Heilberufler – Nach der Cyber-Attacke kommt der Staatsanwalt

Eine Schwachstelle reicht aus

Solche „Domino-Angriffe“ sind mittlerweile weit verbreitet. Zuletzt erfuhr die oben bereits erwähnte „Kaseya-Attacke“  im Juli größere Aufmerksamkeit. Eine Hacker-Gruppe mit Namen „REvil“ nutzte eine Schwachstelle bei dem US-amerikanischen IT-Dienstleister Kaseya aus, drang über dessen Software in zahlreiche Unternehmen ein und konnte auch viele Endkunden attackieren. Man kann es auch so zusammenfassen: Eine mutmaßlich russische Hacker-Gruppe kapert die Software eines US-Amerikanischen IT-Dienstleisters und in Schweden bleibt die Supermarktkette Coop geschlossen, weil die Kette mit einer Software von Kaseya arbeitet.

Aber nicht nur in Schweden wirkte sich die Attacke aus: Betroffen waren laut den Hackern über eine Million Computer rund um den Globus. Darunter auch mindestens zwei Unternehmen in Deutschland sowie deren Kunden – mehrere tausend Computer wurden befallen. Das ist der Domino-Effekt, der gerade auch für Apotheken gefährlich ist. Um den Angriff zu beenden, forderten die Täter 70 Millionen Dollar Lösegeld.

Um sich die Folgen eines gleichermaßen erfolgreichen Angriffs auf eine Datenschnittstelle im Gesundheitswesen zu vergegenwärtigen, muss man anstelle von Kaseya nur einen Akteur der Gesundheitsbranche annehmen: Ein Angriff auf die IT-Infrastruktur einer Krankenkasse dürfte Cyber-Kriminellen äußerst lukrativ erscheinen. Von hier kann beispielsweise ein Virustransfer zu Rezeptabrechner-Dienstleistern erfolgen. Über deren IT-System werden weitere Dienstleister-Netzwerke der Apothekenbranche infiziert – und zuletzt Apotheken. Ganz ähnlich ist das auch bei Medizinern und Zahnärzten möglich. Neben Krankenkassen können Anbieter von Praxis-Software sowie andere Dienstleister unfreiwillig als Einfallstor für IT-Kriminelle dienen. Domino-Effekte sind in der Gesundheitsbranche genauso möglich wie in anderen Wirtschaftszweigen.

Dass solche Attacken keine Seltenheit sind, dürfte allgemein bekannt sein: Ebenfalls im Juli wurden einige Server des Landkreises Anhalt-Bitterfeld angegriffen.  Die Folge: Unter anderem konnten Sozialhilfe und Wohnungsgeld nicht ausgezahlt werden. Wie bei der „Kaseya-Attacke“ verlangen die Täter ein Lösegeld, damit der Angriff beendet wird. Im September 2020 legte ein Hack die Düsseldorfer Uniklinik lahm, Anfang des Jahres die Urologische Klinik Planegg, im März traf es die Evangelische Klinik Lippstadt.  Und aus der Versicherungsbranche hat es bekanntlich gerade erst die Haftpflichtkasse in Darmstadt getroffen.  Die Liste der Opfer ließe sich problemlos verlängern. Immer wieder sind auch Apotheken und Praxen betroffen.

Gefahr kommt von vertrauter Seite

Das Heimtückische an solchen Angriffen ist, dass sie von einer vertrauenswürdigen Seite kommen. Ein weiteres – öffentlich nicht bekanntes – Beispiel aus unserer eigenen Erfahrung: Eine Praxisgemeinschaft in Ostdeutschland erlitt Ende 2018 einen Schaden von mehr als 20.000 Euro, weil eine Sekretärin die E-Mail eines Händlers für Bürobedarf öffnete. Die E-Mail war für die Sekretärin völlig unauffällig, schließlich war die Praxisgemeinschaft bei dem Händler Kunde. Was damals der Sekretärin und auch sonst niemandem bekannt war: Die Online-Plattform des Händlers war von Kriminellen geknackt worden. So kamen die Täter an Kontaktdaten von Kunden und diese erhielten von den Tätern einen Trojaner per E-Mail. Die Malware verschlüsselte die Datenbank der Ärzte und legte die Praxisgemeinschaft lahm. Ein Erpressungsversuch wurde übrigens in diesem Fall nicht unternommen. Der Schaden war auch so schon groß genug.

Zurück zur Gefahr, als Opfer eines Cyber-Angriffs selbst ins Visier der Strafverfolgung zu geraten. Dazu ein weiterer Vorfall: Ende April wurde die deutsche Supermarktkette Tegut, die gut 280 Märkte in mehreren Bundesländern betreibt, aus dem Internet heraus angegriffen. Die Attacke führte als erstes dazu, dass viele Märkte Lücken im Sortiment nicht auffüllen konnten, da Warenwirtschaftsprogramme abgeschaltet werden mussten. Wenig später tauchten dann Daten zahlreicher Kunden – inklusive Kontaktdaten – im Darknet auf. Das ist eine Verletzung der Datensicherheit und musste umgehend an Behörden und Kunden gemeldet werden.  Die Datenschutz-Grundverordnung gibt dafür gerade einmal 72 Stunden Zeit. Diese Frist ist für kleinere Unternehmen wie Apotheken und Arztpraxen kaum einzuhalten.

• <
• 1
• 2
• 3
• zur Startseite
• >