Connect with us

Datenschutz & Sicherheit

Cyberangriff im Krankenhaus: Krisensimulation zeigt Potenzial auf


Was zunächst nach einem klassischen IT-Sicherheitsvorfall klingt, kann in einem Krankenhaus binnen weniger Stunden zur existenziellen Krise werden. Wie Sicherheitsforscher diesen Moment erlebbar machen, zeigten Prof. Sebastian Schinzel und Nico Brüggemann vom Fraunhofer SIT auf der Jubiläumstagung der Krankenhaus-IT-Leiterinnen und -Leiter in Berlin. Ihr Ziel war es unter anderem, herauszufinden, ob ein Haus handlungsfähig bleibt, wenn die IT ausfällt.

Weiterlesen nach der Anzeige

„Ich habe so eine Dynamik bisher noch nicht erlebt“, so Schinzel, der seit über 20 Jahren in der IT-Sicherheitsszene aktiv ist und früher selbst Penetrationstester war. Denkbar sei künftig Malware, die auf ein LLM zugreift und sich selbst anpasst. Dann greife auch das klassische Gegenmittel, das Kappen der Internetverbindung, womöglich nicht mehr, etwa wenn Angreifer intern eine GPU finden, auf der sie ein kleines Modell betreiben können. Sicherheitskonzepte müssen daher regelmäßig aktualisiert werden.

Der Angriff beginnt unspektakulär

Am Anfang steht selten ein altes Medizingerät, sondern ganz normale Standard-IT. In der Simulation beginnt der Angriff mit OSINT (Open Source Intelligence): Der Angreifer betreibt zunächst klassische Recherche mit offenen Quellen, er sucht die Website des Krankenhauses auf und sammelt die dort veröffentlichten Mailadressen ein, dazu Namen, Funktionen und Hinweise auf externe Systeme. Dafür gibt es eine ganze Reihe frei verfügbarer Werkzeuge. Auf dieser Basis wird die Phishing-Mail passgenau formuliert.

Eine IT-Mitarbeiterin mit Administrationsrechten fällt darauf herein. Der Angreifer nutzt den VPN-Zugang, scannt das Netz, findet einen Exchange-Server und greift dort Zugangsdaten ab. Ab diesem Punkt, so Brüggemann, gelte im Prinzip das gesamte Unternehmen beziehungsweise das gesamte Active Directory als kompromittiert. Dann beginnt die Eskalation, verdächtige Logs, Datenabfluss, ausfallende Systeme, wie das Krankenhausinformationssystem, Radiologiesysteme, Laborsysteme und weitere. Schließlich trifft ein Erpresserschreiben ein. Solche Cyberangriffe auf Krankenhäuser folgen damit einem Muster, das Sicherheitsforscher immer wieder beobachten.

Wenn der Krisenstab im Ausnahmezustand arbeitet

Weiterlesen nach der Anzeige

In ruhigen Zeiten sehen Notfallpläne überzeugend aus. Doch eine echte Krise verändert die Dynamik vollständig. „Wenn dann tatsächlich die Krise ist, dann ist das Adrenalin natürlich hoch“, so Schinzel und alte Konflikte brechen auf. Er kennt das aus eigener Erfahrung: 2022 erlebte er als Professor für IT-Sicherheit den Ransomware-Angriff auf die FH Münster, an der er aktuell Professor für IT-Sicherheit ist. Von anderen betroffenen Hochschulen hörte er anschließend, wie Krisen entgleisen können: freigestellte IT-Leiter, Abteilungen, die genau dann nicht mehr miteinander reden, wenn Kommunikation überlebenswichtig wäre. Entscheidend sei, ob Alarmierung, Kommunikation und Entscheidungsfindung unter Zeitdruck tragen.

In einem Seminar der Tagung übernahmen 23 Teilnehmende 12 Rollen eines fiktiven, für Deutschland typischen Krankenhauses: IT, Geschäftsführung, medizinische Leitung, Pflege, Informationssicherheit, Krisenstab. Simuliert wird dabei nicht technisch, sondern organisatorisch – mit Injects, realistischen Firewall-Auszügen und passenden Namen, Domains und Netzwerken.

