Ausgangslage
Eine Privatklinik in Vilnius, Litauen: 150 Mitarbeitende, drei Standorte, ein Labor und ein eigenes Patienteninformationssystem. Die Server standen in den Räumen der Klinik, Backups wurden auf ein NAS-Gerät im selben Netz geschrieben, und der Virenschutz war ein Standardprodukt ohne zentrale Konsole.
An einem Freitagabend bemerkte der Administrator, dass sich Patientenakten an einem Empfangsrechner nicht mehr öffnen ließen. Über Nacht hatte Ransomware den Dateiserver, die Datenbank des Patientensystems und, am schmerzhaftesten, das NAS mit den Backups verschlüsselt, weil es wie ein gewöhnliches Netzlaufwerk eingebunden war. Eine Woche lang arbeitete die Klinik auf Papier: Anmeldung per Telefon, Laborergebnisse als Ausdruck, einige Termine abgesagt. Die Daten wurden aus einem älteren, unregelmäßig erstellten Backup auf einer externen Festplatte und aus dem monatlichen Backup des Herstellers des Patientensystems wiederhergestellt. Ein Teil der Einträge dieser Woche ließ sich nicht wiederherstellen.
Die Klinikleitung wandte sich zwei Wochen nach dem Vorfall an uns. Die Aufgabe war klar: dafür sorgen, dass das nie wieder passiert, und wenn doch, dass die Wiederherstellung Stunden dauert und keine Woche.
Was erforderlich war
- Backups, die ein Angreifer auch mit Administratorrechten im Netz nicht erreichen kann.
- Eine Wiederherstellungszeit, die die Patientenaufnahme nicht länger als einen Tag unterbricht.
- Regelmäßige Wiederherstellungstests mit schriftlichen Berichten, die auch der Datenschutzbeauftragte der Klinik verlangte.
- Endgeräteschutz, der die Verschlüsselung stoppt, statt sie nur zu melden.
- Eine Lösung, die ein externes Team betreut, weil die Klinik keinen eigenen IT-Administrator hat.
Was wir getan haben
Woche 1: Bereinigung der Umgebung nach dem Vorfall
Zuerst haben wir sichergestellt, dass die Schadsoftware weg ist: Wir haben den Dateiserver neu aufgebaut, alle administrativen Kennwörter geändert, veraltete Protokolle deaktiviert und das Servernetz von den Arbeitsplätzen getrennt. Das war entscheidend, denn es hat keinen Sinn, Backups von einer Umgebung zu erstellen, in der noch der Zugang des Angreifers stecken kann.
Wochen 2–3: Veeam und unveränderliche Backups
Wir haben Veeam-Backup nach dem 3-2-1-Prinzip eingeführt: eine Kopie auf lokalem Speicher für die schnelle Wiederherstellung, eine Kopie im Rechenzentrum von MDP CLOUD in Litauen und eine weitere Kopie in einem Amazon-Rechenzentrum in Deutschland. Der entscheidende Unterschied zur früheren Lösung ist das unveränderliche Backup: Das Repository ist aus dem Kliniknetz nicht sichtbar, die Kopien lassen sich für eine festgelegte Aufbewahrungsfrist nicht ändern, und nicht einmal ein Veeam-Administrator kann sie löschen oder überschreiben. Auch das lokale Repository ist isoliert: Nur der Backup-Server spricht mit ihm, nicht die Arbeitsplätze.
Für die Datenbank des Patientensystems haben wir stündliche Backups eingerichtet, für Dateien und E-Mail tägliche. Die Aufbewahrungsfristen wurden mit den Aufbewahrungspflichten der Klinik für Patientenunterlagen abgestimmt. Unser Team überwacht den Zustand der Backups: Ein fehlgeschlagener Job oder eine abweichende Prüfsumme wird noch am selben Tag zu einem Helpdesk-Ticket, und die Klinikleitung erhält wöchentlich einen kurzen Bericht darüber, wie viele Backups gelaufen sind und wie viel Speicherplatz noch frei ist.
Am kompliziertesten war das Patienteninformationssystem: Sein Hersteller verlangte, die Datenbank nur mit eigenen Werkzeugen zu sichern. Wir haben uns auf ein doppeltes Schema geeinigt. Die Sicherung des Herstellers bleibt bestehen, und Veeam sichert zusätzlich den gesamten Server, sodass das System bei einer Wiederherstellung nicht neu installiert und konfiguriert werden muss.
Woche 4: EDR-Schutz
Auf allen Computern und Servern haben wir Bitdefender GravityZone mit EDR- und Ransomware-Schutz eingeführt, der Massenverschlüsselung stoppt und die betroffenen Dateien zurücksetzt. Unser Team überwacht die Konsole; verdächtige Aktivitäten werden an den Verantwortlichen in der Klinik eskaliert.
Woche 5: Wiederherstellungstest
Der erste vollständige Wiederherstellungstest: Aus dem unveränderlichen Backup haben wir den Server des Patientensystems und den Dateiserver in einer isolierten Umgebung in der MDP-CLOUD-Cloud wiederhergestellt. Das dauerte 6 Stunden, der größte Teil davon ging für die Prüfung der Datenbank gemeinsam mit dem Systemhersteller drauf. Den Bericht haben die Klinikleitung und der Datenschutzbeauftragte unterzeichnet.
Ergebnis
Die Wiederherstellungszeit sank von einer Woche auf 6 Stunden, und das wurde im Test gemessen, nicht in einem Plan geschätzt. Die Zahl der Backups, die aus dem Kliniknetz erreichbar sind, ist jetzt null. Wiederherstellungstests laufen jeden Monat in kleinerem Umfang (einzelne Dateien, ein einzelner Server), und eine vollständige Wiederherstellung wird alle sechs Monate wiederholt.
Die Klinik hat nun für jeden Test einen Prüfbericht: Datum, wiederhergestellte Systeme, Dauer, aufgetretene Probleme. Sowohl der Datenschutzbeauftragte als auch der Versicherer haben diese bei der Verlängerung der Cyberversicherung verlangt. In den ersten sechs Monaten hat die EDR-Konsole zweimal verdächtige Aktivitäten auf Mitarbeiterrechnern gestoppt, beide Male durch infizierte E-Mail-Anhänge, und keiner der Fälle erreichte die Server.
„Früher dachten wir, wir hätten Backups. Jetzt wissen wir, dass wir in sechs Stunden wieder Patienten aufnehmen.“
Was wir in einer ähnlichen Situation raten
- Ein Backup, das Sie als Netzlaufwerk sehen, ist kein Schutz vor Ransomware. Mindestens eine Kopie muss unveränderlich und aus dem Netz nicht erreichbar sein.
- Legen Sie die Wiederherstellungszeit nach dem Geschäft fest: Wie viele Stunden können Sie ohne das System arbeiten? Daraus ergeben sich Backup-Häufigkeit und Speicherarchitektur.
- Testen Sie die Wiederherstellung regelmäßig und schreiben Sie Berichte. Ein Backup ohne Test ist nur eine Annahme.
- Bereinigen Sie nach einem Vorfall zuerst die Umgebung und übertragen Sie erst dann Backups, sonst kopieren Sie den Zugang des Angreifers mit.
