Rund 202 Milliarden Euro Gesamtschaden verursachten Hackerangriffe im Jahr 2022 allein in Deutschland. Und die Dunkelziffer ist hoch, viele Geschädigte melden den Vorfall erst gar nicht aus Angst vor einem Imageverlust. Die Zahl der Cyberattacken nimmt weltweit zu. Doch insbesondere kleinere Betriebe wie Arztpraxen haben den Ernst der Lage häufig noch nicht erkannt und schützen sich nicht ausreichend. Neben technischen und organisatorischen Maßnahmen für mehr Cyber-Security kann auch eine sogenannte Cyberversicherung helfen, das Risiko zu minimieren.
Bedrohung durch Internetkriminalität nimmt deutlich zu
Die Zahl der Cyberattacken nimmt weltweit weiter zu, die Bedrohung wird größer. Cyberangriffe verursachen meist hohe Kosten, die den betroffenen Unternehmen schwer zusetzen: Betriebsabläufe und IT-Systeme werden lahmgelegt, es kommt zu Umsatzeinbußen und Imageschäden. Hinzu kommen Kosten für rechtliche Maßnahmen, um gegen die Straftaten vorzugehen.
Davon betroffen sind Unternehmen aller Branchen, öffentliche Verwaltungen, Stadtwerke, Energieversorger und eben auch Arztpraxen und Krankenhäuser. So musste etwa im Juni 2022 ein Krankenhaus in Illinois/USA schließen, weil es nach einem Angriff mithilfe sogenannter „Ransomware“ (Schadsoftware, die einen aus den eigenen Geräten „aussperrt“) über Monate keine Versicherungsgelder beantragen konnte.
Internetkrminalität gehört mittlerweile zu den Phänomen mit dem höchsten Schadenspotenzial in Deutschland. Die durch den Digitalverband Bitkom e. V. errechneten Schäden beliefen sich laut dem Bericht zum „Wirtschaftsschutz 2022“ auf rund 203 Milliarden Euro – im Jahr 2017 waren es „nur“ rund 55 Milliarden Euro. Das bedeutet eine Vervierfachung in nur fünf Jahren. Laut dem „Bundeslagebild Cybercrime 2022“ des Bundeskriminalamtes (BKA), das im August 2023 vorgestellt wurde, gab es im Jahr 2022 insgesamt knapp 137.000 polizeilich registrierte Fälle von Cybercrime in Deutschland. Die Zahl jener Taten, die aus dem Ausland heraus begangen werden und in Deutschland einen Schaden verursachen, nahm um 8 Prozent gegenüber dem Vorjahr zu. Und Cyberkriminelle sitzen längst nicht mehr allein in irgendwelchen Kellern, Cybercrime ist längst Teil der weltweiten organisierten Kriminalität geworden.
Zunehmende Digitalisierung und Vernetzung auch im Gesundheitswesen
Auch im Gesundheitsbereich schreitet die Digitalisierung und Vernetzung von Prozessen unaufhörlich voran – mit entsprechenden Risiken für die sensiblen Personendaten. Gesundheitsdienstleister müssen heute mehr vernetzte medizinische Geräte sichern als jemals zuvor. Zudem steigt die private Nutzung sogenannter „mHealth-Produkte“ (Mobile Health) wie Smartwatches und Gesundheits-Apps. Somit wächst die Angriffsfläche: Je mehr Gesundheitsdaten individuell digital gesammelt, gespeichert und zwischen verschiedenen Anbietern ausgetauscht werden, desto wichtiger wird auch die Rolle der Cybersicherheit.
Informationen über den Gesundheitszustand einer Person zählen zu den Daten, die in besonderem Maß dem Datenschutz unterliegen. Denn neben den Kriminellen, die damit Geld erpressen können, gibt es auch viele andere mögliche Interessenten für diese Daten: Pharmaunternehmen, Versicherungen oder der Arbeitgeber der betroffenen Person. Der Diebstahl sensibler Patienteninformationen oder eine Störung der Gesundheitsversorgung können fatale Konsequenzen haben. Die verursachten Kosten sind daher in der Gesundheitsbranche besonders hoch. Zusätzlich hat sich laut dem „Bundesamt für Sicherheit in der Informationstechnik (BSI)“ die Cyber-Gefährdungslage im Gesundheitswesen durch die Coronapandemie weiter verschärft, auch durch die Zunahme des Arbeitens im Homeoffice.
Cyberrisiken von Arztpraxen häufig unterschätzt
Laut aktueller Einschätzung des GDV (Gesamtverband der Deutschen Versicherungswirtschaft e. V.) schützen sich große Konzerne zwar mittlerweile mit hohem Aufwand gegen die zunehmende Cyberkriminalität, kleinere Betriebe agieren jedoch oft zu sorglos. Vielfach wurde das Thema bisher schlichtweg verschlafen; in jedem Fall investiert ein enormer Teil der kleinen und mittleren Betriebe nach wie vor zu wenig in die eigene Cybersicherheit.