Gut funktionierten die Eskalationskette vom Admin über IT-Leitung und ISB bis zur Geschäftsführung sowie klare Grundsatzentscheidungen – etwa kein Lösegeld zu zahlen und das Haus vom Internet zu trennen. Schwieriger war der Rückweg: Der Krisenstab geriet zur Einbahnstraße. Informationen flossen hinein, aber kaum zurück; die IT-Leute saßen teils ohne Kenntnis der getroffenen Beschlüsse im Nebenraum. Ein Krisenstab darf laut Brüggemann keine Einbahnstraße sein, es brauchte Menschen, die permanent von Raum zu Raum gehen und alle auf Stand halten.

Zur Lage gehören Anrufe von Chefärzten, unruhige Stationen und Medien. „Ein Reporter steht vor der Tür“, ist beispielsweise eine Teilaufgabe. Geübt wird damit, wie ein Haus reagiert, wenn Journalisten – etwa von heise – wissen wollen, ob ein Cyberangriff läuft, welche Systeme betroffen sind und ob die Versorgung gesichert ist. Nach außen gelingt Kommunikation oft noch; schwieriger wird es intern, wenn Mail, Teams und Telefonie fehlen – besonders in Verbünden mit mehreren Standorten.

Wer dokumentiert Entscheidungen?

Ein zentrales Ergebnis betrifft etwas vermeintlich Banales, nämlich die Dokumentation. In der Übung fragte jemand nach einer Maßnahme, die längst beschlossen war, nur hatte niemand sie festgehalten. Deshalb brauche ein Krisenstab feste Rollen für Protokoll und Lagebild: Wer dokumentiert Beschlüsse, wer führt die Maßnahmenliste, wer informiert intern und extern? Sinnvoll sind Rollen mit Vertretung statt Namen – Personen können ausfallen.

Sofort abschalten nicht immer richtig

„Alles ausschalten“ ist die typische Reflexreaktion, so Brüggemann. Aber dürfe man das überhaupt und wisse man, was man da gerade abschaltet oder welche Systeme in diesem Moment dringend gebraucht werden oder welcher Arzt gerade womit operiert? Ein unkontrolliertes Herunterfahren zerstöre zudem forensische Spuren. Die bessere Maßnahme sei meist die gezielte Netzwerktrennung, erklärte Brüggemann.

Fällt die IT aus, brechen unsichtbare Prozesse weg, etwa rund um die Aufnahme, Befunde, Bildarchiv, Medikation, Dienstplan und die Essensversorgung. Relevant sei auch, wie etwa Allergien ohne digitale Akte berücksichtigt würden, wer Informationen von Station zu Station trage, ohne dass die Pflege ausblutet. In der Übung ging es deshalb auch um Botengänge, Schichtwechsel, Verpflegung und um Gehaltszahlungen; die Gruppe entschied pragmatisch, schlicht die Beträge des Vormonats erneut auszuzahlen.

Wiederherstellung dauert länger als gedacht

Teams schätzen die Rückkehr zum Normalbetrieb oft auf Tage. Realistisch sind Wochen bis Monate: Ein Fall aus dem Raum Frankfurt, den Brüggemann kennt, brauchte rund ein Jahr bis zum ursprünglichen Zustand und dort war nicht einmal verschlüsselt, sondern das Active Directory kompromittiert worden. Backups bleiben unverzichtbar, lösen aber nicht das Problem einer kompromittierten Infrastruktur.

Das Feedback der Teilnehmergruppe fiel für die Krisensimulation positiv aus. Gelobt wurde unter anderem die realitätsnahe Dynamik. Csilla Imre vom Bundesverband KH-IT, die die Informationssicherheitsbeauftragte (ISB) spielte, resümierte, es sei besser, wenn mehrere Beteiligte sofort losliefen, als wenn alle abwarteten, bis der Kriseneinsatzleiter eintrifft. Informationssicherheit lasse sich nicht einfach an die IT abschieben und die Lage werde mit mehreren Standorten – selbst bei kleineren Häusern – schnell komplex.

