Gesundheit
Wir verwenden Cookies und Analysetools, um die Nutzerfreundlichkeit der Internetseite zu verbessern und passende Werbung von watson und unseren Werbepartnern anzuzeigen. Weitere Infos findest Du in unserer Datenschutzerklärung.
Bild

Krankenhäuser geraten zunehmend ins Visier von Cyberkriminellen.

«Gefährlichste Malware der Welt» attackiert Zürcher Spital – das musst du wissen

Fachleute bezeichnen Emotet als derzeit gefährlichste Schadsoftware der Welt. Kürzlich hat es ein Spital im Kanton Zürich erwischt. Hier sind die wichtigsten Fragen und Antworten rund um den Cyberangriff.



Bild

Szene aus einer SRF-Sendung: Nun hat es ausgerechnet dieses Spital erwischt. screenshot: srf.ch

Das Wichtigste in Kürze

Im Visier

Unsere Spitäler sind zunehmend von kriminellen Attacken betroffen. Hacker versuchen, Schadsoftware (Malware) in die geschützten Systeme einzuschleusen. Meist mit dem Ziel, wertvolle Daten zu stehlen oder zu verschlüsseln, um ein Lösegeld zu erpressen.

Über die Kosten, die solche Ransomware-Attacken verursachen, dringt kaum etwas an die Öffentlichkeit. Im Gesundheitsbereich wolle niemand Klartext reden, man schweige das Problem tot, sagte ein IT-Sicherheitsexperte vor zwei Jahren gegenüber der «NZZ am Sonntag».

Im März 2019 berichtete dann das Schweizer Fernsehen SRF in der Sendung «ECO» über Cyberangriffe auf Spitäler. In der TV-Sendung erhielt ein Regionalspital im Kanton Zürich einen prominenten Auftritt: das GZO Spital Wetzikon.

Die Zuschauer erfuhren im informativen SRF-Beitrag (siehe Quellen), wie die Spitalleitung einen Sicherheitstest durchführen liess, um Schwachstellen aufzudecken. Anschliessend zog der Direktor Bilanz und räumte ein, man gehe zu leichtsinnig mit Computern und sensiblen Daten um.

Um die IT-Sicherheit des Spitals entscheidend zu verbessern, erarbeiteten die Zürcher Oberländer gemeinsam mit der Firma Logicare AG, einem Gemeinschafts-Unternehmen von vier Zürcher Spitälern, ein neues Sicherheitskonzept.

Offenbar gerade noch rechtzeitig: Denn nun ist genau diese regionale Gesundheitseinrichtung, die jährlich über 55'000 Patienten aufnimmt, ins Visier raffinierter Cyberkrimineller geraten. Der Kommunikations-Verantwortliche des Spitals Wetzikon, Stephan Gervers, bestätigt auf Anfrage einen entsprechenden Hinweis eines watson-Users.

Was Ransomware-Attacken im schlimmsten Fall auslösen können, zeigte sich 2017 bei «WannaCry». Die Windows-Schadsoftware verbreitete sich wurmartig in Netzwerken und befiel weltweit Hunderttausende Computer und Server. Auch in Krankenhäusern wurde der Betrieb lahmgelegt:

So weit kam es Mitte Oktober 2019 im Spital in Wetzikon nicht. Wobei der relativ glimpfliche Verlauf der Emotet-Attacke nicht mit Glück zu tun hat, sondern mit der professionellen Vorbereitung auf solche Bedrohungen und die schnelle Reaktion im Notfall. Dies zeigen die Antworten des IT-Sicherheitsexperten und Logicare-Geschäftsführers Stefan Steiner.

Um was für einen Angriff handelt es sich?

Um einen Angriff mit dem Windows-Trojaner Emotet.

Dazu Stefan Steiner:

«Der Angriff erfolgte mit grösster Sicherheit via E-Mail. Ursprünglich als E-Banking-Trojaner bekannt, wird Emotet heute vor allem für den Versand von Spam sowie das Nachladen von weiterer Schadsoftware (Malware) verwendet. Emotet versucht – mit gefälschten E-Mails im Namen von Kollegen, Geschäftspartnern oder Bekannten – mittels Social-Engineering den Empfänger zum Öffnen des Word-Dokuments sowie zum Ausführen der darin enthaltenen Office-Makros zu verleiten. Wenn ein Mailempfänger dieses ‹Tor öffnet›, wird aktiv nichts vom Benutzer bemerkt, sondern der Angriff läuft ruhig und (im Normalfall) unkontrolliert im Hintergrund.»

