Cybercrime

Ein Autofahrer mit angelegtem Sicherheitsgurt und ein Motorradfahrer mit passendem Helm ist für uns selbstverständlich. Eine Praxis-IT mit ausreichender IT-Sicherheit und Datenschutz sollte ebenfalls selbstverständlich sein, jedoch ist die Realität oftmals eine andere. Der Vergleich mit dem Autofahrer und dem Motorradfahrer ist nicht so fremd wie es vielleicht es auf dem ersten Blick scheint. In der Gesundheitseinrichtung geht es um die Versorgung der Patienten und um die Patientendaten.

Bei einer erfolgreichen Cyberattacke droht der Verlust der Verfügbarkeit, der Integrität und der Vertraulichkeit der Patientendaten und die Gesundheit der Patienten ist zum Teil erheblich gefährdet. Zum einen, weil für die Versorgung die Behandlungsdaten, Medikation, Labordaten etc. fehlen und zum anderen durch eine Offenbarung von Patientendaten an unbefugte Dritte dem betroffenen Patienten seine Freiheiten und Rechte erheblich eingeschränkt werden und weitere psychische Belastungen oder andere Gesundheitsgefährdungen drohen. Wir sprechen auch von sogenannten Patienten-Sicherheitsbeeinträchtigungen, die eine Folge eines erfolgreichen IT-Angriffs sein könnten.

Von doppelter Bestrafung bis Opferhilfe

Interessant ist, dass derzeit die Juristen darüber diskutieren, ob die Lösegeldzahlungen an Kriminelle nach dem §129 StGB (Unterstützung krimineller Vereinigungen) strafbewehrt sein könnten. Wenn erpresste Gelder dazu führen, dass die Opfer sich straffällig machen, dann werden die Verantwortlichen doppelt bestraft und zum Lösegeld kommt auch noch eine mögliche Freiheitsstrafe bis zu 3 Jahren oder eine Geldstrafe hinzu. Außerdem droht eine Geldbuße bei festgestelltem unzureichendem Datenschutz/Datensicherheit durch die zuständige Landesdatenschutzbehörde.

Im Übrigen vermutet die Polizei im Deliktbereich Cyberkriminalität ein großes Dunkelfeld. Man schätzt, dass ca. 4 von 5 Straftaten in dem Bereich nicht angezeigt werden. Dennoch haben sich die Polizeibehörden mittlerweile auf diese neuen Herausforderungen eingestellt. Polizeiliche Ermittlungen haben sich verändert. Man kann sagen, dass eine Art Paradigmenwechsel stattgefunden hat. Denn die Täter sind ja immer seltener der Nachbar um die Ecke oder der Täter in derselben Stadt oder Landkreis. Die Täter bzw. kriminellen Vereinigungen sitzen in Asien, Amerika oder sonst irgendwo in der Welt. Auch wenn die Ermittlungsbehörden einen Tatverdächtigen ermitteln konnten, ist es schwierig eine Rechtshilfe oder eine Auslieferung über einen totalitären Staat zu bekommen.

Stattdessen wird der Bereich der akuten Opferhilfe immer wichtiger: Ist es möglich die Ausweitung des Angriffs noch zu stoppen? Kann eine Ausleitung der Daten noch verhindert werden? Wäre es möglich Patientendaten auf externen Server zu löschen? Weiterhin wird im Rahmen der Investigation versucht die Schadsoftware zu bestimmen, um Entschlüsselungsoptionen zu ermitteln.

Der Bereich der Gefahrenabwehr wird bei der Polizei immer wichtiger: Es geht um Präventionsmaßnahmen, Aufklärungsarbeit, technische Absicherung etc. stehen mehr und mehr im Vordergrund.

Wenn die Kripo 3x klingelt … dann steht die Investigation vor der Tür

Wenn Sie die Kriminalpolizei über einen IT-Sicherheitsvorfall wie z. B. einen erfolgreichen Cyberangriff benachrichtigt bzw. Anzeige erstattet haben, dann könnte eine Investigation vor Ort erfolgen. Bei der Landespolizei in NRW könnte auch ein polizeiliches Spezialfahrzeug vor der Haustüre erscheinen: ein sogenanntes MODAL (Mobiles Datenerfassungs- und Analyselabor). Dieser Sprinter hat verbaute Computerarbeitsplätze an Board und jede Menge Technik für die Analyse vor Ort.

Vor nicht allzu langer Zeit war es Standard gewesen, dass die Kripo die Endgeräte mit zur Wache nahmen und erst dort eine Analyse und Ermittlung der Beweise stattfand. Mit dem MODAL ist die Polizei über eine Richtfunkstrecke in der Lage die betroffenen Daten aus der Praxis-IT zu ziehen und direkt die ersten forensischen Untersuchungen im Fahrzeug zu starten. Über eine Polizei-Cloud können zusätzlich andere Spezialisten dazu geschaltet werden, sodass die Landespolizei zu deutlich schnelleren Ergebnissen kommt als noch vor einigen Jahren.

Dennoch geht die Investigation in der Praxis weiter: Wie sind die Täter reingekommen? Wo ist die Schwachstelle und welches Endgerät war als erstes davon betroffen? An der Stelle sind die Logdateien und Protokolle einer Hardware-Firewall oder Computer sehr aufschlussreich und werden ausgewertet.