Wie schützt Threat Hunting Backups im Gesundheitswesen vor Ransomware?

Warum brauchen Backups im Gesundheitswesen Threat Hunting?

Weil das Backup, aus dem Sie wiederherstellen, möglicherweise schon kompromittiert ist. Ransomware-Betreiber verbringen meist Zeit im Netzwerk, bevor sie etwas verschlüsseln, und nutzen diese Zeit, um Wiederherstellungsoptionen aufzuspüren und abzuschalten.

Ein Beispiel: Ein Krankenhaus wird spät am Samstag getroffen. Die Backups sehen gut aus, also beginnt das Team mit der Wiederherstellung. Dann beginnen die Neuinfektionen: Der Angreifer war schon seit Wochen im Netz, und jeder Wiederherstellungspunkt aus diesem Zeitraum bringt dieselben Konten, geplanten Aufgaben und dieselbe Malware zurück. Aus einer Wiederherstellung, die auf Tage angesetzt war, werden Wochen mit verschobenen Eingriffen und umgeleiteten Patienten.

Das ist kein Einzelfall. Der Bericht M-Trends 2026 von Mandiant beziffert die weltweite mittlere Verweildauer, also die Zeit, die Angreifer unentdeckt bleiben, bei den 2025 untersuchten Vorfällen auf 14 Tage. Er beschreibt außerdem Ransomware-Gruppen, die Backup-Infrastruktur systematisch kartieren, löschen und verschlüsseln. Werkzeuge wie eine EDR-Plattform helfen Ihrem IT-Team oder MSP, diese Aktivität auf Endgeräten zu sehen. Threat Hunting wendet dieselbe Disziplin auf Backups an.

Was ist Threat Hunting für Backups?

Threat Hunting für Backups ist die proaktive Suche nach Anzeichen einer Kompromittierung in Backup-Systemen und Wiederherstellungspunkten, bevor ein Vorfall sie unverzichtbar macht. Statt auf einen Alarm zu warten, beginnt der Hunter mit einer Hypothese, etwa „Ein Angreifer hat Admin-Zugriff auf unsere Backup-Konsole“, und sucht nach Belegen.

Typische Signale, nach denen Sie suchen:

• Änderungen an der Aufbewahrung. Verkürzte Aufbewahrung oder abgeschaltete Unveränderlichkeit, die niemand veranlasst hat.
• Ungewöhnlicher Zugriff auf die Konsole. Anmeldungen an der Backup-Konsole oder am Repository von neuen Konten, zu ungewöhnlichen Zeiten oder von unerwarteten Orten.
• Sabotage der Wiederherstellung. Gelöschte Schattenkopien, Backup-Kataloge oder VM-Snapshots. MITRE ATT&CK führt diese unter T1490 Inhibit System Recovery.
• Sprünge bei Größe und Änderungsrate. Plötzliche Spitzen bei geänderten Daten oder ein Rückgang der Kompression können bedeuten, dass Dateien schon vor dem Job verschlüsselt wurden.
• Persistenz in Wiederherstellungspunkten. Neue geplante Aufgaben, Dienste oder Admin-Konten, die in Abbildern aus den Wochen vor einem Vorfall auftauchen.

Hunting ergänzt automatische Prüfungen. Automatische Scans finden bekannte Malware. Ein Hunter sucht nach den leisen Änderungen, mit denen ein Angreifer unentdeckt bleibt.

Warum ist das Gesundheitswesen so oft Ziel von Ransomware?

Weil ein Ausfall im Gesundheitswesen Patienten trifft, nicht nur den Umsatz, und Angreifer auf diesen Druck setzen, um bezahlt zu werden. Strukturelle Faktoren verschärfen das.

Im ENISA-Lagebild zum Gesundheitssektor (2023) fand ENISA, dass Ransomware 54 % der Cybersicherheitsbedrohungen im Gesundheitssektor der EU ausmachte, bei 215 öffentlich gemeldeten Vorfällen, wobei Krankenhäuser an 42 % der Vorfälle beteiligt waren. Patientendaten, einschließlich elektronischer Patientenakten, waren mit 30 % das am häufigsten angegriffene Gut, und nur 27 % der befragten Gesundheitsorganisationen hatten ein eigenes Programm zur Ransomware-Abwehr.

Typische Schwachstellen sind:

• Klinische Systeme und Medizingeräte, die sich nicht oder nur langsam patchen lassen
• Große Netze mit Geräten, die Hersteller verwalten und per Fernzugriff erreichen
• Kleine IT-Teams, die den Betrieb rund um die Uhr abdecken
• Große Mengen sensibler personenbezogener Gesundheitsdaten

Was kostet ein gescheitertes Backup eine Gesundheitseinrichtung?

Gestörte Versorgung, regulatorische Risiken und eine längere, teurere Wiederherstellung. Kompromittierte Backups machen es außerdem wahrscheinlicher, dass das Lösegeld gezahlt wird.

Laut State of Ransomware in Healthcare 2024 von Sophos gaben 95 % der von Ransomware betroffenen Gesundheitsorganisationen an, Angreifer hätten versucht, ihre Backups zu kompromittieren. Organisationen mit kompromittierten Backups zahlten das Lösegeld weit häufiger (63 %) als solche, deren Backups überlebten (27 %). Nur 22 % stellten innerhalb einer Woche vollständig wieder her, und 37 % brauchten mehr als einen Monat.

Backups bleiben der wichtigste Ausweg, aber seltener, als sie sollten. Der Gesundheitsbericht 2025 von Sophos ergab, dass 51 % der Gesundheitsorganisationen mit verschlüsselten Daten Backups zur Wiederherstellung nutzten, nach 72 % im Jahr davor.

