Cyber-Sicherheit im Gesundheitswesen: Befund, Diagnose, Therapie

Das Gesundheitswesen ist nach wie vor einer der am häufigsten durch Hacker angegriffenen Bereiche. Es ist daher Zeit, lang aufgeschobene Hausaufgaben nachzuholen, um sich den neuen Ansprüchen und Risiken an ein digitalisiertes und geschütztes Gesundheitswesen zu stellen.

Umfassende IT-Sicherheitstechnologien, mögliche Fördergelder und starke Partner können die Therapie einleiten, die gerade angesichts der aktuellen Krisenlage nötiger erscheint, denn je.

Eine komplexe, oft veraltete und heterogene IT und Technik sowie eine fehlende Sicherheitsstrategie machen zum Beispiel Krankenhäuser zu einem lohnenden und erpressbaren Ziel für Hacker. Denn ein Ausfall der Systeme ist hier keine Option. Ebenso begehrt ist die Datenbeute: Je nachdem, wie vollständig die Informationen sind, können medizinische Unterlagen bis zu 1.000 US-Dollar im Darknet kosten. Nur US-Reisepässe sind mit einem Stückpreis von 1.000 bis 2.000 US-Dollar teurer.

Zudem sind die meisten Opfer im Gesundheitsbereich oft völlig unvorbereitet. Neben dem Geldmangel ist hier vor allem fehlendes Personal der Grund, wenn etwa in Deutschland mitunter zwei Mitarbeiter für die gesamte IT-Administration von drei verschiedenen Häusern zuständig sind und kaum Budget haben. Der Kostendruck dürfte angesichts einer in Deutschland laufenden und von Corona nur vorübergehend unterbrochenen Konsolidierung von Teilen des Gesundheitssektors weiter zunehmen.

Außerdem steigen die Ansprüche an die IT in einem zu digitalisierenden Gesundheitswesen. Gerade die aktuelle Krisen- und Gefahrenlage zeigen auf, dass Krankenhäuser immer mehr wie eine Kritische Infrastruktur zu behandeln sind. In der Administration erhöhen die steigenden Vorgaben in Sachen Datenschutz die Hürden für die Datensicherheit. Compliance-Regeln sind zunehmend einzuhalten – von der DSGVO über ISO-Zertifikationen bis hin zu Funkrichtlinien für technische Geräte.

Die Cybersicherheit im Gesundheitswesen leidet zudem immer noch unter folgenden Symptomen:

1. Ransomware

Gerade Krankenhäuser können Ransomware-Angriffe, die Daten verschlüsseln oder Systeme blockieren, nicht aussitzen, wenn man die Patienten weiter versorgen will. Hier gehen die Angreifer in Zukunft noch aggressiver vor: Einerseits durch automatisierte Angriffe auf unvorbereitete IT und andererseits durch gezieltere Ransomware-as-a-Service- (RaaS) Attacken, die mit Social Engineering auf die Entscheider im Personalwesen, der Administration und der Buchhaltung eingeleitet werden.

2. Risiken vernetzter Geräte

Im Gesundheitswesen steigt die Zahl der vernetzten medizinischen IoT- und OT- Geräte sprunghaft. Dennoch wird dieser Angriffsvektor oft noch vernachlässigt und vernetzte Geräte werden ohne die angebrachte Sorgfalt in Netzwerke integriert. Hacker kennen zudem die spezifischen Risiken dieser Hardware: Sie wissen, wie sie die fest kodierten Passwörter der meisten Geräte herausfinden können – und können darüber ins Netzwerk eindringen. Oft ist es gar nicht möglich, den Zugriff unbefugter Nutzer auf die Geräte zu verhindern. Erstaunlich häufig kommen Geräte zum Einsatz, die nur mangelhaft zertifiziert sind. Systeme mit veralteten, nicht mehr unterstützten Betriebssystemen sorgen mit der Zeit ebenso für neue Risiken.

3. Mangelnde Sichtbarkeit von Hardware

Viele Organisationen haben die IT in ihrer Gesamtheit nicht im Blick. So war die Verschlüsselung der Server im Lukaskrankenhaus in Neuss nur deshalb möglich, weil ein alter, nicht sichtbarer Client Administratorenrechte hatte und der Malware so die weitere Ausbreitung ermöglichte. Bei IoT und OT ist diese Gefahr noch grundsätzlicherer Natur, weil die meisten dieser Geräte dem Zugriff der internen IT-Organisationen gar nicht unterliegen.

4. Zero-Day-Sicherheitslücken nehmen weiter zu

Log4j hat gezeigt, dass Zero-Day-Sicherheitslücken nach wie vor großen Schaden anrichten und unzählige Unternehmen bedrohen können. Die Gesundheitsbranche ist anfälliger für derartige Schwachstellen, fehlende Aufmerksamkeit kann dazu führen, dass diese Lücken auf verstärkt ausgenutzt werden.