Aus diesem Grund hat der GDV die Initiative „CyberSicher“ der Deutschen Versicherer ins Leben gerufen: Sie sensibilisiert für die Gefahren aus dem Cyberspace und zeigt, wie sich kleine und mittlere Unternehmen schützen können – und bietet auch einen Überblick über einen möglichen Versicherungsschutz und die Leistungen von Cyberversicherungen.
Zudem hat die Initiative im Mai 2019 den „Branchenreport: Cyberrisiken bei Ärzten und Apotheken“ veröffentlicht, der auf der Website des GDV als PDF-Datei zum kostenlosen Download verfügbar ist. Hierin wird als Hauptproblem für die Cybersicherheit konstatiert, dass deutsche Ärztinnen und Ärzte in ihren Praxen zu nachlässig mit Passwörtern umgehen – und damit die Sicherheit von Patientendaten gefährden. Laut Aussage eines IT-Experten und White-Hat-Hackers sind Ärztinnen und Ärzte daher eine gut erpressbare Berufsgruppe: In 22 von 25 getesteten Arztpraxen nutzen mehrere Personen dieselbe Zugangskennung mit sehr einfachen oder gar keinen Passwörtern. Mit dem Passwort „Praxis“ kommt der Hacker in jede zweite Praxis-IT. Und so gut wie keine Praxis ist in puncto E-Mail-Verschlüsselung auf dem neuesten Stand der Technik. Diess sind Ergebnisse einer Untersuchung zur IT-Sicherheit im Gesundheitssektor im Auftrag der Versicherungswirtschaft.
Weitere zentrale Erkenntnisse der GDV-Studie sind: Fast 80 Prozent der Arztpraxen wären ohne funktionierendes IT-System deutlich eingeschränkt. Knapp die Hälfte der getesteten Arztpraxen ist auf einen Ausfall des IT-Systems nicht vorbereitet. Dennoch meinen 80 Prozent, sie seien ausreichend gegen Cyberkriminalität geschützt; und ein Drittel plant daher auch keine weiteren Investitionen in die IT-Sicherheit. In jeder zweiten Arztpraxis herrscht der Irrglaube, die eigene Praxis sei zu klein, um in den Fokus von Cyberkriminellen zu geraten.
Hackerangriff mithilfe von Malware, Ransomware, Stalkerware und Co.
Unter einer Cyberattacke versteht man einen von außen – durch eine einzelne Hackerin oder einen einzelnen Hacker, eine Institution oder Ähnliches – zum Zweck der Sabotage oder der Informationsgewinnung geführten Angriff auf ein Computernetzwerk. Wird eine Arztpraxis oder ein Krankenhaus durch eine Cyberattacke angegriffen, entstehen zahlreiche Bedrohungen: Datendiebstahl oder -missbrauch, Datenrechts- oder Urheberrechtsverletzungen, Betriebsunterbrechungen infolge von IT-Ausfällen, Imageschäden, Folgekosten für die Wiederherstellung der Systeme, für juristische Maßnahmen und vieles mehr.
Für Vergehen wie etwa den Datendiebstahl greifen Hackerinnen und Hacker auf sogenannte „Malware“ (Malicious Software, engl. „böswillige“ Software) zurück. Dabei handelt es sich um Schadprogramme, die in ein Computersystem eindringen und dort Störungen oder Schäden verursachen können. Sobald das Schadprogramm auf dem Gerät des Opfers installiert ist, „infiziert“ es das System dergestalt, dass ein Zugriff auf den Computer und alle damit verknüpften Informationen aus der Ferne möglich wird. Eine speziell auf Erpressung angelegte Form ist sogenannte „Ransomware“ (Ransom, engl. Lösegeld) wie beispielsweise Trojaner, mit deren Hilfe der Zugriff auf das eigene Computersystem verhindert wird und erst wieder freigegeben wird, wenn ein Lösegeld bezahlt wurde.
„Stalkerware“ sind sogenannte Tracking-Apps, die es ermöglichen, heimlich Informationen über den Besitzer eines Smartphones zu sammeln. In Deutschland steigt die Nutzung von Stalkerware rapide an. Allein für diese Art von Schadprogramm verzeichneten Experten zuletzt einen Nutzungsanstieg von ca. 77 Prozent. Daneben gibt es das sogenannte „Phishing“: Dabei wird versucht, über gefälschte E-Mails oder Websites Zugriff auf persönliche Daten anderer Personen zu erlangen, wie etwa Passwörter, Kreditkartennummern, Bank- und Identifikationsdaten. Der größte Anteil der Phishing-Angriffe entfällt allerdings auf Lieferunternehmen.
