Kranke Entwicklung

Es sind beängstigende Nachrichten, die wie ein Tsunami über den Atlantik schwappen: In den USA nehmen die Hackerangriffe von Cyberkriminellen immer bizarrere Formen an. Das Heimtückische daran: Die Verbrecher haben es vermehrt auf medizinische Geräte abgesehen, die aufgrund der vielen Sensoren und Monitore besonders anfällig für Cyberattacken sind. Dick Cheney, der frühere Vizepräsident der Vereinigten Staaten, schaltete auf Anraten der Ärzte die Fernsteuerungsfunktion seines Herzschrittmachers ab, um sich gegen einen tödlichen Stromschlag zu schützen. Der weltgrösste Gesundheitskonzern Johnson & Johnson warnte seine Kunden vor dem Gebrauch einer bestimmten elektronisch gesteuerten Insulinpumpe. Aber auch Infusionspumpen, Computertomographen, Röntgengeräte, Kühlanlagen für Blutdepots und implantierbare Defibrillatoren könnten ins Visier der Gangster geraten, schreibt das US-amerikanische Technologie-Magazin «Wired».

Im Zeitalter der Digitalisierung ist es die blanke Horrorvorstellung: Der Mensch wird von Kriminellen ferngesteuert!

Spitäler Opfer von Lösegeld-Forderungen
Verheerenden Schaden würden laut der US-Gesundheitsbehörde FDA auch Angriffe auf IT-Systeme einzelner Spitäler anrichten. Die Hacker verschlüsseln mit einer aggressiven Schadsoftware – meist wird sie per E-Mail-Anhang eingeschleust – erst Dateien, dann erpressen sie ein Lösegeld (Ransomware; Ransom steht für Lösegeld). Nach erfolgter Zahlung mittels der nur schwer nachzuverfolgenden Internet-Währung Bitcoin schalten sie sensible und für die Patienten lebenswichtige Daten wieder frei. Das Hollywood Presbyterian Medical Center in Los Angeles wurde Anfang 2016 Opfer einer solchen Erpressung. Die Privatklinik habe 17’000 Franken für die Entschlüsselung der gehackten Daten bezahlt, liess CEO Allen Stefanek verlauten. Obwohl das FBI Ermittlungen aufgenommen hatte, ging das Spital auf die Forderung der Erpresser ein. Es sei die schnellste und effizienteste Lösung gewesen, um die Passwortkombination für die Entschlüsselung zu erhalten und damit den gewohnten Betrieb wieder sicherzustellen, begründete Stefanek das Vorgehen in der «Los Angeles Times». Laut der US-amerikanischen Onlinezeitung International Business Times (IBT) sei im Schutz des Darknets mit dieser Form von Verbrechen ein ganzer Untergrundmarkt entstanden.

Patientendaten geklaut
Für Aufsehen sorgte in den USA auch die Cyberattacke «MedJack». In Gesundheitseinrichtungen schleusten Kriminelle veraltete Schadsoftware in medizinische Geräte ein, um an Patientendaten heranzukommen. Mit den abgesaugten Daten hätten die Diebe die Möglichkeit gehabt, sich selbst Rezepte für den Bezug von Medikamenten auszustellen, letztere zu erwerben und sie im Darknet gewinnbringend weiterzuverkaufen. Auch Steuerbetrug und Identitätsdiebstahl wären mit den gestohlenen Daten möglich gewesen. Vor einem Jahr sorgte im deutschen Lukaskrankenhaus in Neuss eine Cyberattacke mit Lösegeld-Forderung dafür, dass OP-Termine verschoben werden mussten und das Personal wieder mittels antiquiertem Telefax kommunizierte.

Veraltete Betriebssysteme
Dass in den vergangenen drei Jahren in den USA mehr Hackerangriffe im Gesundheitssektor als im Finanzbereich verzeichnet worden sind, hängt stark damit zusammen, dass viele Spitäler noch veraltete Betriebssysteme wie Windows XP benutzen. Ein Update mit der neusten Antivirus-Software ist deshalb nicht möglich, die Sicherheitslücken können also von der Sicherheits-Software gar nicht erst erkannt werden. Die Sicherheitsspezialisten im Gesundheitswesen müssten vermehrt für das Thema Cyberkriminalität sensibilisiert werden, fordert Anthony James, Kommunikationschef des kalifornischen Sicherheitsunternehmens TrapX, denn die Hacker würden immer raffinierter vorgehen.

Für Schweizer Spitäler ist Cyberkriminalität bereits ein wichtiges Thema, das regelmässig  aufgenommen wird, wie deren Verband H+ bestätigt. Schweizer Spitäler setzen durchschnittlich 3 Prozent ihres Umsatzes für die IT ein. Das ist zwar angesichts der Bedrohung immer noch zu wenig, aber deutlich mehr als in europäischen Krankenhäusern – 40 Prozent wenden weniger als 1 Prozent auf. Die Bedrohung schlägt sich auch bei der Melde- und Analysestelle Informationssicherung des Bundes (Melani) nieder, die eine Fachgruppe «Spitäler» analog zum Bankensektor entwickelt hat.

Auch die Politik sorgt sich aktuell um die IT-Sicherheit von Spitälern und medizinischen Geräten. In der Frühjahrssession fragt die Solothurner SP-Nationalrätin Bea Heim, ob der Bund genügend unternimmt – etwa im Bereich der Haftung und des Sicherheitsnachweises (Vorstoss).

Angriffe in der Schweiz
Auch Schweizer Institutionen gerieten 2016 zur Zielscheibe von bedeutenderen Cyberattacken. So wurden die Server des Rüstungskonzerns Ruag und des Verteidigungsdepartements (VBS) von russischen Hackern angegriffen. Die Angriffe hätten der Industriespionage gedient, sagte Bundesrat Guy Parmelin dem «Tages Anzeiger». Attackiert wurde die Ruag gemäss dem öffentlichen Technical Report von Melani unter anderem via die Server von www[.]jagdhornschule[.]ch, buendnis-depression[.]at und deutschland-feuerwerk[.]de. Auch die SVP beklagte einen Cyberangriff auf ihre Datenbank und den Verlust von 50’000 E-Mail-Adressen. Zu reden gaben im vergangenen Jahr auch die gross angelegten Attacken auf die Webseite der SBB, auf die Online-Shops des Migros-Konzerns und der Coop-Gruppe sowie auf die Webseite von «20 Minuten». Kurz: Es kann jeden treffen. In Führungsetagen gilt es, wachsam zu sein.