Aber Vorbereitung minimiert die Schäden und hilft, den Betrieb schnell wieder aufzunehmen, erklärt Matthias Frühauf, Regional Vice President für Deutschland bei Veeam Software im Interview: 

M&K: Warum werden immer mehr Krankenhäuser von Cyber-Kriminellen angegriffen – hapert es an der IT-Sicherheit?

Matthias Frühauf: Es ist eher so, dass Kliniken ein besonders attraktives Angriffsziel sind, weil hier viele, sehr wertvolle Daten gespeichert werden. Daher sind Hacker interessiert, Daten zu stehlen, um Krankenhäuser zu erpressen und hohes Lösegeld zu kassieren. Manche Angreifer wollen auch den Betrieb kritischer Infrastrukturen (KRITIS) in Deutschland stören. In Krankenhäusern ist schnell der Tagesbetrieb beeinträchtigt, OPs müssen verschoben werden oder die Notaufnahme kann nicht mehr professionell arbeiten. In manchen Fällen in jüngster Vergangenheit mussten Krankenhäuser für Tage vom Netz, um ihre Infrastrukturen von neu aufzubauen. 

 Kann man sich vor solchen Angriffen nicht schützen?                                                                         

Frühauf: Nein, das ist kaum möglich. Aber Schadensbegrenzung ist extrem wichtig. Im Idealfall kann mit Prävention eine Attacke unterbrochen werden, zumindest aber läuft der Betrieb schnell wieder an und es kann verhindert werden, dass Daten gestohlen werden oder verloren gehen. Fehlt die Vorbereitung, kann das eine wahrscheinlich ineffektive – da unvorbereitete – Reaktion zur Folge haben.

Wie kann sich eine Gesundheitsorganisation denn vorbereiten?

Frühauf: In Krankenhäusern zählt nicht nur aktuelle Medizintechnik, auch die IT-Technik muss auf dem neuesten Stand sein. Das gilt im Übrigen für alle Bereiche. Werden zum Beispiel in der Verwaltung ältere Systeme oder Softwareversionen genutzt, sind sie ein willkommenes Einfallstor für Hacker. Vorsorge für den IT-Notfall heißt Szenarien definieren und beschreiben, Auswirkungen abschätzen, Optionen und Maßnahmen priorisieren. Das ist nicht grundsätzlich neu, denn auf Strom- oder Netzwerkausfälle müssen sich Kliniken ja auch vorbereiten. Aber Ransomware-Angriffe sind gravierender, weil sie Daten massiv gefährden.

Wie lassen sich die riesigen Datenvolumen in Kliniken absichern?

Frühauf: Moderne Datensicherungssoftware in Verbindung mit aktuellen Speicher- und HCI-Systemen sorgt für zuverlässige Datensicherung und schnelle Wiederherstellung. Ziel ist es, nicht erpressbar und schnellstmöglich wieder online zu sein, damit der Klinikbetrieb weiterlaufen kann. Der Maßnahmenkatalog dafür umfasst ein zuverlässiges Datensicherungskonzept, einen „unlöschbaren“ Backup-Speicher, ein Backup ohne Viren, einen detaillierten Plan für die richtige Abfolge beim Restart sowie ein komplettes Notfallsystem, das offline bereit steht. Werden Backups zudem verschlüsselt, greift auch die mögliche Drohung einer Veröffentlichung sensibler Daten ins Leere.

Das klingt nach viel Arbeit. Fachkräfte sind in der IT doch genauso Mangelware wie in der Pflege. Wie sollen Kliniken das lösen?

Frühauf: Sie können sich externe Spezialisten, also IT-Dienstleister, an Bord holen. Die helfen in der Planung genauso wie der Umsetzung und natürlich auch im Ernstfall. Außerdem können Kliniken vieles automatisieren: Mit Software lässt sich Disaster Recovery (DR) definieren und automatisieren, inklusive Ausweichkonzept, Dokumentation, Tests und regelmäßigen Updates. Zusätzlich kann eine Orchestrierungssoftware dafür sorgen, dass nach einem Ausfall alle Systeme korrekt und in der richtigen Reihenfolge wieder in Betrieb gehen. So halten gerade auch KRITIS-Einrichtungen gesetzliche und interne Compliance-Auflagen ein und erreichen eine BSI-Zertifizierung.

Und noch etwas ist extrem wichtig: Alle Mitarbeiter sensibilisieren und trainieren, damit auch sie vorbereitet sind. Wird der Ernstfall zudem öfter „geprobt“, ist das für alle stressfreier.

Mehr dazu im Veeam Whitepaper „Verringern von Ransomware-Risiken im Gesundheitswesen“.