eMail als Einfallstor Gesundheitswesen unter Beschuss

Das Gesundheitswesen rückt bei Cyberkriminellen immer mehr in den Fokus. Doch nicht nur Viren sind eine Gefahr für die IT im Gesundheitssektor, sondern auch andere Schadsoftware wie so genannte Ransomware, die den PC verschlüsselt und die Anwender zur Zahlung von Lösegeld auffordert.

Anbieter zum Thema

Pathlock Deutschland GmbH

Arctic Wolf Networks Germany GmbH

Im letzten Jahr attackierten Kriminelle das Klinikum Fürstenfeldbruck (bei München) mit einem Virus und legten dadurch den gesamten Betrieb lahm. Der Klinikbetrieb war dermaßen beeinträchtigt, dass Patienten sogar in andere Krankenhäuser verlegt werden mussten. Um der Cyberkriminalität Einhalt zu bieten ist es im ersten Schritt wichtig zu erkennen, auf welchem Weg die Schadsoftware überhaupt in die Organisation gelangt ist. Und hier ist es die eMail, die Hackern immer mehr als Einfallstor dient und damit direkt auf die Schwachstelle Mensch abzielt. Das ist deutlich billiger und einfacher zu bewerkstelligen als ein Angriff auf eine technische Schwachstelle.

Nach Angaben des FBI haben eMail-Betrugsangriffe auf Unternehmen seit 2016 zu weltweiten Schäden von mindestens 26 Milliarden Dollar geführt und entwickeln sich schnell zur teuersten Form von Cyberangriffen. eMail-Betrug tritt auf, wenn Cyberkriminelle sehr gut gestaltete und zielgerichtete eMails an bestimmte Personen innerhalb eines Unternehmens senden und beispielsweise um eine Geldüberweisung oder die Bereitstellung wichtiger Informationen bitten. Aber auch bösartige Anhänge und Links zu gefälschten Webseiten können in betrügerischen eMails versteckt sein. Vor allem aber können diese eMails von einer legitimen Anfrage kaum zu unterscheiden sein, da Cyberkriminelle die Identität einer vertrauenswürdigen Person fälschen, um ahnungslose Opfer beispielsweise in der Finanz- oder Personalabteilung zu täuschen.

Alle Bereiche des Gesundheitssektors sind gefährdet

Und: Jedes Unternehmen kann zum Ziel werden. Der Gesundheitssektor bildet da keine Ausnahme. Jüngste Untersuchungen im Healthcare Threat Report des US-amerikanischen Cybersecurity-Spezialisten Proofpoint haben gezeigt, dass Gesundheitsorganisationen im ersten Quartal 2019 durchschnittlich 43 betrügerische eMails erhalten haben. Dies entspricht einer massiven Steigerung von 300 Prozent gegenüber Anfang 2018. Kriminelle entwickeln ausgeklügelte, komplexe Angriffe, um Mitarbeiter in Krankenhäusern, bei Lieferanten klinischer Geräte sowie in Pharmafirmen oder auch Krankenkassen zielgerichtet anzusprechen und etwaige Kontrollmechanismen zu umgehen. Die Untersuchungen ergaben außerdem, dass 77 Prozent der eMail-Angriffe präparierte Webseiten nutzten und 95 Prozent der attackierten Unternehmen eMails erhalten haben, in denen es versucht wurde, deren eigene vertrauenswürdige Domain mittels Domain-Spoofing zu fälschen.

Mechanismus des Betrugs

Zunehmend nutzen Cyberkriminelle Social-Engineering-Taktiken, um ihre Opfer zu täuschen. Sie übernehmen einfach die Identität einer vertrauenswürdigen Organisation oder eines Mitarbeiters und erstellen hoch recherchierte, anspruchsvolle Phishing-eMails, stellen eine Geldanfrage oder versuchen, Login-Daten zu sammeln.

