Ein Hacker-Angriff auf die Uniklinik Düsseldorf zeigt: Auch Krankenhäuser sind vor Attacken nicht geschützt. Ein Experte übt Kritik.

Egal ob Wahlserver, Unternehmen oder Politiker – immer wieder werden Einrichtungen oder Einzelpersonen Opfer von Cyber-Attacken. Der Hacker-Angriff auf das Uniklinikum Düsseldorf zeigt einmal mehr: Selbst vor kritischer Infrastruktur schrecken die Kriminellen nicht zurück. Aber was sind die Motive der Hacker? Wie groß ist der finanzielle Schaden? Und wie können sich Unternehmen vor solchen Angriffen schützen? Wir haben mit einem IT-Forensiker der Detektei Kurtz gesprochen.

Was genau macht ein IT-Forensiker? Was sind die Aufgabenfelder?

IT-Forensiker werden von Unternehmen hinzugezogen, falls ein Hacker-Verdacht vorliegt. „Dabei gibt es einen Unterschied zwischen internen und externen Tätergruppen“, erklärt der Experte, der aus Sicherheitsgründen lieber anonym bleiben möchte. Die Arbeit eines IT-Forensikers umfasse die Bereiche Datenanalyse, Datenrettung, Beweissicherung und das Erstellen gerichtsverwertbarer Gutachten. „Kommerzielle Forensiker sind in der Regel auf interne Täter fixiert. Bei externen erfolgen Voruntersuchungen sowie Schadens- und Tatdokumentationen, die dann in der Regel in polizeiliche Ermittlungen münden.“

Welchen Nutzen versprechen sich die Hacker bei einem Angriff?

Die Beweggründe der Täter seien sehr unterschiedlich. Sie reichen von Wirtschaftsspionage bis hin zu militärischen oder nachrichtendienstlichen Interessen, so der Experte. „In einigen Fällen stecken auch Privatpersonen hinter dem Angriff.“ Sie verfolgen individuelle Motive. „Meist finanzielle Interessen, zuweilen werden sie aber auch von Eitelkeit oder fehl gerichtetem Sportsgeist geleitet, selbst die sichersten IT-Schutzvorkehrungen oder größten Unternehmen knacken zu können“, erklärt der IT-Forensiker.

Ziel der Hacker sei das Abschöpfen sensibler Daten, beispielsweise um Konkurrenzfirmen auszuspähen oder zur „strategischen Vorbereitung von Kriegen in der kritischen Infrastruktur“. Einige Täter nutzen die Informationen, um Privatpersonen und Unternehmen unter Druck zu setzen und ein Lösegeld zu erpressen. Auch der IT-Ausfall an der Uniklinik Düsseldorf beruht nach Angaben der NRW-Landesregierung auf einem Hacker-Angriff. Wissenschaftsministerin Isabel Pfeiffer-Poensgen (parteilos) sagte am Donnerstag im Landtag, die Täter hätten nach Kontakt zur Polizei die Erpressung zurückgezogen.

Wie groß ist der wirtschaftliche Schaden eines Hacker-Angriffs?

„Dazu sind mir keine allgemein gültigen Zahlen bekannt“, so der Experte. „Das hängt auch von der finanziellen Ausstattung des Opfers ab.“ Bei den Auftraggebern der Detektei Kurtz variiere der Schaden zwischen einigen Tausend Euro und mehrstelligen Millionenbeträgen. „Das bemisst sich vorrangig an der Größe des Unternehmens und an den Folgeschäden.“ Der Hacker-Angriff auf das Lukaskrankenhaus Neuss hatte Medienberichten zufolge im Februar 2016 einen Gesamtschaden von 900.000 bis eine Million Euro verursacht. Damals hatte ein Virus die komplette Klinik lahmgelegt.

Wie gut sind Unternehmen auf solche Angriffe vorbereitet?

