Düsseldorfer Universitätsklinikum: IT-System dieser KRITIS offenbar vollständig ausgefallen

Jürgen Venhorst kommentiert Vorfall und fordert besondere Vorkehrungen im Bereich der KRITIS

[datensicherheit.de, 15.09.2020] Der mutmaßliche Hacker-Angriff auf das Universitätsklinikum Düsseldorf beweist laut Netwrix erneut, „weshalb Unternehmen der Kritischen Infrastruktur besondere Vorkehrungen in ihrer IT-Sicherheitsstrategie treffen müssen“. Denn eine lange Unterbrechung ihres Betriebs könne im schlimmsten Fall Menschenleben kosten. Jürgen Venhorst, „Country Manager DACH“ bei Netwrix, geht in seiner aktuellen Stellungnahme auf diesen Vorfall ein: Demnach ist am 10. September 2020 das IT-System des Düsseldorfer Universitätsklinikums vollständig ausgefallen – die gegenwärtigen Ermittlungen deuteten auf eine Cyber-Attacke hin.

Foto: Netwrix

Jürgen Venhorst: IT-Sicherheitsvorfall im Krankenhaus setzt Leben aufs Spiel!

Angriffe auf die KRITIS unter Umständen mit lebensbedrohliche Konsequenzen

Anders als in Fällen von Angriffen auf Industriebetriebe, zögen Angriffe auf die Kritische Infrastruktur unter Umständen lebensbedrohliche Konsequenzen nach sich. „Wo ansonsten lediglich Maschine zum Stillstand kommen, stehen im Falle eines IT-Sicherheitsvorfalls bei einem Krankenhaus Leben auf dem Spiel“, betont Venhorst:
Notrufe könnten nicht entgegengenommen werden, Rettungswagen stünden still, Patientenakten mit essenziellen Diagnosedaten fehlten und Operationen könnten in der Folge nicht stattfinden. Mit jedem verlorenen Tag müssten zusätzliche Patienten abgewiesen und lebenswichtige Operationen verschoben oder auf andere Krankenhäuser ausgelagert werden.

Spezieller Schutz für KRITIS-Einrichtungen nicht nur notwendig, sondern auch gesetzlich vorgeschrieben

Ein solcher Vorfall sei in Zeiten der „Corona-Pandemie“ besonders heikel, da das gesamte Gesundheitssystem bis an die Grenzen der Belastbarkeit gelangt sei. Venhorst unterstreicht: „Deshalb ist ein spezieller Schutz von Einrichtungen, die zur Kritischen Infrastruktur gehören, nicht nur notwendig, sondern auch gesetzlich vorgeschrieben. Sollte entgegen aller Schutzmaßnahmen ein Cyber-Angriff die Sicherheitsbarrieren überwinden, zählt jede Stunde bei der Wiederherstellung aller relevanten IT-Systeme.“
Der fortdauernde Ausnahmezustand erfordere es, dass Betriebe des Gesundheitssektors ihre begrenzten und strapazierten Ressourcen auf das Wesentliche fokussierten. Eine der besonders elementaren Aufgaben sei es, die für die täglichen Betrieb essenzielle IT-Infrastruktur sowie sensible Patientendaten bestmöglich und automatisiert zu schützen.

Automatische Warnsignale für die KRITIS, um Anomalien früh zu erkennen

„So helfen automatische Warnsignale dabei, Eindringlinge oder abnormale Aktivitäten früh zu erkennen und somit den vollständigen Ausfall zu verhindern. Im Falle eines bereits erfolgten Angriffs, kann durch eine frühe Erkennung schnell nachvollzogen werden, welche Bereiche betroffen und welche Schäden zu reparieren sind“, erläutert Venhorst. Nur so könne eine schnelle Wiederaufnahme der Grundversorgung garantiert werden.
Im Falle des Düsseldorfer Universitätsklinikums erstreckten sich die Folgen nun über fast eine Woche. Für viele Eingriffe sei das eine „inakzeptable Wartezeit“.

KRITIS-Betriebe sollten unbedingt drei goldenen Regeln für IT-Sicherheit beachten

Deshalb sollten sich Betriebe der Kritischen Infrastruktur unbedingt an die „drei goldenen Regeln für IT-Sicherheit“ halten:

1. Automatisiertes Echtzeitmonitoring aller Aktivitäten in der IT-Infrastruktur um abnormales Verhalten früh zu erkennen und Angriffswege nachverfolgen zu können.
2. Strenge Zugriffskontrolle mit minimalen Zugriffsrechten für Mitarbeiter, um im Falle einer Account-Übernahme den Schaden begrenzen zu können.
3. Daten-Backup auf isolierten Servern vorhalten, um kompromittierte oder verlorene Daten und somit den reibungslosen Betrieb schnell wiederherstellen zu können.

Das aktuell stark strapazierte Gesundheitssystem werde auch in Zukunft nicht von solchen Vorfällen verschont bleiben. „Deshalb ist eine gewissenhafte und lückenlose Datensicherheit für Betriebe der Kritischen Infrastruktur nicht optional, sondern essenziell!“, stellt Venhorst klar.

Weitere Informationen zum Thema:

Ruhr Nachrichten, 13.09.2020
KRANKENHAUS / Nach IT-Ausfall an Uniklinik Düsseldorf: Weiterhin keine Rettungswagen

Bundesamt für Bevölkerungsschutz und Katastrophenhilfe / Bundesamt für Sicherheit in der Informationstechnik
KRITIS / Rechtsgrundlagen

datensicherheit.de, 16.04.2020
Cyber-Protection: Krankenhäuser müssen ihre IT schützen / Massive Sicherheitslücken dominieren die IT-Infrastruktur im Gesundheitssektor

datensicherheit.de, 16.04.2020
Gesundheitssektor: Lob für Enisa-Leitfaden zur Cybersicherheit in Krankenhäusern / Veröffentlichung ergänzt die bisherigen KRITIS-Leitfäden

datensicherheit.de, 24.02.2020
BlueKeep: Schwachstelle bereitet Krankenhäusern Ungemach / Im Mai 2019 stellten Sicherheitsforscher fest, dass sie „aktiv ausgenutzt“ wird

datensicherheit.de, 23.07.2019
Unerwünschtes Déjà-vu: Malware-Attacke auf Krankenhäuser / Jochen Koehler kommentiert jüngsten Vorfall in Rheinland-Pfalz und im Saarland

datensicherheit.de, 19.07.2019
Ransomware: 13 Krankenhäuser zeitweise komplett vom Internet abgeschnitten / Arved Graf von Stackelberg warnt vor weiterhin angespannter Gefahrenlage

datensicherheit.de, 18.07.2019
Ransomware befällt elf deutsche Krankenhäuser / Erneut scheint eine Phishing-E-Mail mit Schadsoftware im Anhang erfolgreich gewesen zu sein

datensicherheit.de, 12.06.2019
KRITIS-Verordnung im Gesundheitsbereich: Krankenhäuser müssen dringend handeln / Ein Statement von Arved Graf von Stackelberg, Managing Director DRACOON