Sicherheitsforscher des Fraunhofer SIT haben eine detaillierte Krankenhaus-Krisensimulation durchgeführt, die sowohl die Geschwindigkeit aufdeckt, mit der Ransomware-Angriffe die Gesundheitsinfrastruktur lahmelegen können, als auch die organisatorischen Versäumnisse, die die Wiederherstellung weit schwieriger machen.
Professor Sebastian Schinzel, der seit über 20 Jahren in der IT-Sicherheit tätig ist, beschrieb die Bedrohungslage als beispiellos. Er warnte vor einer neuen Klasse von Malware, die lokale LLMs — kleine Sprachmodelle, die auf den eigenen GPUs eines Krankenhauses laufen — nutzen könnte, um sich in Echtzeit anzupassen. Dann greift auch das klassische Gegenmittel, das Kappen der Internetverbindung, womöglich nicht mehr.
Die Simulation, die auf einer Tagung deutscher Krankenhaus-IT-Leiter in Berlin präsentiert wurde, verwendete ein realistisches Szenario: Der Angriff beginnt mit Open-Source-Intelligenz-Recherche, führt zu einer gezielten Phishing-Mail und eskaliert, sobald die VPN-Zugangsdaten eines IT-Mitarbeiters abgefangen werden.
Die Simulation teilte 23 Teilnehmende auf 12 Rollen in einem typischen deutschen Krankenhaus auf. Die Entscheidungsfindung funktionierte einigermassen gut. Aber der Informationsfluss brach zusammen. Der Krisenstab wurde zur Einbahnstraße. Die Dokumentation erwies sich als überraschend fragil.
Teams unterschätzten die Wiederherstellungszeit standig. Ein Krankenhaus in der Frankfurter Gegend brauchte fast ein ganzes Jahr bis zum ursprünglichen Zustand — und dort war nicht einmal verschlüsselt, sondern das Active Directory kompromittiert worden.
