Cyber-Attacken im Gesundheitsbereich können schwerwiegende Konsequenzen mit sich bringen. Laut dem aktuellen State of Email Security Report von Mimecast bemerkten 71 Prozent der befragten deutschen Unternehmen aus dem Gesundheitsbereich einen Anstieg an bedrohlichen E-Mails im vergangenen Jahr.
Vor allem das Gesundheitswesen muss sich besser gegen Bedrohungen aus der digitalen Welt schützen – denn hier blüht den Opfern mehr als Reputations- oder monetäre Verluste: Im schlimmsten Fall leidet die menschliche Gesundheitsversorgung durch die Machenschaften von Cyber-Kriminellen. Für Hacker ist das Gesundheitswesen ein äußerst lohnendes Ziel: Zum einen ist die IT-Infrastruktur in vielen Krankenhäusern und Gesundheitseinrichtungen veraltet und das Sicherheitsbudget oft eher knapp bemessen. Zum anderen wird hier eine Vielzahl sensibler, personenbezogener Daten erzeugt und verarbeitet – für Hacker also eine wahre Goldgrube.
Gefahren durch Ransomware, Phishing und unvorsichtige Mitarbeiter
Ransomware-Angriffe im Gesundheitswesen können besonders schwerwiegende Konsequenzen nach sich ziehen: Sie sind in der Lage, Systeme zu sperren, die einen Einfluss auf das menschliche Leben haben – beispielsweise medizinische Geräte zur Überwachung von Patientenzuständen.
Zudem können sie den Zugriff auf wichtige Patientendaten verschlüsseln. Die Attacke auf die Münchner Caritas am vergangenen Wochenende ist hier nur das jüngste Beispiel. Die Organisation rechnet mit erheblichen Beeinträchtigungen, die wohl bis weit über eine Woche andauern werden.
Umso gravierender ist es, dass 66 Prozent der in der Studie befragten Organisationen im vergangenen Jahr eine Beeinträchtigung ihrer Geschäftsabläufe im Zuge einer Ransomware-Attacke erlebten. Die Ausfallzeit betrug dabei im Schnitt 5,7 Tage – im Ernstfall kann das lebensbedrohliche Konsequenzen für die Patienten bedeuten.
Aber nicht nur Ransomware treibt ihr Unwesen im Gesundheitsbereich. 63 Prozent der Teilnehmer bemerkten einen Anstieg an Phishing und ungefähr die Hälfte der Befragten gibt an, einen Missbrauch der Unternehmensmarke durch Spoofing-E-Mails festgestellt zu haben. Allerdings verfügen lediglich 42 Prozent über ein E-Mail-Sicherheitssystem, welches Malware oder infizierte Links aufspürt.
Als Haupteinfallstor gelten jedoch nach wie vor unbedachte Handlungen der Mitarbeiter selbst. 84 Prozent der Befragten halten es für wahrscheinlich, dass die Angestellten einen schwerwiegenden Sicherheitsfehler im persönlichen Umgang mit E-Mails begehen. Zudem befürchten 84 Prozent bzw. 79 Prozent, dass es aufgrund mangelnder Passworthygiene oder durch unbeabsichtigte Datenlecks der Mitarbeiter zu einem ernsthaften Sicherheitsfehler kommen könnte. Folgende Methoden eignen sich für den Schutz von Gesundheitsorganisationen:
- Erhöhung der Cyber-Resilienz: Durch das akute Bedrohungsszenario ist eine ausgereifte Cyber-Resilienz-Strategie eines der bewährtesten Mittel, um Hackern dauerhaft standzuhalten – allerdings verfügen aktuell nur 32 Prozent der Gesundheitsorganisation über adäquate Sicherheitsstrategien. Im Kern sichert eine Cyber-Resilienz-Strategie den Weiterbetrieb der Geschäftsabläufe – beispielsweise durch den kontinuierlichen Zugriff auf E-Mails und weitere Systeme – und beinhaltet Abwehr- und Gegenmaßnahmen bei Cyber-Angriffen.
- Ausbau der Cloud-Infrastruktur: Gerade im Gesundheitswesen fallen Unmengen an sensiblen Daten an, die sicher gelagert und jederzeit abrufbar sein müssen. Die Nutzung der Cloud ist einerseits extrem anwenderfreundlich, da die Prozesse automatisiert im Hintergrund geschehen. Andererseits optimiert die Archivierung von Daten in der Cloud Kosten und senkt gleichzeitig die Risiken für die internen Rechts- und Compliance-Teams.
- Einsatz von Künstlicher Intelligenz und Maschinellem Lernen: Eine schnelle Reaktion auf Cyber-Attacken kann im Gesundheitswesen im Ernstfall Leben retten – beispielsweise, wenn Kriminelle lebenserhaltende Geräte unter ihre Kontrolle bringen wollen (oder dies bereits geschafft haben). Die Hälfte der befragten Gesundheitsorganisationen nutzt schon KI oder ML – weitere 34 Prozent planen eine Integration bereits in diesem Jahr. Sicherheitslösungen, die auf Künstlicher Intelligenz und Maschinellem Lernen basieren, können Gefahren weitaus schneller identifizieren, als es menschlichen Sicherheitsteams möglich wäre.
- Regelmäßige Security-Awareness-Trainings: Durch Sicherheitstrainings werden die Mitarbeiter hinsichtlich verschiedener Cyber-Gefahren sensibilisiert – und sind somit weniger anfällig, Hackern ins Netz zu geraten. 37 Prozent der Befragten trainiert die Mitarbeiter regelmäßig darauf, Cyber-Attacken zu identifizieren. Als bevorzugte Methode nutzen davon 66 Prozent Gruppentrainings mit internen IT-Teams.
- Integration einer mehrschichtigen Sicherheitsarchitektur: Den besten Schutz gegen die kontinuierlich steigenden Cyber-Risiken stellt eine mehrschichtige Sicherheitsstrategie dar, also eine Kombination unterschiedlicher Methoden. In jedem Fall sollte darauf verzichtet werden, lediglich ein einziges Sicherheitsprodukt zu verwenden. Externe Dienstleister wie Mimecast bieten in der Zusammenarbeit mit Partnern über APIs maßgeschneiderte Lösungen, die einfach zu integrieren und dabei besonders benutzerfreundlich sowie effektiv sind. 95 Prozent der Gesundheitsorganisationen geben an, dass es bei der Auswahl eines Sicherheitsdienstleisters einen Einfluss habe, ob dieser über eine offene API-Plattform verfügt.
„Krankenhäuser und andere Pflegeeinrichtungen müssen rund um die Uhr funktionieren, um die Gesundheit ihrer Patienten gewährleisten zu können. Die Aufrechterhaltung des Geschäftsbetriebs hat daher höchste Priorität“, sagt Bernd Hohlweg, Director Marketing DACH bei Mimecast. „Cyber-Attacken bedrohen zunehmend diesen Auftrag – und im schlimmsten Fall Patientenleben. Nur die Entwicklung einer robusten Cyber-Resilienz-Strategie und die Implementierung mehrerer Sicherheitsebenen schützen Organisationen zuverlässig vor Cyber-Angriffen und stellen den Betrieb und die Patientenversorgung im Falle eines Angriffs sicher.“ (rhh)