Studienteilnehmer gesucht

Die Simulationen sind zugleich wissenschaftlich angelegt: Abläufe und Entscheidungen werden ausgewertet, das Haus erhält einen Abschlussbericht. Dafür sucht das Fraunhofer SIT weitere Krankenhäuser als Studienteilnehmer; die Szenarien werden vorab per Fragebogen an die jeweilige IT-Umgebung angepasst, bleiben aber vergleichbar. „Nur mit einer größeren Zahl von Übungen bekommt man am Ende belastbare Daten“, sagte Brüggemann gegenüber heise online vor wenigen Wochen. Das Feedback der Teilnehmenden fließt dabei direkt in die Weiterentwicklung von Simulation und Notfallprozessen ein.

Lesen Sie auch

Transparenzhinweis: Die Autorin wurde zu der Veranstaltung eingeladen und die Hotelkosten wurden übernommen.


(mack)



Source link

Verwandte Themen:
Weiterlesen

Datenschutz & Sicherheit

KW 46: Die Woche, in der wir Richtung Geheimpolizei gehen


Liebe Leser*innen,

Deutschland ist auf dem Weg, eine Art Geheimpolizei zu schaffen. Und gemessen daran, was die schwarz-rote Koalition am gestrigen Freitag erfolgreich durch den Bundestag gebracht hat, sind die Reaktionen bisher erstaunlich zurückhaltend. Kaum jemand protestiert dagegen, dabei ist diese Reform aus dem Hause Dobrindt (CSU) wirklich ein Umbruch.

Agent*innen des Verfassungsschutzes sollen etwa das Recht bekommen, heimlich Wohnungen von Bürger*innen betreten zu dürfen. Sie sollen sogar Datenträger heimlich zerstören oder manipulieren dürfen, Informationen löschen.

Wer aus welchen Gründen auch immer auf dem Radar des Verfassungsschutzes landet, wird womöglich nie erfahren, wer in der Wohnung war und warum. Denn anders als die Polizei, die bisher erst nach richterlicher Anordnung eine Wohnung durchsuchen und dabei viele Regeln befolgen muss, müssen „echte Geheimdienste“, wie Dobrindt sie jetzt nennt, kaum Rechenschaft ablegen.

Das ist eine ganz schön harte Gangart für einen Rechtsstaat. Besonders für einen Rechtsstaat wie Deutschland, wo die Aufgaben von Geheimdiensten und Polizei ganz bewusst getrennt wurden, als Lehre aus dem Nationalsozialismus und der Brutalität, mit der die Geheime Staatspolizei damals gegen Jüd*innen und politisch Andersdenkende vorging. Das Trennungsgebot war ein wichtiger Pfeiler der Vorsicht, um den Sicherheitsapparat einzuhegen und Menschen vor Übergriffen des Staates zu schützen.

Das heimliche Betreten von Wohnungen ist nur eine von vielen problematischen neuen Befugnissen. Meine Kollegin Anna Biselli hat sie nochmal hier aufgezählt. Die Linken-Abgeordnete Clara Bünger hielt gestern im Bundestag eine flammende Gegenrede. Flankiert wurde sie von den Warnrufen vieler Menschenrechtsorganisationen. Konstantin von Notz von den oppositionellen Grünen lobte hingegen die Arbeit der Koalition: „Heute ist ein guter Tag für die Sicherheit der Bundesrepublik Deutschland“.

Öl ins Feuer

Die Bundesregierung gießt mit dieser Reform Öl ins Feuer: Sie rüstet den Überwachungsstaat auf und beschneidet Grundrechte. Das ist besonders gefährlich in einer Zeit, in der Rechtsextreme in Richtung Regierung drängen. Denn der Schutz demokratischer Werte und Errungenschaften beginnt schon, bevor die Rechtsradikalen an den Hebeln der Macht sitzen.

