Viren mit besonders verheerenden Folgen

Werden Spitäler oder Kliniken Opfer von Cyber-Attacken, bedeutet dies: Alarmstufe rot. Nicht nur, weil hochsensible Patientendaten in falsche Hände gelangen können, sondern weil heute die gesamte Infrastruktur am Internet «hängt» und somit jedes Gerät ein potenzielles Angriffsziel bildet. Weil alles vernetzt ist, besteht die Gefahr, dass durch einen Virus oder einen Trojaner das ganze System zum Erliegen kommt.

Die Gefahr existiert nicht nur in der Theorie, sondern ist real. So legte in Grossbritannien im Frühjahr 2017 ein Erpresser-Virus 45 Krankenhäuser und Kliniken lahm, fast 7000 Termine und Operationen mussten verschoben werden. In Deutschland brachte Schadsoftware das Lukaskrankenhaus in Neuss zum Erliegen – zahlreiche Operationen mussten in der Folge verschoben werden.

Erpressung durch Verschlüsselung

Auch hierzulande mussten Institutionen schon ähnliche Erfahrungen machen. Im aargauischen Schöftland legte im vergangenen Jahr ein Cyberangriff das Verwaltungssystem eines Pflegezentrums lahm, Hacker verschlüsselten dabei die elektronischen Akten der 108 Bewohner. Da die Daten gleichzeitig auch in Papierform abgelegt wurden, konnte der Betrieb dennoch aufrechterhalten werden. Die Heimleitung ging dennoch auf die Forderung der Erpresser ein und bezahlte rund 7700 Franken in Bitcoins für die Entschlüsselung der Daten.

Angreifer nutzen dabei meist die grösste Schwachstelle der Spitäler und Kliniken: die Mitarbeitenden. Wie die meisten Menschen begehen auch sie Fehler und Unachtsamkeiten im Zusammenhang mit IT-Sicherheit. Öffnen versehentlich Anhänge, werden Phishing-Opfer, verschleppen unwissentlich Viren. Im Gegensatz zu anderen Branchen, in denen Cybercrime oft «nur» ausserordentlich teuer wird, kann die Missachtung von Sicherheitsregeln im Spital gar lebensbedrohliche Folgen für betroffene Patienten haben.

Kampagne und Kurse sollen helfen

Dem Bund ist es deshalb ein grosses Anliegen, dass Spitäler so gut wie möglich vor Angriffen aus dem Cyberspace geschützt werden. Der Koordinierte Sanitätsdienst (KSD) und E-Health Suisse, die Kompetenz- und Koordinationsstelle für Bund und Kantone, das Bundesamt für Bevölkerungsschutz BABS (Bereich Risiken) rüsten ab Mitte Oktober in Zusammenarbeit mit H+, dem Spitzenverband der Spitäler, Kliniken und Pflegeinstitutionen, zum Kampf gegen die digitalen Risiken. Geplant sind auch Fachkurse zur Cybersicherheit.

Für die Kampagne fiel die Wahl des Kunden auf Mediacreators. «Es wurden drei Offerten eingeholt, eine aus Deutschland, zwei aus der Schweiz», erzählt Regisseur Mike Wyniger. «Unsere war die teuerste, hatte aber die klarsten Vorstellungen und das beste Konzept. Was mich sehr freut, da nicht einfach der Billigste zum Zuge kommt, was leider so oft der Fall ist.»

Kurzfilm statt «Erklärungsgroove»

Das Berner Unternehmen zeichnet nicht nur für die Produktion, sondern auch für das Konzept und das Drehbuch verantwortlich. Angedacht gewesen sei von Kundenseite eigentlich ein herkömmlicher Sensibilisierungsspot, erzählt Wyniger. «Zu langweilig», fand er die Idee und unterbreitete den Vorschlag, stattdessen einen kleinen Spielfilm für Social Media zu produzieren. «Etwas, was die Leute fesselt. Denn gerade Social Media ist doch übersättigt von Filmen mit dem klassischen «Erklärungsgroove», der den Zuschauern sagt, was sie wie tun sollen oder wie sie sich verhalten sollten», ist Wyniger überzeugt.

Entstanden ist der dreiminütige Film «Ein digitaler Alptraum». Er erzählt die Geschichte einer Klinikmitarbeiterin, die unwissentlich zur Hauptverdächtigen eines Cyberangriffs wird. Der Grund: Gutgläubig hatte sie einen auf dem Spitalboden gefundenen USB-­Stick an ihrem Computer eingesteckt, um den Besitzer zu eruieren und so die Rückgabe zu ermöglichen. Eine Unachtsamkeit, die ausreichte, um das gesamte Spitalsystem zu infizieren. Die ahnungslose und überrumpelte Mitarbeiterin findet sich im Polizei­-Verhör wieder. Am Ende war’s nur ein Traum. Ein Alptraum mit mahnendem Zeigfinger.

Angriffe über verschiedene Kanäle

Die Methode, dass bewusst vermeintlich verlorengegangene Speichermedien als «Köder» platziert werden, um so an die Geräte von Mitarbeitenden zu gelangen, existiert tatsächlich. Auch wenn in der Realität der Grossteil der Angriffe über E­Mail erfolgt. Teilweise mit Klinik­internen Absendern, um die E­-Mails vertrauenswürdig und relevant aussehen zu lassen. «Wir haben uns für die USB-­Stick­-Variante entschieden, weil diese filmisch viel anschaulicher umsetzbar ist als ein Phishing­Angriff über E­Mail», sagt Wyniger. Bei der Umsetzung hat der Regisseur besonders darauf geachtet, dass die Message möglichst einfach und direkt den Weg zur Zielgruppe ndet. «Der Film sollte auch ohne Ton funktionieren, damit man ihn beispielsweise im Tram auf dem Smartphone schauen kann», so Wyniger. Das Bild soll klar und übersichtlich sein. «Mir war wichtig, dass der Film nicht mit Einblendern oder sonstigen ablenkenden Elementen übersät ist.»

Authentische Statisten

Dass der Film bei der anvisierten Zielgruppe auch mit Authentizität punkten könnte, dazu trägt die Besetzung bei: Nur bei der Hauptdarstellerin und dem Fahnder der Polizei wurde auf professionelle Schauspieler zurückgegriffen, bei allen Statisten handelt es sich um Laien, die zum Teil vom KSD in den eigenen Reihen rekrutiert wurden. So spielt etwa ein richtiger Doktor den Arzt.

Dass die Kampagne die erwünschte Wirkung erzielt, bleibt zu hoffen. Für einmal liegt der Erfolg nicht nur im Interesse des Kunden und des Auftragnehmers, sondern der ganzen Gesellschaft. Denn: Cyber­Security in Spitälern geht alle etwas an.

Thomas Häusermann

Dieser Artikel stammt aus der Printausgabe der Werbewoche (Ausgabe 17/2018)