Kliniken im Visier der Hacker

Immer öfter kapern Kriminelle die Computernetzwerke von Firmen, Universitäten oder Krankenhäusern. Letztere sind besonders verle
Immer öfter kapern Kriminelle die Computernetzwerke von Firmen, Universitäten oder Krankenhäusern. Letztere sind besonders verletzlich. (Foto: Sven Hoppe/dpa)
Landespolitische Korrespondentin

„Ihr Netzwerk wurde gehackt“ – Sätze wie dieser treffen Unternehmen immer häufiger. Die Absender der Botschaft sitzen meist im Ausland, verschaffen sich von dort Zugang zu Computernetzwerken von Firmen oder Universitäten und fordern dann Lösegelder in Millionenhöhe. Was aber, wenn das Gesundheitswesen bedroht ist? Wenn nicht nur sensible Patientendaten in Gefahr sind, sondern womöglich sogar Menschenleben? Ein Fall aus Heidelberg wirft ein Schlaglicht auf die IT-Sicherheit des Gesundheitswesens.

Was ist in Heidelberg passiert?

Ein vermeintlich harmloser E-Mail-Anhang, geöffnet von einem Mitarbeiter der SRH Holding aus Heidelberg, bereitete Hackern am 19. September den Weg. Sie verseuchten das Unternehmensnetzwerk mit Schadsoftware, kontaktierten daraufhin das Unternehmen per E-Mail und forderten ein Lösegeld. Die Holding betreibt neben Bildungseinrichtungen auch Kliniken – unter anderem in Sigmaringen, Bad Saulgau, Pfullendorf und Neresheim.

Diese habe man nach dem Angriff vorsorglich vom Netz genommen, die medizinische Versorgung der Patienten sei davon nicht beeinträchtigt gewesen, sagt ein Unternehmenssprecher. Ziel der Attacke waren offenbar vor allem die Bildungseinrichtungen und Hochschulen der SRH. Kliniken hätten nicht im Fokus gestanden, so der Sprecher.

Für das Unternehmen ging der Vorfall einigermaßen glimpflich aus. „Unsere IT-Abteilung hat zum Glück festgestellt, dass sie den Angriff aus eigener Kraft abwehren kann“, erklärt der Sprecher. Auf die Forderung der Erpresser sei man nicht eingangen. In „sehr wenigen Einzelfällen“ seien jedoch personenbezogene Informationen gestohlen worden. „Wir wissen mittlerweile, dass die Hacker einige Dateien kopiert und im Darknet teilweise veröffentlicht haben. Die Datenmenge war aber in vergleichbar sehr geringem Umfang“, hieß es. Inzwischen sei die Wiederherstellung der IT-Infrastruktur fast abgeschlossen.

Wie oft gibt es solche Fälle?

Das ist nicht ganz klar. „Die Krankenhäuser in Baden-Württemberg sind wie alle Unternehmen immer wieder Ziel von Cyberangriffen“, heißt es von der baden-württembergischen Krankenhausgesellschaft. Das bestätigt das baden-württembergische Innenministerium. Die Zahl der Cyberangriffe insgesamt habe in den letzten Jahren deutlich zugenommen, sagt ein Sprecher. Einer Meldepflicht unterliegen Unternehmen, die Opfer eines Cyberangriffs wurden jedoch nicht.

Warum werden ausgerechnet Krankenhäuser angegriffen?

Vor ungefähr einem Jahr konnte die Düsseldorfer Uniklinik wegen eines Hackerangriffs nicht mehr bei der Notfallversorgung mitwirken. Die Urologische Klinik im oberbayrischen Planegg wurde zu Beginn des Jahres ebenfalls Ziel eines Cyberangriffs, im März wurde die Evangelische Klinik in Lippstadt attackiert. Dahinter steckt offenbar Kalkül: „Cyberkriminelle passen sich schnell gesellschaftlichen Notlagen an und nutzen diese gekonnt für ihre Zwecke aus“, heißt es dazu im aktuellen Bundeslagebild des BKA. Zwar lässt die Polizeiliche Kriminalstatistik keinen Rückschluss auf einzelne Geschädigte zu, das Gesundheitswesen sei jedoch wegen der sensiblen Daten und IT-Infrastrukturen ein besonders interessantes Ziel, sagt auch ein Sprecher des Innenministeriums. Seit der Corona-Pandemie stehe das Gesundheitswesen besonders im Fokus.

