Cyberangriffe im Gesundheitswesen: Erholung dauert lang

Ein Cyberangriff im Gesundheitswesen ist ein GAU. Kann es doch schnell um Menschenleben oder auch sehr sensible Daten gehen. Fälle in der Vergangenheit wie bspw. an der Uniklinik in Frankfurt zeigen die Auswirkungen. Eine Studie zeigt nun, dass Unternehmen im Gesundheitswesen durchschnittlich 7,4 Monate brauchen, um sich von Cyberangriffen zu erholen. Das ist 30 Prozent länger als erwartet und damit sehr kostenintensiv. Zu diesem Ergebnis kommt der jährliche Global Security Research Report der Edge-Cloud-Plattform Fastly. Organisationen im Gesundheitswesen waren demnach im vergangenen Jahr im Schnitt 29 Angriffen ausgesetzt. Das sei zwar der niedrigste Wert aller Branchen, allerdings sei der größte Schaden durch diese Angriffe der Datenverlust (39 Prozent) gewesen, der im Gesundheitswesen um 7 Prozent wahrscheinlicher aufgetreten sei als in anderen Sektoren. Und auch McKinsey & Company führt im GKV-Check-up 2025 ein Beispiel eines GKV-Dienstleisters auf, dessen IT-Systeme nach einem Cyberangriff 2023 lahmgelegt worden waren. Dies habe zu erheblichen Betriebsstörungen und Beeinträchtigungen der Datenverarbeitung geführt. Auch der IT-Ausfall bei CrowdStrike im Juli 2024 habe gravierende Auswirkungen auf den deutschen Gesundheitssektor gehabt. So seien nahezu 50 Prozent der vom Bundesamt für Sicherheit in der Informationstechnik (BSI) und Bitkom befragten Unternehmen von dem Ausfall betroffen gewesen. Operationen mussten daraufhin verschoben werden und die Medikamentenlieferung war gestört. Weltweit seien in den vergangenen 12 Monaten 92 Prozent der Unternehmen im Gesundheitswesen Opfer eines Cyberangriffs gewesen, verglichen mit 88 Prozent im Jahr 2023. Die durchschnittlichen Kosten der Angriffe für die betroffenen Organisationen hätten sich auf über 4,7 Mio. US-Dollar summiert.

Verstärkte Investitionen in Sicherheitstools

Angesichts der immer häufiger werdenden Angriffe und der längeren Erholungszeiten, ist es wenig überraschend, dass laut Fastly-Studie 88 Prozent der Unternehmen aus dem Gesundheitswesen planen, in den nächsten zwölf Monaten verstärkt in Sicherheitstools zu investieren. Trotz dieser zusätzlichen Ausgaben fühlen sich jedoch mehr als die Hälfte der befragten Entscheidungsträger im Bereich Cybersicherheit (56 Prozent) angesichts der immer komplexer werdenden Bedrohungsszenarien weiterhin unzureichend auf zukünftige Angriffe vorbereitet.

Ganzheitlicher Plan nötig

Marshall Erwin, Chief Information Security Officer bei Fastly, kommentiert die Ergebnisse: „Die vollständige Erholung nach Sicherheitsverletzungen wird für Unternehmen immer aufwendiger und kostspieliger. Gründe dafür sind Umsatzeinbußen, Reputationsschäden und Zeitverluste, die langfristig Geschäftsbeziehungen beeinträchtigen und Ressourcen aus verschiedenen Unternehmensbereichen binden. Da die Anzahl der Angriffe nicht abnehmen wird und das Risiko umfangreicher Ausfälle jederzeit besteht, ist es entscheidend, dass Anpassungen der Cybersicherheitsstrategie Teil eines ganzheitlichen Plans sind und Unternehmen keine übereilten Entscheidungen treffen.“

Gemeinsame Verantwortung für Sicherheit

Die Befragung zeigte, dass auch die globalen IT-Ausfälle im vergangenen Jahr Anlass dafür waren, Ressourcen und Investitionen in Cybersicherheit genauer zu überprüfen. 45 Prozent der Befragten im Gesundheitssektor gaben an, dass sie Bedenken hinsichtlich der Zuverlässigkeit und Qualität ihrer Software-Sicherheitslösungen hätten, und 26 Prozent erwogen sogar einen Anbieterwechsel. Zudem hat die Mehrheit der Unternehmen (84 Prozent) angegeben, ihre Ansätze zur Prüfung und Einführung von Updates nach größeren Sicherheitsvorfällen angepasst zu haben. Laut Fastly erfahre auch eine Neubewertung, wie Organisationen Softwaresicherheit in ihre operativen Abläufe integrieren. Immer mehr Stakeholder außerhalb der traditionellen Sicherheitsteams, darunter auch Teams aus Bereichen wie Platform Engineering, werden laut Umfrage bei der Einführung von Sicherheitslösungen mit einbezogen. Fast jedes fünfte (19 Prozent) Unternehmen gab sogar an, dass die Einführung eines modernen Platform Engineering-Ansatzes für Softwaresicherheit für sie zu den Prioritäten des nächsten Jahres gehöre. Dies spiegelt sich auch in einer veränderten Verantwortungszuweisung wider: 7 Prozent der Befragten nannten Plattform Engineering-Teams als Hauptverantwortliche im Falle von Cyberangriffen - nur knapp hinter CISOs (Chief Information Security Officer, 9 Prozent) und CIOs (Chief Information Officer, 13 Prozent).

„Wir sehen eine Verschiebung hin zu einer gemeinsamen Verantwortung für Sicherheit in Unternehmen mit einem stärkeren Fokus darauf, Sicherheitsmaßnahmen von Anfang an in alle Projekte einzubetten. Unternehmen, die Sicherheit frühzeitig in ihre Prozesse integrieren und starke Partnerschaften mit Sicherheitsspezialisten aufbauen, sind besser auf zukünftige Bedrohungen vorbereitet und können sich schneller von Angriffen erholen“, empfiehlt Erwin.

Über die Studie
Für die Fastly-Studie wurden 1.800 IT- und Cybersecurity-Entscheider in großen Organisationen aus verschiedenen Branchen in Nord-, Mittel- und Südamerika, Europa, dem asiatisch-pazifischen Raum und Japan befragt, darunter 200 Experten aus dem Gesundheitssektor. Die Interviews wurden im September 2024 von Sapio Research mittels Online-Umfrage durchgeführt.

Quelle: Fastly, McKinsey