Ransomware-Angriff auf kanadisches Krankenhaus legt Türen und HLK lahm

Was im kanadischen Krankenhaus geschah

Ein Ransomware-Angriff auf ein Krankenhaus in Kanada hat weit mehr als nur Verwaltungscomputer und Patientenakten gestört. Einem Bericht von Cybersecurity Insiders zufolge legte der Angriff die Steuerungssysteme für Türen, Aufzüge, Belüftung und Klimaanlage in der Einrichtung lahm, sodass das Personal den physischen Gebäudebetrieb ohne die normalerweise genutzten automatisierten Systeme bewältigen musste.

Dies ist eine deutliche Abweichung von den Ransomware-Vorfällen, die üblicherweise Schlagzeilen machen. In den meisten Berichten über Ransomware-Angriffe auf Krankenhäuser in Kanada und anderswo geht es um gestohlene Patientendaten, Abrechnungsunterlagen oder Versicherungsinformationen. Dieser Vorfall ist anders, denn er zeigt, dass Angreifer auf die Betriebstechnologie zugreifen, die ein Krankenhaus physisch funktionsfähig hält – und nicht nur auf die IT-Systeme, in denen Daten gespeichert sind.

Erste Berichte enthalten zwar keine Details zur konkreten Ransomware-Gruppe hinter dem Angriff, zum Namen des Krankenhauses oder zur geforderten Lösegeldsumme, doch die Störung selbst ist die Geschichte. Wenn in einem Krankenhaus Türen, Aufzüge und Klimasysteme ausfallen, wird aus einem IT-Problem fast augenblicklich ein Problem für die Patientensicherheit.

Warum Ransomware es inzwischen auf physische Krankenhaussysteme abgesehen hat – nicht nur auf Daten

Krankenhäuser sind aus einem einfachen Grund zu attraktiven Ransomware-Zielen geworden: Sie können sich keine längeren Ausfallzeiten leisten wie andere Unternehmen. Ein Händler mit verschlüsselten Servern verliert vielleicht für einige Tage Umsätze. Ein Krankenhaus mit ausgefallener Belüftung, blockierten Türen oder stillstehenden Aufzügen sieht sich unmittelbaren Risiken für die Patientenversorgung, die Infektionskontrolle und den Notfallbetrieb ausgesetzt.

Viele Krankenhäuser betreiben Gebäudemanagementsysteme, HLK-Steuerungen und Zugangskontrollsysteme in Netzwerken, die direkt oder indirekt mit derselben Infrastruktur verbunden sind, die auch für die klinische und administrative Datenverarbeitung genutzt wird. Wenn sich Ransomware im Netzwerk eines Krankenhauses ausbreitet, hält sie sich nicht immer an die Grenze zwischen „IT“ und „Gebäudetechnik“. Ein einziger Zugangspunkt kann am Ende gleichzeitig Patientenüberwachungsgeräte, Türschlösser und Lüftungsanlagen beeinträchtigen.

Diese Vermischung digitaler und physischer Risiken ist Teil eines breiteren Musters. Ransomware-Operationen haben sich zu einer ausgewachsenen kriminellen Ökonomie entwickelt, mit eigenen Affiliates, Verhandlern und einer Infrastruktur, die gezielt darauf ausgelegt ist, Opfer unter Druck zu setzen, damit sie schnell zahlen. Das Ausmaß dieser Aktivitäten wurde in jüngsten Branchenuntersuchungen dokumentiert, die zeigen, dass Ransomware-Angriffe in den letzten Quartalen Rekordzahlen erreicht haben – ein Beleg dafür, dass Vorfälle wie der in diesem kanadischen Krankenhaus keine Einzelfälle, sondern Teil einer viel größeren Welle sind.

