Cyberattacke wirkt lange nach: Bielefelder Krankenhaus wurde von einer Spezialeinheit unterstützt

Bielefeld. Der Hackerangriff, der das Franziskus Hospital sowie zwei weitere Krankenhäuser der Katholischen Hospitalvereinigung Ostwestfalen (KHO) am Heiligabend 2023 in den Ausnahmezustand versetzte, beschäftigt die Bielefelder Klinik bis heute. Um den Angriff erfolgreich bewältigen zu können, bekam die KHO Unterstützung aus Köln. Jetzt erklärt die Geschäftsführung exklusiv, wie ein einziger Computer den Krankenhausbetrieb rettete, warum sie zu den Tätern schweigt und welche Lehren bleiben. Es war eine üble Weihnachtsüberraschung mit weitreichenden Folgen: Am 24. Dezember ging plötzlich nichts mehr im Bielefelder Franziskus Hospital, dem Sankt Vinzenz Hospital in Rheda-Wiedenbrück und dem Mathilden Hospital in Herford. Zumindest nicht digital. &bdquo;Unbekannte haben sich Zugang zu den Systemen der IT-Infrastruktur der Krankenhäuser verschafft und gezielt Daten verschlüsselt“, mit diesen Worten machte die Hospitalvereinigung am ersten Weihnachtstag den Cyberangriff öffentlich. Bielefelder Notaufnahme musste abgemeldet werden Später bestätigte sich der Verdacht, dass die Schadsoftware &bdquo;Lockbit 3.0“ einer russischsprachigen Gruppe zum Einsatz kam, die von Kriminellen für erpresserische Zwecke angemietet werden kann. Seit Herbst 2023 waren deutsche Kliniken vermehrt ins Visier professioneller Cyber-Erpresser geraten. Mit den Folgen des Angriffs hat die KHO bis heute zu tun. &bdquo;Wir sind noch immer in der Aufarbeitung“, sagt Interims-Geschäftsführer Jan Schlenker. Durch den Cyberangriff sei das zentrale Krankenhausinformationssystem (KIS) der drei betroffenen Häuser bis Ende Januar nicht verfügbar gewesen. Direkt nach dem Angriff hatten die Notaufnahmen zeitweise abgemeldet werden müssen, Patienteninformationen konnten nicht eingesehen werden. Dass zudem Kontaktdaten und Mailzugänge der Mitarbeiter nicht mehr zur Verfügung standen, habe in den ersten Tagen die Kommunikation erschwert. Zum Thema: Verschärfte Bedrohungslage in OWL: Deutsche Kliniken fürchten gefährliche Cyberangriffe Ein einziger Computer wird zur Rettung für Klinik und Patienten Um den Krankenhausbetrieb aufrecht zu erhalten, tritt damals umgehend ein Notfallplan in Kraft und die analoge Patientenakte kehrt zurück. &bdquo;Alle zwei Stunden werden die wichtigsten Patientendaten von unseren Systemen separat gespeichert. Wir konnten diese Daten von einem autarken PC aus abrufen und ausdrucken“, erklärt Philipp Herzog, stellvertretender Geschäftsführer. Ältere Kollegen seien mit ihren Erfahrungen aus vor-digitalen Zeiten eine große Hilfe gewesen. Später habe man die von Hand geführten Patientenakten mit dem digitalen System wieder weitestgehend synchronisieren können. Vier Wochen nach dem Angriff waren das Franziskus Hospital sowie die Klinken in Rheda-Wiedenbrück und Herford laut Herzog wieder voll betriebsbereit. &bdquo;Ich bin überzeugt, dass unser Krisenmanagement sehr gut funktioniert hat. Von Einschränkungen bei Sub- und Nebensystemen waren wir aber leider noch bis in den Februar betroffen.“ So hätten Anwendungen zu Krankenkassen hin nicht richtig funktioniert. Rechnungen konnten zum Teil nicht geschrieben werden. Herzog: &bdquo;Das ist für ein Krankenhaus, das ja auch wirtschaftlich arbeiten muss, ein großes Problem. Wir tragen ja auch eine Verantwortung für unsere Geschäftspartner, wie zum Beispiel externe Labore. Die Systeme liefen zwar, aber bei gewissen Prozessen gab es Verzögerungen.“ Auch diese Phase habe von der KHO dank des Entgegenkommens der Partner gut bewältigt werden können. Eine kleine Anzahl von Subsystemen sei jedoch noch immer vereinzelt von Nachwirkungen der Cyberattacke betroffen. &bdquo;Dabei handelt es sich aber ausschließlich um Systeme, die nicht der Patientenversorgung dienen“, so Herzog. Schwerpunktstaatsanwaltschaft in Köln leitet die Ermittlungen Zu den Verhandlungen mit der Hackergruppe, ob Lösegeld geflossen ist und was zu den Tätern bekannt ist, dazu will man sich bei der KHO nicht äußern. &bdquo;Wir bitten um Verständnis, dass wir uns aus ermittlungstaktischen Gründen weder zu den Tätern noch zu möglichen Forderungen äußern können. Das ist auch die Empfehlung unserer sachkundigen Experten und der Polizei.“ Nur so viel, sagt Herzog: Eine Cybercrime-Abteilung der Polizei in Köln habe die KHO während des Angriffs beraten. Außerdem gebe es spezialisierte Beratungen, die Firmen unterstützten, die von Cyberangriffen betroffen sind. Auch die KHO habe sich professionell begleiten lassen. Lesen Sie auch: Cyberangriff legt digitale Systeme von 70 Kommunen lahm Ein Sprecher des NRW-Innenministeriums bestätigt, dass neben dem für Cybercrime zuständigen Bielefelder Kriminalkommissariat 15 auch das Kölner Cybercrime-Kompetenzzentrum des Landeskriminalamts bei der Attacke auf die KHO beratend eingebunden gewesen sei. &bdquo;Die Unterstützung des Krankenhauses bei der Absicherung und Wiederherstellung der IT-Systeme erfolgte, wie bei derartigen Fällen üblich, durch einen privatwirtschaftlichen Incident-Response-Dienstleister.“ Die Ermittlungen liegen jetzt ebenfalls in Kölner Hand. Zuständig ist die Zentral- und Ansprechstelle Cybercrime NRW, kurz ZAC, eine Schwerpunktstaatsanwaltschaft zur Internetkriminalität. Hier heißt es auf Nachfrage, die Ermittlungen im Fall der KHO dauerten aktuell weiter an.

Meistgelesen