Datenpannen entstehen häufig durch kompromittierte Zugangsdaten, anfällige medizinische Anwendungen, falsch konfigurierte Cloud-Dienste oder unbefugten Zugriff. In solchen Fällen werden medizinische Daten und Patienteninformationen offengelegt oder exfiltriert, was rechtliche Konsequenzen, Vertrauensverlust und Reputationsschäden nach sich zieht.

Social Engineering bedeutet, medizinisches Personal, Verwaltungsmitarbeitende oder Partner durch Phishing, Vishing, Smishing oder kompromittierte institutionelle E-Mail-Konten zu manipulieren, um an Zugangsdaten zu gelangen, Malware einzuschleusen oder Zahlungen umzuleiten.

Angreifer können sich als Gesundheitsbehörden, medizinische Dienstleister, nationale Krankenversicherungen oder Führungskräfte ausgeben und dabei interne Genehmigungsabläufe sowie die Bedingungen der Fernarbeit ausnutzen.

Ransomware und Malware werden eingesetzt, um Systeme zu verschlüsseln, Daten abzugreifen und den Betrieb zu stören. Zunehmend nutzen Angriffe Mechanismen der “doppelten Erpressung”, die Datendiebstahl mit Systemunterbrechungen und in manchen Fällen mit DDoS-Angriffen kombinieren.

In vielen Fällen verbleiben Angreifer eine gewisse Zeit in der Infrastruktur, bevor sie den Angriff starten, und kartieren dabei kritische Systeme und Datensicherungen. Die Zeit bis zur Durchführung hat sich deutlich verkürzt und beträgt im Durchschnitt etwa 24 Stunden.

Ransomware-Angriffe wirken sich direkt auf klinische Systeme (HIS, EHR, EMR) aus, bei denen die Nichtverfügbarkeit sofort den medizinischen Betrieb und den Zugang zu wesentlichen Patientendaten beeinträchtigt. Etwa 92 % der europäischen Fälle umfassen sowohl Dateiverschlüsselung als auch Datenexfiltration.

Bei Lieferkettenangriffen werden medizinische Anwendungen von Drittanbietern, IT-Dienstleister oder ausgelagerte Prozesse kompromittiert, um indirekten Zugang zu Krankenhäusern und Kliniken zu erhalten.

Angreifer nutzen Fernwartungswerkzeuge, Software-Updates, Cloud-Dienste oder Kanäle für den Austausch medizinischer Daten aus, um Sicherheitskontrollen zu umgehen und legitimen Zugang im Netzwerk zu erhalten.

Der Diebstahl von Zugangsdaten erfolgt häufig über gefälschte Benachrichtigungen, die Mitteilungen von Krankenhäusern oder nationalen Gesundheitsbehörden vortäuschen, um Anmeldedaten abzugreifen.

Zu den Angriffen gehören auch QR-Code-Weiterleitungen auf schädliche Seiten und der Einsatz von Infostealern (z. B. RedLine, Vidar), die Zugangsdaten automatisch erfassen. Zudem werden kompromittierte Zugangsdaten aus dem Gesundheitswesen zunehmend online verkauft, darunter VPN- oder RDP-Zugänge zu Krankenhausnetzwerken.

Ein Cyberangriff auf das AZ Monica Hospital führte zu Ausfällen der IT-Systeme und zu eingeschränktem medizinischem Betrieb.

Über 70 Operationen wurden abgesagt, und Patienten wurden in andere Einrichtungen verlegt. Der Zugriff auf elektronische Patientenakten war nicht möglich, und die Wiederherstellung dauerte etwa einen Monat. Dieser Fall verdeutlicht die unmittelbaren Auswirkungen von Systemausfällen auf den medizinischen Betrieb.

Ein Ransomware-Angriff auf Synnovis, einen Labordienstleister für NHS-Krankenhäuser in London, beeinträchtigte unmittelbar die Diagnosekapazitäten in mehreren medizinischen Einheiten.

Über 1.100 Eingriffe wurden abgesagt, und die Laborverarbeitungskapazität sank erheblich. Gleichzeitig wurden etwa 400 GB medizinischer Daten exfiltriert und veröffentlicht; die vollständige Wiederherstellung der Systeme wird auf über 17 Monate geschätzt.

Ein Ransomware-Angriff auf die Plattform HIS Hipocrate betraf mehrere medizinische Einrichtungen in Rumänien und breitete sich wegen fehlender Segmentierung rasch aus.

In 26 Krankenhäusern wurden Daten verschlüsselt, während über 100 Einrichtungen vorsorglich vom Netz getrennt wurden. In einigen Fällen kehrte der medizinische Betrieb vorübergehend zu manuellen Abläufen zurück. Das Lösegeld (~3,5 BTC) wurde nicht gezahlt. Der Vorfall zeigt, wie fehlende Segmentierung eine rasche Ausbreitung über mehrere Organisationen hinweg ermöglicht.

Ein Cyberangriff auf Change Healthcare betraf über 100 Millionen Personen und störte kritische Prozesse wie die Abrechnung und pharmazeutische Lieferketten. Der Erstzugriff erfolgte über kompromittierte Zugangsdaten, was ihn zur größten Datenpanne in der Geschichte des Gesundheitswesens machte.

Zwischen 2023 und 2024 wurden mehrere Krankenhäuser in ganz Europa, unter anderem in Dänemark, Deutschland und den Niederlanden, Ziel koordinierter DDoS-Angriffe, die mit prorussischen Gruppen wie Killnet in Verbindung gebracht werden.

Diese Angriffe beinhalteten weder eine Kompromittierung von Systemen noch einen Datenabfluss, beeinträchtigten aber die Verfügbarkeit digitaler Dienste, darunter Online-Plattformen für Patienten und Mitarbeitende.

Letztlich wird Cybersicherheit nur dann wirksam, wenn Technologie, Prozesse und der Faktor Mensch integriert zusammenwirken. Regelmäßige Schulungen, Simulationen von Phishing-Angriffen und ein Bewusstsein für Risiken spielen eine entscheidende Rolle bei der Verringerung der Angriffsfläche.

Expertware organisiert in Partnerschaft mit der Nationalen Direktion für Cybersicherheit (DNSC) regelmäßig Webinare zur Sensibilisierung für Risiken in verschiedenen Sektoren, zuletzt im Gesundheitssektor. Die Präsentation finden Sie hier.