Cyber-Angriff auf die Praxis-IT
Eine Arztpraxis – das liegt in der Natur der Sache – arbeitet mit sensiblen Patientendaten. Auf der anderen Seite besitzt jedoch kaum ein Arzt und auch keine MPA das nötige Fachwissen, um seine Praxis-IT niet- und nagelsicher gegen externe Cyber-Angriffe zu machen. Das kann teuer werden – in vielerlei Hinsicht. Und wer denkt, die Gefahr betreffe nur grosse Spitäler und Zentren, während «kleine» Niedergelassene für Hacker uninteressant sind, unterschätzt das Vorgehen der Kriminellen.
Die Reihe «Gefahr aus dem Internet» stellt in drei Teilen die Bedrohungen und möglichen Folgen von sowie Präventivmassnahmen gegen Cyber-Angriffe vor. In der kommenden Ausgabe der Hausarzt Praxis können Sie im zweiten Teil lesen, wie man am besten vorgehen sollte, wenn das eigene IT-System gehackt wurde: Sollte man bei Lösegeldforderungen zahlen oder nicht? Zudem erfahren Sie, wie man seine Daten wieder zurückerlangen kann, welche juristischen Möglichkeiten es gibt und wie man seinen Patienten gegenüber in puncto Vertrauensverlust und etwaigen Schadensersatzansprüchen gegenübertreten sollte.
Wenn Sie bislang noch nicht Opfer eines Ransomware-Angriffs geworden sind, seien Sie froh, aber nicht sicher. Denn früher oder später wird es jeden Praxisinhaber mit grösster Wahrscheinlichkeit treffen. Als Ransomware wird Schadsoftware bezeichnet, die dazu dient, Daten oder ganze IT-Infrastrukturen zu infiltrieren, Daten zu stehlen, partiell oder vollständig zu verschlüsseln und somit den Zugriff darauf zu verhindern.
Laut des Ransomware-Reports, der jährlich durch den weltweit agierenden IT-Sicherheitsanbieter Sophos veröffentlicht wird, waren 2023 rund 60% aller Unternehmen im Gesundheitswesen von Ransomware-Angriffen betroffen. Grund dafür dürften «veraltete Technologien und Infrastrukturkontrollen» sein, wie es in dem Report heisst: So sei es für Unternehmen wahrscheinlich «schwerer, Geräte zu sichern, laterale Bewegungen einzuschränken und die Ausbreitung von Angriffen zu verhindern.» In der Branche IT, Technologie und Telekommunikation betrug der Anteil der betroffenen Geräte dagegen nur 33%.
Das Ziel dahinter ist klar: Eine Freigabe der blockierten Daten gibt es nur gegen Zahlung eines Lösegeldes. Laut Sophos betrug die Summe der gezahlten Lösegelder im Mittelwert 1.470.000 US$. Die teils horrenden Summen, die verlangt werden, sind aber nur ein Aspekt des Problems. Bevor es dazu kommt, steht der Praxisinhaber erst einmal vor der Herausforderung, seinen Betrieb – und somit seine Existenzgrundlage – aufrechtzuerhalten. In Zeiten der Digitalisierung sind auch Mediziner in hohem Masse abhängig von ihrer Praxis-IT: ohne Zugriff darauf ist keine Einsicht in Patientenakten möglich, es können keine Rezepte ausgestellt, keine Röntgen- oder MRT-Bilder aufgerufen werden. Kurz: Patienten können nicht mehr behandelt werden.
Doppelte Gefahr durch Veröffentlichungsdrohung
Gegen Datenverlust gibt es allgemein einen relativ einfachen Schutz, indem man Back-ups erstellt. Moderne IT-Systeme führen diesen Schritt automatisch aus, ohne dass der Praxisinhaber dafür aktiv etwas tun muss. Somit ist es möglich, Daten schnell wiederherzustellen und Störungen im Betriebsablauf zu minimieren. Wer nun aber denkt, allein dadurch können ihm die Cyber-Kriminellen nichts anhaben, irrt auch hier: Zwar kann mittels Back-up wieder auf die Daten zugegriffen werden, das ändert jedoch nichts daran, dass die Hacker immer noch im Besitz eben dieser sind. Ihr nächster Schritt: Eine doppelte Erpressung, indem nicht nur Lösegeld gefordert, sondern auch damit gedroht wird, die Patientendaten im Internet zu veröffentlichen.
