Thought Leadership
Mit Angriffen auf die kritische Infrastruktur, wie Gesundheitsversorger, erhalten Cyberkriminelle hohe Aufmerksamkeit in der Bevölkerung und Zugriff auf wertvolle Daten. Das macht Organisationen im Gesundheitswesen zu bevorzugten Zielen für Cyber-Attacken.
Phishing, Ransomware und Insider-Bedrohungen gehören zu den größten Cyber-Gefahren, denen sich Krankenhäuser und Kliniken gegenübersehen. Die zunehmende Digitalisierung macht es notwendig, Sicherheitsstrategien neu zu denken – insbesondere im Bereich des Identity and Access Management (IAM).
Besonders kritisch ist die Authentifizierung von Mitarbeitenden im Gesundheitswesen. Traditionelle Passwörter sind nicht nur ein Sicherheitsrisiko, sondern beeinträchtigen auch die Arbeitsabläufe. Ärzte sowie Pflegekräfte haben keine Zeit, komplexe Passwörter einzugeben oder sich mit vergessenen Zugangsdaten auseinanderzusetzen. Hier setzt die passwortlose Authentifizierung an: Sie verbessert nicht nur die Benutzererfahrung, sondern reduziert auch die Angriffsfläche für Cyberattacken.
Passwörter sind nicht die Lösung
Passwörter sind in vielen Bereichen nach wie vor Standard, doch sie bringen erhebliche Nachteile mit sich:
➧ Sicherheitsrisiken: Passwörter sind anfällig für Phishing, Brute-Force-Angriffe und Credential Stuffing.
➧ Gemeinsam genutzte Geräte: Medizinisches Personal arbeitet oft an gemeinsam genutzten Workstations oder mobilen Endgeräten, was die sichere Authentifizierung erschwert.
➧ Schlechte Benutzerfreundlichkeit: Lange und komplexe Passwörter sind schwer zu merken und führen zu ineffizienten Workflows.
➧ Hoher Verwaltungsaufwand: ITAbteilungen sind mit zahlreichen Passwortzurücksetzungen und Supportanfragen konfrontiert.
Ein vielversprechender Ansatz ist daher der schrittweise Übergang zu passwortlosen Lösungen, die sowohl die Sicherheit als auch die Effizienz verbessern. Dabei ist der Weg das Ziel.
Reifegradmodell für passwortlose Authentifizierung
Die vollständige Abschaffung von Passwörtern kann nicht von heute auf morgen erfolgen. Imprivata hat daher ein Reifegradmodell entwickelt, das Organisationen im Gesundheitswesen hilft, den Umstieg strukturiert zu gestalten.
Stufe 1 Reduzierung der Passworteingaben
In dieser Phase wird die Zahl der manuellen Passworteingaben drastisch gesenkt. Hier kommen Enterprise Single Sign-On (E-SSO) und „tap-and-go“-Lösungen zum Einsatz. Mitarbeitende im Gesundheitswesen nutzen dabei eine Chipkarte oder ein anderes sicheres Authentifizierungsmedium, um sich mit einer einzigen Berührung bei mehreren Systemen anzumelden.
Sofern das Applikationsdesign es zulässt sollte auch der Einsatz von integriertem Single Sign-on erwogen werden, auf Basis von „OpenID Connect“ (OIDC) oder „Open Authentication“ (OAuth), da diese mit verfügbaren Authentisierungsmethoden kombiniert werden können und einzelne Applikationen direkt auf Stufe 4 des Reifegradmodells heben.
Diese Technologie reduziert nicht nur den Zeitaufwand pro Anmeldung, sondern verringert auch die Versuchung, Passwörter aufzuschreiben oder mit Kollegen zu teilen – ein Problem, das im stressigen Klinikalltag oft vorkommt.
Stufe 2 Eliminierung von Passwörtern in kritischen Workflows
Sobald SSO implementiert ist, werden passwortlose Methoden gezielt für sicherheitskritische Anwendungen eingeführt. Dafür wird „tap-and-go“ mit Multifaktor-Authentifizierung (MFA) kombiniert. Für hohe Sicherheit sorgen Methoden wie FIDO-Sicherheitsschlüssel (Fast IDentity Online) oder biometrische Authentifizierung, die gegen Phishing resistent sind. Besonders im Bereich des privilegierten Zugriffs (z. B. bei Verwaltungs- oder Cloud-Anwendungen) ist dies entscheidend.