Therapievorschläge

Wer für die Sicherheit der Systeme und für die Gesundheit der Patienten sorgen will, sollte und kann an mehreren Stellschrauben drehen:

• Schutz aller Geräte:  Eine Extended-Detection-and-Response-Lösung (XDR) schützt nicht nur die gewöhnlichen Endpunkte, sondern auch Geräte, auf denen – wie im Falle von IoT – keine Möglichkeit besteht, Agenten zu installieren oder diese außerhalb der Kontrolle der IT-Verantwortlichen liegen.
   
• Kontinuierliches Management und Bewerten von Sicherheitslücken: Due-Diligence-Checks sowie das Bewerten und Verwalten von Schwachstellen sind zentrale Elemente, um potenzielle und existierende Lücken zu entdecken und zu schließen, bevor die Angreifer sie ausnutzen.
   
• Isolation von Netzwerk-Segmenten: Dadurch lassen sich Schäden eingrenzen. Wer schnell Netzbereiche voneinander trennt, kann zum Beispiel das weitere Ausbreiten von Ransomware verhindern.
   
• Identitätsmanagement: Dadurch lässt sich das Risiko eines Fehlverhaltens von Mitarbeitern verringern. Dies ist angesichts der Größe vieler Einrichtungen und der Anzahl vieler, oft in IT-Sicherheit nicht besonders erfahrener oder sicherheitsbewusster Mitarbeiter besonders wichtig.
   
• Penetrationstests: Sie testen die Reaktionsfähigkeit der eigenen IT-Abwehr und tragen dazu bei, gefährdete Organisationsteile bzw. Mitarbeiter zu identifizieren und Bereiche zu ermitteln, in denen die Reaktion auf Vorfälle sich verbessern kann.

Sich externe Expertise verschreiben

IT-Administratoren im Gesundheitswesen sind nicht nur überlastet, ihnen fehlt zudem häufig die notwendige Expertise oder die Zeit, eine solche aufzubauen. Sie kommen oft gar nicht dazu, sich mit IT-Sicherheit zu beschäftigen und auf konkrete Vorfälle zu reagieren. Eine Analyse von Anomalien im Verhalten von Endpunkten ist ihnen in der Regel erst recht nicht möglich.

Partnerwahl: Hilfe kann daher nur von Partnern mit entsprechendem IT-Sicherheits- und Branchenwissen kommen. So zum Beispiel beim Anbieterwechsel. Viele IT-Abteilungen wissen etwa nicht, wie vollständig die Deinstallation des alten Systems vonstattenging und wie viele Clients letztlich noch manuell neu zu konfigurieren sind. Denn neu anzulegende Regelsätze können im Live-Betrieb für alle Beteiligten unangenehme Effekte haben, deren Ursachen dann wiederum zeitraubend analysiert und behoben werden müssen. Hier können sich Partner mit ihrer Expertise einbringen und Roll-Out-Prozesse intensiv begleiten, um dieses Nacharbeiten so gering wie möglich zu halten und zeitnah reagieren zu können. Ein Value Added Reseller spielt hier eine wichtige Rolle und lässt sich buchhalterisch als Service-Posten im Budget separat ausweisen.

Sicherheitsanalysten: Ebenso wichtig sind Managed Detection and Response (MDR) -Dienste. Gerade größere Kliniken mit hochkomplexen Systemen, die aus Gründen der Compliance etwa ein SIEM oder ISMS (Security Information and Event Management bzw. Informationssicherheits-Managementsystem) bräuchten, können sich die notwendigen Technologien und Ressourcen mit einem externen Security Operation Center im Rahmen eines MDR-Dienstes kostengünstig anmieten. Das ist immer kostengünstiger und zugleich effizienter, als diese Technologie selbst anzuschaffen und zu betreiben. Und darüber hinaus bietet MDR die Expertise, den Rat und die aktive Unterstützung von Sicherheitsanalysten.

Gesundheit kostet Geld

Krankenhäuser können zudem seit letztem Jahr auf finanzielle Fördermitteln für ihre IT-Sicherheit zurückgreifen. Das Krankenhauszukunftsgesetz (KHZG) hat hier Bewegung in den Markt gebracht. Die Fördersumme ist – soweit es geht – gut planbar, allerdings sind Stand heute viele Anträge nicht bearbeitet. Hier besteht Nachholbedarf, denn es sollte nicht sein, dass die Organisationen ein System beantragen, welches durch Zeitverzug beim letztendlichen Implementieren nicht mehr zukunftssicher ist. Offene Sicherheitsplattformen und die sich ständig entwickelnden MDR-Dienste und -Berater können sich der Gefahrenlage flexibel anpassen und skalieren.