Ransomware Mehr Transparenz gefordert

Ransomware-Angriffe steigen in Anzahl und Intensität immer weiter an. Aufgrund der zunehmenden Gefahr diskutiert die Politik noch strengere Regeln für Sicherheitsmaßnahmen und Meldepflichten. So müssen sich Behörden und Unternehmen in der EU perspektivisch auf noch striktere Vorgaben als nach NIS-2 und DORA einrichten.

Im Juni 2024 wurden in Großbritannien mehr als 3.000 Krankenhaus- und Hausarzttermine sowie Operationen verschoben. Zusätzlich veröffentlichte die Hackergruppe Qilin fast 400 GB an privaten Informationen auf ihrer Darknet-Seite. Dazu gehören Patientennamen, Geburtsdaten und Beschreibungen von Bluttests. Ursache war ein Ransomware-Angriff auf Synnovis. Das Pathologielabor ist als Dienstleister eng mit Krankenhäusern verbunden.

Dieser Fall zeigt beispielhaft, dass Ransomware-Attacken jederzeit und überall zu massiven Schäden führen können. Dies gilt nicht nur für Krankenhäuser, sondern auch für andere kritische Infrastrukturen sowie jedes Unternehmen und jede Behörde. Dabei werden häufig Dienstleister angegriffen, die für verschiedene Auftraggeber arbeiten, um den Schaden möglichst breit zu streuen und damit zu vergrößern.

So berichteten Medien im Zuge des eingangs erwähnten Angriffs von weiteren Attacken auf kommunale Einrichtungen wie Michigan’s Traverse City und New York’s Newburgh in den USA. Auch einige private Unternehmen waren betroffen, die Dunkelziffer ist wahrscheinlich deutlich höher.

Besserer Schutz gefordert

Das Beispiel zeigt zwei Herausforderungen: Behörden und Unternehmen müssen nicht nur ihre eigenen Systeme vor Angriffen schützen, sondern auch ihre Partner im Auge behalten. Schließlich sind Angriffe auf die digitale Lieferkette (Supply Chain Attacks) ein steigender Trend in der Cyberkriminalität. Laut einer aktuellen Studie von Data Theorem waren im vergangenen Jahr bereits 91 Prozent der Organisationen im öffentlichen und privaten Sektor in Nordamerika von solchen Angriffen betroffen.

Der zweite Punkt ist die fehlende Transparenz. In der Studie sagen 88 Prozent der Befragten, dass eine genaue Kenntnis der von Partnern genutzten Schnittstellen und Cloud-Dienste wichtig ist, um die Sicherheit der Lieferkette zu verbessern. Bislang werden entsprechende Anfragen jedoch häufig mit einem Verweis auf das Betriebsgeheimnis abgelehnt.

Entsprechend wollen Politiker in Europa nicht nur strengere Regeln für den Cyberschutz einführen, sondern auch mehr Transparenz erreichen. So steht etwa zur Diskussion, ob man alle Opfer – also nicht nur kritische Infrastrukturen – dazu verpflichten soll, Vorfälle an die zuständigen Behörden zu melden. Zudem könnten Lösegeldzahlungen verboten werden, um den Hackern einen Anreiz für Ransomware-Attacken zu nehmen.

Erste europäische und globale Standards

Bei der Gesetzgebung zeichnen sich schon erste Standards ab. So hat die USA im März 2022 über das Gesetz „Cyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA)“ klar festgelegt, dass Betreiber kritischer Infrastrukturen einen Cybervorfall innerhalb von 72 Stunden melden müssen. Ransomware-Zahlungen sind sogar 24 Stunden nach der Transaktion zu kommunizieren.

In Deutschland sind die Meldepflichten nicht so klar geregelt. Betreiber kritischer Infrastrukturen müssen laut dem IT-Sicherheitsgesetz 2.0 erhebliche Störungen ihrer IT-Systeme unverzüglich dem BSI melden. Dies gilt auch für Ransomware-Angriffe, die eine erhebliche Beeinträchtigung verursachen. Allerdings gibt es keine genauen zeitlichen Vorgaben.

Jedoch sind Vertrauensdiensteanbieter auch gemäß der eIDAS-Verordnung dazu verpflichtet, dem BSI unverzüglich jede Sicherheitsverletzung mit erheblichen Auswirkungen zu melden. Dies hat innerhalb von 24 Stunden nach Kenntnisnahme des Vorfalls zu erfolgen.

