Ransomware im Gesundheitswesen: Wenn Cyberangriffe zu Vorfällen der Patientensicherheit werden

Organisationen im Gesundheitswesen sind einer deutlich ernsthafteren Ransomware-Bedrohung ausgesetzt als jede andere Branche, da ihre Patientinnen und Patienten selbst zu Kollateralschäden werden können. Wenn beispielsweise in der Fertigung Systeme ausfallen, verzögert sich die Produktion. Wenn jedoch im Gesundheitswesen Systeme ausfallen, kann die Patientenversorgung verzögert, unterbrochen oder im schlimmsten Fall gefährdet werden. 

Der Gesundheitssektor ist zu einem bevorzugten Ziel für böswillige Akteure geworden, weil sie die Dringlichkeit verstehen, Systeme schnell wieder in Betrieb zu nehmen – denn davon können Menschenleben abhängen. Das Ergebnis ist eine wachsende Bedrohung, die weit über IT-Teams und Sicherheit-Abteilungen hinausreicht. 

In diesem Artikel besprechen wir: 

• Welche Faktoren die Gesundheitsbranche zu einem bevorzugten Ransomware-Ziel machen

• Wie ein typischer Ransomware-Angriff vom initialen Zugriff bis zur Erpressung abläuft

• Wie Ransomware die Patientenversorgung beeinträchtigt

• Die Rolle zuverlässiger, unveränderlicher Backups bei der sicheren und schnellen Wiederherstellung von Systemen

Warum das Gesundheitswesen ein Top-Ziel für Ransomware ist 

Laut HIPAA Journal stiegen Ransomware-Angriffe im Gesundheitswesen zwischen 2018 und 2023 um 278 %, während Hacking- und IT-Vorfälle inzwischen für die meisten Datenschutzverletzungen im Gesundheitswesen verantwortlich sind. Was hat einen solchen Anstieg befeuert? Eine einzigartige Kombination von Risiken, die sie für Cyberkriminelle besonders attraktiv macht – die Unfähigkeit, kritische Systeme sehr lange außer Betrieb zu haben, hochsensible Daten und weitläufige Angriffsflächen. 

Geringe Toleranz für Ausfallzeiten 

Das moderne Gesundheitswesen ist von digitalen Systemen abhängig. Elektronische Gesundheitsakten (EHRs), Bildgebungsplattformen, Apothekensysteme, Labordienste, Terminplanungsanwendungen und Kommunikationstools spielen im täglichen Betrieb allesamt eine Rolle, bei der es um Leben und Tod gehen kann. 

Wenn Ransomware diese Systeme verschlüsselt, können Krankenhäuser und Kliniken den Betrieb nicht einfach pausieren, bis das Problem behoben ist. Die Versorgung muss weiterlaufen – oft über langsamere manuelle Prozesse, die die operative Belastung erhöhen und das Risiko von Übertragungsfehlern steigern. 

Hochsensible Daten 

Organisationen im Gesundheitswesen speichern große Mengen geschützter Gesundheitsinformationen (PHI), darunter die medizinische Vorgeschichte von Patientinnen und Patienten, Versicherungsinformationen, persönliche Identifikatoren, Abrechnungsunterlagen und Behandlungsdaten. 

Im Gegensatz zu einem kompromittierten Passwort oder einer Kreditkarte lassen sich medizinische Informationen nicht ohne Weiteres ändern oder ersetzen. Dadurch bleiben Gesundheitsakten für Cyberkriminelle wertvoll – für Betrug, Identitätsdiebstahl und Erpressungsaktivitäten. 

Große und komplexe Angriffsflächen 

Umgebungen im Gesundheitswesen umfassen häufig: 

• Altsysteme 

• Spezialisierte medizinische Geräte 

• Technologieanbieter von Drittanbietern 

• Abrechnungspartner 

• Versicherungspartner 

• Cloudbasierte Anwendungen im Gesundheitswesen 

Dieses vernetzte Ökosystem schafft mehr Möglichkeiten für Angreifer, Zugriff zu erlangen und sich durch Netzwerke zu bewegen. 

Forscher von Comparitech haben außerdem beobachtet, dass Ransomware-Gruppen zunehmend Organisationen entlang der breiteren Lieferkette im Gesundheitswesen ins Visier nehmen, darunter Anbieter von Gesundheitstechnologie, Abrechnungsdienstleister und pharmazeutische Organisationen. 

