Cyberangriffe auf Arztpraxen und Apotheken

Die Digitalisierung ist aus unserem modernen Leben nicht mehr wegzudenken, das gilt im Privaten wie auch im Beruflichen. Sie erleichtert uns an vielen Stellen das Leben, macht uns aber gleichzeitig abhängig von ihr und damit angreifbar. Genau diese Tatsache machen sich Cyber-Kriminelle zu nutze. Wir berichten, welche Gefahren drohen und wie Sie sich davor schützen können. Unter anderem haben wir für Sie 25 Tipps, mit denen Sie die Risiken von Cyberangriffen minimieren, zusammengestellt.

Außerdem gehen wir auf die Risiken beim Anschluss an die telematische Infrastruktur ein und erklären, worauf Sie dabei achten sollten.

Ärzte und Apotheken sind begehrte Ziele für Hacker

Gut die Hälfte aller Unternehmen in Deutschland ist in den vergangenen zwei Jahren Opfer von digitaler Spionage, Sabotage oder Datendiebstahl geworden. Dabei rangiert das Gesundheitswesen unter den Top 5 der am stärksten betroffenen Branchen ^[1]. Mehr als die Hälfte der 500 größten Kliniken in Deutschland wurde bereits Opfer von Cyberangriffen ^[2].

Während sich Ärzte und Apotheker oft für zu klein und unbedeutend halten, um Opfer von Cyberkriminellen zu werden, gelten gerade sie als lukrative Ziele ^{[3] [4]}. Und auch die Statistik besagt, dass 80 Prozent der Angriffe von Cyber-Kriminellen auf kleine und mittlere Unternehmen, zu denen auch Arztpraxen zählen, abzielen^[5].

Erpressung und Datendiebstahl sind die häufigsten Motive

Die Täter haben in der Regel zwei mögliche Interessen: Die Erpressung der Arztpraxis oder den Diebstahl von Patientendaten. Eine der häufigsten Erpressungstaktiken ist es, die gesamten Daten infizierter Rechner zu verschlüsseln – nichts geht mehr. Befinden sich mehrere Rechner in einem Netzwerk können auch diese verschlüsselt werden. Die Täter fordern über eine Bildschirmnachricht die Zahlung eines Lösegelds von einigen tausend Euro, meist in Form von anonymen Bitcoins, auf. Anderenfalls droht die Löschung aller Daten. Ohne zeitnahe, regelmäßige Back-Ups droht dann der Daten-GAU ^{[6] [7] [8] [9]}.

In anderen Fällen haben es die Täter auf die Patientendaten der Arztpraxis abgesehen. Auch mit diesen kann der Praxisinhaber erpresst werden. Die Täter drohen mit der Veröffentlichung der Daten, was nicht nur mit einem großen Imageverlust verbunden ist, sondern auch zu strafrechtlichen Konsequenzen für den Inhaber führen kann. Gemäß DSG-VO zählen medizinische Daten zu den besonders schützenswerten Daten und müssen deshalb sicher vor dem Zugriff Dritter geschützt werden – anderenfalls drohen Strafen. Ganz davon abgesehen, können auch geschädigte Patienten Rechte gegenüber dem Praxisinhaber geltend machen, so dass schnell mehrere zehntausend Euro Schaden zustande kommen können ^[4]. Für manche Praxis oder Apotheke kann so ein Datendiebstahl existenzbedrohend werden ^[10].

Auch sonst sind Patientendaten ein begehrtes Ziel von Cyberkriminellen. Im Darknet, dem digitalen Schwarzmarkt für illegale Waren, sind Patientendaten Millionen Wert ^[11]. Der Grund ist einfach: Adressen, Bankdaten oder Telefonnummern ändern sich im Laufe des Lebens, die medizinische Geschichte eines Menschen hingegen bleibt ^[2]. Diese Daten werden dann z. B. verwendet um die Betroffenen zu erpressen ^{[11, 2]}. Entweder wird ein Lösegeld gefordert, um die Veröffentlichung der Daten zu verhindern oder Menschen, insbesondere in Macht- und Entscheidungspositionen, werden direkt erpresst. Ein solcher Fall, in dem gestohlene Gesundheitsdaten gegen einen deutschen Politiker eingesetzt wurden, ist bekannt ^[2].

Wie bekommen Cyberkriminelle Zugriff auf den Computer?

Wenn der Computer ungeschützt mit dem Internet verbunden ist, brauchen sich Cyberkriminelle weder um Firewalls noch um Passwörter kümmern. Was unglaublich klingt, kommt doch häufiger vor als gedacht. So wurde im September 2019 bekannt, dass weltweit 16 Millionen Patientendatensätze, darunter mindestens 13.000 Datensätze aus Deutschland, für jedermann freizugänglich im Internet waren ^[12]. In der Mehrzahl handelt es sich dabei um MRT-Aufnahmen inklusive zahlreicher Informationen, wie Geburtsdatum, Vor- und Nachname, Informationen über den behandelnden Arzt oder die Behandlung selbst ^[13].

