Aktuelle Themen:
Krankenhäuser geraten zunehmend ins Visier von Cyberkriminellen.
Fachleute bezeichnen Emotet als derzeit gefährlichste Schadsoftware der Welt. Kürzlich hat es ein Spital im Kanton Zürich erwischt. Hier sind die wichtigsten Fragen und Antworten rund um den Cyberangriff.
Szene aus einer SRF-Sendung: Nun hat es ausgerechnet dieses Spital erwischt. screenshot: srf.ch
Unsere Spitäler sind zunehmend von kriminellen Attacken betroffen. Hacker versuchen, Schadsoftware (Malware) in die geschützten Systeme einzuschleusen. Meist mit dem Ziel, wertvolle Daten zu stehlen oder zu verschlüsseln, um ein Lösegeld zu erpressen.
Über die Kosten, die solche Ransomware-Attacken verursachen, dringt kaum etwas an die Öffentlichkeit. Im Gesundheitsbereich wolle niemand Klartext reden, man schweige das Problem tot, sagte ein IT-Sicherheitsexperte vor zwei Jahren gegenüber der «NZZ am Sonntag».
Im März 2019 berichtete dann das Schweizer Fernsehen SRF in der Sendung «ECO» über Cyberangriffe auf Spitäler. In der TV-Sendung erhielt ein Regionalspital im Kanton Zürich einen prominenten Auftritt: das GZO Spital Wetzikon.
Die Zuschauer erfuhren im informativen SRF-Beitrag (siehe Quellen), wie die Spitalleitung einen Sicherheitstest durchführen liess, um Schwachstellen aufzudecken. Anschliessend zog der Direktor Bilanz und räumte ein, man gehe zu leichtsinnig mit Computern und sensiblen Daten um.
Um die IT-Sicherheit des Spitals entscheidend zu verbessern, erarbeiteten die Zürcher Oberländer gemeinsam mit der Firma Logicare AG, einem Gemeinschafts-Unternehmen von vier Zürcher Spitälern, ein neues Sicherheitskonzept.
Offenbar gerade noch rechtzeitig: Denn nun ist genau diese regionale Gesundheitseinrichtung, die jährlich über 55'000 Patienten aufnimmt, ins Visier raffinierter Cyberkrimineller geraten. Der Kommunikations-Verantwortliche des Spitals Wetzikon, Stephan Gervers, bestätigt auf Anfrage einen entsprechenden Hinweis eines watson-Users.
Was Ransomware-Attacken im schlimmsten Fall auslösen können, zeigte sich 2017 bei «WannaCry». Die Windows-Schadsoftware verbreitete sich wurmartig in Netzwerken und befiel weltweit Hunderttausende Computer und Server. Auch in Krankenhäusern wurde der Betrieb lahmgelegt:
So weit kam es Mitte Oktober 2019 im Spital in Wetzikon nicht. Wobei der relativ glimpfliche Verlauf der Emotet-Attacke nicht mit Glück zu tun hat, sondern mit der professionellen Vorbereitung auf solche Bedrohungen und die schnelle Reaktion im Notfall. Dies zeigen die Antworten des IT-Sicherheitsexperten und Logicare-Geschäftsführers Stefan Steiner.
Um einen Angriff mit dem Windows-Trojaner Emotet.
Dazu Stefan Steiner:
Dazu Stefan Steiner:
Sprich: Es musste ein PC-User dazu verleitet werden, ein Word-Dokument zu öffnen, direkt als Mail-Attachment, oder über einen Link. Die eigentliche Infektion erfolgt aber noch nicht beim Öffnen des präparierten Dokuments. Sie erfordert das Ausführen von Makros. Die Emotet-Autoren nutzen die an sich praktischen Steuerbefehle dafür, Schadsoftware aus dem Internet nachzuladen und zu installieren.
Standardmässig sind Makros zwar in Microsoft Office deaktiviert; sie lassen sich jedoch mit einem Mausklick einfach aktivieren, wie heise.de schreibt. Und die Malware-Autoren täten ihr Möglichstes, die User zu diesem Klick zu verleiten.
