Patientin durch Folgen des Hacker-Angriffs gestorben?

Düsseldorf. Der weitreichende IT-Ausfall am Universitätsklinikum Düsseldorf (UKD) ist auf einen Hacker-Angriff mit Erpressung zurückzuführen. Das sagte die nordrhein-westfälische Wissenschaftsministerin Isabel Pfeiffer-Poensgen (parteilos) am Donnerstag im Landtag.

Die Täter hätten nach der Kontaktaufnahme durch die Polizei die Erpressung aber zurückgezogen, erklärte die Ministerin. Offenbar wollten sie gar nicht das Uniklinikum angreifen. Auf einem der 30 betroffenen Server sei ein an die benachbarte Heinrich-Heine-Universität gerichtetes Erpressungsschreiben gefunden worden.

Nachdem die Polizei die Erpresser darüber informiert hat, dass es sich bei ihrem Angriffsziel um ein Notfallkrankenhaus handele, hätten sie einen digitalen Schlüssel zum Entsperren der IT herausgegeben. Das unterstütze die These, dass sie mit ihrer Aktion die Universität, nicht aber die Klinik treffen wollten, so Pfeiffer-Poensgen. Inzwischen seien die Täter nicht mehr erreichbar.

Von Notfallversorgung abgemeldet

Die IT der Düsseldorfer Uniklinik ist seit Donnerstag, den 10. September 2020, weitgehend lahmgelegt. Das Klinikum ist seitdem von der Notfallversorgung abgemeldet, hat den Großteil der Operationen verschoben und geplante Behandlungen abgesagt. Die Aufnahme neuer Patienten ist nach wie vor nicht möglich.

Wie die Nachrichtenagentur dpa berichtet, ermittelt die Staatsanwaltschaft inzwischen auch wegen fahrlässiger Tötung. Eine lebensbedrohlich erkrankte Patientin musste laut NRW-Justizministerium in der Nacht vom 11. auf den 12. September in ein Wuppertaler Krankenhaus umgeleitet werden. Ihre Behandlung habe erst mit einstündiger Verspätung stattfinden können, kurze Zeit später starb sie.

Ein UKD-Sprecher konnte sich zu Einzelheiten nicht äußern, er verwies gegenüber der „Ärzte Zeitung“ darauf, dass das Klinikum zu diesem Zeitpunkt bereits von der Notfallversorgung abgemeldet war. Die Hacker haben offenbar eine Schwachstelle in einer IT-Anwendung ausgenutzt.

Die Sicherheitslücke befand sich nach Angaben der Uniklinik in einer „marktüblichen und weltweit verbreiteten kommerziellen Zusatzsoftware“. Bis eine Softwarefirma diese Lücke schließen konnte, hätten die Täter ausreichend Zeit gehabt, um in die Systeme einzudringen und dafür zu sorgen, dass nach und nach Systeme ausfielen und ein Zugriff auf gespeicherte Daten nicht mehr möglich war. Nach bisherigen Erkenntnissen wurden aber keine Daten gestohlen oder unwiderruflich gelöscht.

Keine Schuld bei Mitarbeitern

Es steht fest, dass keine Mitarbeiter den Ausfall verursacht haben, beispielsweise indem sie einen mit Schadsoftware behafteten Anhang einer E-Mail geöffnet oder auf einen infizierten Link geklickt haben, sagte der UKD-Sprecher. Defizite in der IT der Uniklinik seien ebenfalls ausgeschlossen. „Unsere Systeme sind gut in Schuss“, betonte er.

Das UKD rechnet damit, dass es noch lange dauern wird, bis der normale Versorgungsbetrieb wieder aufgenommen werden kann. „Aufgrund des Umfangs des IT-Systems und der Fülle an Daten können wir noch nicht abschätzen, wann dieser Prozess abgeschlossen sein wird“, sagte Ekkehard Zimmer, der Kaufmännische Direktor des Klinikums.

Das UKD sei trotz der bereits erzielten Fortschritte bei der Wiederherstellung der IT weiter von der Notfallversorgung abgemeldet, erklärte der UKD-Sprecher am Donnerstagnachmittag.

Fördermittel in IT-Sicherheit stecken

In der Landtagssitzung, die die AfD-Fraktion beantragt hatte, waren auch die finanziellen Mittel Thema, die Kliniken für die Sicherheit ihrer Computersysteme zur Verfügung stehen. Die CDU/FDP-Landesregierung will Unikliniken dafür mehr Geld bereitstellen.

NRW bekomme aus dem Krankenhauszukunftsgesetz 2020 und 2021 voraussichtlich Fördermittel in Höhe von 900 Millionen Euro, sagte Pfeiffer-Poensgen. Davon stammen 630 Millionen Euro vom Bund.

Mindestens 15 Prozent davon müssten in die IT-Sicherheit fließen. Alle Krankenhäuser sollen unabhängig von der Zahl ihrer Patienten Mittel erhalten. Das Antragsverfahren hat aber noch nicht begonnen.

Die Landesregierung stelle seit dem Jahr 2018 jeder Uniklinik zwei Millionen Euro für IT-Sicherheit zur Verfügung, führte die Ministerin aus. „Das ist in der Tat zu wenig, daran werden wir arbeiten.“

Grüne: Bund muss klare Vorgaben machen

Nach Ansicht der Grünen in NRW hat die Anfälligkeit der Kliniken für Hackerangriffe nicht nur mit fehlendem Geld zu tun. Es seien auch „solide rechtliche Standards“ nötig, sagte der Grünen-Fachpolitiker Matthi Bolte-Richter.

Der Bund müsse hier klare Vorgaben machen. So hätten viele Hochschulen und Kliniken immer noch keine Vollzeit-IT-Sicherheitsbeauftragten.

In NRW waren in den vergangenen Jahren das Lukaskrankenhaus in Neuss, das Forschungszentrum Jülich und auch eine Reihe von Unternehmen Ziele von Hackerangriffen.