Wie wurde die Malware eingeschleust?

Dazu Stefan Steiner:

«Es muss davon ausgegangen werden, dass mittels Social-Engineering eine ‹glaubwürdige› (auf echten Gegebenheiten aus dem Umfeld des Empfängers angereicherten) Phishing-Attacke zum Befall geführt hat. Ein gutmütiger Click reicht dazu bereits aus. Normale Virenscanner können den sich selber verändernden Code in E-Mail-Anhängen grösstenteils nicht erkennen.»

Sprich: Es musste ein PC-User dazu verleitet werden, ein Word-Dokument zu öffnen, direkt als Mail-Attachment, oder über einen Link. Die eigentliche Infektion erfolgt aber noch nicht beim Öffnen des präparierten Dokuments. Sie erfordert das Ausführen von Makros. Die Emotet-Autoren nutzen die an sich praktischen Steuerbefehle dafür, Schadsoftware aus dem Internet nachzuladen und zu installieren.

Standardmässig sind Makros zwar in Microsoft Office deaktiviert; sie lassen sich jedoch mit einem Mausklick einfach aktivieren, wie heise.de schreibt. Und die Malware-Autoren täten ihr Möglichstes, die User zu diesem Klick zu verleiten.

Was passierte nach der «Primärinfektion»?

Dazu Stefan Steiner:

Emotet versucht in mehreren Phasen vorzugehen und im ersten Schritt unter anderem Passwörter, E-Mail-Adressbücher, E-Mail-Inhalte zu erhalten und weitere Schadsoftware nachzuladen. In einer weiteren Phase verbreitet sich der Angreifer auf allen erreichbaren Systemen, vor allem auch auf die Backup-Umgebungen. In einer letzten Phase beginnt die Verschlüsselung, zuerst die Backups, dann die Online-Systeme.

Man fängt sich also ein Multipaket an Schadsoftware ein. Nachdem der Emotet-Trojaner das System ausgekundschaftet hat, wird in der Regel der Banking-Trojaner TrickBot als «Türöffner» nachgeladen. Dieser sammelt und kopiert Zugangsdaten und übermittelt die wertvollen Information an einen von den Kriminellen kontrollierten Computer, einen sogenannten C&C-Server. Schliesslich wird der Verschlüsselungstrojaner Ryuk nachgeladen, der alle von TrickBot und Emotet als wichtig eingestuften Dateien zu verschlüsseln versucht.

Was macht Emotet so gefährlich?

Dazu Stefan Steiner:

«Das grösste Risiko liegt nicht auf der technischen, sondern viel mehr auf der menschlichen Ebene. Mittels inzwischen unglaublich cleveren Social-Engineering- bzw. Phishing-Attacken werden Benutzer unbemerkt zu Opfern. Hier hilft nur kontinuierliches Training und Sensibilisierung. Im GZO Wetzikon und auch in anderen Spitälern wird daran aktiv gearbeitet und alles daran gesetzt, dass dieses Risiko minimiert werden kann.»

Wenn Emotet erst einmal einen PC befallen hat, liest er Inhalte aus Outlook-Postfächern des befallenen Systems aus – das wird als «Outlook-Harvesting» bezeichnet. Die gesammelten Informationen nutzen die Täter zur weiteren Verbreitung von Malware. Sie senden Opfern täuschend echt wirkende E-Mails eines bekannten Kontakts, was dazu führt, dass ein Dokument mit grosser Wahrscheinlichkeit geöffnet wird.

Der Geschäftsführer der Logicare AG empfiehlt allen Spitälern «dringend ein kontinuierliches Sensibilisieren der Mitarbeitenden mit entsprechenden Massnahmen». Seine Firma biete dazu eine spezielle, professionelle und kontinuierliche Online-Trainings-Lösung zur Phishing-Simulation und Steigerung des Sicherheitsbewusstseins für die Mitarbeitenden an.

Wie wurde die Ransomware-Attacke gestoppt?

