Rechtlicher Umgang mit Cyberangriffen auf Arztpraxen und Krankenhäuser

Cybercrime ist eines der sich am dynamischsten verändernden Kriminalitätsphänomene. Täter:innen passen sich flexibel an technische und gesellschaftliche Entwicklungen an, agieren global und greifen dort an, wo es sich aus ihrer Sicht finanziell lohnt. Cybercrime ist heutzutage ein professionelles Geschäft. In der Underground Economy gibt es zahlreiche Marktplätze, auf denen illegale Güter wie Drogen, Waffen oder Kinderpornografie, gestohlene Daten und Identitäten, aber auch Dienstleistungen zur Begehung von Cyber-Straftaten angeboten werden – man spricht hierbei von Cybercrime-as-a-Service.

Malware ist ein Oberbegriff und bezieht sich auf bösartige Programme und Dateien, die das Ziel haben, Nutzern auf kurz oder lang einen erheblichen Schaden zuzufügen. „Ransomware“¹ und „Dos-Angriffe“² sind hierbei die wohl bekanntesten und häufigsten Arten des Cyberangriffes.

Hierbei wurden beispielsweise in der Vergangenheit Web-Server mit der vierfachen Datenmenge überflutet.

Neben Verschlüsselungen (bei Ransomware) wird mittlerweile standardmäßig auch das Ausspähen/Abgreifen von Daten vorgenommen bzw. es erfolgt die Drohung mit der Veröffentlichung der Daten auf einer Leaking-Webseite im Darknet (sog. „Double Extortion“). Insoweit sind bei einem solchen Angriff neben der „Datensicherheit/IT-Sicherheit“, regelhaft auch Bereiche wie „Schweigepflicht“ und „(Gesundheits-)Datenschutz“ betroffen.

Besonders gefährdet durch DDoS-Angriffe und Ransomware sind Arztpraxen und Krankenhäuser.³

Der Gesundheitssektor (vorliegend relevant die Branche „medizinische Versorgung“) gilt als sog. Kritische Infrastruktur (KRITIS). Aus diesem Umstand erwachsen Verpflichtungen für die Verantwortlichen zur Implementierung von Systemen zur Verhütung von Cyberangriffen („Preparedness“). Welche Verpflichtungen dies im Einzelfall sind richtet sich danach, ob es sich um eine Einrichtung des ambulanten (Praxen/MVZ) oder stationären Sektors (Kranken-häuser) handelt und – innerhalb des stationären Sektors – nach der entsprechenden Größe/Relevanz dieser Einrichtung (vgl. zur besseren Veranschaulichung, nachstehende Grafiken):

Nicht nur die Angreifenden selbst gelten als „Täter:innen“.  Häufig geraten auch Praxisinhabende bzw. Funktionsträger:innen/Organe von Krankenhäusern in den Fokus staatsanwaltlicher Ermittlungen und/oder sehen sich zivilrechtlichen Ansprüchen von Patient:innen, Mitarbeitenden oder dem Unternehmen selbst ausgesetzt. Diese Gefahr besteht immer dann, wenn geeignete organisatorische/technische Vorkehrungen sowie deren Überwachung (= Aufsichtspflicht) nicht, nicht richtig, nicht vollständig oder nicht rechtzeitig getroffen/erfolgt sind.

Auch aktives Tun (bspw. die Entscheidung zur Zahlung eines Lösegelds an die Angreifenden) kann unter bestimmten Konstellationen des jeweiligen Einzelfalles strafrechtliche und zivil-rechtliche Konsequenzen haben. Zu denken ist beispielsweise an § 253 StGB (Beihilfe zur Erpressung), § 129 Abs. 1 S. 2 StGB (Unterstützen einer kriminellen Vereinigung), § 89c Abs. 1 StGB (Terrorismus-Finanzierung), § 18 Abs. 1 AWG (Verstoß gegen EU-Sanktionen), § 261 StGB (Geldwäsche) sowie Schadensersatz (vgl. Abb. nachstehend).

