Ransomware-angrebet på Universitetshospitalet i Düsseldorf 2020

Sagen kort

Sagen om ransomware-angrebet på Universitätsklinikum Düsseldorf (UKD) den 10. september 2020 er et af de mest omtalte eksempler på, hvordan et cyberangreb mod et hospital kan få direkte, livstruende konsekvenser for patienter. En 78-årig kvinde døde efter at være blevet omdirigeret til et hospital i Wuppertal, da UKD's IT-systemer var lammet. Tyske myndigheder indledte efterforskning for uagtsomt manddrab, men afsluttede den uden tiltale, da der ikke kunne påvises en direkte årsagssammenhæng mellem angrebet og kvindens død. Ingen gerningsmænd er offentligt identificeret eller domfældt for selve cyberangrebet.

Forbrydelsen

Tirsdag den 10. september 2020 opdagede personalet på Universitätsklinikum Düsseldorf, at hospitalets IT-systemer var gået ned. Angrebet var udført med DoppelPaymer-ransomware og udnyttede en sårbarhed i Citrix-software, hvilket gav angriberne adgang til hospitalets netværk. Systemnedbruddet var omfattende: hospitalet var ikke i stand til at modtage akutpatienter og så sig nødsaget til at omdirigere dem til andre hospitaler i regionen.

Den umiddelbare konsekvens for en 78-årig kvinde, der havde brug for akut behandling, var, at hun blev sendt til et hospital i Wuppertal i stedet for det nærliggende UKD. Kvinden døde efterfølgende. Deutsche Welle rapporterede som en af de første internationale medier om politiets indledning af en drabsefterforskning i kølvandet på kvindens død, og sagen vakte international opmærksomhed som et potentielt eksempel på et dødsfald direkte forårsaget af et cyberangreb.

Angrebets omfang og karakter blev bekræftet af den tyske føderale cybersikkerhedsmyndighed, Bundesamt für Sicherheit in der Informationstechnik (BSI). BSI udsendte en pressemeddelelse den 17. september 2020, hvori myndigheden bekræftede sit samarbejde med de berørte parter og redegjorde for sagens tekniske aspekter.

Efterforskning

Düsseldorf-politiet indledte straks efter kvindens død en efterforskning for mistænkt uagtsomt manddrab (på tysk: fahrlässige Tötung). Det var en bemærkelsesværdig beslutning, der afspejlede alvoret i situationen: myndighederne ønskede at afklare, om cyberangrebet retligt set kunne anses for at have forårsaget et menneskes død.

The New York Times dækkede sagen indgående i september 2020 og beskrev den som en potentiel juridisk og etisk vandskillelinje i forståelsen af cyberkriminalitetens konsekvenser. Medicinsk og retlig ekspertise blev inddraget for at vurdere den kausale kæde fra angrebet til kvindens død.

Angrebet er offentligt forbundet med DoppelPaymer-gruppen og en sårbarhed i Citrix-software, men ingen gerningsmænd er på baggrund af de tilgængelige kilder offentligt identificeret ved navn eller retsforfulgt for angrebet på UKD.

Hospitalet arbejdede intenst på at genoprette sine systemer. Den 23. september 2020 – knap to uger efter angrebet – genoptog UKD sin akutmodtagelse, og hospitalets drift kunne gradvist normaliseres.

Retssag og dom

Efterforskerne nåede frem til, at der ikke kunne påvises en tilstrækkelig kausal forbindelse (årsagssammenhæng) mellem cyberangrebet og kvindens død til at rejse tiltale for uagtsomt manddrab. Efterforskningen på dette punkt blev derfor afsluttet uden, at nogen blev tiltalt i forbindelse med dødsfaldets direkte omstændigheder relateret til angrebet.

Forholdene omkring kvindens død er medicinsk og juridisk komplekse: det faktum, at hun måtte transporteres til Wuppertal i stedet for at modtage behandling på det nærmeste hospital, indgik i efterforskningen, men anklagerne konkluderede altså, at den nødvendige årsagssammenhæng ikke kunne løftes bevismæssigt.

For selve cyberangrebet er ingen gerningsmænd på baggrund af de tilgængelige oplysninger offentligt identificeret eller domfældt.

Sagen i dag

Sagen om ransomware-angrebet på Universitätsklinikum Düsseldorf har sat et varigt aftryk på den internationale debat om cybersikkerhed inden for sundhedssektoren. Forskning offentliggjort i det medicinske tidsskrift via PubMed Central har analyseret angrebets implikationer for hospitalers sårbarhed over for cybertrusler og behovet for robuste beredskabsplaner.

Sagen rejste og rejser fortsat centrale spørgsmål: Hvornår kan et cyberangreb retligt sidestilles med en handling, der forårsager en persons død? Og hvilke krav bør stilles til kritisk sundhedsinfrastrukturs cybersikkerhed? Disse spørgsmål er ikke afgjort med afslutningen af efterforskningen for uagtsomt manddrab – tværtimod er de blevet mere presserende i takt med, at angreb mod hospitaler og sundhedsvæsenet er fortsat på verdensplan i årene efter 2020.

KrimiNyt har valgt ikke at bringe ofrets navn i denne artikel af hensyn til den afdødes efterladte.