Kriminelle Hacker wollen sich Zugang zu Praxis-Computern und -Netzwerken verschaffen, um Patientendaten zu erbeuten und Praxisinhaber zu erpressen. Wie Sie Ihre Praxis gegen IT-Angriffe schützen können.
Cybercrimedelikte stellen die Strafverfolgungsbehörden vor große Herausforderungen. Sie kennen keine Landesgrenzen, Mauern oder abgeschlossene Türen. Überall, wo Menschen Computer und Smartphones nutzen, drohen auch Gefahren durch Hacker und Schadsoftware.
Über 100.000 Cybercrime-Fälle im engeren Sinn erfasste das Bundeskriminalamt 2019 mit einem Schaden von mehr als 50 Millionen Euro. Die Zahlen steigen und die Dunkelziffer ist hoch. Unternehmen bemerken häufig nicht, dass sie Opfer von Cybercrime geworden sind.
Die Täter gehen dezentral vor, kommen in kleinen Gruppen online zusammen, begehen Straftaten und trennen sich wieder. Aber auch längerfristige „Kooperationen“ im Sinne klassischer organisierter Kriminalität nehmen zu. Unter dem Schlagwort „Crime as a service“ bieten die Täter zwischenzeitlich ihr Know-how auch anderen Kriminellen an, quasi als „Kriminalität auf Bestellung“.
Personen ohne technische Kenntnisse können auf diese Weise Cybercrimedelikte, wie das Ausspähen und Abfangen von Daten, Betrug und Computersabotage begehen.
Besonders perfide ist die kryptierte Variante der Ransomware. Die Dateien der Opfer werden dabei verschlüsselt, der PC ist für den eigentlichen Eigentümer nicht mehr nutzbar und ein Countdown auf dem Computerbildschirm zeigt an, wann Dateien – beispielsweise Fotos und Musik – gelöscht werden, sollte das Opfer kein Lösegeld zahlen.
Auf den digitalen Schwarzmärkten im Darknet (Underground Economy) werden auch gefälschte digitale Identitäten angeboten. Die digitale Identität ist ein begehrtes Diebesgut, mit welcher sich unzählige Straftaten begehen lassen. An die Internet-Nutzerdaten gelangen die Täter über Trojaner oder mit Hilfe von Phishing-Attacken. Haben die Täter beispielsweise Kontoanmeldeinformationen – E-Mail-Adresse und Passwort - erhalten, können sie Waren im Internet kaufen oder Überweisungen tätigen.
Für eine effektive Bekämpfung von Cybercrime ist es wichtig, dass jede Straftat angezeigt wird. Aktuell werden nur rund 4 von 10 digitalen Straftaten angezeigt.
Die Analyse der Straftaten liefert Ermittlungsansätze durch ein starkes nationales und internationales Netzwerk zwischen Behörden, Wirtschaft und Wissenschaft und hilft somit, die Präventionsarbeit zu verbessern.
Die Zentrale Ansprechstelle Cybercrime (ZAC) gibt es in allen Bundesländern. Die ZAC bietet z. B. präventive Aufklärung in Form von Newslettern, Vorträgen, Schulungen in Sicherheitsfragen sowie professionelle Unterstützung bzw. technische Beratung. Die Mitarbeiter eines jeden ZAC verschaffen aber auch im Schadensfall als erste Ansprechstelle einen Überblick über die angezeigten Optionen und unterstützen bei der Meldung bzw. Anzeige.
Zu den Cybercrimedelikten zählen u. a. Ransomware-Infektionen, DDos-Attacken und Datendiebstähle. Arztpraxen sind unter den möglichen Angriffsvarianten mit Abstand am häufigsten von Ransomware betroffen. Andere Deliktformen sind seltener anzutreffen.
Häufig sind es ehemalige oder aktuelle Mitarbeiter, die einen IT-Sicherheitsvorfall herbeiführen. Allerdings meist nicht in krimineller Absicht, sondern aufgrund von Fahrlässigkeit und mangelndem Problembewusstsein.
Tipp: Schulen und sensibilisieren Sie Ihre Praxismitarbeiter regelmäßig zu den Maßnahmen für IT-Sicherheit und auch zu den Angriffsgefahren und Konsequenzen.
Trojaner nutzen eine als nützlich getarnte Datei oder Anwendung, um Schadsoftware (Malware) in den Rechner einzuschleusen. Diese Programme können in Folge z. B. die Praxisdaten komplett verschlüsseln. Es folgen Lösegeldforderungen und Drohungen, Gesundheitsdaten zu veröffentlichen.
