Cyberangriff im Krankenhaus: Krisensimulation zeigt Potenzial auf

Was geschehen ist: Die Simulation des digitalen Ernstfalls

Ein Cyberangriff auf eine medizinische Einrichtung ist weit mehr als ein bloßes technisches Problem; er stellt eine existenzielle Bedrohung für den gesamten Krankenhausbetrieb dar. Um die Widerstandsfähigkeit von Kliniken gegen solche Bedrohungen zu prüfen, haben Prof. Sebastian Schinzel und Nico Brüggemann vom Fraunhofer-Institut für Sichere Informationstechnologie (SIT) ein spezielles Krisensimulationsmodell entwickelt. Im Rahmen der Jubiläumstagung der Krankenhaus-IT-Leiterinnen und -Leiter in Berlin führten sie eine umfassende Übung durch, die aufzeigte, wie schnell eine IT-Störung in eine organisatorische Krise umschlagen kann. Das Ziel der Forscher ist es, die Handlungsfähigkeit der Häuser unter extremem Druck zu evaluieren. Dabei wird nicht die technische Abwehr im Vordergrund simuliert, sondern die organisatorische Reaktion der verantwortlichen Akteure. Die Simulation verdeutlicht, dass Krankenhäuser bei einem Ausfall ihrer digitalen Systeme vor Herausforderungen stehen, die weit über die IT-Abteilung hinausgehen und die gesamte medizinische Versorgung sowie die interne Kommunikation betreffen. Die Übung dient als wissenschaftliche Grundlage, um Schwachstellen in den bestehenden Notfallplänen zu identifizieren und die Resilienz der beteiligten Institutionen nachhaltig zu stärken.

Die Einzelheiten: Vom Phishing zur systemweiten Kompromittierung

Der in der Simulation nachgestellte Angriff folgt einem klassischen, aber hochwirksamen Muster. Er beginnt unspektakulär mit der sogenannten OSINT-Recherche (Open Source Intelligence), bei der Angreifer öffentlich zugängliche Informationen wie E-Mail-Adressen, Namen von Mitarbeitern und Hinweise auf externe IT-Systeme von der Website des Krankenhauses sammeln. Auf dieser Basis wird eine passgenaue Phishing-Mail erstellt, die eine IT-Mitarbeiterin mit Administrationsrechten dazu verleitet, den Zugang zu ermöglichen. Sobald der Angreifer über den VPN-Zugang in das Netzwerk eingedrungen ist, scannt er die Umgebung, identifiziert einen Exchange-Server und entwendet Zugangsdaten. Ab diesem Moment gilt das gesamte Active Directory des Unternehmens als kompromittiert. Die Folge ist eine Eskalation: Verdächtige Log-Einträge häufen sich, es kommt zu Datenabfluss und schließlich zum Ausfall kritischer Systeme, darunter das Krankenhausinformationssystem, Radiologie- und Laborsysteme. Den Abschluss bildet ein Erpresserschreiben. In der Simulation übernahmen 23 Teilnehmende zwölf verschiedene Rollen, darunter Geschäftsführung, medizinische Leitung, Pflege, IT und Krisenstab. Sie arbeiteten mit realistischen Injects, Firewall-Auszügen und fiktiven Netzwerkkonfigurationen, um den Ernstfall unter Zeitdruck nachzustellen.

Hintergrund: Die Dynamik einer echten Krise

In ruhigen Zeiten wirken Notfallpläne oft solide und durchdacht, doch die Realität einer Krise unterscheidet sich fundamental von der Theorie. Prof. Sebastian Schinzel, der auf über 20 Jahre Erfahrung in der IT-Sicherheit zurückblickt und selbst den Ransomware-Angriff auf die FH Münster im Jahr 2022 miterlebte, betont, dass Adrenalin und aufbrechende alte Konflikte die Dynamik in einer Krisensituation massiv beeinflussen können. Er berichtet von Fällen, in denen IT-Leiter freigestellt wurden oder Abteilungen die Kommunikation einstellten, genau dann, wenn ein Austausch überlebenswichtig gewesen wäre. Die Simulation am Fraunhofer SIT greift diese Erkenntnisse auf, um zu untersuchen, ob Alarmierungsketten und Entscheidungsfindungen unter extremem Zeitdruck tatsächlich funktionieren. Die Forscher warnen zudem vor einer neuen Qualität der Bedrohung: Zukünftige Malware könnte auf Large Language Models (LLMs) zugreifen und sich selbst anpassen. Selbst das klassische Gegenmittel – das Kappen der Internetverbindung – könnte wirkungslos bleiben, wenn Angreifer innerhalb des Netzwerks auf Hardware wie GPUs stoßen, um ihre eigenen KI-Modelle zu betreiben. Sicherheitskonzepte müssen daher kontinuierlich an diese neue technologische Realität angepasst werden.

