Monitorings auf der Intensivstation, Absage von Untersuchungsterminen und Operationen bis hin zur Schließung des Krankenhauses für die medizinische (Notfall-)Versorgung. Bei 166 der 374 untersuchten Vorfälle kam es zu Störungen in der Gesundheitsversorgung. Die Auswertung ergab weiterhin, dass diese Störungen in einigen Fällen nachweisbar die Sterblichkeit in den Kliniken erhöhten - um 20 bis 35 Prozent. Bei betroffenen Krankenhäusern dauerten die Störungen Tage, Wochen oder Monate. Eine weitere Studie beschäftigte sich mit den regionalen Auswirkungen eines solchen Angriffs. Er führte dazu, dass sich Krankentransporte verlängerten und die Belastung umliegender Krankenhäuser stieg, damit auch längere Wartezeiten und Aufenthaltsdauern von Patient:innen auftraten. Auch die Zahl von nicht überwachten Patient:innen und solchen, die das Krankenhaus ohne Behandlung wieder verließen, stieg an. Die Forschenden schlagen vor, einen Cyberangriff auf ein Krankenhaus wie eine Naturkatastrophe zu behandeln und hierfür eine koordinierte regionale Notfallplanung vorzuhalten.

Empfehlungen zur Vorbeugung

Laut Lehmann/Matusiewicz wären die meisten Hackerangriffe vermeidbar gewesen, wenn die Branchenspezifischen Sicherheitsstandards (B3S) eingehalten worden wären. Die Autor:innen verweisen darauf, dass Krankenhäuser mit mehr als 30.000 vollstationären Fällen pro Jahr dem Umsetzungsplan der kritischen Infrastruktur (UP KRITIS) unterliegen. Dieser von der Deutschen Krankenhausgesellschaft (DKG) in Absprache mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) entwickelte Plan enthält etwa 200 Empfehlungen und Anforderungen für Maßnahmen, die sich auf die Dimensionen Verfügbarkeit, Integrität, Authentizität und Vertraulichkeit von Daten beziehen. Die Verpflichtungen, IT-Sicherheitsvorkehrungen zu treffen, resultieren auch aus § 75c SGB V, dem Patientendaten-Schutz-Gesetz (PDSG) und dem BSI-Gesetz.

Die B3S sehen auch eine Audit der Sicherheitsmaßnahmen alle zwei Jahre vor; dies bewerten Lehmann/Matusiewicz jedoch kritisch, weil dabei nur die Prozesse und nicht die Technik überprüft werden und weil die Auditor:innen vom Krankenhaus bezahlt werden, so dass ein Interessenkonflikt entsteht und eher ein preisgünstiges Audit gewählt wird. Die Autor:innen empfehlen daher die Einrichtung einer neutralen Prüfinstanz.

Projekt "SiKIS": Sicherheit von Informationssystemen

Im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik (BSI) prüft das Fraunhofer-Institut für Sichere Informationstechnologie (Fraunhofer SIT) die Sicherheit von Krankenhausinformationssystemen. Das Projekt "Sicherheitseigenschaften von Krankenhausinformationssystemen" (SiKIS) läuft vom November 2023 bis November 2024; die Forscher:innen suchen dabei gezielt nach Schwachstellen, beispielsweise überprüfen sie, wie die Informationssysteme auf absichtlich falsche Eingabewerte oder nicht standardkonforme Nachrichten reagieren. Die teilnehmenden Krankenhäuser können so einen kostenlosen Penetrationstest und einen anschließenden Schwachstellenreport erhalten; auch die Hersteller der jeweiligen Software werden über gefundene Angriffsmöglichkeiten informiert.

Oft übersehen: Gefährdung der Operational Technology

Auch die Operational Technology (OT), die Gesamtheit der Steuerungssysteme von medizinischen Geräten und der Gebäudeinfrastruktur, kann zum Angriffsziel werden. Diese wird nicht immer in gleicher Weise in den Blick genommen wie die eigentliche IT-Infrastruktur. Hinzu kommt, dass medizinische Geräte ein Zulassungsverfahren durchlaufen müssen und ohne erneute Überprüfung nicht verändert werden dürfen. Dies hindert die Hersteller oft daran, zeitnah auf Sicherheitslücken zu reagieren und Updates bereitzustellen. So kommt in medizinischen Geräten oft veraltete Software zum Einsatz.

Viele medizinische Geräte mit Sicherheitslücken

Eine im März 2024 veröffentlichte Studie der New Yorker IT-Sicherheitsfirma Claroty kommt zu dem Ergebnis, dass ein knappes Viertel aller medizinischen Geräte eine bekannte IT-Sicherheitslücke aufweisen; d.h., die Sicherheitslücken sind im Katalog der bekannten und ausgenutzten Schwachstellen der US-Cybersicherheitsbehörde CISA aufgeführt und damit öffentlich bekannt. Jedes siebte der untersuchten vernetzten Geräte läuft mit einem Betriebssystem, das vom Hersteller nicht mehr unterstützt, also auch nicht mehr mit Sicherheitsupdates versorgt wird, oder sich zumindest am Ende der Lebensdauer befindet. Ein Drittel dieser Geräte haben bildgebende Aufgaben (z.B. Röntgen- und MRT-Geräte). In 22 Prozent der untersuchten Krankenhäuser gibt es eine Verbindung zwischen dem öffentlichen WLAN für Patient:innen und Besucher:innen sowie internen Netzwerken, für Angreifer eine sperrangelweit offene Tür. Viele, teilweise die Mehrzahl der untersuchten Geräte waren für den Fernzugriff eingerichtet, also potenziell von außen zugänglich. Die Forscher:innen fordern von den Krankenhäusern, Richtlinien und Strategien einzuführen, um die (elektronische) Widerstandsfähigkeit ihrer Systeme sicherzustellen. Dazu gehöre "ein sicherer Fernzugriff, die Priorisierung des Risikomanagements und die Segmentierung".

Links und Materialien

• Deutsche Krankenhausgesellschaft: Informationssicherheit im Krankenhaus - Branchenspezifischer Sicherheitsstandard (B3S). Die Seite enthält auch Informationen zu § 75c SGB V und weitere Materialien zum Thema.
• Alexandra Lehmann und David Matusiewicz: Cyberangriffe: Zielgruppe Krankenhäuser. Auszug aus dem Buch "Datenschutz, Informations- und Cybersicherheit im Gesundheitswesen" (siehe Literatur)
• Sachverständigenbüro Mülot GmbH: Cyberangriffe auf Krankenhäuser: Steigende Zahlen mit potentiell fatalen Folgen (2020)

Literatur

• Thomas Jäschke (Hrsg.): Datenschutz, Informations- und Cybersicherheit im Gesundheitswesen. Grundlagen – Konzepte – Umsetzung. 3. Auflage 2023, Medizinisch Wissenschaftliche Verlagsgesellschaft Berlin, 468 Seiten, ISBN: 978-3-95466-823-6, 99,95 € (Verlagsinformation)

Siehe auch

• tagesschau: Hackerangriffe auf Kliniken - "Nur eine Frage der Zeit", 29.01.2024
• Podcast „kma Kompass“: Wie sich Kliniken vor Cyberangriffen schützen können, 09.05.2023
• BR24: Warum Hacker auf die Gesundheitsbranche zielen, 03.05.2024
• Cyberangriffe