Guten Tag,
gerne möchte ich auch ein paar Informationen aus meiner langjährigen Erfahrung im Bereich IT Infrastrukturen teilen. Wie bereits von mkgpch geannt, sind mir bisher nur Verschlüsselungsangriffe auf Windows Computer untergekommen. Leider ist es in den meisten Praxen so, dass gerade an diesen Systemen hochsensible Daten verfügbar sind (Röntgenserver, medizinische Diagnostikgeräte etc.) und in vielen Fällen auch nicht oder nur halbherzig gesichert werden.
Zwei Fälle aus den letzten 5 Jahren:
Fall 1 (Industrieunternehmen, 15 Arbeitsplätze, 2 Server, gemischt Windows & Mac)
OS: Mac & PC (Auslöser war Windows der Chefsekretärin)
Firewall: Windows Firewall / keine Hardwarefirewall
Zusätzlicher Softwareschutz: Avira Antivir (Free)
Backups: NAS & separater Backupserver
Versicherung: nein
Ablauf nach der Attacke bis zur Wiederherstellung: Erkennen der Attacke: Freitag mittag, Support durch IT Systemhaus: 1 Stunde nach Information, komplettes Abschalten des Netzwerk, Installation und Prüfen aller Rechner mit Kaufsystem (GData), Wiederherstellung der Daten nach Löschen des Computers der Chefsekretärin, Einsatzbereit: Dienstag mittag, Arbeitszeit des Systemhauses: 4*12 Stunden = 48 Stunden, Verlust von Daten: Änderungen an Firmendokumenten zwischen Donnerstag Nacht (letztes unverändertes Backup) bis Freitag mittag (bekanntwerden der Attacke), Arbeitsausfall von 1.5 Tagen
Fall 2: (Praxis mit 45 Arbeitsplätzen, 4 Server (2 macOS, 2 Windows)
OS: macOS Clients / Windows Server
Firewall: Securepoint HW Firewall
Zusätzlicher Softwareschutz: xProtect (macOS), Windows AV Programm (meine AVAST)
Backups: NAS, Remote NAS
Versicherung: nein
Ablauf nach der Attacke bis zur Wiederherstellung: Eingang einer E-Mail mit vermeintlicher Word Datei (Bewerbung), da das nicht am Mac geöffnet werden konnte -> MA kopiert die Daten auf einen Stick und schließt diesen am Röntgenserver an, Rechner gibt Warnung aus (wird von MA ignoriert), MA bestätigt das Ausführen des Programmes (vermeintliche Bewerbung), Computer bleibt kurz darauf hängen. Nach Neustart durch MA der Praxis: Verschlüsselte Festplatte.
Wiederherstellung: Dauer 8 Stunden aus vorhandenem Backup
Verlust von Daten: Alle Aufnahmen zwischen letztem Backup und Vorfall (Kopien davon sind in den Patientenakten vorhanden gewesen)
Die beiden Fälle zeigen sehr gut: Je nach Backupstruktur, Sicherheitsfunktionen und Mitarbeiterschulung kann eine solche Attacke sehr großen Schaden anrichten. Da beide Fälle weiter zurück liegen und wir aus diesen Fällen gelernt haben (Wir wurden für die Beseitigung des Schadens engagiert) haben wir auch unsere weiteren neuen Installationen angepasst, um hier die Möglichkeiten eines Befalls so gering wie möglich zu halten.
Die wichtigsten Funktionen gegen solche Verschlüsselungsschädlinge sind (sowohl auf macOS als auch Windows):
1) Trennen der Benutzer / Admins:
Auf allen Systemen sollte es immer getrennte Admins und Benutzer geben. Die Adminkennwörter sollten ausschließlich Praxisinhaber und IT Verantwortlicher / Dienstleister kennen. Dies verhindert bereits die schlimmsten Attacken da dem Nutzer die Rechte fehlen.
Das gleiche gilt für Zugriffe auf Netzwerkspeicher: Je weniger desto besser. Jede Datei die ein Schadprogramm nicht erreichen kann ist sicher vor diesem. Die Zeiten an denen sich Schadprogramme ungehindert innerhalb eines Netzwerkes verbreitet haben sind länger vorbei - die meisten Attacken werden durch die Nutzer selbst gestartet (indem eine unbekannte Datei ausgeführt wird).