Auch deswegen haben wir eng und detailliert über dieses Gesetz berichtet. Wie so oft haben wir es nicht verhindern können. Doch wir wollen wenigstens, dass die kritischen Stimmen so laut wie möglich sind und dass das historische Ausmaß klar wird, in dem diese Reform unsere Demokratie verändert. Es ist wahrlich eine „Jahrhundertreform“, wie Alexander Dobrindt sagt – nur nicht im guten Sinne.

Wir sagen nicht nur laut, was schief läuft und gefährlich für unsere Verfassung ist. Wir denken Sicherheit auch anders und neu. Als echte Sicherheit, die schon bei unseren Lebensgrundlagen anfängt, bei Bildung, sozialer Sicherung oder Klimaschutz.

Damit Grund- und Freiheitsrechte eine hörbare Stimme haben, suchen wir derzeit Unterstützung. Bis Sonntag läuft noch unsere Suche nach Brandschutzhelfer*innen: Menschen, die uns mit einem monatlichen Betrag unterstützen.

Für uns macht das einen großen Unterschied, denn regelmäßige Unterstützung wirkt nachhaltiger als eine Einzelspende.Wir können damit Recherchen langfristig anlegen und zugleich in die Tiefe gehen. Wir müssen seltener um Unterstützung bitten und können mehr Energie in die redaktionelle Arbeit stecken.

Wenn du unsere Arbeit mit einer Dauerspende unterstützt, können wir dranbleiben – an der Geheimdienstreform, an dieser Bundesregierung und an allen Versuchen, die unsere Verfassung gefährden. Wir wühlen uns durch die Bleiwüsten von Gesetzen, um klar und deutlich zu sagen, was passiert.

Das geht nur mit Deiner Hilfe.

Chris



Source link

Weiterlesen

Datenschutz & Sicherheit

Amazon Ring rüstet auf: Endlich autonome Drohnen für die Heimüberwachung!


Es gibt solche Meldungen, wo man einfach nur noch den Kopf schütteln kann. Also einerseits darüber, wie man als Journalist eine Drohne zur Heimüberwachung so genügsam heruntererzählen kann, als habe irgendwer gerade ein neues Druckermodell oder eine elektrische Zahnbürste herausgebracht.

Andererseits über das Produkt selbst: Wir sind jetzt also bei autonomen Überwachungsdrohnen für den Heimgebrauch angekommen. Fliegende Kameras, die mit der notorischen Amazon-Videoüberwachung gekoppelt das Eigenheim absichern sollen.

Zunächst soll die Drohne nur in den USA verkauft werden. Bei Heise heißt es dazu nüchtern:

Sie harrt in ihrer Ladestation aus und startet ihre Kontrollflüge anhand zuvor festgelegter Routen und Zeitpläne. Zudem kann die Drohne in ein bestehendes Ring-Ökosystem eingebunden werden. Dann führt die Ring Drone automatisch einen Kontrollflug in Innenbereichen zu festgelegten Punkten durch, wenn ein Alarm von einer Ring-Kamera, einem Sensor oder einem Alarmsystem ausgelöst wird. Dort erfasst die Drohne dann die Umgebung durch eine 360-Grad-Flugbewegung und sendet die Bilder an Smartphones von Nutzerinnen und Nutzern.

Schöne neue Welt.

 

Wie die Polizei mit vernetzten privaten Kameras amerikanische Kleinstädte überwacht

Eigentlich ist Sarkasmus fehl am Platze. Denn Amazon Ring rüstet seit Jahren private Haushalte mit Überwachungs-Gagdets aller Art auf – und erweitert dadurch die Überwachungssphäre des Staates massiv.

Behörden bekommen zum Nulltarif eine Überwachung von Wohnungen, Vorgärten und Straßen aufgebaut.
Sie können die Aufnahmen per Knopfdruck beim Bürger anfragen oder sie von Amazon bekommen, manchmal ohne richterlichen Beschluss und machmal auch mit. Schon vor fünf Jahren arbeiteten 2.000 US-Behörden mit Amazon bei dieser Form der Überwachung zusammen.

Nie war der Ausbau der Videoüberwachung so billig. Die Bürger:innen protestieren nicht dagegen. Sie schrauben die Kameras selbst an die Wand. Sie zahlen sie sogar mit Freude.

