Quishing, Smishing und Co.

Digitale Schutzmaßnahmen wie Netzwerksegmentierung, Zero Trust und Mehrfaktor-Authentifizierung sind heute Standard. Dennoch gelingt es Angreifenden regelmäßig, Kontrollen zu umgehen, weil der Mensch als Angriffsvektor genutzt wird. Social Engineering adressiert Vertrauen, Gewohnheit und kognitive Abkürzungen. Im Gesundheitswesen führt dies zu Datenabflüssen, Betriebsunterbrechungen und im Extremfall zu Patientengefährdungen.

Bedrohungslage und Risiken

Angriffe auf das Gesundheitswesen verbinden Vertraulichkeits-, Integritäts- und Verfügbarkeitsrisiken. Betroffen sind Patientendaten, medizinische Kernprozesse und das Vertrauen der Öffentlichkeit. Der europäische Threat-Landscape-Bericht ordnet Social Engineering weiterhin unter die zentralen Bedrohungen ein, parallel zu Ransomware und Datenangriffen.

Die Kombination aus einfachen Mitteln und psychologischen Mustern erklärt die hohe Erfolgsquote. Das gilt besonders dort, wo mobile Endgeräte, geteilte Arbeitsplätze, Schichtbetrieb und hohe Taktung die Aufmerksamkeit begrenzen.

Fallbeispiele aus dem Umfeld Medizin

Beobachtet werden unter anderem manipulierte Aushänge mit ausgetauschtem QR-Code, SMS mit Paket- oder Terminhinweisen auf gefälschte Portale sowie Anrufe angeblicher IT-Administratoren mit der Aufforderung zur sofortigen Passwortänderung. Ransomware-Ereignisse nach kompromittierten Konten führen zu verschobenen Operationen und eingeschränktem Betrieb.

Handlungsempfehlungen für Einrichtungen

1. Risikoanalyse mit Fokus auf menschliche Schwachstellen, besonders an Schnittstellen mit Patienten, Lieferanten und administrativen Prozessen.

2. Technische Basiskontrollen konsolidieren und um QR-Sicherheitsprüfungen erweitern.

3. Standardisierte Reaktions- und Notfallprozesse definieren und regelmäßig testen.

4. Fortlaufende Awareness mit Simulationen, Feedback und Führungsvorbild etablieren.

5. Entwicklungen zu Social Engineering und KI-Missbrauch kontinuierlich beobachten und Lessons Learned ableiten.

Fazit

Technische Maßnahmen sind notwendig, aber nicht hinreichend. Social Engineering adressiert systematisch den menschlichen Faktor und erfordert daher integrierte Abwehrstrategien. Wer Technik, Organisation und Mensch gleichermaßen stärkt, reduziert Ereigniswahrscheinlichkeit und Schadensausmaß messbar.

Literatur und Quellen

• sepp.med, Vortrag: Quishing, Smishing & Co. Die unterschätzten Einfallstore in die medizinische Infrastruktur, 17.10.2025. Vortrag_CySecMed 2025

• Bundesamt für Sicherheit in der Informationstechnik: Die Lage der IT-Sicherheit in Deutschland 2024. BSI

• BSI: Social Engineering. Grundlagen und Beispiele. BSI

• ENISA Threat Landscape 2024. September 2024. Kapitel Social Engineering, Ransomware und Datenbedrohungen. securitydelta.nl

• Geisler M. et al.: Hooked. A Real-World Study on QR Code Phishing, 2024. arXiv

• Kowalewski M. et al.: Scanned and Scammed. Insecurity by ObsQRity, USENIX Security 2025. USENIX

• Financial Times: Arup lost 25 mn in Hong Kong deepfake scam. 2024. Financial Times

• The Guardian: CEO of WPP targeted by deepfake scam. 2024. The Guardian

Hinweis zur Datenlage: Die Folien zitieren einen BSI-Wert von 30 Prozent Social-Engineering-Anteil im Gesundheitswesen. Im veröffentlichten Lagebericht 2024 findet sich diese sektorale Aufschlüsselung nicht wörtlich, die zentrale Bedeutung von Social Engineering wird jedoch bestätigt. Eine präzise Prozentzahl für den Sektor Gesundheitswesen lässt sich aus den frei verfügbaren Quellen nicht eindeutig belegen.