Achtung Angriff!

Die Schlagzahl der Cyberangriffe auf das Gesundheitswesen nimmt zu und keiner zweifelt an, dass deren Abwehr ein wichtiges Thema ist. Und doch ist in puncto Cybersicherheit noch viel Luft nach oben – weil die Bedrohungslage zum einen differenzierter wird und der Faktor Mensch zum anderen zu wenig berücksichtigt wird, sagen Dr. Nicolas Krämer und Mike Schubert im Gespräch mit unserer Chefredakteurin.

Herr Dr. Krämer, Sie verfolgen die Medienberichte zum Cyberangriff auf den Abrechnungsdienstleister Unimed. Als jemand, der bei einem solchen Vorfall vor Jahren schon einmal für das Krisenmanagement eines kommunalen Krankenhauses verantwortlich war, wie bewerten Sie die aktuelle Situation?

Als das Lukaskrankenhaus 2016 Opfer eines Cyberangriffs wurde, war es üblich, derartige Sicherheitsvorfälle eher unter den Teppich zu kehren. Daher wurden mein Auftreten und die öffentlich doch sehr transparente Kommunikation auch als dermaßen ungewöhnlich wahrgenommen. Und ich glaube, an dieser grundsätzlichen inneren Einstellung zum Schweigen hat sich bis heute nur wenig verändert. Das liegt zum einen daran, dass Krankenhäuser und andere Organisationen im Gesundheitswesen häufig kommunikativ nicht wirklich gut aufgestellt sind. Und dann wird natürlich auch der Vertrauensschaden bei Kunden, Patienten und Angehörigen gefürchtet. Diese grundsätzliche Tendenz, eher reaktiv zu handeln, erkenne ich auch im Fall Unimed.

Dr. Nicolas Krämer

So ganz kann ich die Argumentation dahinter nicht nachvollziehen. Es wird immer davon gesprochen, dass eine hundertprozentige Sicherheit nicht möglich ist, es jederzeit jeden treffen kann, auch weil hinter den Angriffen teilweise hochkomplex organisierte Banden oder sogar Staaten stecken. Von Schuldzuweisung oder Häme sind wir damit doch weit entfernt. Wären Offenheit und Transparenz dann nicht der bessere Weg?

Absolut, zumal eine gut gemangte Krise mit transparenter Kommunikation auch durchaus das Vertrauen stärken kann – vor allem, da irgendwann die Fakten ja ohnehin auf dem Tisch landen. Wir mussten in Neuss 2016 im Rahmen des Krisenmanagements ein für damalige deutsche Verhältnisse hochdigitales Krankenhaus auf den analogen Betrieb umstellen, was massive Auswirkungen auf die Prozesse hatte. Darüber mussten wir natürlich Belegschaft, Patienten und Angehörige informieren, was wir über gedruckte Informationsblätter organisiert haben. Damit kam für uns zwangsläufig auch die Frage auf, was passiert, wenn eines dieser Infoblätter das Haus verlässt und in der Redaktion einer Lokalzeitung landet. Aus damaliger Sicht war es gar nicht möglich, Kommunikation nicht mitzudenken, und es war genauso schnell klar, dass die proaktiv erfolgen musste. Die Welle, die wir damit lostreten würden, dass in den Tagen danach über 300 Presseberichte erscheinen würden und sogar BBC London Statements haben wollte, war uns da nicht klar. Aber das große Interesse lag schlicht daran, dass offene Kommunikation nach einem Cyberangriff wie gesagt ein absolutes Novum war.

Würden Sie es heute wieder so handhaben?

Definitiv, weil wir zu jeder Zeit die Kontrolle über das Narrativ hatten und uns damit nicht zu Getriebenen der Medienanfragen gemacht haben. Und ich glaube auch, dass wir einen Beitrag dazu geleistet haben, dass sich die Branche heute insgesamt offener zeigt, auch über IT- und Datensicherheit zu sprechen.

Herr Schubert, Sie schauen mit dem Blick eines Katastrophenschützers und Krisenmanagers auf den aktuellen Vorfall bei Unimed. Sehen Sie Argumente, die gegen eine schnelle und transparente Kommunikation sprechen?

Die Frage ist, was Sie als schnell und transparent bezeichnen. Was wir bei derartigen Angriffen nicht vergessen dürfen: Es sind immer auch Ermittlungsbehörden involviert und aus ermittlungstechnischen Gründen kann es durchaus sinnvoll sein, die Kommunikation zu verzögern. Der Fall Ameos aus dem vergangenen Jahr sei hierfür exemplarisch genannt. Wo ich mit Dr. Krämer übereinstimme: Am Ende kommen die Fakten eh raus, weshalb eine Salamitaktik der Reputation eher schadet. Ich glaube aber auch, dass wir an einem Punkt bisher zu wenig dazugelernt haben, und zwar bei der Frage, wie professionell man sich auf derartige Angriffe vorbereitet.

Mike Schubert (Fotografin Kathleen Friedrich)

Sehen Sie hier Defizite?

