Cyberangriff auf Software für Arztpraxen

Zusammenfassung: Der Cyberangriff auf den IT-Dienstleister Medatixx zeigt exemplarisch die Gefahren von Supply-Chain-Angriffen im Gesundheitswesen. Arztpraxen müssen sich der besonderen Verantwortung bewusst sein, die sie als Verarbeiter hochsensibler Patientendaten tragen. Ein umfassendes Sicherheitskonzept, regelmäßige Schulungen und die Begleitung durch einen erfahrenen Datenschutzbeauftragten sind heute wichtig, um Patienten und Praxis gleichermaßen zu schützen.

Vor kurzem wurde der IT-Dienstleister Medatixx Opfer eines Cyberangriffes. Das Unternehmen hat mit seinen Softwareprodukten für Arztpraxen, Ambulanzen und Ärztenetze laut eigener Aussage einen Marktanteil von über 28 Prozent.

Die Angreifer verschaften sich Zugang zum IT Dienstleister Medatixx und nutzten eine Verschlüsselungssoftware um Daten von Medatixx zu verschlüsseln (für die spätere Erpressung). Diese Vorgehen wird immer häufiger. Auch wenn davon ausgegangen wird, dass das Ziel des Angriffes die IT-Systeme von Medatixx und nicht die der Kunden waren, kann nicht ausgeschlossen werden, dass auch Kunden-Daten sowie Zugänge zu Kundensystemen (die ein IT Dienstleister meistens hat und deswegen ein sehr lohnendes Ziel ist) abgegriffen wurden. Die betroffenen Arztpraxen werden angehalten, alle Passwörter zu ändern (dies ist bereits ein deutliches Zeichen das Zugänge zu Kundensystemen und oder Daten der Kunden betroffen sind).

Hersteller von Software für Arztpraxen

Der IT-Dienstleister stellt Software für Arztpraxen, Ambulanzen und Ärztenetze her. Die Softwareprodukte werden bundesweit genutzt. Nach eigener Aussage sind etwa 40.000 Ärzte Kunden.

Die meiste Software dient der Verwaltung von Patientendaten sowie dem automatischen Zugriff auf die Telematikinfrastruktur (TI). Somit geht es auch um Schnittstellen, die die Verarbeitung aller relevanter und schützenswerter Patientendaten betrifft.

Ziel des Angriffs

Das genaue Ziel des Angriff und der Einfallsvektor sind nach derzeitiger Informationslage nicht öffentlich bekannt.

Meist extrahieren Angreifer Daten + verschlüsseln diese beim Opfer um Geld zu erpressen. Um mehrfach Geld zu erpressen legen sich Angreifer weitere Zugangsmöglichkeiten (wie z.B. reverse Shells und Backdoors) in IT-Systemen des Opfers um die Erpressung immer wieder zu wiederholen.

Es ist nicht auszuschließen das während des Angriffs Daten extrahiert wurden um später weitere Erpressungen z.B. Drohung mit Veröffentlichung sensibler Daten und Angriffe durch Auswertung von erbeuteten Zugangsdaten durchzuführen.

Somit ist nicht auszuschließen, dass nicht nur personenbezogene Daten, sondern sogar solche der besonderen Kategorie betroffen sind (Gesundheitsdaten).

Folgen des Cyberangriffes nicht nur für Arztpraxen

Momentan sind die entsprechenden Praxisverwaltungssysteme noch uneingeschränkt nutzbar, sodass der Betrieb bei den betroffenen Arztpraxen weiterlaufen kann.

Der IT-Dienstleister Medatixx hat sich bereits an alle Kunden mit einer Mitteilung gewandt, in der diese aufgefordert werden, alle Passwörter zu ändern. Damit sind insbesondere die Passwörter für die Praxissoftware, die Windowsanmeldung von Arbeitsplätzen und Servern sowie die des jeweiligen TI-Konnektors gemeint.

Besonders brisant erscheint, dass der TI-Konnektor einen Zugang zum sicheren Austausch mit Krankenkassen und anderen Gesundheitseinrichtungen darstellt. Damit ist er zentral für die digitale Patientenakte. Sofern der Angreifer Passwörter hierfür entwendet hat, kann der Cyberangriff eine nicht zu vernachlässigende Gefahr für das bundesweite Gesundheitssystem darstellen.

Maßnahmen bei einem Cyberangriff

Der IT-Dienstleister muss sich ganz transparent an alle Kunden wenden und das Ausmaß des Angriffs offen legen, sodass die Kunden Gegenmaßnahmen (Änderung der Passwörter) einleiten können. Zur Unterstützung der Kunden in dieser herausfordernden Situation hat das Unternehmen zudem Kurzanleitungen auf seiner Website bereitgestellt, wie dies vorzunehmen ist.

