Infektionsschutz: Mehr Cybersicherheit im Gesundheitswesen

Florian Malecki, Vice President, International Marketing von Arcserve, erläutert im Text unten, wie Organisationen des Gesundheitswesens das Risiko eines Datenverlusts vermeiden und ihre wertvollen digitalen Ressourcen schützen können.

Organisationen im Gesundheitswesen haben durch die Einführung moderner Medizintechnik enorme Fortschritte gemacht, um ihre Effizienz zu steigern und die Qualität der Patientenversorgung zu verbessern. Die neuen Technologien reichen von der automatisierten Patientenverwaltung über Robotik in der Versorgung und Materialwirtschaft bis hin zu vernetzten IoT-Geräten, die den Gesundheitszustand von Patienten überwachen und vor Gefahrensituationen warnen.

Diese digitalen Helfer und Technologien sind enorm nützlich, aber stellen die Krankenhäuser und Gesundheitsorganisationen gleichzeitig vor eine Herausforderung: Sie erzeugen riesige Datenmengen, die gespeichert und geschützt werden müssen.

Das betrifft etwa die Daten, die durch Video-Sprechstunden und Ferndiagnosen anfallen – zwei Kategorien, die seit Beginn der COVID-19 Pandemie, stark angestiegen sind. Zum Beispiel werden viele Arzttermine heute virtuell über Telemedizin-Apps vereinbart und auch im Bereich der Video-Sprechstunde ist ein Fortschritt zu verzeichnen. All diese Daten und Fernberatungen müssen protokolliert und über den in der Medizin üblichen Zeitraum gespeichert werden. Zusätzlich werden zunehmend mehr Daten im Zusammenhang mit der digitalen Krankenakte und mit digitalen Gesundheitspässen erzeugt – beispielsweise durch COVID-19- Tests oder Impfzertifikate.

Entsprechend kann der Bedarf an Datenvolumen einer Gesundheitsorganisation schnell explodieren. Dabei geht es nicht nur um die wachsenden Datenmengen, sondern auch um die Ressourcen, die für die Speicherung, den Schutz und die intelligente Verwaltung all dieser Informationen erforderlich sind.

Angesichts dieses unaufhörlichen Datenwachstums und der Notwendigkeit einer ununterbrochenen Datenverfügbarkeit ist eine angemessene Speicherung und Datensicherung wichtig. Das gilt umso mehr, als die Gesundheitsbranche durch COVID erkannt hat, dass sie auch für sogenannte „Black Swan“-Szenarien gerüstet sein muss, also Ereignisse, die unvorhersehbar sind und zugleich schwerwiegende Auswirkungen haben können.

Es gibt drei Möglichkeiten, wie Organisationen des Gesundheitswesens das Risiko eines Datenverlusts vermeiden und ihre wertvollen digitalen Ressourcen schützen können.

1. Einen Plan erstellen und Mitarbeiter in Sachen Sicherheit schulen

Das schwächste Glied in der Sicherheit ist oft der Anwender. Im Gesundheitswesen kommen viele Anwender der Technologien nicht aus dem technischen Bereich. Sie kennen sich zwar in ihrem Fachgebiet aus, aber nicht so sehr mit den sich weiterentwickelnden Technologien und der zunehmenden Zahl von Endpunkten, an denen sie Daten eingeben bzw. Datensätze abrufen und verwalten. Diese Situation ist ein leichtes Spiel für eine Daten-Exfiltration und andere Malware-Angriffe.

In der Tat sind Organisationen im Gesundheitswesen zunehmend durch Cyberangriffe bedroht, insbesondere durch Ransomware-Angriffe, bei denen Dateien im Zusammenhang mit wichtigen Patientendaten und Informationssystemen eines Krankenhauses verschlüsselt werden und im Anschluss für deren Freigabe ein hohes Lösegeld gefordert wird. Mehr als ein Drittel der Gesundheitseinrichtungen war 2020 von einem Ransomware-Angriff betroffen. Von diesen gaben 65 Prozent an, dass die Cyberkriminellen ihre Daten während des Angriffs verschlüsselt haben, so das Cybersicherheitsunternehmen Sophos. Darüber hinaus prognostiziert Cybersecurity Ventures, dass das Gesundheitswesen im Jahr 2021 zwei- bis dreimal mehr Cyberangriffe erleiden wird als der Durchschnitt anderer Branchen.

Gesundheitseinrichtungen sind besonders anfällig für diese Art von Erpressung, weil sie auf aktuelle Informationen aus Patientenakten angewiesen sind. COVID-19 hat diese Anfälligkeit noch verstärkt. Sind die Daten dann erst einmal in der Hand der Cyber-Verbrecher, zahlen verständlicherweise viele Betroffene das Lösegeld, um nicht das Leben ihrer Patienten zu riskieren.

Was ist also zu tun? Ein erster Schritt ist die Einführung eines Programms zur Sensibilisierung für das Thema Datensicherheit. Mit einem solchen Programm können Mitarbeiter lernen, Phishing-E-Mails, die oft der erste Schritt zu einem Ransomware-Angriff sind, zu erkennen. Es gibt zahlreiche Lösungen, das Sicherheitsbewusstsein der Mitarbeiter zu schulen, etwa durch Simulation von Phishing-Angriffen.

Zusätzlich zum Training ist ein Notfallplan für die Wiederherstellung der Daten besonders wichtig. Gesundheitsorganisationen benötigen einen solchen Plan für den Fall, dass ihre Daten durch einen Cyberangriff oder etwa eine Naturkatastrophe gefährdet sind. Darin sollte festgelegt sein, welche Daten geschützt werden müssen, wie häufig Backups durchgeführt werden und wie schnell die Daten wiederhergestellt werden müssen. Der Plan sollte auch die notwendigen Schritte beschreiben, in welcher Reihenfolge kritische Systeme wiederhergestellt werden.