2) Datensicherungen kleinschrittig anlegen, Offline Backup erstellen, getrennte Backupsysteme verwenden
Bei der Datensicherung ist es wichtig eine so genannten Versionierung anzulegen um immer mehrere Versionen einer Datei (auch bei Änderungen) zu haben. Dies gilt auch für die Zweitsicherung, welche über ein getrenntes System erfolgen sollte (z.B. Erstsicherung: via TimeMachine / tomedo, Zweitsicherung: Über auf einem NAS integrierte Backupfunktion). So kann ein Übergreifen durch bestehende Zugrifsrechte verhindert werden. Durch Versionierung ist im schlimmsten Fall nur das aktuellste Backup verseucht, die alten Daten aber noch intakt.
3) Absicherung aller möglichen Einfallstore
Durch ein durchdachtes Sicherheits- und Prüfungskonzept von allen Datenquellen kann eine unbeabsichtigte Verseuchung stark verringert werden. Die meisten Schadprogramme kommen heutzutage über das Internet - entweder als Download oder als E-Mail Anhang. Durch Nutzung von verschiedenen Sicherheitsleveln kann bereits vor der Nutzerinteraktion ein Befall verhindert werden. Hierzu gehören:
- UTM Firewall mit HTTP / HTTPS Proxy zum Scannen von Internetaufrufen (schützt vor Schadsoftware als Download) und Zugriff auf schädliche Websites
- eigener E-Mail Server mit Antivirus und Antispam - hier kann insbesondere das Annehmen von Anhängen im MS Office Format sowie ausführbare Dateien unterbunden werden
- lokaler Virenschutz mit Verhaltensanalyse und regelmäßigen Scans der Dateien auf dem Rechern - hier können auch bisher unbekannte Programme erkannt werden, wenn diese sich komisch verhalten (z.B. große Mengen an Dateien auf einmal verändern)
- Monitoring von Systemen - eine plötzliche Erhöhung von Speicherverbrauch oder Backupgrößen kann auf versteckte Verschlüsselung hinweisen.
4) Schulung der Mitarbeiter
Das wichtigste ist die Schulung der Mitarbeiter. Diese sollten darauf geschult werden jede Fehlermeldung richtig durchzulesen. Weiterhin sollten Dateien aus unbekannten Quellen nicht einfach geöffnet werden. Wenn Warnmeldungen auftauchen sollten diese am besten mit zwei Personen begutachtet werden (oder Screenshot an den IT Verantwortlichen / Dienstleister senden) bevor auf "Weiter" oder "Akzeptieren" geklickt wird. Beide Attacken aus obigen Beispielen sind aufgrund der Unachtsamkeit von Mitarbeitern entstanden - ohne diese wäre der Schädling nicht aktiv geworden.
5) Wachsamkeit für mögliche Attacken
Auch wenn die Wahrscheinlichkeit für eine Infektion auf einem gut gewarteten Macsystem im Vergleich zu Windows relativ gering ist, so darf man sich trotzdem nicht in Sicherheit wiegen. Genausowenig sollten Schutzmaßnahmen auf die leichte Schulter genommen werden - aus einem "Wird schon nichts passieren" kann ganz schnell ein "Die Existenz ist vernichtet" werden, wenn man es Angreifern zu leicht macht. Leider kann kein System der Welt (ausser vielleicht Zettel und Stift) vor einem IT Angriff, wenn er denn vom Angreifer wirklich gewollt ist, schützen. Die meisten Opfer sind aber Zufallsopfer die "halt eben so mitgenommen werden". Mit den richtigen Vorbereitungen kann man diese Wahrscheinlichkeit zwar drastisch reduzieren aber nicht zu 100% verhindern - wenn dann aber dochmal was passiert ist bei richtiger Vorbereitung der Schaden deutlich kleiner und betrifft ggf. nur einen kleinen Teil der Praxis der recht schnell wiederhergestellt ist. Gute IT Sicherheit mag man vielleicht nicht im Arbeitsalltag sehen und die Patienten mögen es auch nicht honorieren - jedoch ist gute IT Sicherheit die Rettungsleine wenn es doch mal hart auf hart kommt.
Wenn Sie sich unsicher sind, was für Sie sinnvoll ist, lassen Sie sich gerne von Fachleuten beraten (Tipp: Manche Dienstleister bieten abseits der kostenfreien Beratung auch kostenpflichtige Beratungen an und agieren so ohne Verkaufsdruck wenn das Produkt die Beratung ist). Kontaktieren Sie gerne Ihren Zollsoft Ansprechpartner was von zollsoft empfohlen wird oder wenden Sie sich an Ihre örtliche KV - hier sind mittlerweile (zumindest in unserer Region) auch sehr gute IT Menschen die Beratungen für Mitglieder übernehmen und ehrliche Einschätzungen zu Sicherheitskonzepten und Lösungen geben.