Wie ein Ransomware-Angriff typischerweise abläuft 

Auch wenn jeder Vorfall anders ist, folgen die meisten Ransomware-Angriffe im Gesundheitswesen einem ähnlichen Muster. 

Phase 1: initialer Zugriff 

Angreifer verschaffen sich typischerweise Zugriff durch: 

• Ausnutzung von Software-Schwachstellen 

• Phishing-E-Mails 

• Gestohlene Zugangsdaten 

• Kompromittierungen bei Drittanbietern 

Laut Verizons Analyse von 1.492 Vorfällen im Gesundheitswesen Sicherheit waren die führenden Angriffsvektoren im Gesundheitswesen die Ausnutzung von Schwachstellen (20 %), Phishing-Angriffe (14 %) und gestohlene Zugangsdaten (11 %).  

Phase 2: Aufklärung und Datendiebstahl 

Sobald sie sich in der Umgebung befinden, verbringen Angreifer häufig Tage oder Wochen damit, kritische Systeme zu identifizieren, Berechtigungen auszuweiten und sensible Daten zu lokalisieren. Die Angreifer bei Change Healthcare folgten genau diesem Muster. Sie verschafften sich am 12. Februar 2024 Zugriff auf die Umgebung, blieben mehrere Tage unentdeckt und exfiltrierten Daten, bevor sie Ransomware ausrollten – was letztlich den Betrieb im Gesundheitswesen landesweit störte.  

Phase 3: Verschlüsselung und Störung 

Der Angriff tritt in seine sichtbarste Phase ein, wenn Systeme verschlüsselt und unzugänglich werden. 

Betroffene Systeme können umfassen: 

• Elektronische Gesundheitsakten 

• Terminplanungssysteme 

• Plattformen für diagnostische Bildgebung 

• Laborsysteme 

• Abrechnungsanwendungen 

• Interne Kommunikationstools 

An diesem Punkt können normale Arbeitsabläufe zum Stillstand kommen. 

Phase 4: Erpressung und Wiederherstellung 

Nach der Systemstörung fordern Angreifer typischerweise eine Zahlung im Austausch gegen Entschlüsselungsschlüssel oder Garantien, dass gestohlene Daten nicht veröffentlicht werden. 

Allerdings garantiert die Zahlung eines Lösegelds keine erfolgreiche Wiederherstellung. Organisationen können weiterhin mit langwierigen Wiederherstellungsmaßnahmen, regulatorischer Prüfung, operativen Ausfallzeiten und reputativem Schaden konfrontiert sein. 

Deshalb ist Wiederherstellungsbereitschaft ebenso wichtig geworden wie Prävention. 

Die menschlichen Auswirkungen von Ransomware auf das Gesundheitswesen 

Ransomware wird häufig im Zusammenhang mit Ausfallzeiten, finanziellen Verlusten und Meldungen von Datenschutzverletzungen diskutiert. Die größte Sorge ist jedoch die potenzielle Auswirkung auf Menschen. 

Wenn kritische Gesundheitsdienste nicht verfügbar sind, sind die Folgen gravierend. 

Mögliche Auswirkungen auf Patientinnen und Patienten 

Ein erfolgreicher Ransomware-Angriff kann zu Folgendem führen: 

• Verzögerte Notfallversorgung 

• Verschobene Operationen und Eingriffe 

• Verzögerter Zugang zu lebensrettenden Medikamenten 

• Umleitungen von Rettungswagen zu anderen Einrichtungen 

• Verzögerte diagnostische Tests 

• Störungen bei Labordiensten 

• Eingeschränkter Zugriff auf Patientenhistorien und medizinische Unterlagen 

• Verzögerungen bei Krebsvorsorgeuntersuchungen und Behandlungsplänen 

• Erhöhtes Risiko von Dokumentations- und Medikationsfehlern, wenn das Personal auf manuelle Arbeitsabläufe angewiesen ist 

• Eingeschränkter Zugang zur Gesundheitsversorgung für Patientinnen und Patienten in ländlichen oder unterversorgten Gebieten 

Erhöhte Sterblichkeitsraten 

Über verzögerte Eingriffe und gestörte Arbeitsabläufe hinaus wurden Ransomware-Angriffe mit messbaren Auswirkungen auf Behandlungsergebnisse in Verbindung gebracht. In Halcyons Ransomware: A Public Health Crisis Whitepaper zitierte Forschung ergab, dass von Ransomware betroffene Krankenhäuser bei Medicare-Patientinnen und -Patienten einen Anstieg der Krankenhaussterblichkeit um etwa ein Drittel verzeichneten. Die Forschenden schätzten, dass Ransomware-bedingte Störungen über einen Zeitraum von fünf Jahren mit 42 bis 67 zusätzlichen Todesfällen von Medicare-Patientinnen und -Patienten verbunden waren. 

