Vor wenigen Tagen saß ich in einer Universitätsklinik. Nicht als Mitarbeiter von RIEDEL Networks. Nicht als Referent für IT-Security oder in meiner Rolle als Berufs-Timo. Sondern als werdender Vater.
Meine Frau, in der 28. Schwangerschaftswoche, war zur Geburtsvorbereitung und Anmeldung in der Klinik. Nach langer Wartezeit wurde sie von einer sichtbar überarbeiteten medizinischen Fachangestellten in ein Behandlungszimmer begleitet und dort an ein CTG angeschlossen. Die Mitarbeiterin war freundlich, professionell und vor allem eines: unter enormem Zeitdruck. Dann verließ sie den Raum. Für die nächsten 45 Minuten. Zurück blieben meine Frau, zwei piepsende Sensoren auf ihrem Bauch und ich.

Direkt neben meinem Stuhl stand ein Mini-PC. Entsperrt. Mit geöffneter Akte. Mehrere freie USB-Ports. Mehrere freie RJ45-Netzwerkanschlüsse. Zusätzlich befanden sich an der Wand weitere ungenutzte Netzwerkdosen. Und plötzlich hatte ich 45 Minuten Zeit, um über Cybersecurity nachzudenken. Denn während viele Menschen einfach den Blick auf das CTG gerichtet hätten, sah ich etwas anderes: Eine potenzielle Angriffsfläche.

Cyberangriffe beginnen selten so, wie wir es uns vorstellen

Wenn über Cyberkriminalität gesprochen wird, denken viele an hochspezialisierte Hackergruppen, komplexe Schadsoftware und spektakuläre Angriffe. Die Realität ist oft deutlich unspektakulärer. Manchmal beginnt ein Sicherheitsvorfall mit einer offenen Tür. Einem freien Netzwerkanschluss. Einem unbeaufsichtigten Arbeitsplatz.
Oder schlicht mit genügend Zeit. Und genau diese Kombination war an diesem Nachmittag vorhanden. Natürlich habe ich nichts davon getan. Die eigentlich interessante Frage lautet jedoch: Was hätte jemand getan, der nicht mit guten Absichten gekommen wäre?

Der USB-Stick, der keiner ist

In meinen Vorträgen nutze ich häufig das Beispiel eines sogenannten Rubber Ducky. Das Gerät sieht aus wie ein gewöhnlicher USB-Stick. Tatsächlich handelt es sich jedoch um ein Werkzeug, das sich gegenüber dem Betriebssystem als Tastatur anmeldet und automatisiert Befehle ausführen kann. Eine besonders simple Variante könnte beispielsweise alle zehn Sekunden einen Screenshot erstellen und verschicken. Oder man nutzt einfach den Bashbunny, der die Bilder direkt lokal auf dem Stick speichert. Keine Netzwerkverbindung erforderlich. Keine Datenübertragung nach außen.  Keine Firewall, die Alarm schlägt. Der Stick wird beim ersten Termin eingesteckt und beim nächsten Besuch wieder eingesammelt.
Was dazwischen aufgezeichnet wurde? Möglicherweise Patientendaten. Interne Anwendungen. Zugangsinformationen. Dienstpläne. Terminlisten. Und das ist nur eine von vielen denkbaren Möglichkeiten. Ebenso denkbar wären Keylogger, Netzwerkanalysegeräte oder Hardware zum Mitschneiden von Kommunikationsdaten. Die Frage ist nicht, ob diese Angriffe technisch möglich sind. Die Frage ist, warum sie überhaupt möglich sein sollten.

Die offene Netzwerkdose als Symbol

Genau aus solchen Beobachtungen entstand vor einigen Jahren bei RIEDEL Networks die Idee der sogenannten RJ45 Port Buddies. Nicht, weil ein kleines Stück Kunststoff plötzlich alle Sicherheitsprobleme lösen würde. Sondern weil Cybersecurity selten durch eine einzelne große Maßnahme entsteht. Sie entsteht durch viele kleine Hürden. Wer sein Wohnhaus vor Einbrechern schützen möchte, verlässt sich schließlich auch nicht ausschließlich auf eine besonders stabile Haustür. Stattdessen sorgt man dafür, dass ein potenzieller Täter möglichst viele Hindernisse überwinden muss. Abschließbare Fenster, Außenbeleuchtung, Bewegungsmelder, Zäune oder Kameras erhöhen den Aufwand Schritt für Schritt.