Dazu Stefan Steiner:
Man fängt sich also ein Multipaket an Schadsoftware ein. Nachdem der Emotet-Trojaner das System ausgekundschaftet hat, wird in der Regel der Banking-Trojaner TrickBot als «Türöffner» nachgeladen. Dieser sammelt und kopiert Zugangsdaten und übermittelt die wertvollen Information an einen von den Kriminellen kontrollierten Computer, einen sogenannten C&C-Server. Schliesslich wird der Verschlüsselungstrojaner Ryuk nachgeladen, der alle von TrickBot und Emotet als wichtig eingestuften Dateien zu verschlüsseln versucht.
Dazu Stefan Steiner:
Wenn Emotet erst einmal einen PC befallen hat, liest er Inhalte aus Outlook-Postfächern des befallenen Systems aus – das wird als «Outlook-Harvesting» bezeichnet. Die gesammelten Informationen nutzen die Täter zur weiteren Verbreitung von Malware. Sie senden Opfern täuschend echt wirkende E-Mails eines bekannten Kontakts, was dazu führt, dass ein Dokument mit grosser Wahrscheinlichkeit geöffnet wird.
Der Geschäftsführer der Logicare AG empfiehlt allen Spitälern «dringend ein kontinuierliches Sensibilisieren der Mitarbeitenden mit entsprechenden Massnahmen». Seine Firma biete dazu eine spezielle, professionelle und kontinuierliche Online-Trainings-Lösung zur Phishing-Simulation und Steigerung des Sicherheitsbewusstseins für die Mitarbeitenden an.
Dazu Stefan Steiner:
Dazu Stefan Steiner:
Mit rund 950 Mitarbeitenden stellt das GZO Spital Wetzikon gemäss eigenen Angaben die erweiterte medizinische Grundversorgung von jährlich über 55'000 Patientinnen und Patienten aus dem Zürcher Oberland sicher. In Vorbereitung ist eine Fusion mit dem Spital in Uster. Bild: GZO
Spitäler erbringen wichtige medizinische Leistungen und gehören zu den kritischen Infrastrukturen des Landes. Die IT-Sicherheitsexperten des Bundes von der Melde- und Analysestelle Informationssicherung MELANI verfolgen rund um die Uhr, wie sich die Bedrohungslage entwickelt.
Attacken könnten potenziell tödliche Folgen haben, sagt der stellvertretende MELANI-Leiter, Max Klaus:
Dazu Stefan Steiner:
Emotet sei eine schon länger bekannte Bedrohung, doch hätten einige Unternehmen die Warnungen von MELANI nicht ernst genommen, verrät uns Max Klaus:
Im August 2019 veröffentlichte die Fachstelle auf melani.admin.ch eine eindringliche Warnung, wonach Emotet aktiv dazu verwendet werde, um gezielt Computer und Server in Unternehmensnetzwerken mit einem Verschlüsselungstrojaner (Ransomware) namens «Ryuk» zu infizieren.
Emotet sei seit langer Zeit aktiv und greife immer wieder Unternehmen aus unterschiedlichsten Branchen an, betont Max Klaus. «Dazu gehören selbstverständlich auch Spitäler. Nach unserem Kenntnisstand sind in der Schweiz bisher jedoch keine Patienten zu Schaden gekommen.»
Seine Behörde pflege im Sinne einer Public-Private-Partnership seit Jahren eine sehr enge Zusammenarbeit mit zahlreichen Schweizer Spitälern und versorge diese mit Informationen aus öffentlich nicht zugänglichen Quellen.
Bisher habe MELANI 4500 sogenannte Command & Control Server (C&C Server) identifiziert, die in Zusammenhang mit den Trojanern Emotet und Trickbot stehen. «156 C&C Server sind nach unseren Erkenntnissen zurzeit aktiv.» Das sind mit dem Internet verbundene Computer, die irgendwem gehören und sich irgendwo auf der Welt befinden können, die aber von den Kriminellen missbräuchlich verwendet werden, um Malware-Attacken zu starten und zu administrieren.
