Während der kriminelle Übergriff für die Täter also sehr lukrativ ist, steht auf der anderen Seite der potenziell große Impact auf die Patient*innen. Denn die Schäden, die ein Mensch durch den Verlust bzw. die Offenbarung von Gesundheitsdaten erleiden kann, bleiben lebenslang bestehen – und bei Erkrankungen mit erblichem Faktor sogar über die Generationen hinweg. Auch das Öffentlichwerden von chronischen Erkrankungen wie Diabetes kann für Betroffene sehr bedrohlich sein. Sie fürchten, auf dem Arbeitsmarkt oder bei Versicherungsabschlüssen Nachteile zu erleiden oder Diskriminierungen ausgesetzt zu werden.

Hier wird der hohe Verantwortungsdruck auf das Gesundheitswesen deutlich – zumal es angesichts der Zahl und der Professionalisierung der Angriffe heute keine Frage mehr ist, ob eine Praxis einen durchschlagenden Cyberangriff erleiden wird, sondern nur wann. Arztpraxen müssen deswegen alle nur möglichen Vorkehrungen treffen, um Angriffe auf die Praxis-IT zu verhindern. Und zwar unabhängig von Größe oder Art der Praxis – diese Kriterien können das Risiko weder verkleinern noch vergrößern: Oft werden die Schadprogramme in Massen abgefeuert und dringen einfach überall ein, wo sie eine Schwachstelle finden.

Zahlen oder kämpfen – da streiten sich die Gelehrten

Im Ernstfall stellt sich dann für die von Ransomware-Angriffen betroffenen Praxen die Frage, ob sie der Lösegeldforderung, die im vierstelligen, aber auch im sechs- oder sogar siebenstelligen Bereich liegen kann, nachkommen sollen. Sicherheitsbehörden fordern dazu auf, der Zahlungsaufforderung nicht nachzukommen, da nicht garantiert ist, dass die Systeme und Daten wirklich freigegeben und keine Datensätze abgezogen werden. Außerdem bestehe die Gefahr, in Täterkreisen als „Zahler“ markiert zu werden. Andere argumentieren, dass das Geschäftsmodell der Täter darauf beruhe, selbst verlässlich zu sein: Werde bekannt, dass trotz Zahlung keine Freigabe erfolgt, riskierten die Kriminellen, dass zukünftig niemand mehr Lösegeld zahlt.

Was im Rahmen der Diskussion um die Lösegeldzahlung häufig untergeht, ist die strafrechtliche Problematik einer Zahlung, sagt der Rechtsanwalt Daniel Lindenberg. Problematisch sind Lösegeldzahlungen zunächst mit Blick auf Embargovorschriften bzw. Sanktionslisten. Da der Angegriffene meistens nicht weiß, an wen er das Geld zahlt, können zumindest strafbewehrte fahrlässige Sanktionslistenverstöße vorliegen. Daneben erfüllt die Zahlung des Lösegelds auch den Straftatbestand der Unterstützung einer kriminellen Vereinigung. Eine Lösegeldzahlung wird nur bei existenzbedrohenden Eingriffen bzw. Veröffentlichung sensibelster Daten als möglicherweise gerechtfertigt angesehen, nur, wenn die Zahlung zum Zwecke der Gefahrenabwehr für Leib, Leben oder Freiheit erfolgt.

„In Bezug auf die diabetologische Praxis ergeben sich auf dieser Basis gute Verteidigungsmöglichkeiten, da nur durch die Lösegeldzahlung die ordnungsgemäße Behandlung der Patienten sichergestellt werden kann”, so Lindenberg. Trotzdem werden die Behörden im Einzelfall bei einer Interessenabwägung prüfen, so der Rechtsanwalt, ob der Betroffene angemessene IT-Sicherheitsvorkehrungen vorgenommen hatte. Die datenschutzrechtlich verankerte Pflicht zur Gewährleistung von IT-Sicherheit gewinnt dadurch an Bedeutung. Genauso wie die regelmäßige Erstellung von Back-ups, die häufig zu einer schnellen Schadensbegrenzung verhelfen.