„Ärzte sind sich der Cybergefahr nicht bewusst“

Digital Berater Versicherungen Top News von Carla Fritz

Simple Passwörter, ungeschützte Server. So sind Patientendaten leichte Beute für Cyberkriminelle – und für Michael Wiesner, der Sicherheitslücken aufdeckt. Um das Restrisiko von Arztpraxen sollten sich Makler kümmern.

Hacking-Experte Michael Wiesner hat 25 Arztpraxen auf ihre Cyber-Sicherheit getestet - mit teils verheerenden Erkenntnissen.

Hacking-Experte Michael Wiesner hat 25 Arztpraxen auf ihre Cyber-Sicherheit getestet - mit teils verheerenden Erkenntnissen. Bild: GDV

procontra: Sie verdienen Ihren Lebensunterhalt mit Hackerangriffen? Wem tun Sie dabei als White-Hat-Hacker letztlich etwas Gutes?

Michael Wiesner: Ich überprüfe die IT-Sicherheit von Unternehmen, indem ich quasi mit dem Hut des Black Hats versuche, in die Netzwerke der Auftraggeber einzudringen – so weit wie möglich. Damit man dann auch weiß: Wie weit käme ein realer Angreifer denn tatsächlich? Unterwegs bin ich quer durch alle Branchen – zurzeit sehr intensiv in Krankenhäusern und im Bereich der Heilberufe.

procontra: Mussten Sie schon mal passen, weil das Unternehmen so gut gewappnet war?

Wiesner: Ich führe keine Strichliste. Aber ich habe ca. 130 solcher Penetrationstests durchgeführt. Wenn ich zum ersten Mal über verschiedene Schwachstellen in das Netzwerk meines Auftraggebers eindringe, habe ich es bisher immer geschafft, dort sensible, vertrauliche oder sogar streng vertrauliche Daten zu entwenden. Oder auch Benutzerprofile zu verändern bzw. meine Berechtigung soweit nach oben zu schrauben, dass ich alles kann, was auch der lokale Administrator kann. Ich bin dann gewissermaßen Gott im Netzwerk.

procontra: Sie haben im Auftrag des GDV und mit Wissen der Betroffenen Arztpraxen attackiert. In welcher Weise?

Wiesner: Das war ein mehrstufiger Cybersecurity-Test, bei dem 25 Arztpraxen geprüft wurden. Zum einen: Wie aufwändig ist es, unbemerkt in das Gebäude, die Praxis und an den Server zu kommen? Ist der abgesichert oder steht der einfach nur irgendwo in der Ecke? Das haben wir uns vor Ort angeschaut und bei einem sogenannten internen Penetrationstest nach Schwachstellen gesucht – wenn der Angreifer von innen kommt.

procontra: Was sind denn solche neuralgischen Punkte?

Wiesner: Für den ständigen Zugriff auf das Netzwerk reicht schon eine Netzwerkdose, in die dann ein kleines Gerät gesteckt wird. Das baut z.B. über Mobilfunk eine Verbindung zum PC des Angreifers auf. So kann der von jedem Ort der Welt aus Daten abfischen. – Flankiert wurde das Ganze von einem Phishing-Test.

procontra: Konkret?

Wiesner: Wir haben Phishing-Mails in die Arztpraxen geschickt und geschaut: Was machen die Mitarbeiter? Was macht der Arzt selbst? Klickt er auf den Link oder den toxischen Anhang? Gibt er sensible Infos ein oder führt er tatsächlich einen Schadcode aus und gewährt damit dem Hacker so Zugriff auf sein System? Ein Arzt hat das tatsächlich bis zum bitteren Ende durchgezogen. Bei einem echten Angriff wären die Patientendaten hier mindestens verschlüsselt, wenn nicht sogar weg gewesen. Insgesamt war das Ergebnis sehr ernüchternd.  

Seite 1: 25 Arztpraxen im Cybersecurity-Test
Seite 2: Ärztepfusch beim Cyberschutz?
 

  • Facebook Kommentare
  • Disqus Kommentare