Wie Cybersecurity Awareness vor Cyberangriffen schützt

Digitale Patientenakten, OP-Roboter, per WLAN übertragene Daten von Herzschrittmachern und Insulinpumpen – die Digitalisierung des Gesundheitswesens bringt nicht nur zahlreiche neue Diagnose- und Behandlungsmöglichkeiten mit sich. Gleichzeitig eröffnet sie neue Angriffsflächen für Cyberkriminelle. Eine Attacke auf das Lukaskrankenhaus in Neuss sorgte im Jahr 2016 für Schäden in Höhe von 900.000 Euro. Auch die Verantwortlichen des Klinikums in Fürth mussten Ende 2019 schmerzlich erfahren, welche Konsequenzen ein erfolgreicher Cyberangriff haben kann, nachdem der Trojaner Emotet seinen Weg in die Systeme der Einrichtung gefunden hatte.

Kliniken immer wieder im Fokus von Cyberkriminellen
Die Schadsoftware Emotet gelangte – wie in so vielen anderen Fällen – per E-Mail in die Systeme des Fürther Klinikums. Die Angreifer zielten also im ersten Schritt auf die Schwachstelle Mensch, um anschließend die technische Infrastruktur anzugreifen.

„Empfänger erhalten E-Mails mit authentisch aussehenden, jedoch erfundenen Inhalten von Absendern, mit denen sie erst kürzlich in Kontakt standen“, erläutert das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Funktionsweise der Schadsoftware Emotet. „Aufgrund der korrekten Angabe der Namen und Mailadressen von Absender und Empfänger in Betreff, Anrede und Signatur wirken diese Nachrichten auf viele authentisch. Deswegen verleiten sie zum unbedachten Öffnen des schädlichen Dateianhangs oder der in der Nachricht enthaltenen URL.“ Wer letzteres macht, öffnet dem Trojaner Tür und Tor. Er lädt weitere Schadsoftware nach, die Dateien und Systeme verschlüsselt. Rückgängig machten lässt sich das nur mit einem Entschlüsselungscode, für den Opfer ein hohes Lösegeld zahlen sollen.

Die Folge des Emotet-Befalls für die Klinik in Fürth, die jährlich rund 58.000 Patienten ambulant und 42.000 stationär versorgt, war eine starke Beeinträchtigung des Betriebs. Neue Patienten konnten nicht mehr aufgenommen werden und planbare, unkritische Operationen wurden abgesagt. Die Internetverbindung wurde vorsorglich gekappt.

Die Anzahl und Intensität der Angriffe auf Kliniken und Krankenhäuser ist danach weiter gestiegen. Ebenso ergeht es jedes Jahr unzähligen Unternehmen und Behörden auf der ganzen Welt. Technische Sicherheitsvorkehrungen sind natürlich ein effektives Mittel im Kampf gegen Cyberangriffe. Doch die Täter zielen – wie im Fall von Emotet – immer wieder auf den Faktor Mensch und umgehen auf diese Weise selbst das professionellste Sicherheitsprogramm. Wer mehr Schutz vor Angriffen aus dem Internet will, muss daher die menschliche Firewall stärken.

‍Security Awareness kann Cyberangriffe im Keim ersticken
Zugegeben: Angriffe mit Ransomware wie Emotet funktionieren auf einem sehr hohen Niveau und sind für Mitarbeiter nur sehr schwer zu erkennen, vor allem, wenn gefälschte E-Mails von bekannten Absenderadressen kommen und inhaltlich Bezug auf die vorherige E-Mail-Kommunikation nehmen. Doch längst nicht alle Phishing-Kampagnen funktionieren auf diese Weise und gefährliche Mails lassen sich mitunter schnell enttarnen – wenn der Empfänger weiß, worauf er achten muss.

Genau dafür soll Security Awareness sorgen, indem bei den Mitarbeitern ein Problembewusstsein für die Gefahren der digitalen Welt geschaffen wird. Mit dem Ziel, für die Zukunft eine Verhaltensänderung herbeizuführen, damit Cyberkriminelle keine Chance haben. Bewährt haben sich in diesem Zusammenhang verschiedene Schulungsmaßnahmen. Vom klassischen Training vor Ort über Online-Trainings bis hin zu speziellen Aktionen wie Phishing-Tests, die Mitarbeiter „wachrütteln“ sollen. In den Schulungen geht es thematisch unter anderem um die Grundlagen der Informations- und Datensicherheit, den sicheren Umgang mit E-Mails sowie das Bedrohungspotenzial durch Schadsoftware und Social Engineering.

Wichtig dabei ist, dass alle Awareness-Maßnahmen nachhaltig wirken. Das bedeutet, dass Trainings und andere Aktionen regelmäßig wiederholt werden sollten, schon deshalb, um auch neue Mitarbeiter über die Gefahren aus dem Cyberspace aufzuklären. Darüber hinaus sollte dabei keine Langeweile aufkommen, trockener Frontalunterricht macht wenig Sinn. Live-Hacking-Demonstrationen, Trainings mir einem Medienmix aus Text, Video und Bild sowie interaktive Inhalte lockern das Ganze auf und sorgen für Akzeptanz bei den Teilnehmenden.

Security Awareness von 8com
8com stellt seinen Kunden mit dem Awareness-Portal eine zentrale Anlaufstelle für alle Themen rund um die Informations- und Datensicherheit zur Verfügung. Hier finden Mitarbeitende zahlreiche Inhalte in Text- und Videoform zu den wichtigsten Security-Themen. In interaktiven E-Learning-Kursen können Nutzer ihr Wissen unter Beweis stellen.

Mit unserem Phishing-Test finden Sie heraus, wie hoch der Sensibilisierungsgrad Ihrer Mitarbeiter mit Blick auf die Cybersicherheit tatsächlich ist. Die Ergebnisse werden anonymisiert in einem übersichtlichen Bericht zusammengefasst und dienen als Grundlage für weitere Awareness-Maßnahmen.

In den spannenden Live-Hacking-Vorträge demonstrieren 8com-Security-Experten eindrücklich, wie leicht Cyberkriminelle Schwachstellen ausnutzen und welchen Schaden sie damit anrichten können. Die Referenten zeigen aber immer auch, wie Nutzer sich effektiv vor Angriffen schützen können.

‍

Bild (c) Gerd Altmann / Pixabay

‍