Derart ungeschützte Systeme zu finden, ist nicht sonderlich schwer. Die Suchmaschine Shodan ermöglicht das Auffinden von Computern und Geräten, die mit dem Internet verbunden sind. Bei einem Workshop zeigte IT-Sicherheitsexperte Michael Wiesner live, wie einfach entsprechende Arztpraxen identifiziert und infiltriert werden können. Auf diese Weise hätte er während seiner Recherche Zugang zu 25.000 dokumentierten Befunden einer gynäkologischen Gemeinschaftspraxis erhalten können ^[7].

Wie eine Untersuchung des GDV zeigte, benutzen viele Arztpraxen zu einfache Passwörter, wie „Praxis“, „Behandlung“ oder den Namen der Arztsoftware. Zudem finden sich von fast jeder zehnten Arztpraxis und sogar von 60 % der Kliniken E-Mail- und Passwort-Kombinationen im Darknet ^[7]. Einen Anhaltspunkt, ob auch Ihre Daten im Netz gelandet sind, gibt Ihnen die Seite „Have I been pwned?“ (https://haveibeenpwned.com). Diese Datenbank umfasst fast acht Milliarden Einträge aus über 300 bekanntgewordenen Datendiebstählen und teilt Ihnen mit, ob und welche Daten im Zusammenhang mit ihrer E-Mail-Adresse im Netz zu finden sind.

Auch Dank veralteter Software oder einer schlecht konfigurierten Firewall gelingt es Hackern, IT-Systeme zu kapern ^[4]. Das funktioniert durch Programme, sogenannte Bots, oft sogar ohne aktives Zutun der Täter. Diese Bots durchforsten das Internet systematisch nach Computern und testen bekannte Sicherheitslücken, die es ihnen ermöglichen, Schadsoftware auf dem PC zu installieren. Viele Unternehmen registrieren mittlerweile hunderte solcher automatisierter Angriffe pro Tag ^[5].

Wie der Verband der Elektrotechnik (VDE) berichtet, stellen sogar alte Faxgeräte und Kopierer mit Fax-Funktion eine potentielle Bedrohung dar. Der Empfang schädlicher Codes, z. B. getarnt als Bild, könne zum Ausführen von Schadcode führen. Ist das Fax-Gerät mit dem lokalen Netzwerk verbunden, kann der Code auf die angeschlossenen Computer gelangen. Dieses Vorgehen ist besonders perfide, da die Telefonleitung prinzipbedingt keinen Schutz vor Schadcode bieten kann ^[14].

Der Mensch ist ein entscheidender Faktor in der IT-Sicherheit

Das unüberlegte Öffnen einer E-Mail oder das Einstecken eines fremden USB-Sticks können genügen, um die eigene EDV zu infizieren ^[11]. Die Schadprogramme gelangen meist in Form von E-Mails auf den Computer. Eine beliebte Masche ist das Verschicken gefälschter Bewerbungen. In diesen wird dann z. B. auf ein Dropbox-Konto verwiesen, von dem die kompletten Unterlagen heruntergeladen werden können. Die Datei könnte dann z. B. „vollständige_Bewerbungsunterlagen.exe“ heißen. Dateien mit der Endung „.exe“ oder „.js“ sind ausführbare Dateien, also Programme, die einen Computer verändern können. Aber auch in Archivdateien wie „.zip“ oder „.rar“ kann ausführbarer Code versteckt werden. Solche Dateien sollten Sie nicht von unbekannten Quellen herunterladen oder ausführen. Auch die Makrofunktion in Office-Programmen kann genutzt werden, um Schadsoftware auf dem PC zu installieren und sollte deshalb standardmäßig deaktiviert sein ^{[15] [16]}.

Apotheken sind meist gut geschützt

Die meisten Apotheken sind durch die Anbieter der Apothekensoftware insgesamt gut vor Cyberangriffen geschützt ^{[17] [3]}. Aber einen hundertprozentigen Schutz gibt es nicht und so wurden auch Apotheken bereits Opfer von Hackern, die die Inhaber erpressen wollten ^{[15] [16]}.

Eine Münchner Apotheke wurde Opfer eines besonderen Hacker-Angriffs. Unbekannte hatten sich per Smartphone in die Werbebildschirme im Schaufenster der Apotheke gehackt und ließen nachts einen Pornofilm in Dauerschleife laufen. Nach anfänglichem Ärger nahm es die Inhaberin jedoch mit Humor und nutzte die mediale Aufmerksamkeit (u. a. in der Bild-Zeitung) für passende Kondomwerbung ^[18].