Wenn ich mich mit Verantwortlichen in Kliniken unterhalte, bezweifelt niemand, dass Cybersicherheit ein wichtiges Thema ist. Das Aber folgt dann allerdings auf dem Fuße mit der Begründung knapper finanzieller Ressourcen – eine Argumentation, die man angesichts des wirtschaftlichen Schadens, der bei einem solchen Angriff entsteht, kaum nachvollziehen kann. Ich bringe an dieser Stelle gerne den Vergleich mit einem Segelboot. Nicht einmal ein Freizeitkapitän würde Menschen ohne eine kurze Sicherheitseinweisung an Bord lassen. Krankenhäuser leisten sich oft Wirtschaftsbetrieb ohne regelmäßige Sicherheitseinweisung und Trockenübung – und das, obwohl wir alle paar Monate erneut große Angriffe erleben. Für mich hat das etwas von einer Krisenamnesie.

Krisenamnesie oder eher Hoffnung, dass es mich nicht trifft, Herr Dr. Krämer? Denn die leeren Kassen in den Kliniken sind ja nicht wegzudiskutieren…

IT-Sicherheit kostet Geld, das ist richtig. Aus meiner Erfahrung weiß ich allerdings auch, dass riesige Budgets für Abwehrtechnologien nicht helfen, wenn der Faktor Mensch übersehen wird. Und der spielt nach wie vor eine entscheidende Rolle. Es kann also nicht nur ums Geld gehen, sondern muss gleichzeitig um die Sensibilisierung der Belegschaft gehen – etwa, dass ein Windowskennwort Start123 keine gute Idee ist. Dass mangelnde IT-Sicherheit nur an leeren Kassen liegt, lasse ich nicht gelten. Außerdem wurden mit dem KHZG explizit 15 Prozent der 4,3 Milliarden Euro Fördergelder in Richtung IT-Sicherheit allokiert. Das sind etwas mehr als 400 Millionen Euro, was auf die rund 2.000 Häuser verteilt, immerhin noch zwei Millionen Euro pro Haus bedeutet.

Sie waren als Oberbürgermeister von Potsdam auf der anderen Seite, Herr Schubert, und unter anderem für die Finanzierung von Kliniken verantwortlich. Investieren die Länder zu wenig in die Cyberabwehr ihrer kritischen Infrastruktur?

Lassen Sie mich an dieser Stelle eine Zahl nennen, die der Bitkom Ende 2025 vorgestellt hat. Demnach beläuft sich der Schaden den Cyberattacken in der deutschen Wirtschaft verursachen mittlerweile auf über 200 Milliarden Euro. Damit stellt sich für mich die Frage, wer Cybersicherheit bezahlt, gar nicht mehr. Wir können aus meiner Sicht die Verantwortung nicht mehr grundsätzlich über diese Frage abwürgen. Hybride Angriffe sind im Alltag angekommen. Wir zahlen als Gesellschaft, wenn wir uns vor diesen Angriffen nicht besser schützen. Und ich rede hier nicht mehr nur von Patientendaten, die verschlüsselt oder gestohlen werden. In den USA erleben wir bereits, dass auch gezielt medizinische Systeme manipuliert werden und angesichts der geopolitischen Gemengelage sollten wir auch nicht länger auf die Ethik von Angreifern setzen.

Ihre Prognose ist, es wird noch schlimmer?

Weil wir schon bei Geopolitik sind: Im Fall eines Angriffs an der NATO-Ostflanke würde Deutschland zu einer Drehscheibe werden, was auch das Gesundheitswesen einschließt. Die Zahlen schwanken etwas, aber unsere Krankenhäuser müssten im Ernstfall nach Aussage der Bundeswehr täglich bis zu 1.000 Verwundete versorgen. In Zeiten, in denen in der Ukraine selbst mit dem Roten Kreuz gekennzeichnete Krankentransporter von Russland angegriffen werden, wäre es naiv zu glauben, dass man dann vor der gezielten Störung der Krankenhausversorgung zurückschreckt. Wird es schlimmer? Ich würde sagen, die Motivation für Angriffe wird potenziell breiter. Damit rückt für mich eine Gesamtresilienz der Häuser wesentlich stärker in den Fokus und die muss sich zusammensetzen aus technischen Abwehrmechanismen, aber vor allem auch aus Zeit, Personal, Redundanz und Übung. Und das geht nicht nebenbei, sondern nur mit professionellen Strukturen. Wir lassen uns ja auch nicht von einem Arzt im Nebenberuf operieren.

Wie sehen Sie das, Herr Dr. Krämer?

Ein leitender Angestellter des Verfassungsschutzes hat etwas zu mir gesagt, das mich in puncto Cybersicherheit geprägt hat: „Geben Sie nicht 10.000 Euro für eine weitere Firewall aus, geben Sie lieber 100.000 Euro aus, für jemanden, der die richtig bedient. Ich möchte also zum Abschluss noch einmal eine Lanze für den Faktor Mensch brechen, der auch im aktuellen Diskurs aus meiner Sicht zu kurz kommt. Und das unterstreicht auch, was Mike Schubert gerade gesagt hat: Ich kann die beste Alarmanlage an meinem Haus installieren, wenn dann aber der Urlaub vor der Tür steht und ich nicht weiß, wie ich sie scharf schalte, hat mich das Investment nicht weit gebracht.

Dr. Nicolas Krämer hat als Geschäftsführer des Lukaskrankenhauses Neuss das Krisenmanagement nach einem Cyberangriff verantwortet. Heute ist Dr. Krämer Vorstandsvorsitzender der HC&S AG.

Mike Schubert hat vor seiner Zeit als Oberbürgermeister von Potsdam das Koordinierungszentrum Krisenmanagement sowie das Referat für Katastrophenschutz, Krisenmanagement und Bevölkerungsschutz des Landes Brandenburg geleitet.