Dazu Stefan Steiner:

«Glücklicherweise konnte eine Verschlüsselung dank Überwachung der Netze und sofortiger Intervention verhindert werden. Das Taskforce-Team konnte den Angriff soweit unter Kontrolle bekommen, dass mittels Sofortmassnahmen die Aktivitäten erkannt, verstanden/klassifiziert und bekämpft werden konnten.»

Welche Auswirkungen gab es auf den Spital-Betrieb?

Dazu Stefan Steiner:

«Es entstanden glücklicherweise keine grösseren Ausfälle der zentralen Systeme. Einzelne Benutzer oder Systeme wurden kurzfristig isoliert und bereinigt, so dass lediglich teilweise ‹mühsame› kurze Unterbrüche oder Workarounds notwendig wurden.

Nicht zu unterschätzen waren die Auswirkungen auf die Ressourcenplanung der IT-Mitarbeitenden, alle Systeme mussten kurzfristig mit zusätzlichen Tools und Überprüfungen bearbeitet werden.»

GZO Spital Wetzikon - Aussenansicht im Herbst.
Credits: Deborah Spinelli/GZO

Mit rund 950 Mitarbeitenden stellt das GZO Spital Wetzikon gemäss eigenen Angaben die erweiterte medizinische Grundversorgung von jährlich über 55'000 Patientinnen und Patienten aus dem Zürcher Oberland sicher. In Vorbereitung ist eine Fusion mit dem Spital in Uster. Bild: GZO

Spitäler erbringen wichtige medizinische Leistungen und gehören zu den kritischen Infrastrukturen des Landes. Die IT-Sicherheitsexperten des Bundes von der Melde- und Analysestelle Informationssicherung MELANI verfolgen rund um die Uhr, wie sich die Bedrohungslage entwickelt.

Attacken könnten potenziell tödliche Folgen haben, sagt der stellvertretende MELANI-Leiter, Max Klaus:

«Angriffe auf Spitäler können insofern verheerende Folgen haben, als der grösste Teil der medizinischen Geräte (auch lebenserhaltende Geräte wie z.B. Herz-/Lungenmaschinen) mit dem Internet verbunden sind. Im Spitalbereich kommt erschwerend dazu, dass diese medizinischen Geräte infolge Vorschriften von Herstellerseite nicht so einfach gepatcht werden können.»

Sind alle medizinischen Geräte wieder am Netz?

Dazu Stefan Steiner:

«Grundsätzlich sind alle Geräte im Einsatz, einzelne Geräte wurden kurzfristig gezielt separiert, können aber verwendet werden.»

Was unternimmt der Bund gegen Emotet und Co.?

Emotet sei eine schon länger bekannte Bedrohung, doch hätten einige Unternehmen die Warnungen von MELANI nicht ernst genommen, verrät uns Max Klaus:

«MELANI hat bereits im Frühjahr 2019 im Sinne einer Public-Private-Partnership mit verschiedenen Partnern Massnahmen ergriffen, um die Gefahr durch Emotet für die Schweizer Wirtschaft und für die Schweizer Bevölkerung zu minimieren. Betroffene Unternehmen erhalten von MELANI umgehend Informationen über die infizierten Systeme sowie Empfehlungen, wie mit der Infektion umzugehen ist. Wie die Unternehmen mit diesen Empfehlungen umgehen, liegt jedoch in ihrer alleinigen Entscheidungskompetenz. In der Vergangenheit gab es das eine oder andere Unternehmen, das unsere Warnung nicht ernst genommen und in der Folge eine Infektion mit Emotet erlebt hat.»

Im August 2019 veröffentlichte die Fachstelle auf melani.admin.ch eine eindringliche Warnung, wonach Emotet aktiv dazu verwendet werde, um gezielt Computer und Server in Unternehmensnetzwerken mit einem Verschlüsselungstrojaner (Ransomware) namens «Ryuk» zu infizieren.

Emotet sei seit langer Zeit aktiv und greife immer wieder Unternehmen aus unterschiedlichsten Branchen an, betont Max Klaus. «Dazu gehören selbstverständlich auch Spitäler. Nach unserem Kenntnisstand sind in der Schweiz bisher jedoch keine Patienten zu Schaden gekommen.»

Seine Behörde pflege im Sinne einer Public-Private-Partnership seit Jahren eine sehr enge Zusammenarbeit mit zahlreichen Schweizer Spitälern und versorge diese mit Informationen aus öffentlich nicht zugänglichen Quellen.

