Ransomware-Risiko im Pflegeheim in Frankreich: Was riskieren wir bei der Verarbeitung von Gesundheitsdaten?

Angreifer nehmen gezielt das Gesundheitswesen ins Visier, weil sie genau wissen: Fällt ein Online-Shop zwei Tage aus, verliert er Geld. Kommt ein Pflegeheim auch nur eine Stunde nicht an seine Daten, geht es um Menschenleben. Aus dieser Notlage heraus ist die Bereitschaft, Lösegeld zu zahlen, viel höher. Die Einstellung Ihres Technikers ist brandgefährlich.

Antivirus erkennt nur bekannte Signaturen. Ransomware gelangt meistens über Zero-Day-Lücken oder gestohlene Zugangsdaten ins Netz. Prüfen Sie dringend die Netzwerkfreigaben (SMB) auf dem Server. Hängt Ihr Backup-Speicher am Hauptnetzwerk, löscht oder verschlüsselt der Angreifer zuerst die Backups und legt danach das Hauptsystem lahm.

Stellen Sie Ihrem Techniker am Montag direkt eine Frage: „Wann haben wir das letzte Mal das Einspielen eines Backups auf einem sauberen Gerät getestet?“ Wurde ein Restore nie geprobt, existiert das Backup de facto nicht. Zweiter Schritt: Sofort ein manuelles Backup auf eine externe Festplatte ziehen und im Safe einschließen.

Einem Bekannten von mir in einer ähnlichen Klinik mit 50 Betten in Frankreich ist genau das passiert. Ein einziger Mitarbeiter hat einen gefälschten Rechnungsanhang geöffnet und der gesamte Server war dicht. ARS und Cyber-Einheit der Gendarmerie waren vor Ort, der Wiederaufbau hat 19 Tage gedauert und die externen Beratungskosten lagen bei 28.000 EUR.

Hängen medizinische Geräte oder Patientenmonitore im selben lokalen Netz? Wenn Büro-PCs und die medizinische Datenbank im selben Subnetz (VLAN) liegen, frisst sich Schadsoftware von einem Buchhaltungsrechner innerhalb von Minuten durch das gesamte System.

Von einem Techniker für 800 EUR im Monat kann man keine Cybersicherheitsexpertise erwarten; der richtet wahrscheinlich Drucker ein und erneuert Office-Lizenzen. Wer meint „Antivirus reicht völlig“, dem darf man keine sensible Gesundheits-IT anvertrauen. Ein unabhängiges Audit ist Pflicht.

Nach französischem Gesundheitsrecht und RGPD sind Sie bei Verlust oder unbefugtem Abfluss sensibler Daten nicht nur gegenüber der CNIL meldepflichtig. Sie müssen die betroffenen Bewohner bzw. deren gesetzliche Betreuer ebenfalls direkt schriftlich darüber informieren.

Letztes Jahr wurde ein Heim in unserer Nachbarregion an einem Sonntagabend angegriffen. Morgens wusste das Personal vor lauter Panik die Blutdruck- und Insulindosen der Bewohner nicht mehr auswendig. Wenn die Papierakten für den Notfall nicht bereitliegen, ist das Chaos unbezahlbar – da verblassen selbst die Bußgelder.

Gut, dass du diesen Thread eröffnet hast. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

gespeichert.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Ein automatisierter Scan-Report ist kein Penetrationstest.

Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste. Nur als Notiz, könnte nützlich sein.

Meine Frage ist geklärt, vielen Dank. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. An deiner Stelle würde ich so vorgehen.

vor zwei Jahren habe ich genau daseslbe erlebt. wenn du das nicht von Anfang an schriftlich festhältst gibt es später Streit.

wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. nur als Notiz, knönte nützlich sein.

Die obige Antwort bringt es auf den Punkt. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Kannst du das etwas genauer erklären? Scheut euch nicht zu fragen, wer nicht fragt zahlt am Ende mehr.

Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern. Wenn deine Situation anders ist ändert sich das natürlich.

Wenn wir ins Detail gehen: Scheut euch nicht zu fragen wer nicht fragt zahlt am Ende mehr.

Ich erkläre mal die technische Seite. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.