Mehr als 20 Jahre nach der Einführung des World Wide Web sagte Angela Merkel 2013 auf einer Pressekonferenz mit dem damaligen US-Präsidenten Barack Obama: „Das Internet ist für uns alle Neuland.“ Ein Satz, für den die Bundeskanzlerin viel Spott erntete und der eindrucksvoll den „rückständigen Charakter“ der deutschen IT-Entwicklung verdeutliche, so der IT-Forensiker. Noch immer habe Deutschland im Vergleich mit anderen Industrieländern vergleichsweise geringe Kompetenzen in den Bereichen Hard- und Softwareherstellung. „Wir sind von Dritten abhängig“, kritisiert der Experte.

Auf Initiative der Bundesregierung habe das Thema IT-Sicherheit aber zumindest in der kritischen Infrastruktur einen höheren Stellenwert bekommen. Dazu zählen Krankenhäuser, Kraftwerke und andere Einrichtungen, deren Zerstörung eine erhebliche Beeinträchtigung des Allgemeinwohls nach sich ziehen könnte. „Die meisten kleinen und mittleren Unternehmen verlassen sich aber auf die Herstellervoreinstellungen und scheuen die Kosten für individuelle IT-Sicherheit.“ Ein Umdenken finde oftmals erst dann statt, wenn es bereits zu spät ist.

Hat sich die Gefahr, Opfer eines Angriffs zu werden, erhöht?

„Dadurch, dass sich das Verhältnis zwischen digitalisierter und analoger Informationsspeicherung immer weiter in Richtung Digitalisierung verschiebt, bieten Unternehmen zunehmend größere Angriffsflächen für Hacker“, erklärt Patrick Kurtz, Inhaber der Detektei Kurtz. Das Betätigungsfeld von Kriminellen werde stetig größer, zudem würden immer mehr Jugendliche mit einschlägigen IT-Kenntnissen nachrücken. „Entsprechend steigt die Gefahr von IT-Angriffen sowohl hinsichtlich der Häufigkeit als auch der Schadenshöhe.“

Wie groß ist die Erfolgschance, die Täter ausfindig zu machen?

Die Erfolgsquote bei internen Tätern sei sehr hoch. „Bei externen Tätern sind die Chancen deutlich geringer, unter anderem weil uns notwendige Befugnisse fehlen, die den Behörden vorbehalten sind“, so der IT-Forensiker. Den Behörden fehlten hingegen oftmals die notwendigen Kompetenzen. „Die Politik hat das Thema verschlafen.“ Die deutsche Polizei kämpfe mit zu wenig Personal und Ausstattung. Zudem funktioniere die internationale polizeiliche Kooperation nur in großen Zusammenhängen – „wenn Politik involviert ist und es nationale Egoismen zulassen“.

IT-technische Alltagskriminalität sei „sehr profitabel“ und habe offenbar keinen ernstzunehmenden Verfolgungsdruck durch die Behörden zu befürchten, kritisiert der IT-Forensiker. „Die Softwarefirma ‚Symantec‘ geht davon aus, dass die organisierte Kriminalität mittlerweile mehr Geld mit Internetkriminalität verdient als mit Drogen.“

Was können Unternehmen tun, um sich zu schützen?

„IT-Experten als Gegenspieler zur wachsenden Zahl der Angreifer werden wichtiger und wichtiger“, mahnt Inhaber Kurtz. Wer es sich als Unternehmen nicht leisten könne, einen eigenen IT-Spezialisten zu beschäftigen oder eine ganze IT-Abteilung zu unterhalten, sollte zumindest externe Hilfe in Anspruch nehmen. Nur so könne die IT-Struktur „im Rahmen der Verhältnismäßigkeit auf ein solides Sicherheitslevel“ gestellt werden. „Aufwand und Nutzen sind natürlich stets der Kostenabwägung unterworfen und variieren stark nach dem individuellen Gefährdungspotenzial des jeweiligen Unternehmens“, so Kurtz.