Rückgang der Patienteneinweisungen 

Wenn kritische Systeme nicht verfügbar sind, können Krankenhäuser gezwungen sein, Patientinnen und Patienten umzuleiten, Leistungen zu verschieben und über manuelle Prozesse zu arbeiten. Von Halcyon zitierte Studien ergaben, dass die Patienteneinweisungen in der ersten Woche nach einem Ransomware-Angriff um 17 % bis 24 % zurückgingen – was die Schwierigkeiten widerspiegelt, mit denen Organisationen im Gesundheitswesen konfrontiert sind, wenn elektronische Systeme, die die Patientenversorgung unterstützen, nicht zugänglich sind. 

Nachwirkungen überlasten Krankenhauspersonal 

Die Auswirkungen eines Ransomware-Angriffs halten oft lange nach dem initialen Ausfall an. Eine durchschnittliche Datenschutzverletzung im Gesundheitswesen benötigt 279 Tage, um identifiziert und eingedämmt zu werden, und erfordert Monate an Untersuchung, Behebung, regulatorischer Reaktion und operativer Wiederherstellung. Dieser lange Wiederherstellungszeitraum kann das Gesundheitspersonal, IT-Teams und die Verwaltung Ressourcen noch lange nach der Wiederherstellung der Systeme dauerhaft belasten. 

Die Wiederherstellung hängt von Backup Daten ab, die Ransomware nicht zerstören kann 

Die Fähigkeit zur Wiederherstellung ist wertvoller als die Fähigkeit zu verhandeln. Angreifer stellen nach der Zahlung möglicherweise Entschlüsselungswerkzeuge bereit, doch die Wiederherstellung bleibt dennoch ein komplexer Prozess. Systeme müssen wiederhergestellt, die Datenintegrität verifiziert, Anwendungen neu gestartet und klinische Arbeitsabläufe sicher wieder aufgenommen werden. 

Die Zahlung eines Lösegelds ist jedoch keine Garantie dafür, dass gestohlene Daten wiederhergestellt oder gelöscht werden. Während des Ransomware-Angriffs 2024 zahlte Change Healthcare ein Lösegeld in Höhe von 22 Millionen US-Dollar. Die Hacker – ein BlackCat-Ransomware-Affiliate – behielten jedoch Kopien der gestohlenen Daten und setzten anschließend die Erpressungsversuche unter einem anderen Namen, RansomHub, fort.  

Sich darauf zu verlassen, dass Cyberkriminelle ihre Versprechen einhalten (Entschlüsselungsschlüssel bereitstellen und sensible Daten löschen), ist kein Wiederherstellungsplan. Die Fähigkeit eines Unternehmens, Backup Daten wiederherzustellen, bestimmt letztlich, wie schnell der Betrieb wieder aufgenommen werden kann.  

Organisationen im Gesundheitswesen benötigen eine Wiederherstellungsstrategie, die auf Gewissheit basiert. Wenn Backup Daten verändert, gelöscht oder verschlüsselt werden können, wird die Wiederherstellung langsamer und schwieriger. Wenn Backup Daten nicht verändert werden können, haben Organisationen einen vertrauenswürdigen Ausgangspunkt, um Systeme wiederherzustellen und Services wieder in den Normalbetrieb zu überführen. 

Die Ootbi Appliances von Object First gewährleisten Absolute Immutability, indem sie verhindern, dass Backup Daten nach dem Schreiben verändert oder gelöscht werden. Das bedeutet, dass sich Organisationen im Gesundheitswesen auf die Wiederherstellung patientennaher Services, klinischer Anwendungen und des Geschäftsbetriebs konzentrieren können, statt sich Sorgen zu machen, ob ihre Backup Daten den Angriff überstanden haben. Und am Ende des Tages sorgt dies auch für die besten Ergebnisse für das Wohlbefinden ihrer Patientinnen und Patienten. 

Resilienz ist genauso wichtig wie Prävention. Die Organisationen, die am besten positioniert sind, einem Angriff standzuhalten, sind diejenigen, die kritische Systeme schnell wiederherstellen und die Versorgung von Patientinnen und Patienten fortsetzen können. Ransomware-sicheres Backup liefert die Grundlage für dieses Niveau der Wiederherstellung.