Die RJ45 Port Buddies von RIEDEL Networks können sich Interessenten auf unserer Website bestellen

Jede zusätzliche Hürde kostet Zeit. Jede zusätzliche Hürde erhöht das Entdeckungsrisiko. Und jede zusätzliche Hürde macht ein Ziel ein wenig unattraktiver. Genau diesem Gedanken folgen auch die RJ45 Port Buddies. Nicht als Hightech-Sicherheitslösung, sondern als sichtbare Erinnerung daran, dass selbst scheinbare Kleinigkeiten einen Unterschied machen können. Tatsächlich nutzen wir sie häufig eher als Gesprächsanlass denn als Produkt. Wir drücken Kunden bewusst etwas Physisches in die Hand und verbinden damit eine einfache Botschaft:

Nehmen Sie heute ein Stück Cybersecurity mit. Fangen Sie irgendwo an.

Denn die größte Herausforderung in der Informationssicherheit besteht oft nicht darin, die perfekte Lösung zu finden. Die größte Herausforderung besteht darin, überhaupt den ersten Schritt zu machen. Die offene Netzwerkdose ist deshalb weniger ein technisches Problem als ein Symbol. Sie erinnert daran, dass Sicherheit nicht erst bei komplexen Technologien beginnt, sondern bei der Bereitschaft, offensichtliche Risiken überhaupt als solche wahrzunehmen.

Jede Woche die nächste Meldung

Besonders bemerkenswert ist, dass solche Beobachtungen nicht in einem x-beliebigen Unternehmen stattfinden, sondern im Gesundheitswesen. Einer Branche, die seit Jahren im Fokus von Cyberkriminellen steht. Gefühlt vergeht kaum eine Woche, ohne dass über Angriffe auf Krankenhäuser, Klinikverbünde oder andere Gesundheitseinrichtungen berichtet wird. Die Gründe dafür liegen auf der Hand. Gesundheitseinrichtungen verarbeiten hochsensible Daten. Sie sind auf die Verfügbarkeit ihrer Systeme angewiesen. Und sie verfügen häufig über historisch gewachsene IT-Landschaften, die über viele Jahre und teilweise Jahrzehnte entstanden sind. Für Angreifer ist das ein attraktives Umfeld. Für die betroffenen Einrichtungen bedeutet es einen permanenten Kampf gegen Risiken, die sich ständig verändern.

Das eigentliche Problem heißt Priorisierung

Wer jetzt glaubt, dieser Artikel solle den Verantwortlichen in Kliniken Vorwürfe machen, irrt. Tatsächlich war mein Eindruck vor Ort genau der gegenteilige. Alle Beteiligten arbeiteten sichtbar am Limit. Die medizinische Fachangestellte hatte in diesem Moment vermutlich wichtigere Dinge im Kopf als freie USB-Ports oder ungenutzte Netzwerkanschlüsse. Sie kümmerte sich um Patienten. Und genau das ist der entscheidende Punkt. Aus zahlreichen Gesprächen mit Partnern aus dem Gesundheitswesen und der Medizintechnik wissen wir, dass Cybersecurity dort keineswegs ein unbekanntes oder unwichtiges Thema ist. Im Gegenteil. Das Problem besteht häufig darin, dass Cybersecurity mit einer Vielzahl weiterer Anforderungen um Aufmerksamkeit, Budget und Personal konkurriert. Gleichzeitig müssen sich Organisationen und Hersteller mit Themen beschäftigen wie:

• Datenschutz und DSGVO

• Medizinprodukterecht

• MDR und IVDR

• Qualitätsmanagement

• Risikomanagement

• Klinische Bewertungen

• Validierungs- und Zulassungsprozesse

• KRITIS-Anforderungen

• Zertifizierungen und Audits

• Dokumentationspflichten

• Personalplanung

• Wirtschaftlichem Druck und Fachkräftemangel

• Der eigentlichen Patientenversorgung

Dazu kommen Cybersecurity-Anforderungen aus NIS-2, dem Cyber Resilience Act und weiteren regulatorischen Entwicklungen. All diese Themen konkurrieren um dieselben Ressourcen. Dieselbe Zeit. Dieselben Budgets. Dieselben Mitarbeiter. Und genau deshalb wird Cybersecurity häufig nicht deshalb verschoben, weil niemand das Risiko erkannt hätte, sondern weil andere Herausforderungen in diesem Moment noch dringender erscheinen.

