- Ransomware-Angriffe auf Gesundheitseinrichtungen führen zu Wochen des Ausfalls und erheblichen Schäden für Patienten.
- Die Wiederherstellung nach Cyberangriffen wird durch bürokratische Prozesse und den Bedarf an Assurance-Briefen erschwert.
- Diese Assurance-Briefe fordern detaillierte Informationen und können den Wiederherstellungsprozess erheblich verzögern.
- Die Notwendigkeit der Koordination mit zahlreichen Lieferanten verschärft die Situation und verlängert die Wiederherstellung.
- Effizienz bei der Wiederherstellung könnte durch externe Stellen wie CISA verbessert werden, um bürokratische Hürden zu verringern.
Kriminelle Ransomware-Angriffe gegen Gesundheitseinrichtungen haben verheerende Auswirkungen auf medizinische Systeme, führen zu Wochen des Ausfalls, Absage von Terminen und Operationen sowie Schäden für Patienten. Ärzte und Pflegekräfte sind gezwungen, auf Stift und Papier zurückzugreifen, während IT-Mitarbeiter daran arbeiten, die Systeme zu sichern und wieder online zu bringen. Die Erholung nach solchen Cyberangriffen gestaltet sich extrem kompliziert und belastend für alle Beteiligten.
Die Wiederherstellung nach einem Ransomware-Angriff wird durch bürokratische Prozesse zusätzlich erschwert. Organisationen, die von Ransomware betroffen sind, müssen sogenannte “Assurance”- oder “Attestation”-Briefe an ihre Partnerunternehmen senden, um zu zeigen, dass es sicher ist, die Systeme wieder zu verbinden. Diese Briefe enthalten oft bis zu 40 detaillierte Fragen zu den Cyberangriffen und fordern detaillierte Informationen über den Vorfall, die ergriffenen Maßnahmen und sämtliche gesammelten Beweise. Obwohl diese Briefe nicht gesetzlich vorgeschrieben sind und auch nicht spezifisch für medizinische Einrichtungen gelten, können sie den Wiederherstellungsprozess in Situationen, in denen Menschenleben auf dem Spiel stehen, erheblich verzögern.
Der Aufwand der Assurance-Briefe
Sean Fitzpatrick, der Vizepräsident für externe Kommunikation bei Ascension, einem Netzwerk von 140 Krankenhäusern in 19 Bundesstaaten, berichtet von den Herausforderungen, die Hunderte von Lieferanten wieder anzuschließen. “Mit jedem Lieferanten, der seine eigenen Anforderungen hat, neu zu verhandeln, war ein mühsamer und zeitraubender Prozess,” sagt Fitzpatrick. Bei einem Ransomware-Angriff im Mai benötigte Ascension rund 30 dieser Briefe, wobei einige Lieferanten zusätzliche technische Dokumentationen verlangten, was die Wiederherstellung weiter verzögerte.
Shane Thielman, der Chief Information Officer bei Scripps Health in San Diego, bestätigt, dass ähnliche Herausforderungen im Jahr 2021 auftraten, als ihre Systeme Opfer eines Angriffs wurden. Während einige Lieferanten die Assurance-Briefe nicht akzeptierten und mehr Informationen verlangten, führten diese Anforderungen letztlich nicht zu einer signifikanten Verzögerung bei der Wiederherstellung der Systeme.
Anwälte mischen mit
Krankenhäuser und Gesundheitseinrichtungen nutzen zahlreiche Softwarelösungen verschiedener Anbieter, von elektronischen Gesundheitsakten bis hin zu Dienstplänen für das Personal. Cyberangriffe, die medizinische Dienste lahmlegen, können sowohl die internen Systeme eines Krankenhauses als auch die Netzwerke von Drittanbietern betreffen. Es ist leicht zu erkennen, wie Ransomware, die häufig von russischen Cyberkriminellen gestartet wird, eine gefährliche Bedrohung für die medizinische Versorgung darstellen kann.
Ein hohes Maß an Bürokratie und die Notwendigkeit, sich mit zahlreichen Lieferanten abzustimmen, verschärfen die Situation. “Wir haben in den letzten Jahren eine Zunahme der Nachfrage nach diesen Assurance-Briefen gesehen, da Verstöße zunehmend juristische Konsequenzen nach sich ziehen,” sagt Chris Cwalina, der globale Leiter für Cybersicherheit und Datenschutz bei der Anwaltskanzlei Norton Rose Fulbright. Er fügt hinzu, dass es keinen rechtlichen Zwang gibt, solche Briefe zu fordern oder zu erhalten, bevor Systeme wieder verbunden werden.
Effizienz statt Bürokratie
In vielen Fällen werden diese Assurance- und Attestation-Briefe mit Hilfe von spezialisierten Cybersicherheitsunternehmen verfasst. Was wieder verbunden werden kann und wann, hängt von den spezifischen Details jedes Angriffs ab. Entscheidend ist oft das wahrgenommene Risiko, dass Cyberkriminelle zwischen Opfern und ihren Systemen hin- und herwandern könnten.
Charles Carmakal, Chief Technology Officer des Cybersicherheitsunternehmens Mandiant, betont die Bedeutung eines klaren Verständnisses des Risikos, das mit der Verbindung zweier Parteien verbunden ist. Es ist selten, dass Mandiant Fälle sieht, in denen sich Ransomware von einem Opfer zum anderen bewegt. Dennoch ist nachvollziehbar, dass Unternehmen sicherstellen wollen, dass die Systeme frei von Malware sind.
Dritte könnten möglicherweise eine schnellere und effizientere Wiederherstellung ermöglichen. Brett Callow, ein Bedrohungsanalyst bei Emsisoft, fordert die Möglichkeit, ein “Alles-klar”-Signal durch eine externe Stelle wie CISA auszugeben, was den Prozess der Wiederverbindung beschleunigen könnte. Vorrangig sollte die Sicherheit der Patienten sein; massenhafte Bürokratie ist dabei eindeutig hinderlich.