Bisher habe MELANI 4500 sogenannte Command & Control Server (C&C Server) identifiziert, die in Zusammenhang mit den Trojanern Emotet und Trickbot stehen. «156 C&C Server sind nach unseren Erkenntnissen zurzeit aktiv.» Das sind mit dem Internet verbundene Computer, die irgendwem gehören und sich irgendwo auf der Welt befinden können, die aber von den Kriminellen missbräuchlich verwendet werden, um Malware-Attacken zu starten und zu administrieren.

Der Prävention komme nach wie vor sehr grosse Bedeutung zu, sagt der stellvertretende MELANI-Leiter. In den Unternehmen müssten die Mitarbeitenden laufend für die drohenden Gefahren sensibilisiert werden. Selbstverständlich brauche es überall auch technische Schutzmassnahmen. Mancherorts fehlten jedoch die organisatorischen Massnahmen, um die technischen Vorkehrungen zu ergänzen, wie zum Beispiel eine eingespielte Krisenkommunikation oder die rechtzeitige Beschaffung neuer (sicherer) Software.

«Im Bereich Prävention haben wir eine zusätzliche Stelle schaffen können, die wir voraussichtlich Anfang nächsten Jahres ausschreiben werden. Dies wird es uns ermöglichen, die Prävention bei Wirtschaft und Bevölkerung weiter voranzutreiben.»

Was sollen Unternehmen und Mitarbeitende tun?

Durch verschiedene Massnahmen lassen sich Angriffe mit Emotet und Verschlüsselungstrojanern vermeiden. Es gilt:

Dazu Max Klaus:

Die laufende Aktualisierung aller Software- und Hardware-Komponenten ist unabdingbar. Die Infektion mit Emotet erfolgt in erster Linie über verseuchte Mail-Anhänge oder Links auf infizierte Websites. Das Patchen von Systemen ergibt jedoch keine hundertprozentige Sicherheit, etwa dann, wenn durch die genannten Infektionsvektoren beispielsweise Zero-Day-Lücken ausgenützt werden.

Falls ein Angriff erfolgt ist, gilt es, kühlen Kopf zu bewahren. Betroffene Mitarbeitende sollten:

Polizei und Sicherheitsexperten raten, auf keinen Fall ein gefordertes Lösegeld zu bezahlen. Wobei dies natürlich einfacher gesagt als getan ist, wenn unverzichtbare Daten verschlüsselt sind und kein Backup vorhanden ist.

Schliesslich sollte man auch noch Geschäftskontakte warnen. Wenn das auf dem PC gespeicherte Adressbuch durch Outlook-Harvesting in die Hände von Kriminellen gefallen ist, drohen weitere massgeschneiderte Phishing-Attacken.

Müssen Spitäler Emotet-Attacken melden?

Eine Strafanzeige bei der Polizei ist zu empfehlen. Am besten fotografiert man dazu die auf dem Bildschirm angezeigte Erpressermeldung mit dem Smartphone.

Cyberattacken müssten der Aufsichtsbehörde Swissmedic gemeldet werden, sofern ein «schwerwiegendes Vorkommnis» entstehe, schrieb die «NZZ am Sonntag». Die Swissmedic-Kommunikationschefin präzisiert auf Anfrage:

Bei der Zuständigkeit bei Cyberangriffen muss zwischen allgemeinen Angriffen auf die Spitalinfrastruktur (z.B. Patientendaten) oder Angriffe auf Medizinprodukte unterschieden werden. Die Sicherung der IT-Infrastruktur in den Spitälern ist in der Eigenverantwortung der Spitäler und es gibt keine Meldepflicht an Swissmedic. Die allgemeine Überwachung von Spitälern liegt bei den Kantonen.

Danièle Bersier, Swissmedic

Gemäss Heilmittelrecht müssten schwerwiegende Vorkommnisse mit einzelnen Medizinprodukten (inklusive Software) der Aufsichtsbehörde gemeldet werden. Swissmedic treffe sich bei Bedarf in unregelmässigen Abständen mit anderen behördlichen Experten, etwa von MELANI.

Dies wird vom stellvertretenden Leiter Max Klaus bestätigt. Auch andere eidgenössische Regulatoren wie die Finanzaufsicht (FINMA) oder das Bakom hätten für ihren Zuständigkeitsbereich gewisse Meldepflichten eingeführt.