Die Telematische Infrastruktur

Um die Digitalisierung und Vernetzung im Gesundheitssystem voranzutreiben und künftige Services wie die elektronische Patientenakte oder das e-Rezept zu ermöglichen, sind Arztpraxen und Apotheken verpflichtet, sich an die Telematische Infrastruktur (TI) anzuschließen. Neben der Sicherheit der Konnektoren, die von Experten teilweise in Frage gestellt wird, ist insbesondere die Installation der notwendigen Konnektoren seit Monaten Anlass für Kritik ^{[19, 20, 21, 22, 23]}.

IT-Dienstleister und –Experten hatten festgestellt, dass die Virenscanner und Firewalls einiger Arzt- und Zahnarztpraxen nach Installation der TI-Konnektoren deaktiviert waren. Die betroffenen Praxen waren dadurch völlig ungeschützt mit dem Internet verbunden ^[20].
  

Ein weiteres Problem stellt die korrekte Betriebsart des Konnektors dar: Dieser kann sowohl im Reihen- als auch im Parallelbetrieb verwendet werden, mit großen Unterschieden für die IT-Sicherheit und –Haftungsfragen ^{[24] [25]}. KBV und gematik empfehlen die Verwendung der Konnektoren im Reihenbetrieb, dabei wird der Konnektor zwischen DSL-Modem bzw. Router und Computernetzwerk geschaltet. Die integrierten Schutzmaßnahmen des Konnektors, wie z. B. eine Firewall, schützen dann die Praxis. Erkennbar ist die Reihenschaltung daran, dass 2 Kabel mit dem Konnektor verbunden sind. Dienste wie „Voice over IP“ oder Heimarbeitsplätze sind über den Reihenbetrieb unter Umständen nicht möglich ^{[25] [26] [24]}.

Die gematik schätzt, dass der Konnektor entgegen der Empfehlung in ca. 90 % der Arztpraxen im Parallelbetrieb verwendet wird, erkennbar daran, dass nur ein Kabel mit dem Konnektor verbunden ist ^{[10, 25]}. Dabei wird der Konnektor wie eine zusätzliche Komponente des Netzwerks angeschlossen, die Sicherheitsfunktionen des Konnektors werden nicht genutzt. Das bedeutet, dass die Praxis selbst für Sicherheitsvorkehrungen gemäß den Vorgaben des Bundesamts für Sicherheit in der Informationstechnik verantwortlich ist ^[24]. Schätzungsweise zwei Drittel, der im Parallelbetrieb angeschlossenen Praxen, erfüllen die Vorgaben nicht und sind entsprechend angreifbar ^[10].

Die gematik hatte im Juni klargestellt, dass Praxen bei ordnungsgemäßer Nutzung des Konnektors im Schadensfall nicht haften ^[27]. Deshalb ist es wichtig, dass Sie sich die ordnungsgemäße Installation und Einhaltung der Sicherheitsstandards vom TI-Installationsunternehmen dokumentieren lassen. Umfangreiche Informationen sowie Musterschreiben finden sie unter anderem bei MEDI Baden-Württemberg e. V..

Literaturverzeichnis:

^{[1] ÄrzteZeitung, „So schützen Sie Ihre Praxisdaten,“ [Online]. Available: www.aerztezeitung.de/Wirtschaft/So-schuetzen-Aerzte-ihre-Praxisdaten-245155.html. [Zugriff am 7. 11. 2019].}

^{[2] SWR, „Krankenakten im Visier von Hackern,“ [Online]. Available: www.swr.de/report/krankenakten-im-visier-von-hackern-wie-gut-sind-arztpraxen-und-krankenhaeuser-geschuetzt/text-des-beitrags-krankenakten-im-visier-von-hackern/-/id=233454/did=23249614/mpdid=23282734/nid=233454/7ngiei/index.html. [Zugriff am 07. 11. 2019].}

^{[3] Apotheke ad-hoc, „Apotheker gelten für Hacker als solvente Kundschaft,“ [Online]. Available: www.apotheke-adhoc.de/nachrichten/detail/apothekenpraxis/inhaber-gelten-fuer-hacker-als-potentiell-solvente-kundschaft-cyberkriminalitaet/. [Zugriff am 07. 11. 2019].}

^{[4] Gesamtverband der Deutschen Versicherungswirtschaft e. V., „Branchenreport - Cyberrisiken bei Ärzten,“ [Online]. Available: www.gdv.de/resource/blob/45196/ae262d6702e2d9f5446c780a22450d23/download-branchenreport-cyber-aerzte-und-apotheker-data.pdf. [Zugriff am 07. 11. 2019].}