Was zunächst nach einem klassischen IT-Sicherheitsvorfall klingt, kann in einem Krankenhaus binnen weniger Stunden zur existenziellen Krise werden. Auf der Jubiläumstagung der Krankenhaus-IT-Leiterinnen und -Leiter in Berlin zeigten Prof. Sebastian Schinzel und Nico Brüggemann vom Fraunhofer SIT, wie sich dieser Moment erlebbar machen lässt. Ihr Ziel war unter anderem herauszufinden, ob ein Haus handlungsfähig bleibt, wenn die IT ausfällt.
Schinzel, der seit über 20 Jahren in der IT-Sicherheitsszene aktiv ist und früher selbst als Penetrationstester arbeitete, sagt, er habe eine solche Dynamik bislang noch nicht erlebt. Für die Zukunft hält er Malware für denkbar, die auf ein Sprachmodell zugreift und sich selbst anpasst. Das klassische Gegenmittel, das Kappen der Internetverbindung, greife dann womöglich nicht mehr, etwa wenn Angreifer intern eine GPU finden, auf der sie ein kleines Modell betreiben können. Sicherheitskonzepte müssten deshalb regelmäßig aktualisiert werden.
Der Angriff beginnt unspektakulär
Am Anfang eines solchen Angriffs steht selten ein altes Medizingerät, sondern ganz normale Standard-IT. In der Simulation beginnt der Angriff mit offener Recherche im Internet: Der Angreifer besucht die Website des Krankenhauses und sammelt dort veröffentlichte Mailadressen, Namen, Funktionen und Hinweise auf externe Systeme, wofür zahlreiche frei verfügbare Werkzeuge existieren. Auf dieser Basis entsteht eine passgenaue Phishing-Mail. Im Szenario fällt eine IT-Mitarbeiterin mit Administrationsrechten darauf herein, der Angreifer nutzt ihren VPN-Zugang, scannt das Netz, findet einen Exchange-Server und greift dort Zugangsdaten ab. Ab diesem Punkt gilt laut Brüggemann im Prinzip das gesamte Active Directory als kompromittiert. Es folgen verdächtige Logs, Datenabfluss und ausfallende Systeme wie Krankenhausinformationssystem, Radiologie und Labor, bis schließlich ein Erpresserschreiben eintrifft. Sicherheitsforscher beobachten dieses Muster bei Cyberangriffen auf Krankenhäuser immer wieder.
Wenn der Krisenstab unter Druck gerät
In ruhigen Zeiten wirken Notfallpläne überzeugend, eine echte Krise verändert die Dynamik jedoch vollständig. Ist die Krise real, steigt laut Schinzel der Adrenalinspiegel, und alte Konflikte brechen wieder auf. Er kennt das aus eigener Erfahrung: 2022 erlebte er als Professor für IT-Sicherheit den Ransomware-Angriff auf die FH Münster und hörte von anderen betroffenen Hochschulen, wie Krisen entgleisen können, etwa durch freigestellte IT-Leiter oder Abteilungen, die genau dann nicht mehr miteinander reden, wenn Kommunikation überlebenswichtig wäre. Entscheidend sei, ob Alarmierung, Kommunikation und Entscheidungsfindung unter Zeitdruck tragen.
In einem Seminar der Tagung übernahmen 23 Teilnehmende zwölf Rollen eines fiktiven, typischen deutschen Krankenhauses, darunter IT, Geschäftsführung, medizinische Leitung, Pflege, Informationssicherheit und Krisenstab. Simuliert wurde dabei organisatorisch statt technisch, mit realistischen Firewall-Auszügen sowie passenden Namen, Domains und Netzwerken. Gut funktionierten die Eskalationskette vom Admin über die IT-Leitung und den Informationssicherheitsbeauftragten bis zur Geschäftsführung sowie klare Grundsatzentscheidungen, etwa kein Lösegeld zu zahlen und das Haus vom Internet zu trennen. Schwieriger war der Rückweg: Der Krisenstab wurde zur Einbahnstraße, Informationen flossen hinein, aber kaum zurück, sodass die IT-Fachleute teils ohne Kenntnis der getroffenen Beschlüsse blieben. Ein Krisenstab dürfe keine Einbahnstraße sein, so Brüggemann, es brauche Menschen, die permanent zwischen den Räumen wechseln und alle auf dem Laufenden halten.
Dokumentation und die Frage des Abschaltens
Zur Lage gehörten in der Übung auch Anrufe von Chefärzten, unruhige Stationen und Medienanfragen, etwa wenn ein Reporter vor der Tür steht und wissen will, ob ein Cyberangriff läuft und ob die Versorgung gesichert ist. Nach außen gelingt Kommunikation oft noch, intern wird es schwieriger, sobald Mail, Teams und Telefonie ausfallen, besonders in Verbünden mit mehreren Standorten. Ein zentrales Ergebnis der Übung betraf die Dokumentation: An einer Stelle fragte jemand nach einer Maßnahme, die längst beschlossen war, die aber niemand festgehalten hatte. Ein Krisenstab braucht deshalb feste, im Idealfall mit Vertretung besetzte Rollen dafür, wer Beschlüsse dokumentiert, wer die Maßnahmenliste führt und wer intern wie extern informiert.
Alles sofort abzuschalten ist laut Brüggemann die typische Reflexreaktion, aber nicht immer die richtige: Oft ist unklar, welche Systeme gerade dringend gebraucht werden oder welcher Arzt womit gerade operiert, und ein unkontrolliertes Herunterfahren zerstört zudem forensische Spuren. Meist ist eine gezielte Netzwerktrennung die bessere Maßnahme. Fällt die IT aus, brechen zudem unsichtbare Prozesse weg, etwa rund um Aufnahme, Befunde, Bildarchiv, Medikation, Dienstplan und Essensversorgung. In der Übung ging es deshalb auch um Botengänge, Schichtwechsel und Gehaltszahlungen, für die sich die Gruppe pragmatisch entschied, einfach die Beträge des Vormonats erneut auszuzahlen.
Wiederherstellung dauert oft Monate
Teams schätzen die Rückkehr zum Normalbetrieb häufig auf wenige Tage, realistisch sind aber Wochen bis Monate. Ein Fall aus dem Raum Frankfurt, den Brüggemann kennt, brauchte rund ein Jahr bis zum ursprünglichen Zustand, obwohl dort nicht einmal verschlüsselt, sondern nur das Active Directory kompromittiert worden war. Backups bleiben zwar unverzichtbar, lösen aber nicht das Problem einer kompromittierten Infrastruktur. Das Fraunhofer SIT wertet die Simulationen wissenschaftlich aus und sucht weitere Krankenhäuser als Studienteilnehmer, deren IT-Umgebung vorab per Fragebogen berücksichtigt wird, während die Szenarien vergleichbar bleiben.