Rund 19.000 Euro Schaden pro Fall – das kann die Existenz bedrohen
Im Gesundheitswesen und bei medizinischen Berufsgruppen geht es üblicherweise um Erpressung: Die Hacker fordern eine Summe X für die Wiederherstellung der Daten und die Arbeitsfähigkeit des IT-Systems. Es kann auch der Verkauf der erbeuteten Patientendaten drohen, aber die Erpressung ist für die Täter das schnellere und gängigere Geschäft. Laut einer Statista-Umfrage betrugen die durchschnittlichen Schäden je Vorfall in Deutschland im Jahr 2022 knapp 19.000 Euro. Das kann für eine Arztpraxis existenzbedrohend sein – wie etwa bei einer Zahnarztpraxis, die durch einen Hackerangriff lahmgelegt wurde und von der die Täter 15.000 Euro in Bitcoins forderten.
Häufig zahlen die Betroffenen dann lieber, als die noch höheren Kosten für die Datenwiederherstellung und den damit verbundenen Betriebsausfall in Kauf zu nehmen. Besonders perfide ist, dass sich die Hacker ins System einschleusen, dann aber oft erst ein paar Wochen abwarten, bevor sie in Aktion treten. So zerstören sie auch die in der Regel im Wochenrhythmus laufende Datensicherung nachhaltig.
Nicht einmal jeder Dritte meldet die Attacke
Hinzukommt, dass viele Cyberattacken nicht bekannt werden. Die Dunkelziffer ist hoch, viele Betroffene melden den Schaden erst gar nicht. Das erschwert die reale Einschätzung der Gesamtproblematik. Dazu hat eine Bitkom-Studie ermittelt, dass nur rund ein Drittel der betroffenen Unternehmen staatliche Stellen einschaltet. Hauptgründe dafür, sich nicht an die Behörden zu wenden, sind die Angst vor Imageschäden und negativen Konsequenzen, die Annahme, dass die Täter ohnehin nicht gefasst würden oder der zu hohe Aufwand. Bei Ärztinnen und Ärzten, Medizinischen Versorgungszentren (MVZ) oder Krankenhäusern drohen außerdem noch Geldbußen oder Strafen durch Behörden, falls der Datenverlust auf Fahrlässigkeit zurückzuführen ist.
Technische und organisatorische Maßnahmen für mehr Cybersicherheit
Die Bedeutung von Cyber-Security-Maßnahmen steigt, als Reaktion auf die zunehmende Bedrohungslage sind in den letzten Jahren die Ausgaben für Cybersicherheit weltweit angestiegen. Zudem gibt es ständig neue Technologien, um Angriffe zu blockieren und die eigenen Netzwerke zu sichern. Die erfolgreiche Abwehr von Cyberangriffen wird gerade im Gesundheitsbereich von größter Bedeutung sein, um die Unterbrechung von medizinischen Diensten zu verringern und das Vertrauen von Patientinnen und Patienten zu stärken.
Um sich vor Cyberkriminalität und Hackerangriffen zu schützen, setzen die meisten Unternehmen auf technische und organisatorische Sicherheitsmaßnahmen. Größere Firmen beauftragen mittlerweile sogar eigens Hacker dafür, ihre Systeme gezielt auf Schwachstellen zu überprüfen. Zu den gängigen Cyber-Security-Maßnahmen zählen unter anderem: Software und insbesondere Antivirenprogramme regelmäßig aktualisieren, den Praxis-Server mit einer Firewall sichern und eine mindestens wöchentliche automatische Datensicherung (Backup) durchführen. Weiterhin sollte es einen (oder mehrere) Administratorzugang geben, der aber nur sparsam genutzt werden sollte; auch sollten Sie individuelle Zugänge für jede Mitarbeiterin und jeden Mitarbeiter einrichten und diese mit komplexen Passwörtern sichern. Und schließlich müssen auch betrieblich genutzte Mobilgeräte wie Laptops, Tablets und Smartphones gleichermaßen sicher eingerichtet werden. Der Digitalverband Bitkom empfiehlt, nicht weniger als 20 Prozent der gesamten IT-Ausgaben für das Thema IT-Sicherheit bereitzustellen.
Doch auch wenn die Absicherung der Praxissoftware oft auf den ersten Blick gute Standards aufweist, gibt es häufig einen schlampigen Umgang mit Passwörtern und ungeschützte Mailserver. Nur wenige niedergelassene Ärztinnen und Ärzte sind hinsichtlich der unterstützten Verschlüsselungsmethoden auf dem vom „Bundesamt für Sicherheit in der Informationstechnik (BSI)“ empfohlenen Stand der Technik – dennoch glaubt der Großteil von ihnen, seine Computersysteme seien umfassend geschützt.