Für Holger Morgenstern, Professor für IT-Sicherheit und Praktische Informatik an der Hochschule Albstadt-Sigmaringen, spielt noch ein weiterer Punkt eine Rolle: „Für einen IT-Sicherheitsbeauftragten ist es ein Albtraum, in einer Klinik zu arbeiten“, sagt er. „Ein Medizingerät kann man nicht einfach updaten. Das muss immer über den jeweiligen Hersteller gehen. Das macht das Ganze extrem kompliziert.“ Insgesamt sei die IT-Absicherung bei öffentlichen oder großen Verwaltungsbetrieben oft nicht auf dem aktuellsten Stand. Das mache es den Hackern einfacher einzudringen.

Das belegt auch eine Studie des Berliner Beratungsunternehmen Alpha Strike Labs, der österreichischen Firma Limes Security und der Universität der Bundeswehr in München. Bei mindestens einem Drittel der Krankenhäuser in Deutschland ist die IT-Sicherheit demnach mangelhaft. In vielen Kliniken sind Server und Software veraltet, Datenbanken werden nur mit einem Passwort gesichert. Der Studie zufolge gibt es sogar Krankenhäuser, in denen Server im Einsatz sind, die so alt sind, dass sie seit Jahren kein Sicherheitsupdate mehr von Microsoft erhalten.

Wie groß ist die Gefahr für Patienten?

Im Extremfall kann Schadsoftware die Infrastruktur von Arztpraxen und Kliniken lahm legen. Dann können etwa Operationen nicht mehr stattfinden, Patientenakten nicht mehr eingesehen oder Medikamente nicht mehr dosiert werden. Im Fall des Angriffs auf die Düsseldorfer Uniklinik im September 2020 mussten Notfallpatienten an andere Kliniken verwiesen werden – und verloren dadurch wertvolle Zeit.

Was wird getan, um die sensible Gesundheitsinfrastruktur zu schützen?

Das baden-württembergische Innenministerium betont ein „umfangreiches Angebot von Unterstützungsmögichkeiten“. Unter anderem stehe die Zentrale Ansprechstelle Cybercrime (ZAC) des Landeskriminalamts rund um die Uhr als Ansprechpartner zur Verfügung. Außerdem führe die ZAC zielgerichtete Cyberabwehrübungen durch und veranstalte regelmäßige Präventionsveranstaltungen.

Matthias Einwag, Hauptgeschäftsführer der Baden-Württembergischen Krankenhausgesellschaft (BWKG), verweist vor allem auf notwendige Investitionen. Die BWKG begrüße deshalb den neu etablierten Krankenhauszukunftsfonds. Der mit drei Milliarden Euro aus Bundesmitteln ausgestattete Fonds soll Krankenhäuser bei der Modernisierung der digitalen Infrastruktur und Informationstechnik unterstützen. „Der Krankenhauszukunftsfonds ist ein wertvoller Schritt in die richtige Richtung“, sagt Einwag. Erforderlich sei jedoch ein dauerhafter Digitalisierungszuschlag in Höhe von 2 Prozent auf alle Krankenhausrechnungen.

Das könnte Sie auch interessieren

Wir haben die allgemeine Kommentarfunktion unter unseren Texten abgeschaltet. Für einzelne Texte wird es auch weiterhin die Möglichkeit zum Austausch geben. Aufgrund der Vielzahl an Kommentaren können wir derzeit aber keine gründliche Moderation mehr gewährleisten. Mehr Informationen zu unseren Beweggründen finden Sie hier.
Kommentare werden geladen