Wie sich Pflegeanbieter vor Cyberattacken schützen können

Bisher hat man eher von Cyberattacken auf Krankenhäusern gehört – warum jetzt plötzlich Pflegeunternehmen?  

Martin Saß: Das war eigentlich nur eine Frage der Zeit. Denn auch Pflegeheime und ambulante Dienste sind immer mehr digitalisiert. Deshalb gilt nun auch für sie: Digitale Daten sind Ware und werden es immer bleiben. Für Kriminelle ist es auch interessant, in Pflegeeinrichtungen Daten abzugreifen. 

Aber Daten aus Pflegeheimen sind doch sicherlich nicht so interessant wie jene, die in Krankenhäusern und Arztpraxen anfallen...    

Warum nicht? Erpressen lassen sich auch Pflegeheime und Pflegedienste gut. Jeder Datenfluss ist Ware. Identitätsdiebstahl ist zum Beispiel eine beliebte Variante für Kriminelle. Mit den vielen persönlichen Angaben zu einem Bewohner können sie einen Personalausweis fälschen und auf dem Schwarzmarkt verkaufen. Sie können auch Krankenversicherungskarten fälschen mithilfe abgefangener Daten wie der Krankenversicherungsnummer, dem Namen und Geburtsdatum. 

Wie können Pflegebetreiber sich vor Cyberattacken schützen?

Das Wichtigste ist, sich schon vorher professionelle Hilfe zu suchen und nicht erst, wenn die Daten weg sind und das System kompromittiert – das dürfen Betreiber nach einem Angriff nämlich nicht mehr nutzen. Zusätzlich ist zu empfehlen, dass die Unternehmen regelmäßig Back-ups durchführen und diese idealerweise dezentral aufstellen. Das heißt: die Daten etwa in der Cloud ablegen oder bei einer Tochtergesellschaft, falls es sich um ein größeres Unternehmen handelt. Es ist daher absolut wichtig, dass es Back-ups gibt.  

Was passiert, wenn es kein Back-up gibt? 

Eigentlich darf man das System nach einem Angriff nicht mehr anrühren: Da es kompromittiert wurde, ist bei seiner Wiederherstellung Sicherheit nicht garantiert. Sollte also kein Back-up existieren, kann es passieren, dass das gesamte System abgeschaltet und neu installiert werden muss. Und solch ein System neu aufzusetzen, wird extrem aufwendig und teuer.  

Wo hole ich mir am besten professionelle Hilfe?   

Am besten spricht man mit seinem eigenen Anbieter, mit demjenigen, mit dem man ohnehin zusammenarbeitet. Den fragt man, wie sicher das ganze System ist und ob es sich gegebenenfalls sicherer machen lässt. Ich würde immer zu zertifizierten Anbieter raten. Die sind auf der Website der Gematik und des Bundesamts für Sicherheit in der Informationstechnik, dem BSI, gelistet. Die Gematik hat die gelisteten Systeme getestet, es ist bei ihnen also gesichert, dass sie auf aktuelle Gefahren reagieren können. Es ist letztlich aber ein Wettlauf: Die Systeme werden immer besser, doch die Cyberkriminellen auch immer gewiefter. 

Von einer Sache würde ich übrigens in jedem Fall abraten: Dass der Enkel oder ein hilfsbereiter Bekannter sich um die IT-Sicherheit kümmert. Hier ist ein wirklich professionelles Team gefragt, das sich mit den Systemen richtig gut auskennt – das ist allein aus haftungsrechtlichen Gründen schon wichtig. Für große Pflegeunternehmen mit IT-Abteilung ist das selbstverständlich, aber für Kleinere durchaus eine finanzielle Hürde, weshalb es auch eine gute Idee wäre, wenn in der Finanzierungsvereinbarung mit den Pflegekassen ein Pflege-Informatikschlüssel berücksichtigt würde, sodass auch geschultes Personal in kleineren Einrichtungen finanziert wird.   

Wie sehr beeinträchtigt eine Cyberattacken die tägliche Arbeit?  

Man ist wieder auf Zettel und Papier angewiesen, wenn alles crasht, aber auch wenn ein Back-up existiert. Denn die Problembehandlung kann viel Zeit in Anspruch nehmen, erst recht, wenn das gesamte System betroffen ist und ausgewechselt werden muss. Ein Back-up erleichtert nur die Datenwiederherstellung, wenn das System wieder vollständig funktionstüchtig ist.

Aber Dinge, die mechanisch funktionieren, zum Beispiel die Perfusorpumpe, werden keine Probleme verursachen. Allerdings fangen die Probleme schon an, wenn ich mich zum Beispiel bei Medikamenten nicht an Dosierung etc. erinnern kann, weil das alles elektronisch abgelegt ist. Dann muss ich für jeden Patienten oder Bewohner in der Arztpraxis anrufen, was natürlich unglaublich aufwendig ist. Auch die Pflegeplanung muss eventuell komplett neu geschrieben werden.

Wenn der Ernstfall eintritt: Was ist als Erstes zu tun?

Die Cyberattacke muss sofort dem BSI gemeldet werden, außerdem muss die Polizei eingeschaltet und Anzeige gestellt werden. Es ist wichtig, dass nicht noch weitere Einrichtungen angegriffen werden. Ich empfehle in jedem Fall schon prophylaktisch einen Blick in das Arbeitspapier "Erste Hilfe bei einem schweren IT-Sicherheitsvorfall" vom BSI.

Das Interview führte Kirsten Gaede