Ein ganz regulär anmutendes Ladekabel, das in Wirklichkeit eine interne Antenne hat und Daten an einen externen Empfänger überträgt. Auch dieses fällt vermutlich nicht auf, wenn man es versehentlich liegen lässt oder gar im Krankenhaus-Kiosk am Ständer mit den Ladekabeln einfach in eine originale Verpackung steckt.

 

Die unbequeme Wahrheit über Compliance

Cybersecurity wird unter diesen Rahmenbedingungen häufig zu einem Compliance-Projekt. Man erstellt Richtlinien. Man dokumentiert Prozesse. Man bereitet Audits vor. Man erfüllt Nachweispflichten. All das ist wichtig. Doch keine dieser Maßnahmen beantwortet automatisch die entscheidende Frage:

Wie sicher ist die Organisation tatsächlich?

Die unbequeme Wahrheit lautet: Je komplexer die regulatorische Landschaft wird, desto größer wird die Gefahr, dass Organisationen Sicherheit mit Dokumentation verwechseln. Dabei entsteht häufig eine erhebliche Lücke zwischen regulatorischem Anspruch und operativer Realität. Würde man heute sämtliche Anforderungen aus Datenschutz, KRITIS, MDR, Qualitätsmanagement, NIS-2 und Cybersecurity gleichermaßen rigoros prüfen und unmittelbar sanktionieren, dürften viele Einrichtungen vor kaum lösbaren Herausforderungen stehen.

Nicht weil die Verantwortlichen untätig wären. Nicht weil ihnen die Risiken egal wären. Sondern weil die Zahl der Anforderungen stetig wächst, während Zeit, Personal und Budgets endlich bleiben. Die eigentliche Herausforderung besteht deshalb nicht darin, Risiken zu identifizieren.

Die eigentliche Herausforderung besteht darin, zu entscheiden, welche Risiken zuerst adressiert werden.

Warum Cybersecurity keine IT-Aufgabe ist

Genau deshalb halte ich die Bezeichnung „IT-Sicherheit“ inzwischen für problematisch. Sie suggeriert, dass die Verantwortung bei der IT-Abteilung liegt. Dort liegt sie aber nur teilweise. Die IT kann Risiken identifizieren. Sie kann Schwachstellen sichtbar machen. Sie kann Empfehlungen aussprechen. Sie kann Maßnahmen umsetzen. Die Entscheidung darüber, welche Risiken akzeptiert werden, welche Investitionen erfolgen und welche Themen Priorität erhalten, wird jedoch nicht im Serverraum getroffen.

Sie wird in Besprechungsräumen getroffen. Sie wird in Budgetrunden getroffen. Sie wird von Führungskräften getroffen. Cybersecurity ist deshalb weit mehr als Technik. Cybersecurity ist Governance. Cybersecurity ist Risikomanagement. Cybersecurity ist Führung. Denn letztlich geht es immer um dieselbe Frage:

Welche Risiken sind wir bereit einzugehen und welche nicht?

Die 32 Ausreden der Cybersecurity

Aus genau dieser Erfahrung heraus entstand vor einiger Zeit das „Faule-Ausreden-Quartett“. Eine Sammlung von 32 Ausreden, die IT-Verantwortliche regelmäßig hören:

• „Bei uns gibt es nichts zu holen.“

• „Dafür haben wir aktuell kein Budget.“

• „Wir hatten noch nie einen Vorfall.“

• „Das machen wir nächstes Jahr.“

• „Dafür fehlt uns die Zeit.“

Das Quartett ist humorvoll gemeint. Gleichzeitig beschreibt es ein ernstes Problem. Viele Sicherheitslücken entstehen nicht, weil niemand die Gefahr erkannt hätte. Sie entstehen, weil andere Themen kurzfristig wichtiger erscheinen.

Vor der Therapie kommt die Diagnose

Genau dieser Gedanke war später auch Ausgangspunkt für die Entwicklung der IT-Musterung. In der Medizin gilt ein einfacher Grundsatz: Keine Therapie ohne Diagnose. Niemand würde eine Behandlung starten, ohne vorher den Zustand des Patienten zu beurteilen. Warum sollte das bei Cybersecurity anders sein?

