Das Wichtigste in Kürze
- Kritische Infrastruktur: Spitäler und Akutkliniken unterstehen nach Art. 74b ISG der 24-Stunden-Meldepflicht an das BACS bei gravierenden Cybervorfällen.
- Doppelte Erpressung (Double Extortion): Angreifer verschlüsseln nicht nur klinische Informationssysteme (KIS), sondern drohen mit der Veröffentlichung intimer Krankengeschichten im Darknet.
- Verwundbare Medizintechnik: Dialysemaschinen, MRTs und Infusionspumpen laufen häufig auf veralteten Betriebssystemen (Windows 7/XP), die nicht gepatcht werden dürfen und strikt netzwerkseitig isoliert werden müssen.
- Schwachstelle Fernwartung: Zahlreiche Medizintechnik-Hersteller fordern permanente VPN-Zugänge, die oft ungenügend überwacht werden.
1. Das Spital als ideales Ziel für Cyberkriminelle
Kliniken und Spitäler stehen unter enormem Zeit- und Kostendruck. Die Verfügbarkeit von Systemen hat oberste Priorität: Ein Ausfall von KIS, PACS (Bildarchivierung) oder Laborsoftware kann lebensgefährlich sein. Erpresserbanden wissen genau, dass der Druck zur Zahlung von Lösegeldern in Spitälern unvergleichlich höher ist als in produzierenden Gewerben.
Zudem sind Krankengeschichten die wertvollste Ware auf dem digitalen Schwarzmarkt: Diagnosen, Medikationen, psychiatrische Gutachten und Sozialversicherungsnummern lassen sich weder sperren noch neu ausstellen wie eine Kreditkarte.
2. Die drei gefährlichsten Einfallstore in Schweizer Spitälern
1. Die Schatten-Aussenfläche des Spitals
Spitäler betreiben hunderte Webservices: Zuweiserportale, Patienten-WLAN-Registrierungen, Forschungsserver, Telemedizin-Plattformen und Karriere-Websites. Oft wurden diese Systeme von verschiedenen Abteilungen oder externen Agenturen ohne Abstimmung mit der zentralen IT aufgesetzt. Wenn eine veraltete Subdomain ungepatcht im Internet steht, dient sie als Brückenkopf ins Kliniknetz.
2. DICOM- und PACS-Systeme ohne Authentifizierung
Immer wieder finden Sicherheitsforscher in der Schweiz ungesicherte PACS-Server, die radiologische Aufnahmen (Röntgenbilder, CT-Scans) unverschlüsselt über das DICOM-Protokoll (Port 104) ins weltweite Netz übertragen. Ohne Passwörter können sensible Patientendaten weltweit per Mausklick heruntergeladen werden.
3. Fernwartungszugänge von Geräteherstellern
Hersteller von Beatmungsgeräten, Laboranalysatoren oder OP-Robotern verlangen oft 24/7-Fernzugänge für Wartung und Kalibrierung. Häufig werden dafür statische Zugangsdaten verwendet, die für mehrere Kunden identisch sind. Wird der Medizintechnik-Dienstleister gehackt, haben die Täter sofort Zugang zu Dutzenden Spitälern.
| Klinischer Bereich | Typische Bedrohung | Gegenmassnahme / Härtungsstandard |
|---|---|---|
| Klinisches Informationssystem (KIS) | Ransomware-Verschlüsselung, Datenabfluss von Patientendossiers. | Unveränderbare Offline-Snapshots, striktes Rollenkonzept, 2FA für jeden Zugriff. |
| Bildarchivierung (PACS / DICOM) | Ungeschützter Port 104 direkt im Web exponiert. | Niemals direkt ins Internet routen; Zugriff nur via verschlüsseltes VPN mit MFA. |
| Medizintechnik (IoMT) | Veraltete Windows-Embedded-Systeme, die nicht gepatcht werden können. | Mikrosegmentierung: Medizingeräte in eigenem VLAN ohne Internetzugriff isolieren. |
| Zuweiser- & Labor-Schnittstellen | Unverschlüsselte HL7- oder FHIR-APIs, BOLA-Schwachstellen. | API-Penetrationstests nach OWASP Top 10, gegenseitige Zertifikatsauthentifizierung (mTLS). |
3. Gesetzliche Vorgaben in der Schweiz (nDSG & ISG)
Schweizer Spitäler navigieren in einem anspruchsvollen regulatorischen Umfeld:
- Neues Datenschutzgesetz (nDSG): Gesundheitsdaten gelten gemäss Art. 5 Bst. c nDSG als «besonders schützenswerte Personendaten». Eine Verletzung der Datensicherheit muss dem Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) unverzüglich gemeldet werden. Bei vorsätzlicher Pflichtverletzung drohen den verantwortlichen Personen Bussen bis CHF 250'000.
- BACS-Meldepflicht nach Art. 74b ISG: Als Betreiber kritischer Infrastrukturen müssen Spitäler Vorfälle zwingend innert 24 Stunden an das BACS melden.
- Elektronisches Patientendossier (EPDG): Gesundheitseinrichtungen, die an die EPD-Stammgemeinschaften angebunden sind, müssen strenge Zertifizierungsvorgaben nachweisen.
4. Konkrete Schutzmassnahmen für Spital-IT-Leiter
- Strikte Netzwerk-Mikrosegmentierung: Medizintechnik (VLAN Medizin), KIS-Server (VLAN Applikation) und Büroarbeitsplätze müssen durch interne Next-Gen-Firewalls getrennt sein. Ein infizierter Büro-PC darf niemals direkt mit einem MRT kommunizieren können.
- Jump-Hosts mit MFA für Zuweiser und Hersteller: Kein externer Zugriff direkt ins operative Netz. Alle Fernwartungen laufen über überwachte Session-Proxy-Server mit zeitlich beschränkten Einmalpasswörtern.
- Regelmässige Aussenflächen-Audits: Die Suisse Guard Bedrohungsanalyse spürt unbemerkt offene DICOM-Ports, exponierte Web-Services und kompromittierte Zugangsdaten von Spitalpersonal im Darknet auf – ohne den sensiblen Klinikbetrieb zu unterbrechen.
Schützen Sie das Vertrauen Ihrer Patienten und den Klinikbetrieb
Wir prüfen Ihre medizinischen und administrativen Aussenflächen mit höchster Diskretion nach Schweizer Sicherheitsstandards.
