73% der Datenschutzverletzungen im Gesundheitswesen betreffen Domains ohne DMARC

Der Gesundheitssektor ist zu einem Ziel für sowohl gelegentliche als auch spektakulär erfolgreiche Cyberangriffe geworden. Krankenhäuser, Versicherer, medizinische Lieferketten, Dienstleister und medizinische Organisationen sind bevorzugte Ziele für Bedrohungsakteure, wobei E-Mail-Phishing-Angriffe, Ransomware und Datenschutzverletzungen zunehmen. Im Jahr 2024 erlebten 94% der US-amerikanischen Gesundheitsorganisationen einen Cyberangriff, wobei die durchschnittlichen Kosten pro Organisation bei 4.740.000 US-Dollar lagen, ein Anstieg von 5% gegenüber dem Vorjahr. Nationale Sicherheitsbehörden gehen davon aus, dass sich Cyberangriffe auf das Gesundheitswesen und andere kritische Infrastrukturen in den kommenden Jahren voraussichtlich verdreifachen werden.

Phishing, bei dem böswillige Akteure vorgeben, die Unternehmen zu sein, die sie ins Visier nehmen, ist ein fester Bestandteil der Bedrohungslandschaft und stellt die bedeutendste Cyberbedrohung dar, die für schätzungsweise 60% aller Datenschutzverletzungen im Gesundheitswesen verantwortlich ist. Ransomware-Angriffe, die meist mit Phishing beginnen, sind besonders schädlich und auch extrem kostspielig zu beheben: Der Change Healthcare-Verstoß von 2024, der Hunderte Millionen Menschen betraf, verursachte ebenfalls weitreichende Störungen. Daher muss die E-Mail-Sicherheit – eine Schwachstelle bei vielen Gesundheitsorganisationen – priorisiert werden, einschließlich Maßnahmen zur Bekämpfung dieser Bedrohungen wie:

• Multi-Faktor-Authentifizierung (MFA),
• Robuste, protokollgesteuerte E-Mail-Sicherheitsrichtlinien (z. B. DMARC, SPF, DKIM),
• KI-gestützte Bedrohungserkennung,
• Regelmäßige Cybersicherheitsschulungen für Mitarbeiter.

Der zunehmende Wandel der Gesundheitsbranche hin zu digitalen Systemen hat die Patientenversorgung, den Datenaustausch und die Just-in-Time-Lieferung revolutioniert, doch parallel dazu gehen viele dieser Vorteile mit erheblichen Cybersicherheitsrisiken einher. Veraltete Systeme in Kombination mit dem hohen Wert elektronischer geschützter Gesundheitsinformationen (ePHI) machen Gesundheitsorganisationen zu bevorzugten Zielen für Bedrohungsakteure.

Böswillige Akteure agieren, indem sie Lücken und Nähte in der Sicherheit ausnutzen, wobei sie sowohl gängige als auch fortgeschrittene Taktiken einsetzen, darunter Social Engineering, E-Mail-Phishing-Betrug, oft gefolgt von schädlichen Ransomware-Angriffen. Das Ausmaß und die Raffinesse der globalen Cyberkriminalität sind erstaunlich, wobei die Bekämpfung der Cyberkriminalität mittlerweile ein Bestandteil vieler nationaler Sicherheitsstrategien ist. Schätzungen aus Open-Source- und nationalen Sicherheitserkenntnissen gehen davon aus, dass sich Cyberangriffe gegen den Sektor kritischer Infrastrukturen in Häufigkeit und Auswirkung verdreifachen werden.

Der finanzielle Wert von ePHI auf dem Schwarzmarkt (Krankenakten können für 60 US-Dollar verkauft werden, 15 US-Dollar für eine Sozialversicherungsnummer und 3 US-Dollar für eine Kreditkarte), die Abhängigkeit von veralteten Legacy-Systemen, die Expansion datenabhängiger Dienste, das Wachstum durch Übernahmen, oft unterbesetzte Krankenhäuser und mangelndes Bewusstsein der Mitarbeiter für Cybersicherheit werden die Gesundheitsbranche weiterhin zu einem hochwertigen Ziel für Cyberkriminelle machen.

• E-Mail-Phishing-Angriffe: Phishing ist die häufigste Cyberbedrohung im Gesundheitswesen und macht über die Hälfte aller Sicherheitsverletzungen aus. Angreifer nutzen betrügerische E-Mails und Nachrichten, um Beschäftigte im Gesundheitswesen dazu zu bringen, Anmeldedaten preiszugeben oder auf bösartige Links zu klicken. Ein aktueller HHS-Bericht beschrieb BEC als eine der kostspieligsten und häufigsten Angriffsarten gegen das Gesundheitswesen im Detail.
• Ransomware und Datenschutzverletzungen: Ransomware-Angriffe können kritische Krankenhaussysteme lahmlegen und Organisationen zwingen, ein Lösegeld zu zahlen oder erhebliche Betriebsstörungen in Kauf zu nehmen. Der Ransomware-Angriff auf Change Healthcare im Jahr 2024, der über 190 Millionen Menschen betraf und mehr als 2 Milliarden US-Dollar kostete – Tendenz steigend –, verdeutlicht die verheerenden Auswirkungen solcher Verstöße.
• Schlechte E-Mail-Sicherheit: Unsere Untersuchungen zeigen, dass 73% der kürzlich betroffenen Gesundheitsorganisationen keine DMARC-Richtlinie mit p=reject (Enforcement) haben, wodurch sie anfällig für BEC, E-Mail-Spoofing und Domain-Imitation sind. Dies ermöglicht es Cyberkriminellen, sich als vertrauenswürdige Kontakte auszugeben und Phishing-Angriffe durchzuführen.

Die Gesundheitsbranche sieht sich anhaltenden und wachsenden Cyberbedrohungen gegenüber, die mit zunehmender technologischer Raffinesse nur weiter zunehmen werden. Ohne robuste E-Mail-Sicherheitsrichtlinien, Mitarbeiterschulungen und fortschrittliche Cybersicherheitsmaßnahmen riskieren Organisationen weitere spektakuläre Datenschutzverletzungen, die die finanzielle Stabilität, den Datenschutz und sogar die Patientensicherheit gefährden könnten. Gesundheitsdienstleister müssen sofort handeln, um sensible Daten zu schützen und die betriebliche Widerstandsfähigkeit sicherzustellen.

Nicht sicher, wo Sie anfangen sollen? Überprüfen Sie Ihren DMARC-Status kostenlos mit Red Sift Investigate und stellen Sie sicher, dass Ihre Organisation (und die Daten Ihrer Patienten) noch heute geschützt bleiben.