Essen. Eine Klinik in Neuss musste nach einem Hacker-Angriff ihre Systeme herunterfahren. Mindestens zwei weitere Häuser sind betroffen. Das LKA ermittelt.

Ein Virus legt eine Klinik lahm: Was vor wenigen Tagen das Lukaskrankenhaus in Neuss erlebte, ist offenbar kein Einzelfall. Mindestens zwei weitere Krankenhäuser in NRW waren in jüngster Zeit Opfer von Computerviren, wie aus sicherer Quelle bekannt ist. In einigen Berichten wird von mindestens sechs Fällen ausgegangen.

Den letzten bekannten Fall vor den aktuellen Hacker-Angriffen gab es im August 2015 in Oberhausen. Dort verschlüsselte sogenannte Ransomware Dateien mit sensiblen Patientendaten und machte sie unbrauchbar - ähnlich wie in Neuss. Im Oberhausener Fall hatten Cyberkriminelle versucht, eine Klinik zu erpressen: Die komplizierte Verschlüsselung würden sie nur gegen Geld wieder entfernen, hieß es da.

Auch interessant

In Neuss soll es Berichten zufolge ähnlich gelaufen sein - die Klinik dementiert jedoch einen Erpressungsversuch. Inzwischen ist das Landeskriminalamt (LKA) eingeschaltet. Vier Experten für Internetkriminalität haben begonnen, in der Klinik zu ermitteln, teilte eine LKA-Sprecherin mit: "Wir werden jetzt die Ermittlungen komplett übernehmen."

Krankenhäuser haben keine Meldepflicht

Die medizinische Arbeit in dem Krankenhaus läuft auf Sparflamme, Termine für komplizierte Operationen mussten verschoben werden, weil die Klinik offline gehen musste. Etwa 15 Prozent aller geplanten Operationen hätten nicht stattgefunden, teilt das Krankenhaus mit.

Eine Meldepflicht gibt es für Kliniken nicht, und die wenigsten machen Cyberattacken öffentlich. "Die Krankenhäuser melden das bei uns nicht zwangsläufig", sagt Lothar Kratz, Sprecher der Krankenhausgesellschaft NRW. Man könne deshalb zur Zeit nicht sagen, wie viele Kliniken genau betroffen seien. "Wir werden aber alle Krankenhäuser anschreiben und um Rückmeldung bitten", so Kratz. Man müsse sich aber darauf einstellen, "dass die Einschläger immer näher kommen." Weil die Krankenhäuser immer mehr mit IT-Systemen arbeiten und zunehmend Netzwerke nutzen, werde die Wahrscheinlichkeit von Cyberattacken größer.

"Wir müssen lernen, wie wir mit dieser Sicherheitsfrage umgehen"

Das sagt auch Matthias Gärtner vom Bundesamt für Sicherheit in der Informationstechnik (BSI): "In vielen Bereichen gehen wir immer mehr in Richtung IT. Das hat erhebliche Vorteile, birgt aber auch Risiken." Künftig müssen entsprechend dem IT-Sicherheitsgesetz, das im Sommer 2015 in Kraft getreten ist, manche Kliniken dem BSI melden, wenn sie Opfer von Schadsoftware geworden sind. Grob gesagt: Vor allem große Kliniken gehören laut Verordnung zur sogenannten kritischen Infrastruktur, die im Falle ihres Ausfalles einen nachhaltigen Schaden für die Gesellschaft bedeuten würde, so die Definition.

"Für Atomkraftwerke gilt das zum Beispiel schon", erklärt Gärtner. Genaue Kriterien für Krankenhäuser müssten erst noch erarbeitet werden. "Wir müssen lernen, wie wir mit dieser Sicherheitsfrage umgehen. Es ist ja so: Zuerst war das Internet da, dann wurde die Sicherheit draufgepackt." Künftig soll anhand der Meldungen von Kliniken dann ausgewertet werden, ob es auffällige Häufungen gibt - und ob der Virenbefall als gezielter Angriff gewertet werden muss. "Derzeit sind solche gezielten Cyberangriffe auf die Infrastruktur in Deutschland eher selten", sagt Gärtner.