Deutsche Praxen und Kliniken offenbar kaum betroffen

BERLIN/NEU-ISENBURG/FREIBURG. Deutschland scheint bei der Cyber-Attacke durch den Erpressungs-Trojaner "WannaCry" nochmlas mit einem blauen Auge davon gekommen zu sein. Am Montag gab der Chef des Bundesamts für Sicherheit in der Informationstechnik (BSI), Arne Schönbohm, Entwarnung. Deutschland sei darauf vorbereitet gewesen, nachdem 2016 ein Drittel der Unternehmen von solchen Erpressungs-Trojanern betroffen gewesen seien. Auch in Kliniken hatten diese Trojaner Millionenschäden verursacht.

Innenministerium: Angriffe im Wesentlichen gestoppt

Eine weitere Angriffswelle in Deutschland ist laut Bundesregierung bisher ausgeblieben. Der Angriff scheine im Wesentlichen gestoppt zu sein, sagte ein Sprecher des Bundesinnenministeriums am Montag in Berlin zur aktuellen Lage in Deutschland.

Recherchen der "Ärzte Zeitung" bestätigen diese Aussage: Demnach sind Arztpraxen und Kliniken nicht in größerer Zahl von der Cyber-Attacke getroffen worden. Weder in der Kassenärztlichen Bundesvereinigung noch in einzelnen KVen lagen Informationen über betroffene Praxen vor. Auch die Deutsche Krankenhausgesellschaft (DKG) gab an, von etwaigen Schäden nichts gehört zu haben.

Die Charité in Berlin meldet, derzeit nicht von einem Cyber-Angriff betroffen zu sein. Gleichwohl gebe es technische Überprüfungen sowie schneller Updates, sagte Pressesprecher Uwe Dolderer am Montag der „Ärzte Zeitung“. Alle Mitarbeiter würden für einen umsichtigen Umgang mit Emails sensibilisiert. Europas größtes Klinikum stockt zudem Personal in den Abteilungen IT-Sicherheit und Datenschutz auf.

 „Einen absoluten Schutz wird es nicht geben, dennoch unternimmt die Charité alles Notwendige, um die Risiken zu minimieren und im Schadensfall gerüstet zu sein“, sagte Dolderer. Bei Vivantes und den Helios-Kliniken liefen alle Systeme einwandfrei, hieß es in der Berliner Zeitung. Auch an anderen Kliniken wurden nach Recherchen der "Ärzte Zeitung" die Mitarbeiter heute durch interne Schreiben für das Thema IT-Sicherheit sensibilisiert.

Die Heilbronner SLK-Kliniken verfügen laut einer Sprecherin über Notfallpläne und haben IT-Sicherheitsstandards, so dass die Kliniken von Cyber-Attacken verschont geblieben seien. Da eine 100-prozentige Abschirmung des Netzes jedoch nicht möglich ist, bleibe ein Restrisiko. Würden Hacker-Angriffe bekannt, würden die Mitarbeiter nochmals informiert und auf entsprechende Sicherheitsmaßnahmen hingewiesen.

Das Universitätsklinikum Frankfurt (UKF) wurde zwar bei der jüngsten  Cyber-Attacke attackiert, wie eine Sprecherin auf Anfrage mitteilt. Die Sicherheitssysteme hätten allerdings den Angriff erfolgreich abgewehrt und eine Schädigung des Klinikumsnetzes verhindert. Die Sprecherin merkte an, dass Cyber-Attacken auf das Klinikum in den vergangenen Monaten deutlich zugenommen hätten.

Um sich vor solchen Cyber-Attacken zu schützen, setzt das UKF unter hohem personellen und technischen Aufwand zahlreiche Maßnahmen um. So würden Mitarbeiter regelmäßig über relevante IT-Sicherheitsthemen informiert.

Immer noch Arztpraxen mit veraltetem XP-System

Wie die "Ärzte Zeitung" am Rande des E-Health-Forums in Freiburg erfuhr, wären durchaus auch Arztpraxen von der aktuellen Schadsoftware bedroht gewesen. Noch immer arbeiteten einige Arztpraxen mit dem Betriebssystem Windows XP, für das es seit drei Jahren keine Sicherheitsupdates von Microsoft gibt, berichteten Praxis-EDV-Insider in Freiburg. Das Risiko für jegliche Virenattacken ist für diese Praxen besonders hoch. Nach den jüngsten Vorkommnissen hat Microsoft jetzt allerdings doch nochmal ein Update für XP mit einem Sicherheits-Patch nachgelegt.

Der globale Cyber-Angriff hatte am Freitag nach Angaben von Europol mindestens 150 Länder sowie 200.000 Organisationen und Personen getroffen. Das Programm der Hacker verschlüsselt alle Daten auf dem befallenen Rechner und verlangt Lösegeld für die Entschlüsselung. Bei der Attacke nutzte die Schadsoftware eine Sicherheitslücke in nicht aktualisierten Microsoft-Betriebssystemen.

Vor allem im britischen National Health Service (NHS) hatte es viele Kliniken und auch Praxen getroffen. "Neu war, dass plötzlich Ziele angegriffen wurden, die der Öffentlichkeit bewusst machen, wie schlimm so ein Angriff ist, etwa dass Chemotherapie-Patienten nach Hause geschickt wurden, weil man deren Daten nicht mehr hat", sagte IT-Experte Michael Backes von der Universität des Saarlandes. Backes erwartet in Zukunft noch umfangreichere und kritischere Angriffe als den durch "WannaCry".

Alexander Dobrindt, Bundesminister für digitale Infrastruktur, hat unterdessen eine Verschärfung des IT-Sicherheitsgesetzes gefordert. Die IT-Sicherheit sei nur gewährleistet, wenn die Bedrohungslage ständig beobachtet und die Sicherheitsarchitektur ständig weiterentwickelt werde. "Dabei ist wichtig, dass bei IT-Störungen zwingend die Ereignisse an das Bundesamt für Sicherheit in der Informationstechnik gemeldet werden, um daraus Schlüsse zu ziehen und im Zweifel Gegenmaßnahmen zu entwickeln", erklärte der CSU-Politiker in der "Passauer Neuen Presse". Dazu müssten im IT-Sicherheitsgesetz die Vorkehrungen getroffen werden. Für Deutschland sei der Schutz der kritischen Infrastrukturen mittlerweile "zu einer existenziellen Frage geworden".

Derzeit fehlt allerdings auch noch die Umsetzung aller Bestimmungen des IT-Sicherheitsgesetzes, das 2015 in Kraft getreten ist. Noch ist der Teil der KRITIS-Verordnung, die kritische Infrastrukturen im Krankenhaussektor behandelt, nicht in Kraft getreten. Voraussichtlich werden dann Kliniken mit mehr als 30.000 vollstationären Fällen zu Betreibern kritischer Infrastrukturen gezählt (wir berichteten).

Rund 110 Kliniken sollen dann voraussichtlich verpflichtet werden, kritische Angriffe auf die IT-Sicherheit dem BSI zu melden und auch weitere Vorgaben für Sicherheitsmaßnahmen zu erfüllen. Arztpraxen wären davon nicht betroffen. Die Kosten durch die KRITIS-Verordnung werden von der DKG auf rund 660 Millionen Euro geschätzt. Angesichts der Cyber-Bedrohung müssten die Länder mehr Mittel für die IT-Sicherheit in Kliniken bereitstellen, fordert die DKG. "Ebenfalls hilfreich wäre, über ein nationales Förderprogramm für die IT-Sicherheit im Gesundheitssektor nachzudenken", heißt es weiter. (ger/cw/di/dpa)