Der Prävention komme nach wie vor sehr grosse Bedeutung zu, sagt der stellvertretende MELANI-Leiter. In den Unternehmen müssten die Mitarbeitenden laufend für die drohenden Gefahren sensibilisiert werden. Selbstverständlich brauche es überall auch technische Schutzmassnahmen. Mancherorts fehlten jedoch die organisatorischen Massnahmen, um die technischen Vorkehrungen zu ergänzen, wie zum Beispiel eine eingespielte Krisenkommunikation oder die rechtzeitige Beschaffung neuer (sicherer) Software.
Durch verschiedene Massnahmen lassen sich Angriffe mit Emotet und Verschlüsselungstrojanern vermeiden. Es gilt:
Dazu Max Klaus:
Falls ein Angriff erfolgt ist, gilt es, kühlen Kopf zu bewahren. Betroffene Mitarbeitende sollten:
Polizei und Sicherheitsexperten raten, auf keinen Fall ein gefordertes Lösegeld zu bezahlen. Wobei dies natürlich einfacher gesagt als getan ist, wenn unverzichtbare Daten verschlüsselt sind und kein Backup vorhanden ist.
Schliesslich sollte man auch noch Geschäftskontakte warnen. Wenn das auf dem PC gespeicherte Adressbuch durch Outlook-Harvesting in die Hände von Kriminellen gefallen ist, drohen weitere massgeschneiderte Phishing-Attacken.
Eine Strafanzeige bei der Polizei ist zu empfehlen. Am besten fotografiert man dazu die auf dem Bildschirm angezeigte Erpressermeldung mit dem Smartphone.
Cyberattacken müssten der Aufsichtsbehörde Swissmedic gemeldet werden, sofern ein «schwerwiegendes Vorkommnis» entstehe, schrieb die «NZZ am Sonntag». Die Swissmedic-Kommunikationschefin präzisiert auf Anfrage:
Danièle Bersier, Swissmedic
Gemäss Heilmittelrecht müssten schwerwiegende Vorkommnisse mit einzelnen Medizinprodukten (inklusive Software) der Aufsichtsbehörde gemeldet werden. Swissmedic treffe sich bei Bedarf in unregelmässigen Abständen mit anderen behördlichen Experten, etwa von MELANI.
Dies wird vom stellvertretenden Leiter Max Klaus bestätigt. Auch andere eidgenössische Regulatoren wie die Finanzaufsicht (FINMA) oder das Bakom hätten für ihren Zuständigkeitsbereich gewisse Meldepflichten eingeführt.
Max Klaus, Melde- und Analysestelle
Informationssicherung MELANI
Wegen diverser parlamentarischer Vorstösse und im Zuge der Umsetzung der «Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken» (NCS 2.0) werde die Frage aktuell geprüft, sagt der IT-Sicherheitsexperte. Der Bundesrat werde bis Ende Jahr über die weiteren Schritte entscheiden.
Eine kriminelle Gruppierung, die vermutlich aus Russland stammt. Im Programmcode der Malware fanden Sicherheitsexperten jedenfalls entsprechende Hinweise.
Emotet kann jeden treffen: So lautet die beunruhigende Erkenntnis der Heise-Gruppe. Im Mai versetzte der Verschlüsselungstrojaner den deutschen IT-Verlag in den Ausnahmezustand. Dies, nachdem die eigenen Sicherheitsexperten zu früh davon ausgegangen waren, die Verbreitung gestoppt und den Schädling aus dem Netzwerk entfernt zu haben.
Der Schock sass tief, doch das Unternehmen ging in die Informations-Offensive. In Vorträgen schildern Heise-Mitarbeiter die technischen und datenschutzrechtlichen Konsequenzen, die ein verheerender Malware-Angriff haben kann.
Ihre Kernbotschaft: Emotet sei «eine der zerstörerischsten Gefahren für Unternehmens-IT». Mit der Kombination aus Dynamit-Phishing und Ransomware könne sie für viele Firmen und Organisationen existenzbedrohend sein.
