Wenn Computerviren Kliniken lahmlegen
Saarbrücken · Der Arbeitsalltag in Kliniken ist größtenteils digitalisiert. Das vereinfacht die Verwaltung, doch werden sie so auch für Hacker angreifbar, die den Betrieb lahmlegen können. Die Kriminellen haben es besonders auf Patientenakten abgesehen.
Ein voll digitalisiertes Krankenhaus, in dem Ärzte von überall Daten und Diagnosen aufrufen können? Andreas Jeck winkt ab. "Technisch ist es natürlich möglich, völlig vernetzt zu arbeiten, aber wir fahren lieber zweigleisig", sagt der IT-Leiter des Uniklinikums in Homburg. Die Ärzte rufen Patientenakten zwar digital auf, ergänzen aber die Befunde auch auf Papier.
Das Uniklinikum könne so auch bei einem IT-Ausfall weitestgehend reibungslos arbeiten. Ein komplett digitalisiertes Krankenhaus sei für Cyber-Kriminelle ein zu einladendes Ziel.
Wie leicht ein Krankenhaus lahmzulegen ist, haben Hacker im Februar in einer Neusser Klinik gezeigt. Sie schleusten einen Virus ein. Die Schadsoftware verschlüsselte Patientenakten und andere Dateien . Nur gegen Lösegeld bekäme die Klinik den Code zur Entschlüsselung, lautete die Botschaft der Angreifer. Dem Krankenhaus drohte ein Datenskandal, da in den Patientenakten Versicherungsnummer, Diagnosen und Behandlungsmethoden vermerkt sind. Die Leitung fuhr aus Vorsicht sämtliche Server und Rechner herunter. Über Tage konnten viele medizinische Geräte nicht genutzt werden.
Nach Erkenntnissen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) waren Angriffe auf Krankenhäuser Teil einer weitgefassten Attacke gegen Bürger und Unternehmen. Die Kriminellen wollten viele IT-Systeme infizieren und schnelle Profite einfahren.
Der Virus war in allen Fällen eine Variante der Schadsoftware Tesla Crypt. Unter dem Deckmantel einer angeblich echten E-Mail-Adresse verschickten die Cyberkriminellen den Virus als harmlosen Anhang getarnt. Sobald der Empfänger die Mail öffnete, wurde der Virus aktiv. Er untersuchte die Systeme nach Sicherheitslücken und begann, bestimmte Dateien zu verschlüsseln. Anschließend stellten die Hacker ihre Forderung nach Lösegeld.
Heiko Ries, Vorsitzender des Bundesverbandes der IT-Leiter in Krankenhäusern, ist sich sicher, dass eine zweistellige Zahl von Kliniken betroffen war. Jeck sieht das saarländische Uni-Klinikum allerdings gegen Erpressung-Versuche wie im Fall des Neusser Krankenhauses gut gewappnet. "Um zu verhindern, dass solch ein Virus sich im gesamten IT-System der Klinik einnistet, haben wir getrennte Netzwerke eingerichtet", erklärt der IT-Leiter. Nur mit einer bestimmten Berechtigung könnte diese untereinander Daten austauschen oder Zugang zum Internet erlangen. Sollten dennoch Teilnetze befallen werden, könnten diese heruntergefahren werden. Damit die Klinik durch Datenklau nicht erpressbar wird, lässt Jeck Laborergebnisse oder Diagnosen täglich auf Magnetbänder kopieren. Im Gegensatz zur Datensicherung auf Servern, könnten Verschlüsselungs-Trojaner darauf gespeicherte Patienten-Akten nicht beschädigen. Ultraschall, Röntgen- oder Beatmungsgeräte besäßen gar keinen Zugang zum Internet.
"So wollen wir verhindern, dass die Geräte und ihre Software von Hackern gekapert werden", sagt er. IT-Wissenschaftler Tim Wambach von der Uni Koblenz sieht dies als die größte Herausforderung für Krankenhäuser an. Die Kliniken hätten ihre IT-Systeme über Jahre aufgebaut. Ein einheitliches schlüssiges Sicherheitskonzept fehle. Viele Komponenten wie Rechner oder medizinische Geräte seien nicht dafür ausgelegt, untereinander vernetzt zu werden. "Die Systeme funktionieren zwar, aber wegen unterschiedlicher Software und Schnittstellen können sich Sicherheitslücken auftun, die nicht sofort als solche erkannt werden", sagt der Wissenschaftler. Sollte es Hackern gelingen, in Krankenhäuser Schadsoftware einzuschleusen, hätten diese Programme leichtes Spiel.
Dieser Zustand werde auch noch eine Weile anhalten, befürchtet Heiko Ries vom Verband der IT-Leiter in Krankenhäusern. 42 Prozent der Kliniken schrieben rote Zahlen und würden ohnehin knausern. Meist spiele die IT-Sicherheit im Budget eine untergeordnete Rolle. "Es fehlt durchgängig an Personal und moderner Technik", sagt er. Investiert werde lieber in Apparate oder Ausstattung, um die Betriebe profitabler zu machen. Ries hält regelmäßige Schulungen für nötig. "Viele haben wenig Gespür, mit Daten verantwortungsvoll umzugehen und öffnen unbedacht E-Mails unbekannter Absender", sagt er.
Thomas Jäschke, dessen Firma Datatree Kliniken in der IT-Sicherheit berät, sieht das ähnlich. So hoch auch die Sicherheitshürden seien, Hacker können auf die Unkenntnis vieler Anwender zählen. "Der nächste Trojaner könnte nicht nur Dateien verschlüsseln, sondern diese an Dritte weiterleiten", warnt er.
Diese Sorge ist nicht unbegründet. In einer Sicherheits-Studie kam der IT-Dienstleister IBM zu dem Ergebnis, dass ein florierender Handel mit rund 100 Millionen Patientenakten auf Internet-Schwarzmärkten stattfindet. Für die Daten eines Patienten werde bis zu 200 Dollar gezahlt.