IT-Störungsmanagement umfasst typischerweise den gesamten organisatorischen und technischen Prozess der Reaktion auf erkannte oder vermutete Sicherheitsvorfälle bzw. Betriebsstörungen in IT-Bereichen. Der Umgang mit Ransomware-Angriffen und etwaige Sorgfaltspflichten zur Verhütung derartiger Angriffe werden im juristischen Schrifttum zunehmend diskutiert. Hierbei wird zwischen „Preparedness“ und „Response“ unterschieden.

Unter anderem (Auswahl) folgende Maßnahmen zählen zu „Preparedness“, die sich auch als besondere gesetzliche Verpflichtung (vgl. § 8a Abs. 1 BSI-Gesetz⁴) ergeben:

• Regelmäßige Aktualisierung des IT-Sicherheitskonzepts.
• Betriebssystem und Dritt-Software stets auf dem neuesten Stand halten. Eine besondere Bedeutung gilt hierbei der zeitnahen Einspielung von Sicherheitspatches.
• Aktuelle Antiviren-Software und Firewalls nutzen.
• Anlage von (vom System getrennten) Backups, die im Falle eines Ransomware-Angriffs für die Wiederherstellung der Systeme genutzt werden können.
• Schulungen für die Beschäftigten hinsichtlich Cybersicherheit.
• Entwickelung von Verfahrensweisen und Anleitungen, wie sich die Beschäftigten im Falle eines Cyberangriffs verhalten sollen.
• Erstattung einer unverzüglichen Anzeige bei Cyberangriffen jeder Art bei der Zentralen Ansprechstelle Cybercrime (ZAC). Jede noch so kleine Spur kann hierbei zur erfolgreichen Identifizierung und Festnahme der Täter:innen beitragen.

Das Maßnahmen bei einem Cyberangriff (“Response“) stellen sich wie folgt dar (Vorschlag):

• Vorfallsbewältigung als Projekt
  • Phase 1: Analyse
  • Phase 2: Übergangsbetrieb
  • Phase 3: Bereinigung (Konzeption / Umsetzung / Neustart)
• Krisenstab
• Kommunikation
• Kurzfristige Wiederherstellung der Arbeitsfähigkeit
  • Nicht betroffen
  • Auslagerungsfähig
  • Mit mobilem Equipment zumindest eingeschränkt arbeitsfähig
  • Ohne Neuaufbau nicht arbeitsfähig
• Schadensanalyse
• Meldepflichten (§ 8b Abs. 4 BSIG, Art. 33 DS-GVO)
• Externe Unterstützung
• Daten-Leak
• Lösegeld bezahlen?
  

Die allgemeine Wahrnehmung bei Versichernden ist, dass Praxen/Krankenhäuser aus folgenden Gründen schlechte Cyber-Risiken besitzen:

• Empfindlichkeit und Wert der Gesundheitsdaten,
• Unzureichende IT-Sicherheit aufgrund mangelnder Budgets,
• Medizinische Geräte mit proprietärer oder veralteter Software, die anfällig für Cyberangriffe sind sowie
• Motivation für Angreifer:innen aufgrund der hohen Bereitschaft zur Zahlung von Lösegeld.

Insofern lehnen Versicherungsunternehmen häufig einen derartigen Versicherungsschutz ab respektive verknüpfen den Abschluss einer solchen Versicherung an umfangreiche Dokumentation und hohe monatliche Beiträge. Ob sich eine Cyberversicherung „lohnt“ (Risiko-Nutzen-Abwägung) muss daher einer individuellen Einzelfallprüfung vorbehalten werden.

Sie erhielten vorstehend einen Überblick über die Bedrohungslage, Formen und Methoden von Cyberangriffen, Hintergründe und Begrifflichkeiten. Relevant hierbei die Erkenntnis, dass sich aus den Rechtsquellen zur Cybersicherheit, (straf-)rechtliche Risiken und Haftungsfolgen für Leistungspersonen/Organe/Praxisinhabende ergeben können, mithin Compliance-Maßnahmen notwendig sind. Es ist daher immanent – sowohl im Vorfeld („Preparedness“) als auch bei einem Cyberangriff selbst („Response“) – anwaltliche Beratung in Anspruch zu nehmen. Eine Cyberversicherung kann hierbei ein wesentliches Element sein. Vor Abschluss einer solchen ist in jedem Fall eine individuelle Kosten-Nutzen-Abwägung vorzunehmen.