Ein Cyberangriff kann einen Gesundheitsbereich treffen, ohne bei einer Datenbank mit Krankenakten anzusetzen. Bei der Établissement français du sang waren Kühlanlagen betroffen: Die Temperatur- und Abtaueinstellungen von Kühlräumen wurden auf ungewöhnliche Werte gesetzt. Drei Standorte sind betroffen, bestätigte ein Sprecher gegenüber The Record am 4. November.
Die Einrichtung erklärt, dass ihre Überwachungssysteme die Auffälligkeiten erkannt und die Produkte geschützt hätten. Sie meldet weder festgestellte gesundheitliche Folgen noch den Verlust von Blutprodukten. Diese Bilanz ist entscheidend für das Verständnis des Vorfalls: Eine Anlage wurde kompromittiert, doch das bedeutet nicht, dass die darin gelagerten Produkte vernichtet oder unter ungeeigneten Bedingungen ausgegeben wurden.
Die Kühlsteuerung als Angriffspunkt
Laut BleepingComputer, das die Mitteilung der EFS wiedergibt, ereignete sich der Vorfall am 2. November und wurde am folgenden Tag bekannt gegeben. Die Einrichtung beschreibt einen Angriff auf einen Anbieter von Kühlanlagen und keine direkt gegen ihr eigenes IT-System gerichtete Infiltration.
Die Einstellungen eines Kühlraums bestimmen dessen Betrieb. Eine Solltemperatur oder einen Abtauzyklus zu verändern, bedeutet, auf die Funktion der Anlage einzuwirken und nicht nur darauf, was auf einem Bildschirm angezeigt wird. Ein in eine Steuerung eingegebener Wert entspricht jedoch nicht zwangsläufig der Temperatur, der die Produkte tatsächlich ausgesetzt waren. Für die Folgen sind die Dauer der Abweichung, ihre Erkennung und das Eingreifen der Teams ausschlaggebend.
Diese Unterscheidung vermeidet zwei voreilige Schlüsse: den Vorfall herunterzuspielen, weil nur eine Nebenanlage betroffen ist, oder aufgrund einer böswilligen Einstellungsänderung die Vernichtung des Bestands zu verkünden. Die Bilanz muss sich auf die tatsächlichen Bedingungen und die ergriffenen Schutzmaßnahmen beziehen.
Alarme und Ausweichlösungen
In den von The Record wiedergegebenen Aussagen erklärt die EFS, dass die Anlagen je nach Situation wieder unter Kontrolle gebracht oder außer Betrieb genommen wurden. Produkte wurden vorsorglich in andere Anlagen umgelagert. Der befragte Sprecher nannte weder die betroffenen Standorte noch die Modelle der eingesetzten Steuerungssysteme.
BleepingComputer zufolge wurden Plasmabeutel für Transfusionen sowie Plasma für die Herstellung von Medikamenten in Sicherheit gebracht. Die Sammlung und Verteilung wurden fortgesetzt. Die EFS berichtet außerdem von einer Zusammenarbeit mit der ANSSI und dem Gesundheitsministerium sowie von einer verstärkten Überwachung der Anlagen und Temperaturen.
Die Stärke dieser Reaktion liegt in der Kombination mehrerer Maßnahmen: eine Auffälligkeit erkennen, auf die Anlage einwirken können und über eine alternative Lagerungsmöglichkeit verfügen. Ein Alarm warnt, aber er bringt die Produkte nicht an einen anderen Ort. Die Aufrechterhaltung des Betriebs hängt auch von der Organisation ab, die ein Eingreifen ermöglicht, wenn der Alarm ausgelöst wird.
Die Rolle der Dienstleister muss noch geklärt werden
In einer am 4. November veröffentlichten Stellungnahme bestätigt der Gerätevermieter Coolworld, dass eine begrenzte Anzahl seiner Einheiten von einem Vorfall im Zusammenhang mit einer Fernüberwachungssoftware betroffen war. Das Unternehmen verortet die Schwachstelle in einer von einem Drittanbieter gelieferten Komponente und erklärt, gemeinsam mit seinen Kunden Maßnahmen ergriffen zu haben. Zu einzelnen Fällen äußert es sich nicht.
Diese Erklärung beleuchtet den Hintergrund vernetzter Anlagen, erlaubt es für sich genommen jedoch nicht, jede betroffene Anlage einem bestimmten Anbieter zuzuordnen. Die veröffentlichten Informationen zur EFS enthalten keine vollständigen Angaben zur technischen Lieferkette. Daher müssen der Kunde, der die Produkte lagert, der Anbieter der Anlage und die für ihre Steuerung verwendeten Komponenten voneinander unterschieden werden.
Für die Sicherheit ist diese Kette ebenso wichtig wie der Name auf einer Maschine. Ein für Wartungsarbeiten vorgesehener Fernzugriff kann im Alltag nützlich sein; wird er kompromittiert, kann er auch den Zugriff auf eine unverzichtbare physische Funktion ermöglichen.
Technische Untersuchung, kein gemeldeter Datendiebstahl
Die beschriebenen Fakten betreffen die Steuerung der Kühlanlagen. Sie sind kein Beleg für den Diebstahl von Daten über Spender oder Patienten. Aus den herangezogenen Informationen geht keine Zuordnung zu einer bestimmten Gruppe hervor.
The Record ordnet den Vorfall in eine Reihe von Vorfällen ein, die Kühlanlagen in Europa betreffen, betont aber zugleich die Ungewissheit über die Identität der Täter und die Zusammenhänge zwischen den verschiedenen Angriffen. Eine Ähnlichkeit im Vorgehen belegt keine gemeinsame Verantwortung.
Nützliche weitere Angaben betreffen daher den Zugangsweg, die betroffenen Anlagen und die ergriffenen Schutzmaßnahmen. Für die Öffentlichkeit lautet die mitgeteilte Bilanz weiterhin: Der Betrieb wurde aufrechterhalten und die Produkte wurden geschützt. Für Betreiber erinnert der Vorfall daran, dass auch ein essenzieller Dienst von seinen unterstützenden Anlagen, deren digitalen Zugängen und den für den Störungsfall vorgesehenen Lösungen abhängt.
Symbolbild: Gebäude der EFS in Avignon. Das Bild lässt keinen Rückschluss darauf zu, welcher der drei betroffenen Standorte gemeint ist. Marianne Casamance / Wikimedia Commons, CC BY-SA 4.0.