Die Beteiligten: Rollenverteilung im Krisenstab

An der Simulation waren 23 Personen beteiligt, die in einem fiktiven Krankenhaus verschiedene Schlüsselpositionen besetzten. Zu den Rollen gehörten die IT-Abteilung, die Geschäftsführung, die medizinische Leitung, die Pflege, die Informationssicherheit sowie der Krisenstab. Eine zentrale Figur war Csilla Imre vom Bundesverband KH-IT, die die Rolle der Informationssicherheitsbeauftragten (ISB) übernahm. Sie betonte nach der Übung, dass es entscheidend sei, dass mehrere Akteure sofort proaktiv handeln, anstatt auf Anweisungen des Kriseneinsatzleiters zu warten. Die Simulation verdeutlichte, dass Informationssicherheit keine Aufgabe ist, die allein auf die IT-Abteilung abgeschoben werden kann. Besonders in Krankenhausverbünden mit mehreren Standorten wird die Lage schnell komplex. Die Forscher Schinzel und Brüggemann fungierten als Beobachter und Leiter der Übung. Sie stellten fest, dass feste Rollen für Protokoll und Lagebild essenziell sind, wobei diese Rollen idealerweise mit Vertretungen besetzt sein sollten, da Personen im Ernstfall ausfallen können. Die Kommunikation nach außen, etwa gegenüber Medienvertretern, die sich nach dem Status der Versorgung erkundigen, war ein weiterer Bestandteil der Übung, der die Beteiligten vor zusätzliche Herausforderungen stellte.

Einordnung: Warum Kommunikation und Dokumentation scheitern

Einzuordnen ist das Ergebnis der Simulation so: Während die Eskalationskette vom Administrator über die IT-Leitung bis hin zur Geschäftsführung in der Übung gut funktionierte, offenbarte sich eine massive Schwachstelle in der internen Kommunikation. Der Krisenstab entwickelte sich zeitweise zu einer Einbahnstraße. Informationen flossen zwar in den Stab hinein, gelangten aber kaum zurück zu den operativen Kräften. IT-Mitarbeiter arbeiteten teilweise in Nebenräumen, ohne über grundlegende Beschlüsse informiert zu sein. Ein weiteres zentrales Problem ist die Dokumentation. In der Hektik wurde oft vergessen, getroffene Maßnahmen schriftlich festzuhalten, was dazu führte, dass bereits beschlossene Abläufe erneut hinterfragt wurden. Den Berichten zufolge ist die reflexartige Reaktion, das gesamte System sofort abzuschalten, oft kontraproduktiv. Ein unkontrolliertes Herunterfahren vernichtet forensische Spuren und kann kritische medizinische Prozesse, wie laufende Operationen, gefährden. Die Experten raten stattdessen zu einer gezielten Netzwerktrennung. Zudem zeigt die Übung, dass der Ausfall digitaler Akten unsichtbare Prozesse wie Essensversorgung, Dienstpläne und die Medikation massiv stört und manuelle Ersatzlösungen erfordert.

Offene Fragen: Was die Simulation nicht klärt

Obwohl die Krisensimulation des Fraunhofer SIT wertvolle Erkenntnisse liefert, bleiben einige Aspekte offen. Der Quelltext beantwortet nicht, wie genau die technische Infrastruktur der verschiedenen teilnehmenden Krankenhäuser im Detail beschaffen sein muss, um die Simulation optimal zu unterstützen, außer dass sie vorab per Fragebogen angepasst wird. Auch bleibt offen, welche spezifischen rechtlichen Haftungsfragen entstehen, wenn bei einem unkontrollierten Ausfall der IT-Systeme medizinische Behandlungsfehler durch mangelnde Informationsverfügbarkeit auftreten. Die Simulation konzentriert sich auf die organisatorische Resilienz und die interne Kommunikation, lässt jedoch die Frage unbeantwortet, wie eine langfristige, flächendeckende Finanzierung für die notwendige Aufrüstung der IT-Sicherheit in den Krankenhäusern sichergestellt werden kann. Zudem wird nicht explizit ausgeführt, welche spezifischen forensischen Methoden nach einer gezielten Netzwerktrennung angewandt werden müssen, um den Angreifer effizient aus dem System zu entfernen, ohne den Betrieb dauerhaft zu gefährden. Die Lücke zwischen der theoretischen Erkenntnis der Notwendigkeit von Backups und der praktischen Umsetzung bei einer bereits kompromittierten Infrastruktur bleibt eine Herausforderung, für die die Simulation zwar sensibilisiert, aber keine abschließende Lösung bietet.

Wie es weitergeht: Wissenschaftliche Auswertung und Studienteilnahme

Die Arbeit des Fraunhofer SIT ist als fortlaufende wissenschaftliche Studie angelegt. Die Abläufe und Entscheidungen der Teilnehmer werden systematisch ausgewertet, und jedes teilnehmende Haus erhält im Anschluss einen detaillierten Abschlussbericht. Die Forscher suchen aktiv nach weiteren Krankenhäusern, die als Studienteilnehmer fungieren möchten, um eine größere Datenbasis zu erhalten. Nur durch eine hohe Anzahl an Übungen lassen sich belastbare Erkenntnisse über die Resilienz deutscher Krankenhäuser gewinnen. Das Feedback der Teilnehmenden fließt unmittelbar in die Weiterentwicklung der Simulationsszenarien und die Optimierung der Notfallprozesse ein. Die Erkenntnis, dass die Wiederherstellung des Normalbetriebs nach einem Cyberangriff nicht Tage, sondern Wochen oder sogar Monate in Anspruch nehmen kann, unterstreicht die Dringlichkeit dieser Arbeit. Ein bekannter Fall aus dem Raum Frankfurt, bei dem die Wiederherstellung des ursprünglichen Zustands nach einer Kompromittierung des Active Directory rund ein Jahr dauerte, dient dabei als mahnendes Beispiel für die langfristigen Folgen solcher Angriffe. Die Simulationen sollen dazu beitragen, dass Krankenhäuser in Zukunft besser auf diese langwierigen Prozesse vorbereitet sind.