Einführung
Die Analyse von Red Sift zu Gesundheitseinrichtungen, die 2023-2024 größere Datenschutzverletzungen an das Department of Health & Human Services (HHS) gemeldet haben, deckte einen besorgniserregenden Trend auf: Nach einer Sicherheitsverletzung bleiben 61 % aufgrund schwacher oder nicht vorhandener DMARC-Richtlinien weiterhin ungeschützt gegen Phishing und Domain-Spoofing.
DMARC (Domain-based Message Authentication, Reporting & Conformance) ist ein weithin anerkannter Sicherheitsstandard, der Angreifer daran hindert, sich per E-Mail als Organisationen auszugeben. Trotz einer erheblichen Sicherheitsverletzung haben viele Einrichtungen im Gesundheitswesen diesen wichtigen Schutz jedoch noch nicht vollständig umgesetzt, wodurch sie weiterhin anfällig für weitere Angriffe bleiben.
Was sagen uns die Daten?
Die von Red Sift durchgeführte Forschung ergab:
- 61 % der analysierten Organisationen verfügen über keinen Schutz, wobei 33 keine DMARC-Richtlinie haben und bei 28 keine Daten verfügbar sind.
- Nur 39 % setzen DMARC durch, wobei 24 die Richtlinie „reject“ (stärkster Schutz) und 16 die Richtlinie „quarantine“ (mittlere Sicherheit) verwenden.
- In EMEA bleiben 49 % der 100 größten Gesundheitsunternehmen ungeschützt, während nur 31 % eine „reject“-Richtlinie haben.
Diese Momentaufnahme stellt eine erhebliche Lücke in der DMARC-Einführung dar und ist wahrscheinlich ein Hinweis auf die Unreife der Cybersicherheit in diesem Sektor, die die meisten Unternehmen anfällig für Phishing- und Spoofing-Angriffe macht. Die sicherste Gruppe, die eine „reject“-Richtlinie implementiert, deutet auf bessere Praktiken hin, macht aber immer noch weniger als ein Viertel der gesamten Analyse aus.
E-Mail ist als primärer Vektor für Angreifer anerkannt, um Zugang zu Personen und Netzwerken zu erhalten. Im Gesundheitswesen führt schlecht gesicherte E-Mail-Kommunikation häufig zu kostspieligen Business-E-Mail-Compromise-Angriffen und Ransomware. Gesundheitseinrichtungen müssen strengere Sicherheitsmaßnahmen umsetzen, um robuste und proaktive Schutzmaßnahmen gegen potenziell verheerende Cyberangriffe zu gewährleisten und die Integrität und Verfügbarkeit kritischer Gesundheitsdienste und Patientendaten aufrechtzuerhalten.
Die zunehmenden Auswirkungen von Datenschutzverletzungen
Gesundheitsdaten bleiben die wertvollste Art von Daten auf dem Schwarzmarkt, was Gesundheitseinrichtungen zu bevorzugten Zielen macht. Bedrohungsakteure streben nach maximaler Auszahlung, und dementsprechend nehmen Cyberangriffe auf das Gesundheitswesen zu. Phishing bleibt der führende Angriffsvektor und ist für schätzungsweise 90 % der erfolgreichen Angriffe verantwortlich. Eine IBM-Studie aus dem Jahr 2024 berichtet, dass Datenschutzverletzungen Organisationen weltweit durchschnittlich 4,9 Millionen US-Dollar kosten, wobei Datenschutzverletzungen im Gesundheitswesen in den USA fast das Doppelte kosten. Darüber hinaus wurden allein im Jahr 2024 über 190 Millionen Gesundheitsdatensätze kompromittiert – eine Rekordzahl, die über die Hälfte der US-Bevölkerung betrifft. Kostspieligere regulatorische Maßnahmen, Bußgelder und Sammelklagen wirken sich tiefgreifend auf die gesamte Gesundheitsbranche aus.
Größte US-Gesundheitsdatenschutzverletzungen 2023-2024: DMARC-Analyse
Warum DMARC für das Gesundheitswesen wichtig ist
DMARC ist eine bewährte Lösung zur Verhinderung von Phishing, Domain-Spoofing und Business Email Compromise (BEC)-Angriffen. Organisationen, die DMARC mit einer „reject“-Richtlinie durchsetzen, reduzieren das Risiko von E-Mail-basierten Cyberbedrohungen erheblich.
Trotzdem bleiben viele Gesundheitseinrichtungen ungeschützt, wodurch sensible Patientendaten, Finanzinformationen und die operative Infrastruktur weiterhin gefährdet sind. Der Gesundheitssektor muss stärkere E-Mail-Sicherheit priorisieren, um künftige Sicherheitsverletzungen zu verhindern und kritische Systeme vor Cyberkriminellen zu schützen.
Die Zukunft des Gesundheitswesens mit OnDMARC sichern
Die Erkenntnisse von Red Sift zeigen einen dringenden Bedarf an einer stärkeren DMARC-Einführung in Gesundheitseinrichtungen. Einrichtungen ohne DMARC sollten zunächst eine Überwachungsrichtlinie „p=none“ implementieren, bevor sie zur vollständigen Durchsetzung „p=reject“ übergehen. Einrichtungen mit „quarantine“-Richtlinien sollten für maximalen Schutz umgehend zu „reject“ wechseln.
Da E-Mail weiterhin einer der am häufigsten ausgenutzten Einstiegspunkte für Cyberkriminelle bleibt, müssen Anbieter im Gesundheitswesen jetzt handeln, um diese Sicherheitslücken zu schließen, indem sie sich für einen DMARC-Lösungsanbieter wie Red Sift OnDMARC entscheiden. Die neue Realität von heute bedeutet, dass die Implementierung von DMARC nicht mehr nur bei der IT liegt – es ist ein entscheidender Schritt zum Schutz von Patientendaten, operativer Sicherheit und Markenreputation und sollte auf Vorstandsebene diskutiert und umgesetzt werden.
Erfahren Sie mehr darüber, wie Red Sift Organisationen dabei unterstützt, mit Red Sift OnDMARC vollständige DMARC-Konformität zu erreichen, und stärken Sie noch heute Ihre E-Mail-Sicherheit.
Diese Forschung wurde erstmals veröffentlicht bei BetanewsBetanews.