Win Win Win für den Überwachungsstaat – und für Amazon.



Source link

Weiterlesen

Datenschutz & Sicherheit

Operation Endgame: Weltweiter Schlag gegen Cybercrime


In einer international von Europol koordinierten Aktion aus dem Umfeld der „Operation Endgame“ sind Strafverfolger gegen 235 Server und 257 Domains aus dem Malware-Umfeld von Gootloader, CastleRAT und StealC vorgegangen. Die Malware-Verteilungsnetzwerke seien dadurch empfindlich gestört, teilt Europol zur jüngsten Runde der Operation mit.

Weiterlesen nach der Anzeige

Europol erklärt in der Mitteilung, dass sie mit „Operation Endgame“ insbesondere „Cybercrime-as-a-Service“-Geschäftsmodelle im Visier haben. Die dabei eingesetzten Tools ermöglichten weitere Straftaten wie Ransomware-Angriffe und Datendiebstahl. Die Strafverfolger haben zudem mit Unternehmen aus der Wirtschaft zusammengearbeitet. Sie sind gegen drei bösartige Toolkits vorgegangen: Bei Gootloader handelt es sich um einen Dropper/Loader, der unbefugten Zugriff auf Computer ermöglicht. Er kommt üblicherweise in Form gefälschter juristischer Dokumente auf kompromittierten Webseiten – oftmals geknackte WordPress-Seiten – auf die Rechner der Opfer. Die Täter setzen oft auf Erpressung durch Installation von Ransomware. Allein zu Gootloader haben die Ermittler 14 Server und 218 Domains vom Netz genommen, 681 infizierte Webseiten wurden bereinigt.

Der Remote-Access-Trojan (RAT) CastleRAT ist demnach seit dem Jahr 2025 bekannt. Er ermöglicht den Missbrauch infizierter Computer aus der Ferne. CastleRAT liefere eine moderne technische Architektur, erörtern die Ermittler. Er lasse sich flexibel verteilen und nutze Mechanismen, die die Erkennung erschweren. Auch mit CastleRAT haben die Angreifer zahlreiche Daten verschlüsselt und ganze IT-Systeme lahmgelegt, um die Betroffenen um Lösegeld zu erpressen. 120 der Server betrafen das RAT, dazu gehören zudem 39 der beschlagnahmten Domains. Die Daten von Opfern wurden zudem weitergegeben, um sie zu warnen. Außerdem waren 102 der Server für den Infostealer StealC zuständig. Der wurde über zahlreiche Angriffsvektoren verteilt und dient dazu, sensible Informationen wie Zugangsdaten und Passwörter, digitale Identitäten und mehr von infizierten Computern auszuleiten. Die Täter missbrauchen die Daten dann etwa für Handel und Betrügereien.

Millionen Datensätze

Mehr als 6 Millionen Zugangsdaten von Opfern haben die Ermittler in der kriminellen Infrastruktur ausfindig gemacht. Die Angreifer hätten die Daten verkauft, sodass sie später auch für Cyberangriffe etwa mit Ransomware missbraucht werden können. Die Daten der Opfer haben die Ermittler etwa mit dem Have-I-Been-Pwned-Projekt, DIVD, CheckjeHack, NoMoreLeaks, Sekoia, der Shadowserver Foundation und dem NL-NCSC geteilt, damit diese die Opfer über den Diebstahl durch die CastleRAT-Malware informieren können. Europol rät WordPress-Nutzerinnen und -Nutzern, ihre Zugangsdaten zu erneuern und Mehr-Faktor-Authentifizierung einzusetzen – außerdem sollen sie Schwachstellen in ihren Installationen patchen.

An der Aktion waren zahlreiche internationale Strafverfolgungsbehörden aus Europa, Kanada und den USA beteiligt. Aus Deutschland wirkte das Bundeskriminalamt mit. Beim Infostealer StealC knüpft die jetzige Aktion an die Juni-Runde an, in der die Ermittler auch gegen die Malware „SocGholish“ vorgegangen waren.


(dmk)



Source link

Weiterlesen

Beliebt