Anhoren
Teilen
Gesprochen wird viel über Cybersecurity im Gesundheitswesen. Das aktuelle Datenleck beim Vertrauensdienstanbieter D-Trust zeigt: Getan werden muss noch mehr.
Es ist dieser eine Satz, der in puncto Cybersecurity gerne wiederholt wird: Eine hundertprozentige Sicherheit gibt es nicht. Das ist richtig und auch wichtig zu wissen. Nur darf das keinesfalls dazu verleiten, es gar nicht erst zu versuchen – nach dem Motto: man scheitert ja eh.
Vor allem dürfen sich die Akteure im Gesundheitswesen jetzt nicht ausruhen, wo die Digitalisierung weiter an Fahrt aufnimmt: E-Rezept, ePA, Cloud-Migration der Krankenhausinformationssysteme und vieles mehr. Das alles sind richtige und wichtige Schritte für ein effizienteres Gesundheitswesen, machen eben dieses aber auch äußerst attraktiv für Cyberkriminelle – weil es was zu holen gibt, weil die viele Legacy einiges an Einfallstoren bietet und eben auch, weil der Cybersicherheitsstandard nicht so hoch ist, wie er sein könnte.
Angriff auf Vertrauensdienstanbieter
Wie geschickt die Gegenseite mittlerweile vorgehen kann – nicht alle Angriffe sind geschickt, manche eher chaotisch – zeigt der aktuelle Fall des Vertrauensdienstanbieter D-Trust. Zu Erinnerung: Vertrauensdienstanbieter sind jene Unternehmen, die mit technologischen Lösungen sichere digitale Geschäftsprozesse und Identitäten anbieten – also quasi das Vertrauen in die Digitalisierung stärken sollen.
Und genau hier haben Cyberkriminelle vergangene Woche zugeschlagen. Angegriffen wurde ein Antragsportal von D-Trust über eine gezielt manipulierte Schnittstelle, wie das Unternehmen selbst im Rahmen regelmäßiger Updates zum Vorfall kommuniziert. Darüber konnten Daten aus dem Antragsbearbeitungssystem ausgelesen werden, was vor allem auch Antragsdaten für elektronische Heilberufsausweise (eHBA) und Praxis- bzw. Institutionsausweise (SMC-B) betrifft.
Bei den abgerufenen Daten handelt es sich um personenbezogene Daten wie Vor- und Nachname, E-Mail-Adresse, Geburtsdatum und in einigen Fällen auch Ausweis- und Adressdaten, berichtet D-Trust. Veränderungen der Antragsdaten hätten nicht stattgefunden, genauso wenig seien Funktion oder Sicherheit der ausgegebenen Signatur- und Siegelkarten, der eHBA oder die SMC-B beeinträchtigt. Auch Login-und Zahlungsinformationen seien nicht kompromittiert.
Weckruf
Natürlich arbeitet D-Trust eng mit den Strafermittlungsbehörden zusammen und auch das personelle Aufgebot, das in Berlin an der Aufarbeitung beteiligt ist, dürfte groß sein. Kurz: Vermutlich erleben wir dort einen vorbildlichen Umgang mit einem Cybervorfall, aus dem viele andere Institutionen vielleicht noch lernen können. Das ist im Übrigen auch dem Klinikum Ingolstadt im Dezember vergangenen Jahres gelungen, die ihren Cybervorfall nicht nur kommunikativ mit Bravour gemanagt haben.
Und genau deshalb muss im Gesundheitswesen mehr über derartige Vorfälle und Angriffe gesprochen werden. Denn sie passieren – immer und überall, manchmal werden sie früh bemerkt, manchmal lange Zeit überhaupt nicht, wie bei dem Cyberangriff auf die großen US-Netzbetreiber wie AT&T, Verizon oder T-Mobile. Er wurde Anfang Oktober letzten Jahres entdeckt und sei „der größte Telekommunikationshack in der Geschichte der USA – und zwar mit Abstand”, wie es der Vorsitzende des für den Geheimdienst zuständigen Senatsausschuss Mark Warner damals treffend bezeichnete. Die mutmaßlich aus China kommenden Angreifer dürften sich seit über einem Jahr im System befinden und sie „rauszuwerfen“ sei nicht so einfach. Dafür müssten „buchstäblich tausende Geräte ausgetauscht werden“, vor allem Switches und Router, sagte der Senator.
Sensibilisierung nötig
Was die Fälle eindrucksvoll zeigen: Es kann jeden treffen, womit wir wieder beim Eingangsstatement „eine hundertprozentige Sicherheit gibt es nicht“ sind. Vertrauensdienstanbieter, Telekommunikationsgesellschaften, Kliniken, KIS-Hersteller, Labore, Arztpraxen – sie alle wurden schon angegriffen und werden es auch weiterhin. Und genau darüber sollten wir sprechen, die Angriffe aufarbeiten, aus dem Vorgehen der Angreifer lernen und den Schutz in der Konsequenz wieder erhöhen. Genau das ist auch die Idee des „Action Plan“ zur Cyberabwehr der EU. Allerdings wird es dauern, bis diese Action auch im Gesundheitswesen ankommt.
Der dringende Appell lautet daher: Selbst aktiv werden, Cybersecurity trotz vieler anderer elementarer und zeitkritischer Themen oben auf der Agenda platzieren und Vorbereitungen für den Ernstfall treffen – beispielsweise auch, wann Verhandlungen und/oder Lösegeldzahlungen bei einem Ransomware-Angriff die bessere Option sind. Damit rückt die hundertprozentige Sicherheit vielleicht sogar in Sichtweite – auch wenn sie nicht zu erreichen ist.
