A Decade of Healthcare Cyber Threats: Empirical Analysis, Evidence-Based Prioritisation, and AI Threat Model

Stellen Sie sich die digitale Welt als eine riesige, geschäftige Stadt vor, in der jedes Gebäude ein anderes Geschäft ist. Einige Gebäude verkaufen Spielzeug, andere Kleidung, aber ein bestimmtes Viertel ist das wertvollste Immobilienviertel der Stadt: das Krankenhausviertel. Warum? Weil in diesen Gebäuden Menschen lebenswichtige Geheimnisse (wie Krankenakten) aufbewahren und Maschinen betreiben, die buchstäblich Menschen am Leben halten. Wenn ein Einbrecher in ein Spielzeuggeschäft einbricht, stiehlt er vielleicht einige Actionfiguren. Wenn er jedoch in ein Krankenhaus einbricht, kann er das ganze Viertel Geisel nehmen und Lösegeld fordern, um das Licht wieder einzuschalten, oder er kann Geheimnisse stehlen, um sie auf dem Schwarzmarkt zu verkaufen. Aus diesem Grund versuchen die „Einbrecher“ (Cyberkriminellen) seit Jahren einzubrechen, aber sie benutzen nicht mehr nur Brechstangen. Sie haben gelernt, unsichtbare Umhänge zu tragen.

Um zu verstehen, wie wir diese Einbrecher aufspüren, nutzen Sicherheitsexperten eine riesige, lebendige Karte namens MITRE ATT&CK. Denken Sie bei dieser Karte nicht an eine Liste von Schlössern, sondern an einen Katalog von Zügen. Sie sagt nicht nur „sie haben das Fenster eingeschlagen“; sie sagt „sie haben eine Brechstange benutzt“, „sie haben das Schloss geknackt“ oder „sie sind durch die Vordertür hereingekommen, weil der Besitzer sie offen gelassen hat“. Diese Karte hilft den Verteidigern zu wissen, nach welchen Tricks sie Ausschau halten müssen. Ein weiteres Werkzeug ist die CISA Known Exploited Vulnerabilities (KEV) Liste. Wenn die ATT&CK-Karte der Katalog der Züge ist, dann ist die KEV-Liste das „Meistgesucht“-Schwarze-Brett. Sie listet nur die spezifischen kaputten Schlösser und offenen Fenster auf, die Einbrecher in letzter Zeit tatsächlich benutzt haben, um hineinzukommen, und ignoriert alle theoretischen Löcher, die noch niemand berührt hat. Die große Frage, die Forscher gestellt haben, lautet: „Beobachten die Sicherheitskräfte die richtigen Türen?“

Diese Arbeit taucht tief in die digitalen Einbrüche in Krankenhäusern des letzten Jahrzehnts ein, um diese Frage zu beantworten. Die Forscher agierten wie digitale Detektive und sammelten eine massive Sammlung von 1.214 „Kriminalitätsberichten“ aus den Jahren 2017 bis 2024. Sie untersuchten 44 verschiedene Gruppen von Angreifern, die von organisierten Kriminalitätsbanden bis hin zu staatlich gesteuerten Spionen reichten, und verfolgten genau, welche Züge sie verwendeten. Was sie fanden, ist eine kleine Wendung der Handlung. Lange Zeit wurden die Sicherheitskräfte darauf trainiert, nach den „lauten“ Zügen Ausschau zu halten: denen, bei denen ein Einbrecher ein Fenster einschlägt (Initial Access/Erstzugriff) oder eine geheime Notiz unter einem Teppich versteckt (Persistence/Beständigkeit). Aber die Arbeit zeigt, dass die Einbrecher ihren Stil geändert haben. Sie sind nun Meister der „leisen“ Züge. Anstatt einzubrechen und sich zu verstecken, benutzen sie die eigenen Schlüssel des Besitzers und gehen einfach durch die Vordertür, wobei sie sich unter der normalen Menge mischen.

Die Studie zeigt, dass der häufigste Zug, den diese Angreifer heute verwenden, die Defense Evasion (Verteidigungsumgehung) ist, die etwa 15 % bis 20 % all ihrer Aktionen in jedem Jahr ausmacht. Dies ist die Kunst, unsichtbar zu bleiben. Im Gegensatz dazu sind die „Old-School“-Züge wie das „Verstecken auf dem Dachboden“ (Persistence) und das „Eintreten der Vordertür“ (Initial Access) in der Häufigkeit ihres Auftretens in der Datendistribution über den Zeitraum 2017–2024 signifikant zurückgegangen und fielen von zweistelligen Prozentsätzen auf Null im beobachteten Einsatz der Techniken. Das bedeutet nicht, dass diese Taktiken ausgestorben sind oder nie verwendet werden, sondern vielmehr, dass sie im Vergleich zum Aufstieg der heimlicheren Methoden nicht mehr die primären Taktiken sind, die in den Daten erscheinen. Die Angreifer haben erkannt, dass, wenn sie legitime Werkzeuge verwenden, die das Krankenhaus bereits besitzt – wie das eigene Kommandozentrum des Computers oder die gültigen Ausweise des Personals – sie keine Fußspuren hinterlassen. Es ist wie ein Dieb, der nicht das Schloss knackt, sondern stattdessen wartet, bis der Besitzer die Tür öffnet, und dann einfach eintritt und so tut, als gehöre er dazu.

Hier ist der beängstigende Teil: Die Sicherheitskräfte suchen immer noch nach Fußspuren. Die Arbeit fand eine „strukturelle Inversion“, was bedeutet, dass der Sicherheitsrat genau dort am stärksten ist, wo die Einbrecher am wenigsten aktiv sind, und am schwächsten, wo die Einbrecher am aktivsten sind. Die Wachen haben großartige Sensoren gebaut, um die lauten, chaotischen Einbrüche am Ende eines Verbrechens abzufangen, aber sie haben fast keine Sensoren für die leisen, unsichtbaren Züge, die ganz am Anfang stattfinden. Die Forscher identifizierten 42 spezifische „Züge“, die gerade jetzt stattfinden, aber kaum beobachtet werden. Dies sind die obersten Prioritäten, die Krankenhäuser sofort beheben müssen.

Noch interessanter ist, dass die Arbeit zeigt, dass es hier nicht mehr nur um alte Computer geht. Krankenhäuser beginnen, Künstliche Intelligenz (KI) einzusetzen, um Ärzten bei der Diagnose von Patienten zu helfen. Die Forscher fanden heraus, dass dieselben „leisen“ Tricks, die die Einbrecher auf normalen Computern verwenden, auch auf diesen neuen KI-Systemen perfekt funktionieren. Ein Einbrecher muss keinen neuen Weg finden, um in eine KI einzubrechen; er nutzt einfach dieselben alten Tricks, die er schon seit Jahren anwendet. Die Arbeit kommt zu dem Schluss, dass wir aufhören müssen, Sicherheit basierend auf dem aufzubauen, was Einbrecher früher getan haben, und stattdessen die Sicherheit für das aufzubauen, was sie jetzt tun: durch die Vordertür hereinzukommen, eine Uniform zu tragen und zu hoffen, dass niemand bemerkt, dass sie nicht dorthin gehören. Die gute Nachricht ist, dass die Arbeit eine klare „To-Do-Liste“ von 42 Zügen zur Blockierung bereitstellt, und für 12 dieser 42 Techniken existieren die Sicherheitstools bereits und können sofort kostenlos aktiviert werden.