Krankenhäuser und andere Einrichtungen des Gesundheitswesens bleiben bei Angriffen von Cyberkriminellen schon lange nicht mehr verschont. Im September 2020 brachen die IT-Systeme durch ein Malware-Befall an der Uniklinik Düsseldorf zusammen und eine Patientin konnte nicht rechtzeitig behandelt werden. Das endete für die Patientin leider tödlich. Ein Jahr vorher war ein Computerwurm am Klinikum Fürth dafür verantwortlich, dass tagelang die IT-Systeme ausfielen. Neue Patienten konnten nicht mehr aufgenommen werden.
Betreiber von KRITIS sind für Hacker mittlerweile ein lohnendes Ziel. Das ist naheliegend: Wenn Hacker Daten stehlen und die Betreiber von KRITIS-Infrastrukturen erpressen, können die Folgen im Falle einer Störung der Grundversorgung von Millionen von Menschen sehr fatal sein.
Kein Wunder, dass das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Lagebericht im Oktober 2020 eine Warnung ausspricht, denn die Anzahl der Schadprogramme übersteigt mittlerweile die Milliardengrenze. Die Summe der Angriffe auf KRITIS-Unternehmen hat sich gegenüber dem Vorjahr fast verdoppelt. Eine Folge davon sind im Netz frei einsehbare Patientendaten im zweistelligen Millionen-Bereich.
Auch durch die Corona-bedingte Arbeit im Homeoffice kamen 2020 zahlreiche neue Angriffspunkte hinzu. Gerade die Arbeit auf mobilen Geräten gehört seitdem verstärkt zum Arbeitsalltag in KRITIS-Unternehmen. So werden Smartphones und Tablets zur Übermittlung sensibler Daten und vertraulicher Inhalte wie Patienten-Befunde genutzt. Diese Geräte sind allerdings selten in dieselben rigiden Sicherheitsmaßnahmen eingebunden wie lokale Arbeitsrechner. Wenn das Gerät nicht über ein Firmen-WLAN kommuniziert, fehlen beim mobilen Arbeiten häufig Komponenten wie Firewall und Proxy-Server, Patch-Management oder Verschlüsselung, die das interne Netzwerk vor Angriffen und Datenverlust schützen. Wenn Mitarbeiter dann mangels Alternativen noch ihre privaten Geräte für berufliche Zwecke nutzen, wird die Absicherung dieser Geräte es zu einer fast unlösbaren oder zumindest sehr aufwändigen Aufgabe für die IT-Verantwortlichen.
Der Grund dafür ist, dass viele auf unautorisierte und nicht erlaubte Apps wie WhatsApp oder den eigenen E-Mail-Account zurückgreifen, um sich schnell mit Kollegen auszutauschen. Genau diese privaten, nicht für die berufliche Nutzung freigegeben Anwendungen bieten Kriminellen viele Möglichkeiten für Angriffe. Beispielsweise verbreitet sich aktuell ein Android-Wurm über WhatsApp, welcher selbstständig Nachrichten beantwortet und dadurch im schlimmsten Fall von Smartphone zu Smartphone springen kann. Das wird von Kriminellen für Adware und Abonnement-Abzocke genutzt. Auch Banking-Trojaner, Spyware oder Ransomware können auf diese Weise verteilt werden. Außerdem verfügen Apps wie WhatsApp über eine eingebettete Funktion zur Datenexfiltration. Der Messenger liest die Adressbücher der Mitarbeiter mit E-Mail-Kontakten und Telefonnummern von Kollegen, Kunden oder Partnern aus und gibt diese Informationen an Facebook weiter. Dafür reicht sogar schon aus, wenn die Anwendung nur installiert ist, ohne dass sie unbedingt beruflich genutzt wird. Eine mobile Schatten-IT wie diese gefährdet nicht nur die Datensicherheit von KRITIS-Unternehmen, sondern verletzt die Bestimmungen der DSGVO.
Erfahren Sie mehr darüber, wie Betreiber kritischer Infrastrukturen ihre mobile Kommunikation absichern können.