Dabei ist der Identitätsbetrug der Schlüssel zum eMail-Betrug. Die jüngste Analyse der Bedrohungsdaten für globale Gesundheitsorganisationen zeigt, dass ein Angriff im ersten Quartal 2019 im Schnitt 15 Mitarbeiter eines Unternehmens über mehrere Nachrichten hinweg betraf. Und meist geht es dabei direkt um Zahlungsanweisungen. Dabei nutzen die Cyberkriminellen in mehr als der Hälfte der Fälle (55 %) Begriffe wie die „Zahlung“, „Anfrage“ und „wichtig“ in den Betreffzeilen, um die Aufmerksamkeit der Mitarbeiter zu erlangen.

Cyberkriminelle achten auch darauf, einen passenden Zeitpunkt auszuwählen. Beispielsweise werden in Großbritannien die meisten eMail-Betrugsangriffe gegen den Gesundheitssektor werktags zwischen 7 und 13 Uhr verübt, um von möglichst vielen wahrgenommen zu werden.

Falsche Sicherheit

Zunächst könnte ein Angriff auf einen Mitarbeiter genauso aussehen wie jede andere eMail, die von einem anderen, bekannten Mitarbeiter innerhalb des Unternehmens oder einem Geschäftskontakt stammt. Dies kann beispielsweise eine eMail eines Kreditorenkontaktes bei einem Lieferanten für medizinische Versorgung über veränderte Zahlungsinformationen sein. Eine eMail von diesem Kontakt zu erhalten, würde keinen Verdacht aufkommen lassen, denn es bestand bereits ein eMail-Austausch und eine solche Anfrage wäre tatsächlich nichts Außergewöhnliches. An diesem Beispiel wird deutlich, wie raffiniert diese Attacken mittlerweile ablaufen.

Beim Menschen ansetzen – eMail-Betrug verhindern

Die Taktik des eMail-Betrugs ändert sich ständig, aber es gibt eine Konstante: Cyberkriminelle konzentrieren sich auf den menschlichen Faktor und richten sich an Mitarbeiter auf allen Ebenen und an Firmen unterschiedlichster Größe. Dies bedeutet, dass alle Gesundheitsunternehmen ihren Ansatz zur Cybersicherheit überdenken müssen.

Durch eine menschenorientierte statt technikorientierte Sichtweise bei der Verteidigung gegen Cyberangriffe können Gesundheitsorganisationen das menschliche Risiko von eMail-Betrug minimieren und ihre Mitarbeiter sowie den gesamten Geschäftsablauf besser schützen. Dazu muss verstanden werden, welcher Mitarbeiter aufgrund seiner Rolle besonders durch häufige und/oder besonders perfide Angriffe stärker gefährdet ist als andere und damit zur VAP (Very Attacked Person) wird. Entsprechend lässt sich die Verteidigung auf jeden Einzelnen abstimmen. Die heutige Bedrohungslandschaft erfordert dabei eine mehrschichtige Verteidigungsstrategie, die Menschen, Prozesse und Technologien gleichermaßen einbezieht.

Hier ist die Sensibilisierung der Mitarbeiter durch Trainingsmaßnahmen entscheidend. Diese Maßnahmen dürfen dabei aber keineswegs einmalig bleiben, sondern müssen immer wieder durchgeführt werden, da auch die Cyberkriminellen immer neue Methoden ersinnen, um ihre zweifelhaften Ziele zu verfolgen.

Zudem kommt über die Analyse der individuellen Gefährdung die Möglichkeit hinzu, die Trainings für unterschiedliche Gefährdungsstufen zu optimieren, die Mitarbeiter so noch stärker zu sensibilisieren und somit eine starke „menschliche Firewall“ zu entwickeln, die sich nicht so einfach knacken lässt.

Dieser auf den Menschen fokussierter Ansatz muss selbstverständlich durch technische Maßnahmen wie Virenschutz, Firewalls, Spam-Filter oder eMail-Sicherheitslösungen, die viele Arten bösartiger eMails bereits herausfiltern können, noch bevor sie den Nutzer erreichen, und anderes ergänzt werden. Denn nur wenn Technik und Mensch gerüstet sind, lässt sich gerade im Gesundheitswesen mit sehr sensiblen Daten bestmögliche Sicherheit erreichen.

Ingo Schäfer, Proofpoint

*Der Autor, Ingo Schäfer, ist Team Lead Channel Sales DACH bei Proofpoint.

(ID:46338919)