Zudem arbeitet Medatixx mit der Unterstützung von IT-Spezialisten daran, den Angriff auszuwerten, um die konkrete Gefährdung feststellen zu können und an einer entsprechenden Lösung des Problems arbeiten zu können. Auch wurden vorschriftsgemäß die zuständige Datenschutzbehörde und auch die Ermittlungsbehörden informiert und zur Mithilfe herangezogen.

Incident-Response-Plan: Vorbereitung auf den Ernstfall

Ein strukturierter Incident-Response-Plan ist für jede Arztpraxis und medizinische Einrichtung wichtig. Dieser Plan legt fest, welche Schritte im Falle eines Cyberangriffs zu unternehmen sind, wer verantwortlich ist und welche externen Stellen zu informieren sind. Der Plan sollte regelmäßig getestet und aktualisiert werden, um im Ernstfall reibungslos zu funktionieren.

Wesentliche Bestandteile eines Incident-Response-Plans sind die sofortige Isolation betroffener Systeme, die Sicherung von Beweismaterial für forensische Analysen, die Benachrichtigung des Datenschutzbeauftragten und der IT-Sicherheitsverantwortlichen sowie die Kommunikation mit betroffenen Patienten und Aufsichtsbehörden. Ein gut durchdachter Plan reduziert nicht nur den potenziellen Schaden eines Angriffs, sondern demonstriert gegenüber Aufsichtsbehörden auch die Einhaltung der Sorgfaltspflichten nach Art. 32 DSGVO.

Sollten Sie sich zum Vorgehen in einem solchen Fall oder vorbeugenden Maßnahmen beraten lassen wollen, stehen Ihnen unsere Experten gern zur Seite.

Warum Arztpraxen besonders attraktive Ziele für Cyberangriffe sind

Arztpraxen und medizinische Einrichtungen gehören zu den lukrativsten Zielen für Cyberkriminelle. Der Grund liegt auf der Hand: Gesundheitsdaten zählen zu den sensibelsten personenbezogenen Daten überhaupt und fallen unter die besondere Kategorie nach Art. 9 DSGVO. Diese Daten haben auf dem Schwarzmarkt einen deutlich höheren Wert als beispielsweise Kreditkartendaten, da sie nicht einfach gesperrt oder ersetzt werden können.

Die zunehmende Digitalisierung im Gesundheitswesen durch die Telematikinfrastruktur (TI), elektronische Patientenakten und digitale Rezepte schafft gleichzeitig neue Angriffsvektoren. Viele Praxen verfügen nicht über eigene IT-Sicherheitsabteilungen und verlassen sich vollständig auf externe IT-Dienstleister wie Medatixx. Wird ein solcher zentraler Dienstleister kompromittiert, sind potenziell Tausende Praxen gleichzeitig betroffen — ein sogenannter Supply-Chain-Angriff.

Supply-Chain-Angriffe: Die unterschätzte Bedrohung

Der Angriff auf Medatixx ist ein klassisches Beispiel für einen Supply-Chain-Angriff. Statt jede einzelne Arztpraxis anzugreifen, konzentrieren sich die Angreifer auf einen zentralen Knotenpunkt in der Lieferkette. Der IT-Dienstleister verfügt über Zugangsdaten zu zahlreichen Kundensystemen, was ihn zu einem besonders wertvollen Ziel macht.

Diese Art von Angriffen hat in den letzten Jahren stark zugenommen. Prominente Beispiele wie der SolarWinds-Hack oder der Angriff auf Kaseya zeigen, dass selbst große Unternehmen mit umfangreichen Sicherheitsmaßnahmen verwundbar sein können. Für kleinere Organisationen wie Arztpraxen, die sich auf die Sicherheit ihrer Dienstleister verlassen müssen, ist das Risiko besonders hoch.

Präventive Maßnahmen für Arztpraxen und Gesundheitseinrichtungen

Um sich vor den Folgen solcher Angriffe zu schützen, sollten Arztpraxen und medizinische Einrichtungen verschiedene Vorsorgemaßnahmen treffen. Eine regelmäßige Überprüfung der IT-Sicherheitsmaßnahmen ist ebenso wichtig wie die Schulung des Personals im Umgang mit verdächtigen E-Mails und anderen Social-Engineering-Methoden.