• Klinisch: verschobene Eingriffe, umgeleitete Notfallpatienten und Mitarbeitende, die auf Papier arbeiten.
• Regulatorisch: Gesundheitsdienstleister sind in Anhang I der NIS2-Richtlinie aufgeführt. Art. 21 Abs. 2 lit. c verlangt „Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement“ (siehe unsere Übersicht zu Art. 21), und Art. 34 sieht für besonders wichtige Einrichtungen Geldbußen mit einem Höchstbetrag von mindestens 10 Mio. € oder 2 % des weltweiten Jahresumsatzes vor. Hinzu kommen die Meldepflichten der DSGVO bei Datenpannen.
• Finanziell: Kosten der Wiederherstellung, Überstunden, externe Incident Response und entgangene Leistungen.

Wie richten Sie Threat Hunting für Backups ein? Ein Plan in sechs Schritten

Beginnen Sie mit einer Baseline, scannen Sie Wiederherstellungspunkte statt nur Live-Systeme und machen Sie Hunts zur festen Routine. Diese Schritte funktionieren, ob Sie die IT selbst betreiben oder über einen MSP.

1. Legen Sie Baselines fest. Erfassen Sie je System die normalen Job-Größen, Laufzeiten, Änderungsraten und Zugriffsmuster auf die Konsole. Auffälligkeiten erkennen Sie nur vor einem bekannten Normalzustand.
2. Nutzen Sie Threat Intelligence. Übersetzen Sie Indikatoren Ihres nationalen CERT (in den Niederlanden Z-CERT für das Gesundheitswesen) und Berichte von ENISA in konkrete Prüfungen für Backup-Systeme.
3. Scannen Sie Wiederherstellungspunkte, nicht nur Live-Systeme. Binden Sie aktuelle Wiederherstellungspunkte in einer isolierten Umgebung ein und scannen Sie sie auf Malware, Persistenz und bekannte Kompromittierungsindikatoren. Führen Sie datierte Protokolle.
4. Führen Sie jedes Quartal strukturierte Hunts durch. Wählen Sie eine Hypothese, binden Sie IT-Betrieb und Security ein und dokumentieren Sie das Ergebnis auch dann, wenn Sie nichts finden.
5. Isolieren und härten Sie die Backup-Infrastruktur. Nutzen Sie getrennte Zugangsdaten, MFA für administrative Aktionen, keine dauerhaft offenen Admin-Sitzungen, unveränderliche Kopien und eine Air-Gap-Kopie.
6. Testen Sie Wiederherstellungen an klinischen Zielen. Messen Sie die tatsächliche RTO (wie lange ein System ausfallen darf) und RPO (wie viele Daten Sie verlieren dürfen) gegen das, was die Abteilungen brauchen. Eine Wiederherstellung, die funktioniert, aber zwei Wochen dauert, ist im Krankenhaus eine gescheiterte Kontrolle.

Für MSPs, die Praxen und Pflegeverbünde betreuen, liefern Module wie Threat Hunting, Dateiintegritätsüberwachung und die Zuordnung zu MITRE ATT&CK in einer EDR-Plattform Ihren Analysten die Daten, um die Schritte 3 und 4 mandantenübergreifend umzusetzen.

Threat Hunting oder unveränderliche Backups: Was brauchen Sie?

Beides. Hunting findet den Eindringling und zeigt, welche Wiederherstellungspunkte sauber sind. Unveränderlichkeit sorgt dafür, dass eine saubere Kopie überlebt, auch wenn das Hunting etwas übersieht.

In den Niederlanden erwartet die Inspektion für Gesundheitswesen und Jugendhilfe (Inspectie Gezondheidszorg en Jeugd, IGJ), dass Gesundheitsdienstleister die gesetzliche Norm für Informationssicherheit, NEN 7510, nachweisbar erfüllen. Dokumentierte Hunts und zeitlich gemessene Wiederherstellungstests sind genau diese Art von Nachweis. In Deutschland müssen Krankenhäuser nach § 391 SGB V Vorkehrungen für die Verfügbarkeit, Integrität und Vertraulichkeit ihrer IT-Systeme treffen, die nach dem Stand der Technik angemessen sind. Ein vom BSI als geeignet festgestellter branchenspezifischer Sicherheitsstandard (B3S) kann dabei als Orientierung dienen. Zur Wiederherstellung lesen Sie Woran erkennen Sie, ob Ihr Backup wirklich funktioniert? und unsere Übersicht zur Dauer der Wiederherstellung nach Ransomware.

Ihre nächsten Schritte

Die Frage ist nicht, ob Sie Backups haben, sondern ob sie sauber, aktuell und unter Druck wiederherstellbar sind. Suchen Sie vor einem Vorfall in Ihren Backup-Systemen, halten Sie unveränderliche Kopien für den Fall, dass die Suche etwas übersieht, und testen Sie Wiederherstellungen an dem, was Ihre klinischen Abteilungen verkraften.

Mindtime ist ISO-27001- und NEN-7510-zertifiziert. Backups liegen ausschließlich in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, als unveränderliche Kopien (Object Lock) plus eine Air-Gap-Kopie. Jeder Backup-Job wird automatisch geprüft, und Backups werden auf Malware gescannt. Sie können VMs direkt in einer isolierten Wiederherstellungsumgebung in einem separaten, sauberen Netzwerk starten, um einen Wiederherstellungspunkt zu prüfen, bevor er die Produktion berührt. MSPs nutzen die EDR-Plattform von Mindtime, um Threat Hunting bei ihren Kunden zu betreiben. Mindtime stellt die Werkzeuge bereit, und der MSP betreibt den Service.

Möchten Sie sehen, wie eine Prüfung auf eine saubere Wiederherstellung in Ihrer Umgebung ablaufen würde? Vereinbaren Sie eine kostenlose 15-minütige Demo.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.