Sind im Jahr 2022 noch 39 % der für die HDI Versicherung AG befragten kleinen und mittleren Unternehmen davon ausgegangen, innerhalb der nächsten zwei Jahre Opfer einer Cyberattacke zu werden, waren es 2023 nur noch 27 %. Doch diese Einstellung verrät wenig Realismus: Dem weltweiten IT-Sicherheitsanbieter Sophos zufolge ist zwar die Rate der Ransomware-Angriffe im Gesundheitswesen 2023 von 66 % auf 60 % zurückgegangen – damit ist sie aber immer noch fast doppelt so hoch wie die Rate, die der Sektor 2021 vermeldete.

Ein Innehalten der Entwicklung ist kaum wahrscheinlich. Während sich die Sicherheitslage durch hybride Angriffe aus dem Ausland weiterhin verschärft, warnt das  Bundesamt für Sicherheit in der Informationstechnik aktuell mit Nachdruck davor, dass Künstliche Intelligenz die Cyber­angriffe auf ein neues ­Level heben wird. Maschinell erstellte Videos, Bilder, Texte oder Stimmen können Menschen so täuschen, dass deutlich mehr Personen dadurch in die Falle gehen als zuvor – Social Engineering 2.0 könnte man diese Entwicklungsstufe von Angriffen nennen.

„Der größte Risikofaktor ist unverändert der Mensch“, unterstreicht Dipl.-Ing. Wolfgang Schweikert von der Ärzte Service GmbH. Er vermittelt unter anderem Cyberversicherungen an Arztpraxen. Auch er sagt: Praxen werden oft gar nicht gezielt angegriffen. Die Aussendung von Ransomware – also Schadsoftware – erfolgt nämlich nach dem Gießkannenprinzip.

Aber im nächsten Zug kommt der Mensch ins Spiel: die Praxisleitung, die sich für ihre Einzelpraxis für einen niedrigen Schutz entschieden hat, der Assistenzarzt, der auf den Link in der E-Mail geklickt hat, und die Cyberkriminiellen, die am „Rücklauf“ auf ihre Streusendungen sehen, dass sie es mit einer Arztpraxis zu tun haben und zu Recht davon ausgehen, dass sich hier gut Druck aufbauen lässt. Bezahlt wird nach Erfolgsrate.

Und dann ist es passiert: Die Computer der Praxis können nicht mehr hochgefahren werden. Wie im schlechten Film erscheint die Schrift „You are hacked“ auf dem Bildschirm. Es folgen die Anweisungen, was getan werden soll, wie viel Lösegeld zu zahlen ist, um wieder Zugang zu den Daten zu bekommen. Drei Viertel der Gesundheitsorganisationen gaben 2023 an, dass ihre Daten verschlüsselt wurden. Bei mehr als einem Drittel dieser Angriffe wurden aber auch Daten gestohlen. Diese „Double-Dip“-Methode wird künftig vielleicht zum Standard.

Manche Informationen kann man nie mehr einfangen

Dabei werden die Kosten und die Haftungsprobleme, die auf die Praxen zukommen können, meist dramatisch unterschätzt. Gesundheitsdaten gehören schließlich zu den besonders sensiblen Daten. Sind beispielsweise Informationen über chronische Krankheiten oder bestimmte medizinische Eingriffe einmal öffentlich geworden, lässt sich das und der dadurch möglicherweise entstandene Schaden nie mehr einfangen. Nicht umsonst ist die Schweigepflicht in der Medizin ein unverzichtbarer Grundsatz.

Juristisch kann es durch die Angriffe zu unwillentlichen Verstößen gegen gesetzliche oder vertragliche Datenschutzbestimmen bzw. -verpflichtungen kommen, die mit Bußgeldern bewehrt sind. Und im schlimmsten Fall muss die Praxis über den Ausfall der Systeme bzw. den fehlenden Zugriff auf Daten für erhebliche Zeiträume schließen. Nicht zu unterschätzen ist auch die Beschädigung der Reputation: Das Vertrauen ist erschüttert, weil sensible personenbezogene Daten in die Hände Krimineller gelangt sein können und die Praxis die Patient*innen nicht zuverlässig versorgen kann.