Mitarbeiterschulungen zur IT-Sicherheit und Erstellung eines Notfallplans
Laut Bitkom sollten Mitarbeiterinnen und Mitarbeiter von Praxis oder Klinik regelmäßig zum Thema IT-Sicherheit geschult werden, denn eines der wichtigsten Einfallstore für die Angriffe bleiben die Menschen im Unternehmen – und zugleich bilden sie die erste und vielleicht beste Abwehr bei Angriffen. Solche Schulungen dürfen nicht nur pflichtschuldig einmal durchgeführt werden, sie müssen regelmäßig stattfinden. Denn auch die Methoden und Technologien der Hackerinnen und Hacker entwickeln sich ständig weiter.
Zudem braucht jedes Unternehmen einen Notfallplan für Cyberangriffe. Dieser muss klar regeln, wer im Ernstfall was tut. Ist man erst einmal Opfer des Angriffs, bleibt keine Zeit mehr, sich diese Fragen erstmals zu stellen – zumal womöglich die unternehmensinterne Kommunikation nicht mehr funktioniert. Je schneller man dann reagieren kann, desto besser stehen die Chancen, größeren Schaden abzuwenden.
Insbesondere bei der Erpresser-Software (Ransomware) gilt: Durch technische Vorkehrungen und Schulung der Beschäftigten lassen sich Angriffe abwehren. Und wer aktuelle Back-ups zur Verfügung hat und einen Notfallplan aufstellt, der kann den Schaden einer erfolgreichen Attacke zumindest deutlich reduzieren. Auf keinen Fall sollte ein Lösegeld gezahlt werden, denn häufig erhält man die Daten auch dann nicht in einem brauchbaren Zustand zurück und zudem motiviert eine Lösegeldzahlung wie bei jeder Erpressung nur die Täterinnen und Täter zu neuen Angriffen.
Cyberversicherung übernimmt Folgekosten
In diesem Zusammenhang steigt auch die Bedeutung sogenannter Cyber- oder Datenschutzversicherungen. Eine Cyberversicherung deckt die von Cyberkriminalität ausgehenden Risiken für den Betrieb ab und hilft, den Arbeitsausfall aufzufangen und die Folgekosten zu minimieren. Diese sind zum Beispiel die Kosten für die Wiederherstellung der Daten, die Reparatur der IT-Systeme oder die Durchführung einer Computerforensik-Analyse, das Honorar von auf IT-Recht spezialisierten Anwältinnen oder Anwälten, die Kosten für ein professionelles Krisenmanagement und entsprechende PR-Maßnahmen sowie die notwendigen Mehrkosten zur Fortführung des Betriebs.
Voraussetzung für den Abschluss einer Cyberversicherung sind in der Regel gewisse sicherheitstechnische Voraussetzungen, die Sie in Ihrem Betrieb bereits umgesetzt haben müssen. Leistungen und Versicherungsprämien sind je nach Anbieter sehr unterschiedlich. So wird etwa unterschieden, welche Schäden abgedeckt werden sollen – nur die im eigenen Betrieb oder auch Schäden bei Dritten wie etwa Dienstleistern oder Patientinnen bzw. Patienten. Zudem bieten viele Versicherer auch Serviceleistungen an wie zum Beispiel eine Unterstützung bei der Datenwiederherstellung, der Erstellung eines Notfallplans oder der Einrichtung einer Service-Hotline während der Krise. Ebenso variieren die Kosten (meist Jahresprämien) der Anbieter erheblich – und sind unter anderem abhängig von der Branche, von der Größe des Betriebs (Beschäftigtenzahl), vom Jahresumsatz, von der Höhe der Selbstbeteiligung und von der Vertragslaufzeit.
Daher empfiehlt es sich, die am Markt ständig wachsende Zahl an Angeboten sehr sorgfältig auf Leistungsinhalt und Konditionen zu prüfen oder sich beraten zu lassen. Die Datenschutzversicherung sollte gut auf den eigenen Bedarf angepasst sein und die üblichen Folgeschäden berücksichtigen. Bevor man hier an der falschen Stelle spart, sollte man lieber erst gar keine Versicherung abschließen. Sonst wiegt man sich in einer vermeintlichen Sicherheit, die es nicht gibt. Schlussendlich bleibt der wirksamste Schutz vor Schäden immer noch ein professionelles Datenschutzkonzept sowie die entsprechende Schulung der Mitarbeiterinnen und Mitarbeiter in Praxis oder Krankenhaus.