Mit einer solchen Drohung steht für eine Ärztin bzw. einen Arzt noch viel mehr auf dem Spiel als der blosse finanzielle Verlust durch eine Lösegeldzahlung. Wenn sensible Patientendaten gestohlen werden und für jeden frei zugänglich im Internet auftauchen, bedeutet das in erster Linie einen immensen Vertrauensverlust gegenüber den betroffenen Patienten – vom langfristigen Imageschaden für die Praxis und etwaigen juristischen Folgen noch gar nicht gesprochen. Wer durch die Lahmlegung seiner IT nicht beunruhigt ist, wird spätestens an diesem Punkt darüber nachdenken, eher zu zahlen, als noch grösseren Schaden zu erleiden.
Dabei macht sich häufig Panik bei den Praxisinhabern breit, die von der Situation verständlicherweise überfordert sind. Zudem wird in solchen Fällen oftmals immer noch versucht, das Problem allein zu lösen, ohne sich professionelle Hilfe zu holen. Der Sophos-Report hat ergeben, dass betroffene Unternehmen nur selten die ursprünglich von den Angreifern geforderte Summe zahlen. Im Gesundheitswesen lag die gezahlte Summe in 57% der Fälle über der ursprünglichen Forderung der Erpresserletztlich auch ein Zeichen der Hilflosigkeit, mit der man als Betroffener den Cyber-Angreifern gegenübersteht.
Praxen genauso betroffen wie grosse Spitäler
Doch wie gerät man als Praxisinhaber überhaupt ins Fadenkreuz der Hacker? Tatsächlich in den seltensten Fällen gezielt. Stattdessen arbeiten die Cyber-Kriminellen nach dem Giesskannen-Prinzip: möglichst viele Ziele werden wahllos angegriffen, ein paar davon werden dann schon anbeissen. Die Malware der Täter ist dabei speziell für Software programmiert, die von Unternehmen häufig genutzt wird. Wen die Kriminellen am Ende damit treffen, ist Zufall. Grosse Unternehmen wie auch Unikliniken, die es in den vergangenen Jahren in Form von Cyberangriffen erwischt hat, wurden letztlich nur Opfer, weil sie eine bestimmte Software genutzt haben. Aus diesem Grund sollte sich auch kein Praxisinhaber in der trügerischen Sicherheit wiegen, dass seine kleine Einzelpraxis im Vergleich zu grossen Spitälern doch völlig uninteressant sei. Grosse IT-Strukturen wie Krankenhäuser werden eher gezielt attackiert, sind aber in der Regel auch deutlich aufwändiger und besser geschützt. Die Hacker verlagern sich daher mehr und mehr auf kleine und mittelständische Unternehmen, deren Schutzmechanismen nicht ganz so intensiv greifen und womöglich Schlupflöcher bieten.
Risikofaktor Mensch
Egal wie viel man in Firewall, Virenschutz und Co. investiert hat – die grösste Gefahr für ein IT-System geht immer noch von den Ärzten und Praxis-Mitarbeitern selbst aus. Einmal aus einer Unaufmerksamkeit heraus auf einen unbekannten E-Mail-Anhang oder Link geklickt, schon lädt sich die schadhafte Malware auf den Rechner, zieht – teilweise über Wochen hinweg – Daten aus dem System ab, bis sie schliesslich die Schotten dicht macht und keinen Zugriff mehr zulässt.
Eine neue Dimension der Cyberattacke wird zudem mit der steten Weiterentwicklung von Künstlicher Intelligenz erreicht: KI-generierte Bilder, Mail-Anschreiben und sogar Video-Clips sind so täuschend echt gestaltet, dass es einem Arzt oder einer MPA im täglichen Praxisstress immer schwerer fällt, den Betrugsversuch zu erkennen. Keine guten Aussichten!
Wie kann man sich aber als Praxis schützen? Zunächst einmal kann man die Gefahr minimieren, indem im gesamten Praxisteam ein Bewusstsein dafür geschaffen wird. Spezielle Fortbildungen oder Workshops sind geeignet, um auf die Gefahrenpotenziale hinzu-weisen. Wenn eine Mitarbeiterin oder ein Mitarbeiter unsicher ist, ob sie bzw. er womöglich einen Fehler begangen und Schadsoftware die Tür geöffnet hat, sollte damit offen und ohne Schuldzuweisungen umgegangen werden. Besondere Vorsicht ist etwa dann geboten, wenn z.B. auf einen Link geklickt wurde, sich aber keine Seite öffnet, oder wenn der Rechner aus nicht offensichtlichen Gründen sehr langsam wird. Um auf Nummer sicher zu gehen, ist es bereits bei derartigen Anzeichen ratsam, den IT-Dienstleister zu kontaktieren, damit dieser eine tiefergehende Überprüfung vornehmen kann. Denn so qualifiziert und erfahren die Medizinerin bzw. der Mediziner auf ihrem bzw. seinem Fachgebiet auch sein mag – im Kampf mit Hackern steht man als Laie auf verlorenem Posten.
