Cyber-Angriff auf die Praxis-IT
Zum Abschluss unserer Reihe «Gefahr aus dem Internet» beschäftigen wir uns mit der Frage, wie man reagieren sollte, wenn das Kind bereits in den Brunnen gefallen ist. Mit anderen Worten: Was sollte eine Praxisinhaberin bzw. ein Praxisinhaber unternehmen, wenn ein Hacker erfolgreich war und die IT lahmgelegt hat? Wer ist zu informieren, wo bekommt man Hilfe und wie sollte man mit Lösegeldforderungen umgehen?
Es ist passiert: Die abstrakte Vorstellung, von Hackern angegriffen zu werden, ist real geworden. Beim morgendlichen Hochfahren des Rechners war ein Zugriff nicht mehr möglich, stattdessen erschien eine Anzeige, dass man erst gegen Zahlung einer sechsstelligen Summe wieder Herr über die eigenen Daten wird. Ein Ransomware-Angriff hat die Praxis-IT infiltriert und verschlüsselt. Nach dem ersten Schock gilt es, besonnen zu reagieren und einige Massnahmen zu ergreifen.
Bundesamt für Cybersicherheit - Anfang 2024 ist aus dem Nationalen Zentrum für Cybersicherheit ein Bundesamt geworden (Bundesamt für Cybersicherheit, BACS). Das BACS ist die erste Anlaufstelle für die Wirtschaft, Verwaltung, Bildungseinrichtungen und die Bevölkerung bei Cyberfragen. Es ist verantwortlich für die koordinierte Umsetzung der Nationalen Cyberstrategie (NCS). Hauptaufgabe des BACS ist es, die Schweiz im Cyberraum sicherer zu machen. Das Bundesamt nimmt Meldungen zu Cybervorfällen entgegen und unterstützt insbesondere Betreiber von kritischen Infrastrukturen bei der Bewältigung.
Zunächst ist es ratsam, die Internetverbindungen zu unterbrechen (inkl. E-Mail- und VPN-Verbindungen) und vorhandene Back-ups – sofern diese direkt mit dem angegriffenen System verbunden sind – schnellstmöglich zu entkoppeln. Danach sollte der Angriff gemeldet werden. Ansprechpartner hierfür ist die Kantonspolizei. Über ein Portal kann der zuständige Polizeiposten gefunden werden*. Im nächsten Schritt kann der IT-Dienstleister der Praxis beginnen, den Schaden zu analysieren, die betroffenen Systeme neu aufzusetzen und Daten mittels der Backups wiederherzustellen – nachdem sichergestellt wurde, dass diese intakt und nicht auch infiltriert sind. Das ist eine Aufgabe für Spezialisten, weshalb es nicht ratsam ist, diese Schritte in falsch verstandenem Eifer und der Vorstellung, möglichst schnell wieder in den normalen Arbeitsbetrieb zurückkehren zu wollen, selbst einzuleiten.
Wenn sich der Praxisinhaber für das Stellen einer Strafanzeige entscheidet – was auf jeden Fall empfehlenswert ist –, sollte von schnellen Gegenmassnahmen ohnehin abgesehen werden, da eine forensische Untersuchung nach dem Wiederaufsetzen der Systeme kaum mehr möglich ist.
Von Lösegeldzahlungen wird abgeraten
Das Bundesamt für Cybersicherheit BACS als Kompetenzzentrum des Bundes für Cybersicherheit (Kasten) rät generell davon ab, Lösegeldforderungen nachzukommen und zu bezahlen. Zwar sind cyberkriminelle Lösegelderpresser in dem Sinne Geschäftsleute, die Interesse daran haben, als «seriöse» und «zuverlässige» Geschäftspartner zu gelten, dennoch gibt es für das erpresste Opfer keine Garantie, dass die Daten nach Zahlung des Lösegelds nicht doch noch veröffentlicht werden.
Zudem finanziert jeder Angriff sechs bis zehn weitere Angriffe und vergrössert so das Problem, erklärte Florian Schütz, Direktor des BACS, Anfang des Jahres in einem Interview mit dem Blick. Stattdessen empfiehlt das Bundesamt für Cybersicherheit, sich nicht an die Täter zu wenden, sondern die weiteren Schritte mit der Polizei zu diskutieren und zu koordinieren. Die Empfehlung zur Zusammenarbeit mit der Kantonspolizei gilt auch und gerade dann, wenn man sich doch zum Bezahlen des Lösegeldes entscheidet.
Ein weiterer Aspekt wird häufig falsch eingeschätzt: Ein aufgrund nicht funktionierender IT kollabierter Praxisalltag verleitet verständlicherweise zu dem Drang, die vermeintlich schnellste Lösung zu wählen, um wieder in die normalen Abläufe zurückkehren zu können. Die Zahlung der gestellten Lösegeldforderungen ist jedoch nur auf den ersten Blick eine schnelle Lösung: In der Regel wird die Summe in Form einer Kryptowährung gefordert, für die kaum ein Arzt ein Konto haben dürfte. Dieses bei der Bank einzurichten, nimmt bereits Zeit in Anspruch. Zudem ist die Annahme falsch, dass nach dem Bezahlen per Mausklick automatisch alle Systeme wieder laufen. Stattdessen stellen die Erpresser – im Idealfall – lediglich eine Entschlüsselungs-Software bereit, die man selbst installieren und ausführen muss. Auch das dauert.
Eine mögliche Veröffentlichung sensibler Patientendaten durch die Erpresser droht also so oder so. Auf den Worst Case sollte man sich vorbereiten. Ratsam ist eine proaktive Kommunikation, sprich: den Patienten besser selbst sagen, was passiert ist, als dass es über Dritte herauskommt. Die Informationen sollten transparent sein und den aktuellen Kenntnisstand wiedergeben, empfiehlt das BACS, nicht zuletzt, um Gerüchte zu vermeiden. Wenn Patientendaten gestohlen wurden und die betreffenden Patienten identifiziert werden können, sollten diese persönlich informiert werden.
Ob man sich nun für oder gegen eine Lösegeldzahlung entscheidet, ob man proaktiv oder defensiv über den entstandenen Schaden kommuniziert – ein erfolgter Cyberangriff bedeutet immer eine Ausnahmesituation für die betroffene Praxis und ihre Mitarbeiter. Mittels präventiver Massnahmen kann man das Risiko reduzieren, jedoch nie ganz ausschliessen. Über spezielle Cyberversicherungen gibt es die Möglichkeit, sich gegen (finanziellen) Schaden abzusichern. Und wer sich vorab Gedanken macht über Was-wäre-wenn-Situationen und die passenden Ansprechpartner kennt, vermag im Fall der Fälle einen kühlen Kopf zu behalten.
Die Reihe «Gefahr aus dem Internet» stellt in 3 Teilen die Bedrohungen und möglichen Folgen von sowie Präventivmassnahmen gegen Cyber-Angriffe vor. Im ersten Teil (Hausarzt Praxis 10/2024) wurden die verschiedenen Formen und Wege aufgezeigt, wie Kriminelle eine Praxis-IT infiltrieren, sowie Möglichkeiten vorgestellt, sich gegen Angriffe zu schützen. Im zweiten Teil (Hausarzt Praxis 11/2024) erklärte ein Versicherungsexperte, warum es sinnvoll ist, über die übliche Betriebshaftpflichtversicherung hinaus eine spezielle Cyberversicherung abzuschliessen, und erläuterte, welche Aspekte dabei besonders wichtig sind.