IT-Sicherheitsanforderungen

BSI deckt Sicherheitsmängel in Arztpraxen auf

Die EU orientiert sich dagegen eher an der Drei-Tage-Frist. Sie gilt zum Beispiel im Rahmen der Datenschutz-Grundverordnung (DSGVO). Sind personenbezogene Daten bei einem Vorfall betroffen, ist dies binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde mitzuteilen.

Dieser Zeitrahmen ist auch beim Digital Operational Resilience Act (DORA), der auf die Finanzindustrie fokussiert, und der NIS-2 Direktive das Maß der Dinge. Die Meldepflichten bei Datenschutzverletzungen haben es bei beiden Regelwerken der EU in sich und stellen klare Anforderungen:

• Innerhalb von 24 Stunden ist schon bei Verdacht eine Frühwarnung zu geben, dass ein schwerwiegender Vorfall durch böswillige Handlungen verursacht wurde oder grenzüberschreitende Auswirkungen haben könnte.

• Innerhalb von 72 Stunden nach Bekanntwerden eines schwerwiegenden Vorfalls muss die Frühwarnung mit einer ersten Bewertung in Bezug auf Schwere und Auswirkungen aktualisiert werden.

• Auf Anfrage eines nationalen CERT oder einer Aufsichtsbehörde sind Aktualisierungen des Status bereitzustellen.

• Innerhalb eines Monats nach Einreichung der Vorfallmeldung muss die Organisation einen Abschlussbericht vorlegen.

Kliniken und Praxen

NIS-2 fristgerecht umsetzen: acht Sofortmaßnahmen

Selbst mehr Transparenz schaffen

Da die Vorgaben in Zukunft eher noch strenger werden, sollten Behörden im ersten Schritt intern für mehr Transparenz und Kontrolle über ihre Daten und Dienste sorgen. Dazu sind folgende Schritte entscheidend:

• Daten genau kennen: Behörden müssen exakt wissen, welche Daten sie besitzen und welchen Wert diese haben. Nur dann können sie berichten, welche Daten bei einer erfolgreichen Attacke korrumpiert wurden. Hierbei helfen KI-Lösungen wie Cohesity Gaia, indem sie die Daten von Behörden automatisiert klassifizieren. Verantwortliche können in natürlicher Sprache direkt Fragen zu bestimmten Daten stellen und erhalten automatisch eine entsprechende Antwort mit einer Liste aller betroffenen Dokumente.

• Zugang beschränken: Wer die eigenen Daten kennt und richtig klassifiziert hat, kann automatisch Regeln für den Zugriff darauf durchsetzen. Datenmanagement-Plattformen wie Cohesity wickeln das automatisiert ab und reduzieren die Risiken für menschliche Fehler. So lässt sich etwa regeln, dass bestimmte Daten niemals an externe Speicherorte oder KI-Module weitergegeben werden dürfen.

• Angriffe überstehen: Nach einem Ransomware-Angriff funktioniert im schlimmsten Fall nichts mehr, da alle Sicherheitstools offline und Daten auf den Systemen verschlüsselt sind. So sollten Behörden Clean-Room-Konzepte umsetzen. Dies umfasst ein Notfallset an Tools sowie System- und Produktionsdaten, um einen Notbetrieb der Gesamt-IT zu ermöglichen. Nur so lassen sich essenzielle Incident-Response-Prozesse starten sowie richtige und aussagekräftige Berichte für NIS-2-, DORA- und DSGVO-Verstöße erstellen.

Fazit

Die Regeln für IT-Vorfälle werden immer strenger, da der mögliche Schaden für Wirtschaft und Gesellschaft durch den Ausfall von Diensten weiter steigt. Um sich darauf vorzubereiten, sollten Behörden schon jetzt ihre Abwehrmaßnahmen und Reaktionsprozesse prüfen. Eine zentrale KI-basiere Plattform für das Datenmanagement kann wertvolle Hilfe leisten, um eine möglichst große Cyberresilienz zu erreichen.

Cyberattacken im Gesundheitswesen

Drei Sicherheitslücken, die in fast jedem Krankenhaus zu finden sind

(ID:50086122)