Zu den wichtigsten Maßnahmen gehören:

• Regelmäßige und getestete Backups aller relevanten Daten, idealerweise offline gespeichert
• Verwendung starker, einzigartiger Passwörter für jedes System und jeden Dienst
• Aktivierung der Zwei-Faktor-Authentifizierung wo immer möglich
• Regelmäßige Updates und Patches aller Softwarekomponenten
• Erstellung eines Notfallplans für den Fall eines Cyberangriffs
• Vertragliche Vereinbarungen mit IT-Dienstleistern über Sicherheitsstandards und Meldepflichten

Meldepflichten und rechtliche Konsequenzen

Bei einem Cyberangriff, der personenbezogene Daten betrifft, greifen verschiedene Meldepflichten nach der DSGVO. Art. 33 DSGVO verpflichtet den Verantwortlichen, eine Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden. Handelt es sich um ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen — was bei Gesundheitsdaten regelmäßig der Fall sein wird — müssen auch die Betroffenen selbst benachrichtigt werden (Art. 34 DSGVO).

Für Arztpraxen als Verantwortliche bedeutet dies, dass sie auch dann meldepflichtig sein können, wenn der eigentliche Angriff ihren IT-Dienstleister getroffen hat. Die Verantwortung für den Schutz der Patientendaten verbleibt laufend beim Verantwortlichen. Eine sorgfältige Auswahl und vertragliche Absicherung des IT-Dienstleisters im Rahmen eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO ist daher unerlässlich.

Die Rolle des Datenschutzbeauftragten bei Cyberangriffen

Bei einem Cyberangriff auf eine Arztpraxis oder einen medizinischen Dienstleister kommt dem Datenschutzbeauftragten eine zentrale Rolle zu. Er koordiniert die datenschutzrechtliche Bewertung des Vorfalls, unterstützt bei der Entscheidung über Melde- und Benachrichtigungspflichten und dokumentiert alle Maßnahmen für die spätere Nachweisführung gegenüber der Aufsichtsbehörde.

Gerade in der hektischen Situation eines Cyberangriffs ist es wichtig, einen erfahrenen Ansprechpartner zu haben, der die rechtlichen Anforderungen kennt und strukturiert vorgeht. Ein externer Datenschutzbeauftragter bringt hier den Vorteil mit, dass er ähnliche Situationen bereits bei anderen Mandanten begleitet hat und bewährte Verfahrensweisen einsetzen kann.

Neben der akuten Krisenbearbeitung sollte der Datenschutzbeauftragte auch in die Nachbereitung des Vorfalls eingebunden werden. Dazu gehört die Analyse der Ursachen, die Bewertung der Wirksamkeit der getroffenen Schutzmaßnahmen und die Ableitung von Verbesserungsmaßnahmen für die Zukunft. Nur durch eine systematische Nachbereitung lassen sich Lehren für die Prävention künftiger Angriffe ziehen.

Versicherungsschutz und Cyber-Versicherungen für Arztpraxen

Angesichts der wachsenden Bedrohung durch Cyberangriffe gewinnen Cyber-Versicherungen auch für Arztpraxen zunehmend an Bedeutung. Eine Cyber-Versicherung kann die finanziellen Folgen eines Angriffs abmildern, indem sie unter anderem die Kosten für IT-Forensik, Datenwiederherstellung, Betriebsunterbrechung und die Benachrichtigung betroffener Patienten übernimmt. Allerdings stellen Versicherer zunehmend hohe Anforderungen an die IT-Sicherheit der versicherten Praxis — mangelnde Sicherheitsmaßnahmen können zum Ausschluss von Leistungen führen.

Für Arztpraxen bedeutet dies, dass ein solides IT-Sicherheits- und Datenschutzkonzept nicht nur rechtlich geboten, sondern auch wirtschaftlich sinnvoll ist. Die Kombination aus technischen Schutzmaßnahmen, organisatorischen Richtlinien, geschultem Personal und einem kompetenten Datenschutzbeauftragten bildet die beste Verteidigung gegen die vielfältigen Bedrohungen im digitalen Zeitalter.

Die zunehmende Vernetzung im Gesundheitswesen durch die Telematikinfrastruktur macht eine professionelle Begleitung durch Datenschutzexperten wichtig. Die Komplexität der Datenflüsse zwischen Praxen, Krankenhäusern, Krankenkassen und weiteren Akteuren erfordert ein tiefes Verständnis sowohl der technischen als auch der rechtlichen Zusammenhänge.

Der Fall Medatixx verdeutlicht eindrücklich, wie wichtig ein durchdachtes IT-Sicherheitskonzept und ein funktionierender Notfallplan für Arztpraxen und medizinische Einrichtungen sind. Die Zusammenarbeit mit erfahrenen Datenschutzexperten kann dabei helfen, Schwachstellen frühzeitig zu identifizieren und geeignete Schutzmaßnahmen zu implementieren.