IT-Station: Ransomware-Welle zum Jahresende

Es besteht Handlungsbedarf, sagt unser Cybersicherheits-Experte Thomas Bail. Denn Cyberkriminelle würden gerade jetzt zum Jahresende die dünne Personaldecke für Ransomware-Angriffe nutzen.

Die Bedrohungslage für Gesundheitsorganisationen verschärft sich, insbesondere zum Jahresende, wenn Cyberkriminelle gezielt die reduzierte Personalverfügbarkeit ausnutzen. Laut einer aktuellen Umfrage von Sophos waren in diesem Jahr 67 Prozent der Gesundheitsorganisationen von Ransomware betroffen, im Vergleich zu 60 Prozent im Jahr 2023. Diese Entwicklung zeigt, dass die Gesundheitsbranche verstärkt im Fokus von Cyberkriminellen steht, während die Angriffe in anderen Sektoren zurückgehen. Die Folgen für die Patientenversorgung sind erheblich. Denn auch die Erholungszeit nach einem Angriff verlängert sich zunehmend. Nur 22 Prozent der betroffenen Organisationen konnten sich innerhalb einer Woche erholen, während 37 Prozent mehr als einen Monat benötigten – ein deutlicher Rückgang im Vergleich zum Vorjahr (47 Prozent). Diese verlängerten Wiederherstellungszeiten bedeuten hohe Kosten und ernsthafte Risiken für die Patientenversorgung.

Gesundheitsorganisationen zahlen zudem häufiger und höhere Lösegeldsummen als andere Branchen: 53 Prozent der betroffenen Organisationen zahlten Lösegeld und 57 Prozent gaben an, mehr als ursprünglich gefordert zu haben. Gesundheitsorganisationen müssen daher jetzt handeln, um ihre Sicherheit zu erhöhen und mögliche Angriffe abzuwehren.

Letzte Rettung Backup

Sicherheitskopien sind im Falle eines Ransomware-Angriffs oft die letzte Rettung. Wenn Angreifer Systeme verschlüsseln, bleibt meist nur ein intaktes Backup, um die Daten wiederherzustellen. Laut einer Sosafe-Umfrage verlassen sich deshalb auch 73 Prozent der betroffenen Gesundheitsorganisationen auf ihre Backups, um nach einem Angriff die Systeme wiederherzustellen. Dafür ist es allerdings essenziell, dass Backups aktuell und in einer airgapped Umgebung gespeichert sind. Auch regelmäßige Tests, ob die Backups funktionieren und zugänglich sind, gehören unbedingt dazu – genauso wie neben den lokalen Daten auch an die SaaS-Daten zu denken.

Mitarbeiter sensibilisieren

Phishing bleibt einer der Hauptzugangswege für Ransomware-Angriffe. Am Jahresende steigt die Wahrscheinlichkeit, dass Mitarbeitende aufgrund der Arbeitsbelastung auf schädliche Links klicken. Auch hier zeigt die Sosafe-Studie, dass Phishing und Social Engineering für über 50 Prozent der erfolgreichen Ransomware-Angriffe im Gesundheitswesen verantwortlich sind. Mitarbeitenden zu sensibilisieren – insbesondere für verdächtige E-Mails, die angeblich von der IT-Abteilung oder Vorgesetzten stammen – ist deshalb enorm wichtig. Denn auch dank KI werden diese E-Mails immer „besser“ und „professioneller“.

Systeme patchen

Regelmäßiges Patchen von Software und konsequentes Schwachstellenmanagement sind entscheidend, um Ransomware-Angriffe zu vermeiden. Viele Angreifer nutzen bekannte Sicherheitslücken aus, für die oft bereits Updates verfügbar sind. Hier ist Vorsorge mit einem systematischem Patch-Management sogar verhältnismäßig einfach. Es stellt sicher, dass alle Systeme – insbesondere kritische Infrastruktur – regelmäßig aktualisiert werden. Schwachstellenbewertungen helfen, priorisierte Systeme gezielt zu patchen und so die allgemeine Sicherheitslage innerhalb einer Organisation zu erhöhen.

Reaktive Vorbereitung für den Ernstfall

Da es keine hundertprozentige Sicherheit gibt, ist es zudem wichtig, Business-Continuity-Management-Prozesse (BCM) festzulegen, die kritische Abläufe auch ohne IT sicherstellen. Dafür gilt es, zunächst zu hinterfragen, welche kritischen Prozesse ohne IT fortgeführt werden müssen und welche Vorbereitungen dafür erforderlich sind. Hierfür müssen entsprechende Vorkehrungen getroffen werden – beispielsweise müssen ausgedruckte Formulare im Ernstfall verfügbar sein, Daten manuell erfasst und alternative Kommunikationswege geschaffen werden. Das alles hilft, den Betrieb auch im Falle eines IT-Ausfalls so weit wie möglich aufrechtzuerhalten und die Auswirkungen auf Patientenversorgung und Geschäftsprozesse zu minimieren.

Auch den Incident Response Plan gilt es jederzeit aktuell zu halten – besonders in Bezug auf kritische Leistungen der Patientenversorgung. Falls kein Plan vorhanden ist, reicht es im ersten Schritt oftmals schon, die wichtigsten Maßnahmen kurz und prägnant festzulegen. Eine einfache, ausgedruckte Kontaktliste hilft beispielsweise schon, im Ernstfall die richtigen Ansprechpartner zu kennen. Alle Beteiligten müssen wissen, was im Ernstfall zu tun ist. Tabletop-Exercises können dabei Schwächen aufzeigen und Reaktionszeiten verkürzen.

Incident Response Retainer nutzen

Und weil die Zahl der Angriffe so kontinuierlich steigt, bieten Cybersicherheitsexperten mittlerweile sogar Incident Response Retainer an. Damit holen sich Organisationen bei einem Angriff gezielt geschulte Fachkräfte ins Hause, die ruhig und vor allem effektiv handeln. Sie unterstützen Gesundheitsorganisationen bei der Analyse, Schadensbegrenzung und Wiederherstellung nach einem Vorfall. Und auch bereits im Vorfeld können sie wertvolle Hinweise zur Vorbereitung auf einen möglichen Vorfall geben. Ein Incident Response Retainer minimiert die Auswirkungen eines Angriffs erheblich und bietet eine wertvolle externe Perspektive.

In jedem Fall ist es für Gesundheitsorganisationen klug, jetzt zu handeln, da die Bedrohungslage akut ist. Auch wenn nicht alle Maßnahmen zu 100 Prozent umgesetzt werden können, erhöht jede kleine Verbesserung die Sicherheit. Ratsam ist es, zunächst auf einfache, praxisnahe Hilfestellungen zu setzen– sie sind oft effektiver als komplexe theoretische Ansätze. Cybersicherheit ist ein fortlaufender Prozess, der ständige Überprüfung und Anpassung verlangt. Wer jetzt die Basics in den schwächsten Bereichen stärkt, schafft langfristig eine solide Sicherheitsbasis für die gesamte Organisation und kann darauf kontinuierlich aufbauen.

Thomas Bail ist Geschäftsführer der Wolkenwerft GmbH. Mit 30 Jahren IT-Erfahrung legt er seinen Schwerpunkt auf Cybersecurity, insbesondere auf autonome Penetrationstests. Seine Leidenschaft liegt in der Reduzierung der Komplexität im Bereich Security, um Unternehmen einfacher und effizienter vor Bedrohungen zu schützen.