Cyberangriffe auf Arztpraxen: Definition und Folgen

In der digitalen Zeit sind Arztpraxen immer häufiger von Cyberangriffen betroffen. Verwendet werden unterschiedliche Programme wie Petya, WannaCry und Stuxnet, die von unbekannten Hackern benutzt werden. Ein Beispiel wäre die Software WannaCry, die im Jahr 2017 sogar die Computer der Bundesbehörde lahmlegte. Der Ursprung ist in den meisten Fällen nicht zu finden, die Schäden können hoch sein.

Was ist ein Cyberangriff?

Ein Cyberangriff bezeichnet das unberechtigte Zugreifen auf ein Computernetzwerk. Es wird eine Schadsoftware eingesetzt, auch bekannt als Trojaner oder Virus. Sämtliche Daten des Computers werden mit der Software infiziert, wodurch Informationen entschlüsselt und für den Angreifer zugänglich machen. Oft werden persönliche Daten gestohlen. In manchen Fällen kann es passieren, dass Daten verschlüsselt und somit unzugänglich gemacht werden.

Gesetzliche Lage

In vielen Praxen und Kliniken wird mit veralteter Informationstechnik gearbeitet. Diese weisen Sicherheitslücken in der Software auf, was es Hackern leichter macht, sie zu infizieren. In vielen Fällen eignet sich eine Ärzteversicherung gegen Cyberangriffe, um die größten Schäden abzuwehren. Am 10. Februar im Jahr 2016 kam es im Lukaskrankenhaus in Neuss zu einem Cyberangriff. Bis heute war es den Behörden nicht möglich, die Verantwortlichen zu fassen. Das Krankenhaus musste insgesamt über eine Million Euro investieren, um die Sicherheitslücke zu finden und ihr System wiederherzustellen. Dieser Fall macht deutlich, wie viel Schaden bei Cyberangriffen entstehen kann.

Im Jahr 2015 verabschiedete die Bundesregierung ein neues Gesetz bezüglich der IT-Sicherheit und definierte die Gruppe der kritischen Infrastrukturen. Dazu gehören Gesundheitsakteure und Energieversorger, die infolge der neuen Gesetzeslage dazu verpflichtet sind, bestimmte Mindeststandards im Sicherheitsbereich einzuhalten. Die Bundesärztekammer hat Arztpraxen von den kritischen Infrastrukturen ausgeschlossen. Sie gaben an, dass die medizinischen Diagnosegeräte unvernetzt zum restlichen System arbeiten. Im Vergleich zu möglichen Kosten, die anfallen würden, findet die BÄK die Wirksamkeit des Gesetzes auf Arztpraxen unverhältnismäßig. Somit ist es Arztpraxen weiterhin möglich, mit veralteten IT-Programmen zu arbeiten.

Weitere Risikofaktoren sind ältere Betriebssysteme, deren Sicherheitsupdates nicht installiert werden. Selbst Mitarbeiter können die Computer der Praxis angreifbar machen, indem eigene USB-Sticks verwendet werden, sie im Internet surfen oder unerwünschte E-Mail-Anhänge öffnen. All diese Möglichkeiten bieten neue Angriffsflächen für schädliche Software.

Folgen von Cyberangriffen

Ärzte verwalten große Mengen an Daten digital auf den Computern. Sie kommunizieren online oft mit den Patienten über E-Mails. Zudem verwahren sie persönliche Daten wie Namen, Geburtstag, Krankheitsverlauf oder Wohnort. Zudem wird der gesamte Zahlungsverkehr online getätigt und Termine werden per Computer vergeben und gespeichert. Bei den Schäden wird zwischen Eigen- und Drittschäden unterschieden.

Eigenschäden betreffen die Praxisinhaber. Ein Ausfall des Betriebs in Folge eines Cyberangriffs kann dazu führen, dass Patienten vorübergehend nicht behandelt werden können. Weil Mitarbeiter trotzdem bezahlt werden müssen, kann dies hohe Kosten verursachen. Zusätzlich werden hohe Summen fällig, wenn die Software nach einem Angriff erneuert werden muss. Anschließend folgt die Bezahlung eines IT-Forensikers, die Bezahlung für die Wiederherstellung der Daten und Rechts- und Schadensersatzansprüche von Patienten. Drittschäden können für die Patienten entstehen, deren Daten nicht verfügbar sind oder nicht mehr vorhanden. Wenn Daten gestohlen werden, zieht es rechtliche Konsequenzen nach sich, was zum Vertrauensverlust der Patienten gegenüber der Praxis führen kann.

Verkauf von Daten

Ständig werden von Hackern neue Wege gefunden, Personendaten zu stehlen. Diese können illegal für hohe Summen verkauft werden. Unter Umständen ist es den Hackern möglich, auf dem Schwarzmarkt, im Darkweb oder durch Erpressung Millionensummen zu verdienen. Meistens werden kleinere Beträge von den Betroffenen gefordert, um möglichst viele Patienten zu erpressen und zum Zahlen zu bewegen. Das Bundesamt für Sicherheit in der Informationstechnik rät davon ab, auf die Forderungen von Erpressern einzugehen. Stattdessen sollte die Polizei informiert werden.

Vorbeugung hoher Schäden durch ausreichende Absicherung

Damit Hackern der Angriff schwerer gemacht wird, empfiehlt es sich, gängige Maßnahmen der IT-Sicherheit umzusetzen. Dazu gehören beispielsweise aktuelle System-Updates. Eine präventive Maßnahme ist der Abschluss einer passenden Versicherung, die im schlimmsten Fall hohe Kosten für die Praxis verhindern kann. Bereits Versicherte sollten überprüfen, ob ihre Versicherung Cyberangriffe übernimmt. Gerade ältere Versicherungen bieten den Schadensersatz nicht an. Auch eine spezielle Virensoftware hilft, mögliche Gefahren zu erkennen.