Cyber-Schutz für Krankenhäuser und Kliniken wird in der Coronakrise noch wichtiger

Das Kuratorium Sicheres Österreich (KSÖ) beobachtet aktuell eine Zunahme von Cyber-Angriffen mit Bezug zum Coronavirus. „Cyberkriminelle nutzen die mit COVID-19 verbundene Unsicherheit der Menschen als Chance, um vermehrt anzugreifen. Der massive Anstieg von Phishing-Emails zeigt das ganz deutlich. Zusätzlich fehlt den Unternehmen das Personal und die Zeit für Sicherheitsmaßnahmen.“, so Dr. Alexander Janda, Generalsekretär des KSÖ.

Warnung an medizinische Einrichtungen

Vor allem Krankenhäuser haben eine Welle an Cyber-Bedrohungen erlebt – zu einem Zeitpunkt, als sie sich auf die Rettung von Leben und die Bewältigung des Patientenansturms konzentrieren mussten. Cyberkriminelle verwenden Ransomware, um Krankenhäuser und medizinische Dienste digital als Geiseln zu nehmen. Sie verhindern, dass sie auf wichtige Dateien und Systeme zugreifen, bis ein Lösegeld gezahlt wird. Das Cybercrime Threat Response-Team von Interpol hat eine Warnung an medizinische Einrichtungen herausgegeben und bietet Mitgliedsländern außerdem technische Unterstützung aus erster Hand sowie Ratschläge zur Schadensbegrenzung um ihre kritische medizinische Infrastruktur zu schützen.

Das Gesundheitswesen ist ein vermeintlich leichtes Ziel. Die Ausnahmesituation in der Coronakrise ist hier am deutlichsten zu spüren, der Stress immens. Mitarbeiter können da schnell unvorsichtig werden. Auch wer ohne große Einweisung im Home-Office arbeitet, ist anfällig. Dazu kommt, dass sich mit Patientendaten erheblich mehr Geld verdienen lässt als zum Beispiel mit Kreditkarteninformationen. Und nicht zuletzt bietet die zunehmende IT-Durchdringung im Gesundheitswesen immer mehr Zugänge für Hacker.

Wertvolle Patientendaten

Patientenakten sind im Darknet begehrter als Kreditkarteninformationen

Kriminelle Attacken sind allerdings nur ein Teil der Cyber-Risiken, mit denen Krankenhäuser konfrontiert sind. Der weit verbreitete internationale Standard ISO 27005 für Informationssicherheit Risikomanagement, trägt u.a. durch den inkludierten Gefahrenkatalogen (im Anhang C) einen systematischen und strukturierten Ansatz dazu bei, diese Gefahren und Risiken gezielt zu erkennen und zu minimieren. Was häufig vernachlässigt wird, sind Ursachen wie zum Beispiel technische Probleme, Fehlbedienung, Mitarbeitersabotage oder fehlerhafte Programmierung.

Hohes Schadenpotenzial bei Datenschutzverletzungen

Cyber-Schäden können auf unterschiedlichen Ebenen entstehen: 

• durch den Verlust der Vertraulichkeit
• durch den Verlust der Integrität
• durch die Nichtverfügbarkeit von Daten und IT-Anwendungen

Eines der größten Schadenpotenziale besteht im Bereich der Datenschutzverletzungen und den damit
zusammenhängenden Kosten. So müssen Kliniken mit der neuen EU-Datenschutzgrundverordnung nicht nur gewisse Informationspflichten erfüllen, sondern sie haften auch im Falle von immateriellen Schäden, etwa bei Verlust einer Krankenakte.

Ein Beispiel: Rechnete man bei einem Krankenhaus, das über 500.000 Patientendaten verfügt, mit 10 Euro Kosten je verlorenem oder gestohlenem Datensatz, dann läge der Schaden für das Krankenhaus schon bei 5 Millionen Euro. In Wirklichkeit könnte der Schaden sogar noch viel höher liegen. Denn eine Studie des Ponemon Instituts ergab, dass die Kosten pro Datensatz mit sensiblen Informationen im Gesundheitssektor im Schnitt bei 325 Euro liegen. 

Neben den Datenschutzverletzungen und den damit verbundenen Kosten ist zudem die uneingeschränkte Verfügbarkeit der IT für den reibungslosen Klinikablauf essenziell. 

Transparenz mit der Cyber-Risk-Analyse

Kliniken sollten daher ihre individuellen Cyber-Risiken kennen. Funk unterstützt Krankenhäuser und Kliniken hier mit einem Cyber-Risk-Management-Workshop vor Ort. Im Anschluss an den Workshop erhält die Klinik einen Risikobericht mit den identifizierten Risiken, einer Einschätzung zu den monetären Auswirkungen vorhandener Maßnahmen und Empfehlungen zur Risikoabsicherung. Darüber hinaus liefert die Analyse wichtige Informationen, um einen Notfall- oder Business-Continuity-Plan zu erstellen sowie eine fundierte Grundlage für die maßgeschneiderte Versicherungslösung. 

Erweiterte Cyber-Versicherung für Krankenhäuser und Kliniken

Die meisten Cyber-Versicherungen beschränken sich auf die Absicherung von Cybercrime. Es ist aber besonders wichtig, auf das Zusammenspiel von Ursachen bzw. versicherten Gefahren und den Leistungselementen in den Cyber-Polizzen zu achten. 

Da es am Markt keine zufriedenstellende Versicherungslösung gab, hat Funk für seine Kunden ein eigenes Deckungskonzept entwickelt, das weit über dem Marktstandard liegt. Die Funk CyberSecure bietet im Eigenschadenbereich über Cybercrime hinaus Schutz für Schäden aufgrund technischer Probleme, Fehlbedienung oder -programmierung, Sabotage durch eigene Mitarbeiter oder behördlicher Verfügungen. 

Leistungselemente Funk CyberSecure

Das Konzept ist speziell für Krankenhäuser aufbereitet, modular aufgebaut und bietet sowohl Schutz für Drittansprüche als auch für Eigenschäden. Weil man viele Cyber-Angriffe im Nachhinein nur schwer nachweisen kann, beinhaltet die Deckung von Funk eine Beweislastumkehr. Dem Krankenhaus bleibt damit die schwierige Beweisführung erspart, wenn der IT- Forensiker die Ursache des Schadens nicht nachweisen kann. Stattdessen muss der Versicherer beweisen, dass der Schaden aufgrund einer nicht versicherten Ursache eingetreten ist. Gelingt ihm das nicht, gilt der Schaden als versichert. Bei der Funk CyberSecure wird zudem der Selbstbehalt nicht auf Dienstleistungs- und Beratungskosten angerechnet. Und: Kosten bis 100.000 Euro werden auch dann übernommen, wenn sich im Nachhinein herausstellt, dass der Schaden aufgrund einer nicht versicherten Gefahr entstanden ist.

Cyber-Versicherungen waren schon vor der Coronakrise empfehlenswert, weil das Gesundheitswesen immer digitaler arbeitet und damit Risiken verbunden sind. Diese Risiken sind jetzt  nochmals größer geworden. Bei allen aktuellen Herausforderungen sollten Krankenhäuser und Kliniken den Cyber-Schutz deshalb nicht vergessen.“

23.04.2020