Angriff auf Backup-Systeme: Wenn auch die letzte Rettung versagt

Branche: Gesundheit / Mitarbeitende: 800

Es ist ein Szenario, das viele IT-Verantwortliche für unwahrscheinlich halten – bis es eintritt: Ein Cyberangriff legt nicht nur die produktive IT lahm, sondern auch die Backups, auf die im Notfall alles ankommt. Was folgt, ist kein technisches Problem mehr, sondern eine Krise, die den gesamten Betrieb erfasst. Der folgende Fall aus einem großen deutschen Krankenhaus macht deutlich, wie professionell heutige Ransomware-Angriffe geplant sind und wo klassische Sicherheitskonzepte an ihre Grenzen stoßen.

Inhaltsverzeichnis

Ein ganz normaler Morgen – bis plötzlich alles stillsteht

Ein großes Krankenhaus in einer deutschen Großstadt. Die IT-Abteilung startet wie gewohnt in den Tag, als plötzlich mehrere Abteilungen melden, dass sie keinen Zugriff mehr auf Patientendaten und medizinische Systeme haben. Die elektronische Patientenakte, das Laborinformationssystem, sogar die Medizingeräte mit Netzwerkzugang – alles ist betroffen. Schnell wird klar: Es handelt sich um einen massiven Ransomware-Angriff.

Sofortige Incident-Response – doch die Hoffnung ruht auf den Backups

Das Incident-Response-Team wird alarmiert. Die IT isoliert betroffene Systeme, informiert die Geschäftsleitung und aktiviert den Notfallplan. Die Hoffnung: Die täglichen Backups werden die Rettung sein. Doch beim Versuch, die Daten aus den Backups wiederherzustellen, folgt der nächste Schock – auch die Backup-Systeme sind verschlüsselt. Offenbar haben die Angreifer gezielt nach den Backup-Servern gesucht und diese bereits vor dem eigentlichen Angriff kompromittiert.

IT-forensische Analyse ergibt: Ein raffinierter, mehrstufiger Angriff auf das Backup

Die IT-Forensik nimmt die Untersuchung auf. Schnell wird klar: Die Angreifer hatten sich bereits Wochen zuvor über eine Schwachstelle im VPN-Zugang Zugriff verschafft. Sie bewegten sich unauffällig im Netzwerk, kartierten die Infrastruktur und identifizierten gezielt die Backup-Systeme. Mit speziell entwickelter Schadsoftware wurden die Backups manipuliert und verschlüsselt – teilweise sogar die Replikate in der Cloud.

Wie ist der Fall ausgegangen?

Die Wiederherstellung der Systeme gestaltet sich schwierig. Nur durch fragmentierte, offline gelagerte Backups, die nicht mit dem Netzwerk verbunden waren, gelingt es, einen Teil der wichtigsten Patientendaten wiederherzustellen. Der Klinikbetrieb läuft über Tage im Notmodus, viele Prozesse müssen manuell abgewickelt werden. Die IT-Forensik unterstützt bei der Rekonstruktion der Abläufe und der Ursachenanalyse.

Nach dem Vorfall werden die Backup-Strategien grundlegend überarbeitet:

Backups werden künftig mehrfach redundant, offline und unveränderbar gespeichert („immutable backups“).
Zugriffsrechte und Netzwerksegmente werden restriktiver gestaltet.
Regelmäßige Restore-Tests und forensische Überprüfungen werden eingeführt.

„Wir dachten immer, unsere Backups wären unsere Lebensversicherung. Jetzt wissen wir: Nur was wirklich offline und unangreifbar ist, gibt uns Sicherheit.“
IT-Leiter des betroffenen Krankenhauses