Zusammenfassung

  • Der WannaCry-Ausbruch im Mai 2017 setzte den NHS einer Common-Mode-Störung aus: Viele lokale Pflegeorganisationen waren von verwundbaren Windows-Systemen, uneinheitlichem Patchen, gemeinsamen Serviceannahmen und Notfallkommunikation abhängig, die gemeinsam versagen konnten, als sich Ransomware über dieselbe Schwachstelle ausbreitete.
  • Die Verantwortlichkeitsfrage ist nicht, ob ein einzelnes Krankenhaus, eine Softwareversion oder ein Administrator die Störung verursacht hat. Es geht darum, wer praktische Kontrolle über die Entfernung alter Systeme, die Patch-Bereitstellung, die Vertrauens-Governance, die Netzwerksegmentierung, die zentrale Anleitung und den Nachweis hatte, dass die Versorgungskontinuität nicht mehr von einer ausnutzbaren Schwachstelle abhing.
  • Der National Audit Office, das Department of Health and Social Care, das National Cyber Security Centre, NHS Digital, Microsoft, CISA und Parlamentsberichte zeigen gemeinsam, dass ein Patch vor dem Ausbruch verfügbar war, dass viele Organisationen immer noch verwundbar waren und dass die öffentlichen Folgen abgesagte Termine, umgeleitete Krankenwagen und beeinträchtigte klinische Abläufe waren.
  • Dauerhafte Behebung sollte als Versorgungsschutz gemessen werden: Bestandsaufnahme, unterstützte Software, Patch-Compliance, Endpunkterkennung, Offline-Notfallpläne, lokale Übungsergebnisse, regionale Eskalation und board-sichtbare Nachweise, dass klinische Dienste degradieren können, ohne die Fähigkeit zur sicheren Patientenbehandlung zu verlieren.

Der Vorfall war Ransomware, aber die Abhängigkeit war älter

WannaCry erreichte den NHS am 12. Mai 2017 und nutzte eine wurmartige Windows-Sicherheitslücke, die bereits durch das Sicherheitsupdate MS17-010 von Microsoft behoben worden war. Microsofts Sicherheitsbulletin MS17-010 wurde im März 2017 veröffentlicht, und Microsofts Kundenleitfaden während der WannaCrypt-Angriffe beschrieb die Notwendigkeit, das Update anzuwenden, nicht unterstützte Systeme zu schützen und Angriffspfade zu blockieren. Die CISA-Warnung vom Mai 2017 und die öffentliche Stellungnahme von Europol zeigten, dass der Ausbruch global und nicht NHS-spezifisch war.

Die Bedeutung für den NHS ergab sich aus der gemeinsamen Exposition. Die Untersuchung des National Audit Office zu WannaCry und dem NHS ergab, dass der Angriff mindestens 80 der 236 NHS-Trusts in England sowie 603 NHS-Organisationen, darunter Hausarztpraxen und andere NHS-Einrichtungen, betraf. Die PDF-Version des vollständigen Berichts des NAO verzeichnete auch Tausende abgesagte Termine und Operationen, betroffene Krankenwagenumleitungen und die Tatsache, dass keine NHS-Organisation das Lösegeld zahlte. Diese Tatsachen machen den Fall zu einem Ereignis der Kontinuität öffentlicher Dienstleistungen, nicht nur zu einer Malware-Infektion.

Das Common-Mode-Problem bestand darin, dass viele Organisationen durch dieselbe Art von Schwäche versagen konnten. Ein lokaler Trust hatte möglicherweise einige Maschinen gepatcht, andere ungeschützt gelassen, sich auf nicht unterstützte Betriebssysteme gestützt, ältere Diagnose- oder Verwaltungssysteme mit breiteren Netzwerken verbunden oder verfügte über keine vollständige Bestandsaufnahme. Ein anderer Trust hatte möglicherweise stärkeres Patchen, war aber dennoch von regionalen Partnern, gemeinsamen Überweisungskanälen oder vernetzten Diensten abhängig.

Ransomware wird dann zu einem Kontinuitätstest für die gesamte Gesundheitsumgebung, da die Patientenversorgung von vielen lokalen Systemen abhängt, die gleichzeitig bereit sein müssen.

Die verantwortliche Frage ist praktisch. Wer hätte die gemeinsame Abhängigkeit vor Mai 2017 reduzieren können? Lokale NHS-Einrichtungen kontrollierten ihre eigenen Assets, die Patch-Disziplin, die Netzwerksegmentierung und die Business-Continuity-Übungen. Nationale Einrichtungen kontrollierten die Anleitung, den Finanzierungsdruck, die Sicherstellung, die Vertragserwartungen und die Sichtbarkeit ungelöster Risiken. Lieferanten kontrollierten die Supportbedingungen, die Patch-Verfügbarkeit und die Softwareabhängigkeiten medizinischer Geräte.

Minister und Gremien kontrollierten, wie lange alte Systeme als kostensparender Kompromiss toleriert wurden. Patienten kontrollierten nichts davon.

