Was ist passiert?
Auf der Jubiläumstagung der Krankenhaus-IT-Leiterinnen und -Leiter in Berlin präsentierten Prof. Sebastian Schinzel und Nico Brüggemann vom Fraunhofer-Institut für Sichere Informationstechnologie (SIT) eine Krisensimulation zu einem Cyberangriff auf ein fiktives, für Deutschland typisches Krankenhaus. In einem Seminar übernahmen 23 Teilnehmende 12 Rollen – von IT und Geschäftsführung über medizinische Leitung und Pflege bis hin zu Informationssicherheit und Krisenstab. Ziel war es herauszufinden, ob ein Haus handlungsfähig bleibt, wenn die IT komplett ausfällt.
Simuliert wurde dabei nicht die Technik selbst, sondern die organisatorische Reaktion – mit realistischen Firewall-Auszügen, passenden Namen, Domains und Netzwerken sowie sogenannten Injects, also eingespielten Ereignissen wie Presseanfragen oder Systemausfällen.
Die Details
Der simulierte Angriff beginnt unspektakulär: Mit klassischer OSINT-Recherche (Open Source Intelligence) sammelt der Angreifer über die Website des Krankenhauses Mailadressen, Namen, Funktionen und Hinweise auf externe Systeme. Darauf basierend wird eine passgenaue Phishing-Mail formuliert. Im Szenario fällt eine IT-Mitarbeiterin oder ein IT-Mitarbeiter mit Administrationsrechten darauf herein. Der Angreifer nutzt anschließend den VPN-Zugang, scannt das Netz, findet einen Exchange-Server und erbeutet dort Zugangsdaten. Ab diesem Punkt gilt laut Brüggemann im Prinzip das gesamte Active Directory als kompromittiert.
Es folgt die Eskalation: verdächtige Logs, Datenabfluss, ausfallende Systeme wie Krankenhausinformationssystem, Radiologie- und Laborsysteme – und schließlich ein Erpresserschreiben.
In der Übung funktionierte die Eskalationskette vom Admin über IT-Leitung und Informationssicherheitsbeauftragten (ISB) bis zur Geschäftsführung gut, ebenso klare Grundsatzentscheidungen wie kein Lösegeld zu zahlen und das Haus vom Internet zu trennen. Schwieriger war der Rückweg: Der Krisenstab geriet zur Einbahnstraße, Informationen flossen hinein, aber kaum zurück. IT-Mitarbeitende saßen teils ohne Kenntnis der getroffenen Beschlüsse im Nebenraum.
Ein zentrales Ergebnis betraf die Dokumentation: In der Übung fragte jemand nach einer Maßnahme, die längst beschlossen war – nur hatte niemand sie festgehalten. Auch die Reflexreaktion, sofort alles abzuschalten, erwies sich als problematisch: Ein unkontrolliertes Herunterfahren zerstört forensische Spuren, zudem ist oft unklar, welche Systeme gerade dringend benötigt werden, etwa während einer Operation. Die bessere Maßnahme sei meist die gezielte Netzwerktrennung.
Fällt die IT aus, brechen zudem unsichtbare Prozesse weg: Aufnahme, Befunde, Bildarchiv, Medikation, Dienstplan, Essensversorgung. In der Übung ging es deshalb auch um Botengänge, Schichtwechsel und pragmatische Lösungen wie die Auszahlung der Gehälter in Höhe des Vormonats, da eine Neuberechnung nicht möglich war.
Einordnung
Schinzel, der seit über 20 Jahren in der IT-Sicherheitsszene aktiv und früher selbst Penetrationstester war, betonte: „Ich habe so eine Dynamik bisher noch nicht erlebt.“ Er verwies auf eine mögliche künftige Bedrohung durch Malware, die auf ein LLM zugreift und sich selbst anpasst – dann würde auch das klassische Gegenmittel, das Kappen der Internetverbindung, womöglich nicht mehr greifen, etwa wenn Angreifer intern eine GPU finden, auf der sie ein kleines Modell betreiben können.
Eigene Erfahrung bringt Schinzel aus dem Ransomware-Angriff auf die FH Münster 2022 mit. Von anderen betroffenen Hochschulen hörte er, wie Krisen entgleisen können: freigestellte IT-Leiter, Abteilungen, die genau dann nicht mehr miteinander reden, wenn Kommunikation überlebenswichtig wäre.
Besonders aufschlussreich ist die Erkenntnis zur Wiederherstellungszeit: Teams schätzen die Rückkehr zum Normalbetrieb oft auf Tage, realistisch sind jedoch Wochen bis Monate. Ein Fall aus dem Raum Frankfurt, den Brüggemann kennt, brauchte rund ein Jahr bis zum ursprünglichen Zustand – dabei war nicht einmal verschlüsselt worden, sondern lediglich das Active Directory kompromittiert. Backups bleiben zwar unverzichtbar, lösen aber nicht das Problem einer kompromittierten Infrastruktur.
Praxis-Tipps
- Krisenstab als Zwei-Wege-Kommunikation organisieren: Es braucht Menschen, die permanent von Raum zu Raum gehen und alle Beteiligten auf dem aktuellen Stand halten.
- Feste Rollen für Protokoll und Lagebild definieren: Wer dokumentiert Beschlüsse, wer führt die Maßnahmenliste, wer informiert intern und extern?
- Rollen mit Vertretung statt an Namen binden, da Personen ausfallen können.
- Nicht reflexartig alles abschalten – stattdessen gezielte Netzwerktrennung prüfen und forensische Spuren erhalten.
- Analoge Rückfallprozesse für Aufnahme, Medikation, Dienstplan und Essensversorgung vorbereiten, falls Mail, Teams und Telefonie ausfallen.
- Realistische Zeithorizonte für die Wiederherstellung einplanen – Wochen bis Monate statt nur Tage.
Ausblick
Die Simulationen sind wissenschaftlich angelegt: Abläufe und Entscheidungen werden ausgewertet, teilnehmende Häuser erhalten einen Abschlussbericht. Das Fraunhofer SIT sucht aktuell weitere Krankenhäuser als Studienteilnehmer. Die Szenarien werden vorab per Fragebogen an die jeweilige IT-Umgebung angepasst, bleiben aber untereinander vergleichbar. Brüggemann betonte gegenüber heise online, nur mit einer größeren Zahl von Übungen lasse sich am Ende belastbare Daten gewinnen. Das Feedback der Teilnehmenden fließt dabei direkt in die Weiterentwicklung von Simulation und Notfallprozessen ein.
Für die Krankenhaus-IT-Branche liefert die Übung damit wichtige Impulse: Informationssicherheit lässt sich nicht einfach an die IT-Abteilung delegieren, sondern betrifft die gesamte Organisation – von der Pflege bis zur Geschäftsführung. Gerade bei Verbünden mit mehreren Standorten wird die Lage im Ernstfall schnell komplex, wie eine Teilnehmerin der Übung resümierte.
