Man nehme E-Mails, eine Schadsoftware, einen Klick des Empfängers und ein Krankenhaus, das zu zahlen bereit ist. Etliche Kliniken in Deutschland haben das bereits erlebt, einige haben sich von sogenannter Ransomware freikaufen müssen. Doch manche IT-Experten warnen, Gesundheitseinrichtungen würden das Problem noch nicht ausreichend ernst nehmen. Dabei sind diese Angriffe aus ihrer Sicht erst der Anfang - und Cyber-Erpressungen nur die Spitze des Eisbergs.

"Cyber-Kriminelle haben den GesundheitssektorGesundheitssektor als lukrative Industrie entdeckt", sagt der europäische Technikchef von Intel SecuritySecurity, Raj Samani. "Wir sehen, dass diese Angriffe auf Gesundheitseinrichtungen zunehmen." Die meisten Cyber-Angriffe derzeit auf deutsche Kliniken sind Erpressungsversuche: Eine E-Mail, infiziert mit Software, wird verschickt, ein Angestellter macht sie auf und klickt einen Link an. Die Software macht sich im System breit und verschlüsselt die Daten. Um sie zu entschlüsseln, soll die Klinik zahlen. Alles zu Security auf CIO.de Top-Firmen der Branche Gesundheit

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Gefährdungslage durch Ransomware als hoch ein. Im Frühjahr wurden mehrere Fälle solcher Attacken in Deutschland bekannt. Eine Klinik in Neuss etwa fuhr das gesamte IT-System herunter, um ein Ausbreiten der Software zu verhindern. Einige planbare und besonders große Operationstermine wurden verschoben. Doch in der Öffentlichkeit und in Krankenhäusern sei das Ausmaß der Bedrohung noch nicht wirklich realisiert worden, meint IT-Experte Mark Semmler bei einem Seminar der Beratungsfirma RS Medical Consult in Nürnberg.

Das liegt wohl auch daran, das bislang nur wenig Fälle bekannt sind und es kaum offizielle Zahlen zu Angriffen gibt. Dennnoch gelte für Krankenhäuser gemäß IT-Sicherheitsgesetz keine Meldepflicht, sagt das BSI. Allerdings haben demnach in einer Umfrage 78 von 89 befragten Gesundheitseinrichtungen in diesem Jahr Angriffe mit Ransomware verzeichnet. Allein in Bayern sind laut Landeskriminalamt in diesem Jahr bislang 13 Anzeigen mit Bezug auf Hacking oder Ransomware eingegangen - im Jahr zuvor waren es zwei.

Aus Sicht von Semmler sind die meisten Krankenhäuser für Cyber-Angriffe nicht gewappnet. Zum einem komme die Medizintechnik oft nicht mit ausreichendem IT-Schutz von den Herstellern. Zum anderen sieht er eins der größten Probleme im Personal, das nicht ausreichend geschult werde. Bei einigen Kliniken fehle es aber auch an einfachen Basisschutzmaßnahmen: Firewalls, gute Anti-Viren-Systeme, regelmäßige Kontrollen der Datensicherung, ein segmentiertes Netz.