Ein Patch existierte, aber ein Patch ist keine Bereitstellung

Die Existenz von MS17-010 ist von zentraler Bedeutung, da sie den Unterschied zwischen Verfügbarkeit und Implementierung zeigt. Microsoft veröffentlichte das relevante Update vor dem Ausbruch. Diese Tatsache beweist nicht, dass jede NHS-Einrichtung eine einfache Anweisung ignorierte. Gesundheitsumgebungen beinhalten alte Geräte, herstellerqualifizierte Konfigurationen, klinische Planungsbeschränkungen und Netzwerke, die nicht immer ohne Service-Risiko geändert werden können. Aber es zeigt, dass sich das Problem von einer reinen Softwareschwachstelle zur Bereitstellungs-Governance verlagerte.

Ein auf einer Herstellerseite verfügbarer Patch schützt einen Patienten nicht, wenn die betroffene Maschine auf der Station, in der Klinik, im Labor oder im Verwaltungsbüro ungepatcht bleibt.

NHS Digitals CareCERT-Cyberwarnung CC-1353 warnte NHS-Organisationen vor der Anwendung von Microsoft-Updates und dem Schutz von Systemen. Die Lessons-Learned-Überprüfung des Department of Health and Social Care betonte später Asset-Management, Patchen, Antivirus, nicht unterstützte Systeme, Netzwerksegmentierung und Incident Response. Die PDF-Version der Überprüfung ist wichtig, weil sie Cyber-Bereitschaft als Systemverantwortung und nicht als einzelne technische Lösung behandelt.

Hier treten Lebenszyklus und Lock-in in die Verantwortlichkeitsakte ein. Nicht unterstützte Systeme werden oft behalten, weil ein Ersatz teuer ist, spezialisierte Software auf alten Plattformen basiert, klinische Geräte lange Lebensdauern haben und lokale Organisationen konkurrierenden Druck ausgesetzt sind. Jeder Grund kann nachvollziehbar sein. Der kombinierte Effekt ist gefährlich, wenn viele Organisationen dieselbe alte Schwäche teilen.

Das Softwarelebenszyklus-Risiko wird zu einer Abhängigkeit des öffentlichen Dienstes, weil der Gesundheitsdienst eine versteckte Kontinuitätsgefährdung mit sich führen kann, die Patienten erst entdecken, wenn Termine abgesagt werden.

Die Reparaturevidenz sollte daher die enge Behauptung vermeiden, dass „das Patchen verbessert wurde". Ein ausgereifter Nachweis würde zeigen, welche kritischen Systeme weiterhin nicht unterstützt werden, welche kompensierende Kontrollen haben, welche isoliert sind, welche Hersteller-Upgrade-Verpflichtungen haben, welche ohne klinische Geräteänderungen nicht ersetzt werden können und welche Gremien das Restrisiko in einer Sprache des öffentlichen Interesses akzeptiert haben. Alte Software ist nicht automatisch rücksichtslos. Ungesehene, unverwaltete alte Software im klinischen Betrieb ist das eigentliche Problem.

Zusätzliche Evidenzgrenze

Für NHS WannaCry machte alte Software zu einer gemeinsamen öffentlichen Dienstabhängigkeit, die zusätzliche Evidenzgrenze dient dazu, bestätigte Fakten, evidenzgestützte Schlussfolgerungen und unbekannte Informationen getrennt zu halten. Diese Trennung ist wichtig, da ein Ereignis, das NHS WannaCry Common-Mode-Dependency betrifft, je nach Akteur als technisches Problem, Vertragsproblem oder Kommunikationsproblem beschrieben werden kann.

Die Verantwortlichkeitsanalyse muss daher zur praktischen Kontrolle zurückkehren: Wer konnte die Konfiguration ändern, die Exposition begrenzen, die Erkennung beschleunigen, die Benachrichtigung autorisieren oder nachweisen, dass die Reparatur die betroffenen Benutzer erreicht hatte.

Diese Linse fügt einen sorgfältigen Test der Grundursache und des auslösenden Ereignisses hinzu. Der Auslöser erklärt, warum das Ereignis zu einem bestimmten Zeitpunkt sichtbar wurde; die Grundursache erfordert Evidenz zu Design, Kontrolle, Governance und Verifizierungsentscheidungen, die vor diesem Zeitpunkt existierten. Beitragende Bedingungen wie Abhängigkeit, Delegation, Änderungsfenster, Verträge, Protokolle und Anreize sollten bewertet werden, ohne eine Unternehmenserklärung als vollständige Wahrheit zu behandeln oder eine Möglichkeit in eine endgültige Schlussfolgerung zu verwandeln.

Dieselbe Disziplin gilt für Erkennungsversagen, Reaktionsversagen und Wiederherstellungsversagen. Die öffentliche Aufzeichnung sollte zeigen, wann das Signal gesehen wurde, wer die Autorität zum Handeln hatte, was Kunden oder Aufsichtsbehörden mitgeteilt wurde und welche zusätzlichen Evidenz die Schlussfolgerung stärker oder schwächer machen würde. Solange diese Elemente unvollständig sind, ist die verantwortungsvolle Schlussfolgerung keine zusätzliche Anschuldigung, sondern eine präzisere Karte von Verantwortung, Unsicherheit und den Identitäts- und Zugriffskontrollen, die ein späteres Audit überprüfen sollte.