Die Zahl der Ransomware-Attacken steigt in jüngster Zeit signifikant an. Die dafür genutzten E-Mails und Dateien werden professionell gefälscht, sodass sie aussehen, als kämen sie von sicheren Absendern. Zum Beispiel werden Benachrichtigungen von Banken oder Lieferanten nachgeahmt. Die Schadsoftwäre versteckt sich hinter Links und Anhängen (oft getarnt als „Rechnung“ oder „Bewerbung“). Eine Sonderform sind Emotet-Schadprogramme für Windows-Systeme.
Durch von vornherein programmierte Verzögerungen wird die Verschlüsselung nicht sofort durchgeführt und die Ransomware bleibt zunächst unbemerkt.
Das Versprechen, dass man mit Zahlung des Lösegelds eine Möglichkeit erhält, die Praxisdaten und Software wiederherzustellen, wird in der Realität nur sehr selten eingelöst.
Prophylaxe
Diese Vorsichtsmaßnahmen helfen, das Risiko von Ransomware und Trojanern auf dem Praxis-PC zu reduzieren:
Beim Phishing werden Passwörter und Bankdaten über E-Mail oder soziale Netzwerke abgegriffen. Dazu werden E-Mails in täuschend echter Qualität und optisch für den Anwender nicht vom Original zu unterscheiden an den Nutzer gesendet. Diese enthalten Phishing-Links zu Themen, die durchaus mit dem Absender in Verbindung gebracht werden könnten. Zum Beispiel geht es um die „Überprüfung der Identität“ bei Paypal-Accounts oder Bankinstituten.
Die einzig sichere aber zeitintensive Lösung: die Bank anrufen, den Account selbst, bzw. getrennt vom angebotenen Link über die Homepage von beispielsweise PayPal aufrufen und ggf. aktualisieren.
Was tun im Schadensfall?
Wenn Sie auf einen Phising-Link geklickt, eine Mail mit Ransomeware erhalten haben oder Ähnliches, dann
Tipp: Virchowbund-Mitglieder können sich gegen sämtliche Arten von IT- und Cybergefahren absichern. Dabei können sie zwischen einer umfassenden Kompaktlösung und einem individuell zugeschnittenen Bausteinkonzept wählen. Klicken Sie hier für mehr Informationen zu den Versicherungskonditionen und zu weiteren Partnerangeboten für Mitglieder im Virchowbund.
Ihre Praxis-Telefonanlage oder Telefonnummer wird verwendet, um kostenlos zu telefonieren. Auch mobile Telefone mit aktivierter Bluetooth-Funktion können auf gewisse Distanzen gehackt werden. Telefonrechnungen von mehreren tausend Euro ist möglich.
Webseiten, Server und Netzwerke werden mithilfe von extrem vielen Anfragen zur gleichen Zeit überlastet, sodass sie nicht mehr erreichbar sind. Dieses Szenario ist für Praxen seltener relevant. Im Schadensfall sollten Sie sich an Ihr örtliches ZAC wenden.
Ein Rubber Ducky ist ein harmlos aussehender USB-Stick, der von außen nicht von einem herkömmlichen USB-Stick zu unterscheiden ist. Wenn dieser einmal angeschlossen ist, werden Programme geschrieben, mit deren Hilfe der Kriminelle Zugriff auf die Tastatur erlangt, Programme schreiben und so dem am Rechner sitzenden Anwender eine Benutzung unmöglich machen kann. Die vollkommene Zerstörung der Praxis-Software ist möglich.
Die IT-Sicherheitsrichtlinie für Arztpraxen gilt ab 1.4.2021 in der ersten Ausbaustufe. Welche Sicherheitsmaßnahmen konkret nötig sind, richtet sich grundsätzlich nach der Anzahl der Personen in der Praxis, die ständig mit der Datenverarbeitung beschäftigt sind. Die wichtigsten Informationen dazu gibt es auf der Online-Plattform zur IT-Sicherheitsrichtlinie mit Hilfsmaterial zur Umsetzung.
Tipp: Die Virchowbund-Praxisinfo „Datenschutz in der Arztpraxis“ informiert Sie darüber, wie Sie Patientendaten schützen und welche Konsequenzen bei Verstößen gegen die Datenschutz-Grundverordnung drohen. Die Datenschutz-Praxisinfo sowie eine Muster-Datenschutzerklärung für die Praxiswebseite können Mitglieder kostenlos herunterladen.
Dieser Beitrag basiert auf der Online-Fortbildung der Landesgruppe Niedersachsen/Bremen im Virchowbund am 15.2.2021. Um sich für ähnliche Veranstaltungen in Ihrem Bundesland anzumelden, wenden Sie sich bitte an Frau Kathrin Schröder unter 030 / 288 774 - 126. Abonnieren Sie auch unseren Service-Newsletter, damit wir Sie über Webinare, Online-Fortbildungen und Co. auf dem Laufenden halten können.
Nützliche Links zum IT-Grundschutz und zur Sicherheit in Unternehmen
Bild: ©Show-Shot-Foto - stock.adobe.com