Doppelte und dreifache Erpressung: Das Geschäftsmodell hinter Angriffen auf das Gesundheitswesen

Die finanzielle Logik hinter diesen Angriffen hat sich erheblich weiterentwickelt. Bei klassischer Ransomware wurden lediglich Dateien verschlüsselt und für den Entschlüsselungsschlüssel eine Zahlung gefordert. Heute arbeiten viele Gruppierungen mit doppelter Erpressung: Sie stehlen sensible Daten, bevor sie Systeme verschlüsseln, und drohen damit, diese Daten öffentlich zu machen, falls das Lösegeld nicht gezahlt wird. Einige Gruppen gehen noch weiter und nutzen dreifache Erpressungsansätze, bei denen zusätzlich Druck auf Kunden, Patienten oder Geschäftspartner der Opferorganisation ausgeübt wird.

Für Krankenhäuser entsteht dadurch eine schwierige Abwägung. Selbst wenn Backups es erlauben, verschlüsselte Dateien ohne Zahlung wiederherzustellen, erhöht die Gefahr, dass Patientendaten veröffentlicht werden – oder, wie in diesem Fall, die anhaltende Störung physischer Gebäudesysteme – den Druck, zu verhandeln. Strafverfolgungsbehörden in mehreren Ländern haben Maßnahmen ergriffen, um die Personen und Netzwerke hinter großen Ransomware-Operationen zu stören, darunter Sanktionen gegen Betreiber, die mit bekannter Ransomware-Infrastruktur in Verbindung stehen, wie etwa die Sanktionen gegen den als Stern bekannten Trickbot-Administrator. Dennoch bleibt das zugrundeliegende Geschäftsmodell rentabel genug, sodass weiterhin neue Angriffe auf Ziele im Gesundheitswesen auftauchen.

Was Patienten und Gesundheitspersonal zum Schutz ihrer Daten tun können

Patienten haben zwar kaum direkten Einfluss darauf, wie ein Krankenhaus sein Netzwerk absichert, doch es gibt dennoch sinnvolle Schritte. Patienten, die von einem Cybervorfall bei einem Gesundheitsdienstleister betroffen sind, sollten auf offizielle Benachrichtigungen über Datenschutzverletzungen achten, Versicherungs- und Abrechnungsbelege auf unbekannte Aktivitäten überprüfen und vorsichtig bei Phishing-Versuchen sein, die sich auf den Vorfall beziehen. Wie gravierend die Folgen sein können, wenn Gesundheitsdaten offengelegt werden, zeigte der Datenschutzverstoß bei Change Healthcare, von dem mehr als 190 Millionen Datensätze betroffen waren. Er machte deutlich, wie ein einzelner Ransomware-Vorfall im Gesundheitssektor weit über das ursprüngliche Ziel hinaus Patienten betreffen kann.

Gesundheitspersonal und IT-Administratoren sollten diesen Vorfall als Mahnung verstehen, Betriebstechnologie – wie Gebäudezugangs- und HLK-Steuerungen – wo immer möglich von klinischen und administrativen Netzen zu trennen. Regelmäßige Backups, getestete Notfallpläne und klare Kommunikationsprotokolle für den Gebäudebetrieb während eines Cybervorfalls sind längst keine optionalen Zusätze mehr. Sie sind grundlegende Anforderungen für Einrichtungen, in denen ein Netzwerkausfall unmittelbar zu einem Sicherheitsrisiko werden kann.

Was das für Sie bedeutet

Dieser Ransomware-Angriff auf ein Krankenhaus in Kanada ist ein Signal, dass die Bedrohung durch Ransomware längst über gestohlene Dateien hinausgeht und in die physischen Räume vorstößt, in denen die Versorgung stattfindet. Ob Sie Patient, Krankenhausmitarbeiter oder einfach jemand sind, der Cybersecurity-Nachrichten verfolgt – die Botschaft ist dieselbe: Ransomware-Vorfälle im Gesundheitswesen haben zunehmend Konsequenzen, die weit über den Datenschutz hinausreichen. Wachsamkeit gegenüber Benachrichtigungen über Datenschutzverletzungen, ein Verständnis dafür, wie diese Angriffe ablaufen, und die Unterstützung stärkerer Sicherheitspraktiken in Gesundheitseinrichtungen sind praktische Antworten auf eine Bedrohung, die so schnell nicht verschwinden wird.