Bevor Maßnahmen beschlossen werden, sollte zunächst geklärt werden:

• Wo liegen die Schwachstellen?

• Welche Risiken existieren tatsächlich?

• Welche Maßnahmen bringen den größten Nutzen?

• Welche Probleme werden bislang übersehen?

Erst ein realistisches Lagebild ermöglicht sinnvolle Entscheidungen.

Fazit: Die größte Schwachstelle sitzt selten im Serverraum

Die wichtigste Erkenntnis aus meinem Besuch in der Universitätsklinik hatte letztlich wenig mit Technik zu tun. Niemand vor Ort handelte fahrlässig. Niemand ignorierte bewusst Risiken. Alle Beteiligten versuchten unter hohem Druck ihre Aufgaben bestmöglich zu erfüllen. Genau deshalb ist Cybersecurity heute eine Managementaufgabe. Nicht weil Mitarbeiter versagen. Sondern weil Organisationen entscheiden müssen, welche Risiken sie sich leisten können und welche nicht. Einen guten Einstieg in dieses Thema bietet unser Spotlight IT-Security Whitepaper.

Cyberkriminelle interessieren sich nicht dafür, ob die Compliance-Dokumentation vollständig abgeheftet wurde. Sie interessieren sich dafür, ob ein Netzwerkanschluss offen ist. Ob ein USB-Port erreichbar ist. Ob eine Identität kompromittiert werden kann. Oder ob ihnen jemand 45 Minuten allein mit einem System gibt. Compliance bleibt wichtig. Doch echte Sicherheit beginnt früher. Sie beginnt mit Aufmerksamkeit. Und mit der Bereitschaft, den eigenen Status quo ehrlich zu hinterfragen.

*Dieser Artikel wurde unter Betrachtung aktueller Marktgeschehnisse mit Hilfe von Copilot erstellt. Die Prompt-Erstellung und Supervision des Artikels erfolgte durch den Autor, der hierin seine Meinung repräsentiert sieht. 

 

Über den Autor:

Timo Imbrogno ist Director Marketing bei RIEDEL Networks, sicherlich kein IT-Experte, aber Nerd im Herzen und schaut hin und wieder gerne einmal hinter die Kulissen. Seinen ersten Bug fand er bereits zum Start seiner beruflichen Laufbahn, als Facebook noch richtig angesagt war. Damals in der Veröffentlichungsfunktion von Fanpages und Custom-Apps, die seinerzeit noch wirklich (!) angesagt waren.

Von Zeit zu Zeit juckt es ihn in den Fingern und er schaut sich Dinge nicht nur aus Marketing-Perspektive, sondern mit ganz eigenem Blick auf die Dinge an. Dabei nutzt er gerne auch mal unkonventionelle Ansätze, um seinen Blickwinkel zu verdeutlichen oder zum Nachdenken anzuregen. Erwähnt sei hier exemplarisch die Werbemittelumtauschstation der IT-SA 2024. 

Seine Beiträge bewegen sich dabei bewusst an der Schnittstelle von Fachwissen und Humor – und laden dazu ein, auch komplexe Themen einmal aus einer ungewohnten Perspektive zu betrachten.

 

Über RIEDEL Networks

RIEDEL Networks ist ein in Privatbesitz befindlicher, globaler Netzwerkanbieter, der sich auf maßgeschneiderte Netzwerke konzentriert. Wir sind im Gartner Magic Quadrant für Global WAN Services als Nischenanbieter gelistet, der auf mittelständische internationale Unternehmen und den Medien- und Veranstaltungssektor spezialisiert ist. Mit unserem eigenen globalen Backbone unterstützen wir Unternehmen dabei, weltweit vernetzt zu sein. Unsere Dienstleistungen umfassen Internetverbindungen, MPLS, SD-WAN, SASE, Cloud Connect, Security und vieles mehr. Unsere Kunden stammen aus verschiedenen Branchen und schätzen Qualität, Sicherheit und Zuverlässigkeit. RIEDEL Networks ist ein 100%iges Unternehmen der RIEDEL Communications Gruppe in Wuppertal, Deutschland, und ist vollständig im Privatbesitz von Thomas Riedel.