IT-Sicherheit: „Ich rechne damit, in Zukunft auch gezielt attackiert zu werden“

Armin Will ist bei der Stabsstelle IT des Uniklinikums Schleswig-Holstein zuständig für externe Projekte. Im Projekt „IT Security Awareness Penetration Testing“ beschäftigt Will sich mit dem menschlichen Faktor bei der Beurteilung von IT-Sicherheitsmaßnahmen.(Foto: UKSH)

Welche Kosten können im Zuge des IT-Sicherheitsgesetzes auf einzelne Kliniken zukommen – zum Beispiel auf das Universitätsklinikum Schleswig-Holstein?

Armin Will: „Die konkreten Kosten sind derzeit noch nicht wirklich zu beziffern. Auch hier wird – sollte das UKSH als kritische Infrastruktur deklariert werden – mit personellen und investiven Kosten zu rechnen sein. Die Betreiber müssen einerseits organisatorisch und technisch ihre Infrastruktur absichern, diese Absicherung alle zwei Jahre auditieren lassen und zudem kontinuierlich den Zustand und die Gefährdungslage der IT-Infrastruktur überwachen. Das zentrale Element heißt hier: Informations-Sicherheitsmanagement-System (ISMS). Darüber hinaus sind Meldungen von erfolgten und vergeblichen Cyberattacken zu dokumentieren und an das BSI zu melden. All diese Aufgaben werden einen zusätzlichen Aufwand bedeuten, der derzeit in keiner Weise finanziert ist. Hier ist eindeutig die Politik gefordert.

Den zusätzlichen Aufwand muss ein ‚normales Krankenhaus‘ nicht aufbringen, aber die Notwendigkeit, seine Systeme vor Cyberattacken abzusichern, sollte – mit Blick auf die jüngsten Ereignisse – jedem Verantwortlichen mehr als deutlich geworden sein. Die Attacken auf das Krankenhaus in Neuss waren ja nicht gezielt! Das Krankenhaus war eigentlich nur „Beifang“. Jeden Tag müssen wir am UKSH weit über 75 Prozent der Mails, die das UKSH erreichen, abweisen, da sie von suspekten Absendern mit eindeutigen Spams oder auch Viren einhergehen.

Ich rechne damit, dass wir in Zukunft auch gezielt attackiert werden. Die Attacken werden deshalb gezielt erfolgen, da der Cybercrime-Markt erkannt hat, dass der Bereich Gesundheitsdaten wesentlich lukrativer ist als der Bereich der Finanzen. Es ist ein Leichtes, gestohlene Kreditkarten zu sperren und damit den Schaden einzugrenzen. Aber persönliche Gesundheitsdaten lassen sich nicht einfach aus dem Verkehr nehmen: Identitätsdiebstahl, Erpressung und auch Manipulation dieser Daten sind bereits zu beobachten. Vielfach stützen sich Diagnostik und Behandlung ausschließlich auf digitale Informationen – sind diese kompromittiert oder stehen nicht zur Verfügung, kann das fatale Folgen haben.“