Stiftung Wagerenhof in Uster gehackt: Ransomware trifft soziale Grossinstitution

Die Stiftung auf einen Blick

Was beim Angriff passiert ist

Nach Angaben der Stiftung blockierten die Angreifer den Zugang zu mehreren Systemen. Daraufhin wurde die komplette Server- und Kommunikationslandschaft vorsorglich vom Netz genommen. Betroffen beziehungsweise vorübergehend nicht regulär verfügbar waren unter anderem:

Die reguläre Erreichbarkeit über Telefon und E-Mail war zeitweise stark eingeschränkt. Für die Kommunikation wurden alternative Wege eingerichtet, die zentrale Telefonnummer wurde über eine Ersatzlösung wieder erreichbar gemacht. Die Grundversorgung, medizinische Betreuung und Sicherheit der Bewohnerinnen und Bewohner seien nach Angaben der Stiftung zu keiner Zeit gefährdet gewesen.

Ein Datenleck gilt als wahrscheinlich

Besonders schwer wiegt die Einschätzung der Stiftung, dass es vermutlich zu einem Datenabfluss gekommen ist. Welche Daten betroffen sind und in welchem Umfang Informationen kopiert wurden, war zunächst nicht bekannt. Eine technisch-forensische Untersuchung soll klären, wie die Angreifer in das Netzwerk gelangten, wie lange sie sich unbemerkt darin aufhielten, welche Systeme und Benutzerkonten kompromittiert wurden und welche Personengruppen informiert werden müssen.

Bei Einrichtungen im Sozial- und Gesundheitswesen können die betroffenen Daten besonders sensibel sein – von Bewohner- und Patientendokumentationen über medizinische Informationen und Medikamentenpläne bis hin zu Kontaktdaten von Angehörigen, Personalakten, Verträgen oder Finanzdaten. Nach Schweizer Datenschutzrecht muss eine Verletzung der Datensicherheit dem EDÖB gemeldet werden, wenn daraus voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte der Betroffenen entsteht.

Firmenadresse: mehr als ein einzelnes Verwaltungsgebäude

Unter dieser Adresse befindet sich kein klassisches Firmengebäude. Die Adresse steht für ein weitläufiges, parkähnliches Areal mit mehreren Wohnhäusern, Betrieben, Begegnungsflächen, Verkaufsstellen und einem internen Wegenetz. Zum Areal gehören unter anderem ein Bauernhof, ein Blumenladen, eine Cafeteria und die Kinderkrippe Beluga.

Aus Cybersecurity-Sicht ist das anspruchsvoller als ein zentralisiertes Bürogebäude: mobile Pflege-Endgeräte, WLAN für unterschiedliche Benutzergruppen, Telefonie, Alarmierung, Kassen- und Zahlungssysteme, Zutritts- und Gebäudetechnik, medizinische Dokumentation, Drucker sowie IoT- und Dienstleisterzugänge müssen sauber getrennt und überwacht werden. Hinzu kommt der Standort Strahlegg mit eigenem Tagesstrukturangebot.

Was macht der Wagerenhof genau?

Der Wagerenhof bezeichnet sich als Kompetenz- und Dienstleistungszentrum für erwachsene Menschen mit kognitiven Beeinträchtigungen. Die Stiftung kombiniert sozialpädagogische Betreuung mit Pflege, medizinischer Versorgung, Beschäftigung und gesellschaftlicher Teilhabe.

Was lässt sich aus dem Angriff ableiten?

1. 1
   Soziale Einrichtungen sind Teil kritischer Versorgung

   Auch wenn eine Stiftung formal nicht als KRITIS gilt, betrifft ihr Ausfall unmittelbar pflegebedürftige und schutzbedürftige Menschen. Cybersecurity ist Teil der Bewohner- und Patientensicherheit.

2. 2
   E-Mail und Telefonie brauchen unabhängige Notfallkanäle

   Beim Wagerenhof waren zeitweise sowohl E-Mail als auch Festnetzkommunikation betroffen. Getrennte Notfalltelefone, Offline-Kontaktlisten und vorbereitete Web-Mitteilungen sind Pflicht.

3. 3
   Backups allein reichen nicht

   Moderne Ransomware sucht Backup-Systeme, verschlüsselt oder löscht sie. Backups müssen vom Produktivnetz getrennt, unveränderbar und regelmässig getestet werden.

4. 4
   Pflege-, Büro- und Betriebssysteme müssen segmentiert sein

   Ein Blumenladen, eine Krippe, die Finanzverwaltung und die Pflegedokumentation haben unterschiedliche Schutzbedürfnisse. Ein infizierter Kassen-PC darf nicht auf medizinische Systeme oder Backups zugreifen.

5. 5
   Identitäten sind der neue Sicherheitsperimeter

   Die meisten Ransomware-Angriffe beginnen mit gestohlenen Passwörtern, Phishing, manipulierten Fernzugängen oder kompromittierten Dienstleisterkonten – nicht mit spektakulären Exploits.

6. 6
   Wiederherstellung muss vorher geübt werden

   Ein Notfallplan auf Papier genügt nicht. Zu wissen, welche Systeme zuerst benötigt werden und wie Pflegeprozesse offline weiterlaufen, entscheidet über Stunden oder Wochen Ausfall.

7. 7
   Cyberrisiken gehören in die Leitungsebene

   Der Angriff zeigt: Cyberrisiken sind kein reines IT-Thema. Sie gehören in Stiftungsrat, Geschäftsleitung, Qualitätsmanagement, Pflegeleitung und Krisenorganisation.

Häufig gestellte Fragen