Bei diesem hybriden Ansatz verwenden Mitarbeitende ihre Dienstausweise, die bei Bedarf mit biometrischen Verfahren kombiniert werden.
Stufe 3 Maskierung von Passwörtern für Endnutzer
Ab diesem Punkt werden Passwörter für die Anwender unsichtbar. IT-Systeme übernehmen das Management der Passwörter und rotieren sie regelmäßig. Nutzer müssen sich nicht mehr aktiv Passwörter merken oder eingeben, da Authentifizierungsprozesse vollständig im Hintergrund ablaufen.
Dies verbessert die Sicherheit erheblich, da Nutzer nicht durch Phishing oder Social Engineering getäuscht werden können. Ein weiterer Vorteil: Längere, komplexere Passwörter können automatisch generiert und eingesetzt werden, ohne dass die Usability darunter leidet.
Stufe 4 Vollständige Abschaffung von Passwörtern
Die höchste Stufe besteht darin, Passwörter aus allen Systemen durch integriertes Single Sign-On zu eliminieren. Dies setzt voraus, dass alle Anwendungen die Protokolle der modernen Authentifizierungsstandards wie „OpenID Connect“ (OIDC) oder „Open Authentication“ (OAuth) unterstützen. In der Praxis wird es noch Jahre dauern, bis Organisationen diesen Punkt erreichen, aber bereits die Umsetzung der ersten drei Stufen bringt erhebliche Vorteile.
Sicherheit ohne Passwort
Bis zu fünf Lösungen sind für die vollständige passwortlose Authentifizierung notwendig:
#1 Tap-and-go: Nutzer melden sich per Badge/NFC-Token an und wechseln nahtlos zwischen Geräten.
#2 FIDO-Badges und Passkeys: Sicherheitsschlüssel basierend auf dem FIDO2-Standard ermöglichen Phishing-resistente Authentifizierung.
#3 Biometrische Authentifizierung: Gesichtserkennung oder Fingerabdruckscanner sorgen für eine intuitive und sichere Anmeldung.
#4 Secure Walk Away: Mithilfe von Bluetooth Low Energy (BLE) erkennt das System, ob sich der Nutzer in der Nähe befindet, und sperrt den Bildschirm automatisch bei Verlassen.
#5 Automatische Passwortrotation: Für nicht-passwortlose Legacy-Systeme werden komplexe Passwörter regelmäßig aktualisiert und per SSO verwaltet.
Diese Technologien lassen sich flexibel kombinieren und in bestehende IT-Infrastrukturen sowie medizinische Geräte integrieren. Damit können Krankenhäuser individuell entscheiden, welche Methode für welchen Workflow am besten geeignet ist.
Passwortlose Authentifizierung ist kein ferner Zukunftstraum, sondern muss das Ziel sein, um Cyberangriffe zu verhindern und die Effizienz im Gesundheitswesen zu steigern. Wer jetzt die Weichen stellt, erhöht nicht nur die Sicherheit, sondern entlastet auch sein medizinisches Personal.
Dirk Wahlefeld, Imprivata GmbH
Zudem sollte immer der Einsatz von standardisierter Technologie und Protokollen gegenüber proprietären Lösungen bevorzugt werden, um die Anpassungen der nächsten Jahre komplikationslos unterstützen zu können.
Die Zukunft des Gesundheitswesens ist passwortlos
Der Weg zu einem vollständig passwortlosen Gesundheitswesen ist ein schrittweiser Prozess, der nicht nur Technologie, sondern auch Change Management erfordert. Kliniken sollten mit den Bereichen beginnen, in denen Passwörter die größten Sicherheitsrisiken oder Usability-Probleme verursachen. Gemäß dem strukturierten Reifegradmodell können Organisationen den Übergang sicher und effizient gestalten.
Passwortlose Authentifizierung bietet zahlreiche Vorteile: Sie schützt vor Cyberangriffen, verbessert den klinischen Workflow und ermöglicht es medizinischem Personal, sich auf das Wesentliche zu konzentrieren: die Patientenversorgung.