«Jedoch gibt es momentan in der Schweiz keine generelle Meldepflicht für Cyberangriffe.»

Max Klaus, Melde- und Analysestelle
Informationssicherung MELANI

Wegen diverser parlamentarischer Vorstösse und im Zuge der Umsetzung der «Nationalen Strategie zum Schutz der Schweiz vor Cyber-Risiken» (NCS 2.0) werde die Frage aktuell geprüft, sagt der IT-Sicherheitsexperte. Der Bundesrat werde bis Ende Jahr über die weiteren Schritte entscheiden.

Wer steckt hinter Emotet?

Eine kriminelle Gruppierung, die vermutlich aus Russland stammt. Im Programmcode der Malware fanden Sicherheitsexperten jedenfalls entsprechende Hinweise.

Emotet kann jeden treffen: So lautet die beunruhigende Erkenntnis der Heise-Gruppe. Im Mai versetzte der Verschlüsselungstrojaner den deutschen IT-Verlag in den Ausnahmezustand. Dies, nachdem die eigenen Sicherheitsexperten zu früh davon ausgegangen waren, die Verbreitung gestoppt und den Schädling aus dem Netzwerk entfernt zu haben.

Der Schock sass tief, doch das Unternehmen ging in die Informations-Offensive. In Vorträgen schildern Heise-Mitarbeiter die technischen und datenschutzrechtlichen Konsequenzen, die ein verheerender Malware-Angriff haben kann.

Ihre Kernbotschaft: Emotet sei «eine der zerstörerischsten Gefahren für Unternehmens-IT». Mit der Kombination aus Dynamit-Phishing und Ransomware könne sie für viele Firmen und Organisationen existenzbedrohend sein.

Aktuell warnten staatliche IT-Sicherheitsexperten vor Emotet

Bild

screenshot: twitter

Die schlimmsten Verschlüsselungstrojaner der IT-Geschichte

Quellen

Doku zum Thema: Spitäler im Visier von Hackern – SRF ECO

DANKE FÜR DIE ♥

Da du bis hierhin gescrollt hast, gehen wir davon aus, dass dir unser journalistisches Angebot gefällt. Wie du vielleicht weisst, haben wir uns kürzlich entschieden, bei watson keine Login-Pflicht einzuführen. Auch Bezahlschranken wird es bei uns keine geben. Wir möchten möglichst keine Hürden für den Zugang zu watson schaffen, weil wir glauben, es sollten sich in einer Demokratie alle jederzeit und einfach mit Informationen versorgen können. Falls du uns dennoch mit einem kleinen Betrag unterstützen willst, dann tu das doch hier.

Würdest du gerne watson und Journalismus unterstützen?

(Du wirst zu stripe.com (umgeleitet um die Zahlung abzuschliessen)

Oder unterstütze uns mit deinem Wunschbetrag per Banküberweisung.

Nicht mehr anzeigen

Die bösartigsten Computer-Attacken aller Zeiten

Zu viel am Handy? Dr. Watson weiss, woran du leidest

Das könnte dich auch noch interessieren:

Abonniere unseren Newsletter

Vergiftete Böden und Kinderarbeit – was sich Schweizer Firmen im Ausland alles erlauben

Am 29. November stimmt die Schweiz über die Konzern-Initiative ab. Sie soll Schweizer Unternehmen bei Rechtsverstössen im Ausland stärker haftbar machen. Höchste Zeit also, um sich ein paar Beispiele von bis jetzt ungeahndeten Menschenrechts- und Umweltvergehen anzusehen.

Nach der Abstimmung ist vor der Abstimmung: Bereits am 29. November kann das Schweizer Stimmvolk erneut wählen gehen. Zum Beispiel über die Konzernverantwortungsintiative. Diese fordert, dass globale Konzerne mit Sitz in der Schweiz einem zwingenden Regelwerk unterstellt sind, wenn es um die Beachtung von Menschenrechten und Umweltschutz bei ihren weltweiten Tätigkeiten geht.

Oder einfach gesagt: Schweizer Unternehmen und ihre Tochterfirmen könnten für ihre Tätigkeiten im Ausland rechtlich …

Artikel lesen
Link zum Artikel