Anhoren
Teilen
Erst nach und nach wird das gesamte Ausmaß des Cyberangriffs auf den Abrechnungsdienstleister Unimed öffentlich – und hinterlässt damit einen Beigeschmack. Was der Fall lehren sollte.
So viel vorab: Das gesamte Ausmaß des Angriffs auf den Abrechnungsdienstleister Unimed ist nach wie vor unklar. Und doch kommen jetzt scheibchenweise weitere Informationen ans Licht. Nach den Unikliniken Freiburg und Ulm haben nun auch das Uniklinikum Schleswig-Holstein, die Unimedizin Mainz sowie die Unikliniken in Köln, Düsseldorf und im Saarland berichtet, dass dort ebenfalls Patientendaten betroffen sind. Schaut man auf die Internetseite von Unimed, wird deutlich, dass weitere große Häuser zu den Kunden zählen und sich daher potenziell weitere Betroffene melden könnten, darunter auch die Charité in Berlin. Mittlerweile ist von über 100.000 gestohlenen Daten die Rede.
Unimed selbst hatte sich erst am Freitag mit einem Statement zum Vorfall geäußert, betont, dass man kurze Zeit später bereits wieder uneingeschränkt arbeitsfähig gewesen und dass das eigentliche Ziel, nämlich die Verschlüsselung des Systems, nicht geglückt sei. Allerdings hätten die Angreifer bevor sie abgewehrt wurden, eben „in einem begrenzten Bereich“ Daten entwendet.
In dem Statement heißt es „Unimed bedauert diesen Vorfall zutiefst, nimmt ihn sehr ernst und ist sich der möglichen Auswirkungen auf Kunden und deren Patienten bewusst. Daher hat Unimed die betroffenen Daten nach der Sicherung der IT-Systeme mit der gebotenen Gründlichkeit und Unterstützung durch externe Datenforensiker analysiert und die Ergebnisse Kunden zur Verfügung gestellt.“
Gelungene Kommunikation geht anders
Und genau diese Ernsthaftigkeit mag so mancher Beobachter in Frage stellen. Denn zwischen dem eigentlichen Vorfall und der nun erfolgten Kommunikation sind knapp vier Wochen vergangen. Zwar betont Unimed, dass man stets mit Behörden und Kunden im Austausch gestanden habe, eine transparente Kommunikation sieht dennoch anderes aus, vor allem, weil mittels klassischer Salamitaktik nun nach und nach Fakten ans Licht kommen.
Auch für Dr. Dirk Stein, Professor für Entrepreneurship und Digital Business an der FOM Hochschule, ist es völlig inakzeptabel, dass ein Monat vergeht, bis das Ausmaß eines Cyberangriffs auf Patientendaten festgestellt wird: „Gesundheitsdaten sind nach dem 10. Sozialgesetzbuch die kritischsten Daten überhaupt und insbesondere im Gesundheitswesen dürfen wir uns in Deutschland keine monatelangen Detektionszeiten mehr leisten.“
Darüber hinaus warnt Prof. Stein vor der Scheinsicherheit bei Dienstleistern: „Die Annahme, Daten würden nicht veröffentlicht, nur, weil der Dienstleister es sagt, ist kein hinreichendes Sicherheitskonzept.“ Einmal entwendet könnten auch unveröffentlichte Daten im Darknet gehandelt und für Identitätsdiebstahl oder Erpressung genutzt werden. Und Stein sieht auch eine systemische Anfälligkeit. Denn wie der Fall Unimed zeigt, werden Dienstleister schnell zum „Single Point of Failure“, wenn sie hunderttausende Daten von Privatpatienten und Selbstzahlern ohne ausreichende Sicherheitsarchitekturen oder Echtzeiterkennung verwalten. Heißt konkret: Solche offensichtlichen Schwachstellen werden in Zukunft wohl noch öfter ausgenutzt.
KI: Fluch und Segen
Schon jetzt ist auffällig, welche Ziele sich die Ransomware-Banden aussuchen – und dann auch noch dermaßen erfolgreich sind. Unimed ist zwar Markführer bei Abrechnungen von privaten medizinischen Dienstleistungen, allen voran in Kliniken, dennoch steht das Unternehmen kommunikativ nicht klassische in der ersten Reihe. Ähnlich verhält es sich bei der Arbeitsgemeinschaft Wirtschaftlichkeitsprüfung Niedersachsen, die noch einmal deutlich unbekannter sein dürfte und ebenfalls gerade von einer international agierenden Ransomware-Bande angegriffen wurde. Auch Prof. Stein hält gezieltes Targeting durch eine KI in beiden Fällen für möglich.
Viel wichtiger als Spekulationen über das Wie sind jetzt jedoch gezielte Maßnahmen, um Patientendaten sicherer zu machen. Für Stein heißt das klar aufrüsten in puncto Cybersicherheit. Etwa mit einem verpflichtenden Echtzeit-Security Monitoring für alle Anbieter im Gesundheitswesen, die Patientendaten verarbeiten, automatische Meldepflicht bei Anomalien inneralb von 24 Stunden an die Regulierungsbehörden – eben so, wie es der Cyber Resilience Act der EU ab September ohnehin für andere Branchen vorschreibt.
„Gesetzgeber und Regulierungsbehörden müssen diesen Fall umgehend nutzen, eine BSI-Zertifizierung für Dienstleister im Gesundheitswesen einzuführen“, ist Prof. Stein außerdem überzeugt. Und auch eine Datenminimierung sowie technische Trennung der Daten von klinischen Systemen hält der Experte für unabdingbar. Vor allem Zugriffskontrollen müssten künftig nachweislich technisch getrennt sein.
Saubere Aufarbeitung kann helfen
Ein bekanntes Sprichwort beginnt mit den Worten „Wer den Schaden hat“. Und vermutlich ist die Salamitaktik als Kommunikationslösung auch deshalb nach wie vor so beliebt. Was dabei jedoch nicht berücksichtig wird: Wir leben in einer Welt, in der den Schaden jeder haben kann, täglich, ganz real und das mit hoher Wahrscheinlichkeit. Wenn es also gelingt, die Scham über einen solchen Vorfall – der kommunikativ ganz klar der Supergau ist – beiseitezulegen, transparent zu analysieren, was konkret schiefgelaufen ist, wo im Prozess es Lücken gab und was verbessert werden muss, dann könnten alle aus den Angriffen lernen. Denn das ist, was nun dringend passieren muss. Deutschland liegt strategisch in der Mitte Europas und ist alleine damit schon strategisches Ziel für einige der aktuell in Konflikte und Kriege verwickelten Staaten. Angriffe werden mehr, dreister und für die Kriminellen lukrativer und darauf braucht das Gesundheitswesen Antworten.
