Hacker-AttackenExperten warnen vor Cyber-Angriffen auf Krankenhäuser und Energie
OP im Krankenhaus
Copyright: picture alliance / Jan Woitas/dpa-Zentralbild/dpa
Köln – „Nach wie vor stellt das BSI eine erhöhte Bedrohungslage für Deutschland fest“, erklärt das Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig, seitdem der russische Angriffskrieg auf die Ukraine begonnen hat. „Dies gilt grundsätzlich auch für Kritische Infrastrukturen“, heißt es weiter. Unter die „Kritis“ fallen Infrastrukturen, die für die Aufrechterhaltung unseres regulären gesellschaftlichen Lebens notwendig sind, wie zum Beispiel die Versorgung mit Strom, Wärme und Wasser, aber auch das Finanz-, Transport- und Gesundheitswesen.
Expertinnen und Experten sorgen sich vor allem, dass Hacker die Kritis erpressen oder gar lahmlegen könnten. Das könnte zu erheblichen Schäden finanzieller Natur führen, gerade im Gesundheitssektor aber auch zum Verlust von Menschenleben. Schon vor dem Ukraine-Krieg meldeten Krankenhäuser regelmäßig Lahmlegungen oder Probleme durch Hackerangriffe – angesichts der vielfältigen Technologie, die mittlerweile genutzt wird, ein Risiko.
Erst im April kam es zu Ausfällen etlicher Windkraftanlagen; am Tag, als Russland seinen Angriffskrieg startete, waren es gar Tausende Anlagen in ganz Deutschland. Während die Betreiberunternehmen einen russischen Cyberangriff vermuteten, schloss das BSI einen solchen zumindest nicht aus.
Phishing in Krankenhäusern
„Durch den Ukraine-Krieg hat die Cyber-Bedrohungslage in vielen Unternehmen zu einer neuen Lagebewertung geführt, wodurch weitergehende Maßnahmen geplant und umgesetzt werden“, sagt Sönke Pingel, der beim Energieunternehmen EnBW für kritische Infrastrukturen zuständig ist. Eine 100-prozentige Sicherheit könne es zwar nie geben, man müsse aber Vorsorge betreiben.
Das bedeutet, die digitale Sicherheitsabwehr im Unternehmen stärken, Mitarbeitende auf Sicherheitsrisiken schulen und bei einem Ausfall versuchen, die Arbeit zu gewährleisten. „Das Problem ist, dass die Auswirkungen erst da sind, wenn der Angriff bereits erfolgt ist“, sagt Kai Martius, Technologie-Chef beim IT-Sicherheitsunternehmen Secunet Security Network. Ihm zufolge sei das Bedrohungspotential auch wegen der zunehmenden Menge der technologischen Infrastruktur gestiegen.
Markus Holzbrecher-Morys, der bei der Deutschen Krankenhaus Gesellschaft Geschäftsführer für die Bereiche IT, Datenaustausch und E-Health ist, aber sagt: „Eine aktuell besondere Bedrohung sehe ich in deutschen Krankenhäusern nicht – wir bemerken aber eine erhöhte Phishing- und Spam-Welle, auch im Vergleich zu den vorherigen Monaten“, sagt er. „Die Wellen kommen in immer kürzeren Abständen und werden immer mächtiger.“ Ob es einen Zusammenhang zu Russland gibt, könne er nicht sagen.
Mitarbeiter müssen geschult werden
Phishing ist eines der größten Probleme für Unternehmen. Dabei erhalten Mitarbeiterinnen und Mitarbeiter E-Mails, die vorgeben, von einem vertrauenswürdigen Absender zu stammen. Sie fordern die Empfängerinnen und Empfänger auf, zum Beispiel Bankdaten oder andere wichtige Zugangsdaten aus dem Unternehmenskontext einzugeben, weil das beispielsweise aus Sicherheitsgründen notwendig wäre. Da es sich um gefälschte Mails und Webseiten handelt, gelangen die Daten in die Hände der Kriminellen, die damit Konten plündern oder Zugriff auf die Unternehmenssysteme haben, und sie von dort aus lahmlegen können.
Schon länger beobachtet das Kölner Cybersicherheitsunternehmen SoSafe ein erhöhtes Aufkommen von Phishing, besonders zuletzt im Kontext mit der Ukraine: Mails üben emotionalen Druck auf die Empfängerinnen und Empfänger aus, über einen mitgesendeten Link Geld an geflüchtete Ukrainerinnen und Ukrainer zu spenden. Auch hierbei landen Daten und Geld statt bei Hilfsbedürftigen bei Hackern. Ähnlich funktioniert der sogenannte CEO-Fraud (CEO-Betrug): Hacker geben sich als Mitglied der Geschäftsführung aus, um Zugangsdaten von Mitarbeitenden zu stehlen. Aus falschem Vertrauen oder Sorge vor Fehlverhalten folgen Mitarbeitende den Aufforderungen des Absenders.
Das könnte Sie auch interessieren:
„Das Thema Awareness muss gerade bei Mitarbeitern in Krankenhäusern früh nach oben gestellt werden, sie sind eines der größten Einfallstore“, sagt Holzbrecher-Morys. Er spricht sich für Kampagnen und konkrete Hilfen für alle Berufsgruppen in Krankenhäusern aus. Auch bei den eigentlichen Betreibern der Kritis müssten Kompetenzen aufgebaut werden, damit diese Entscheidungen fundiert treffen können, sagt Marius Feldmann, Chief Operations Officer beim Green-IT-Unternehmen Cloud&Heat Technologies. „So ein Thema muss über Jahrzehnte gedacht werden, denn Cyber-Risiken sind akut, dauerhaft und ganzheitlich.“