Cybersicherheit - damit wir uns auf Krankenhaus-IT verlassen können.

Die Auswirkungen des medizinischen Fortschritts sind unübersehbar. Dahinter steckt auch immer mehr Technologie. Die Entwicklung zu "intelligenten" Krankenhäusern mit digitalen Endgeräten, vernetzten Systemen, Remote-Untersuchungen oder roboter-assisted durchgeführten Operationen ist unaufhaltbar und bietet große Chancen.

Die Digitalisierung im Gesundheitssektor schreitet voran

Mit der Digitalisierung und immer größeren Datenmengen steigt andererseits auch die Gefahr, sich Cyberangriffen auszusetzen, denn digitale Daten sind ein lukratives Angriffsobjekt.

Die Gefährdungslage hat sich durch die Corona-Pandemie noch einmal zugespitzt. Internetnetzung und Online-Kommunikation haben zugenommen. Kriminelle nutzen geschickt den gestiegenen Informations- und Aufklärungsbedarf der User aus, um durch gefälschte Emails zum Thema Corona an Zugangsdaten zu kommen bzw. User auf infizierte Seiten zu lenken und somit die Systeme zu infiltrieren.

Gerade jetzt, unter veränderten Arbeitsabläufen - z.B. durch Nutzung von IT-Systemen durch Verwaltungspersonal von zuhause - müssen Krankenhäuser ausfallsicher und zuverlässig arbeiten, um ihrem medizinischen Auftrag nachkommen zu können. Technische und organisatorische IT-Sicherheitsmaßnahmen müssen daher noch ernster genommen und konsequent umgesetzt werden. Leider führen neben immer raffinierteren Angriffstaktiken und der Expansion von Schadsoftware auch fehlendes Wissen bei Ärzten und Krankenhauspersonal, fehlende IT-Fachkräfte und zu geringe Budgets für IT-Sicherheit dazu, dass Gesundheitsunternehmen immer wieder Cyberattacken mit Erfolg zum Opfer fallen.

Angriffsszenarien

In dem Report der Agentur der Europäischen Union für Cybersicherheit ENISA werden fünf Angriffsszenarien beschrieben, die als besonders relevant für „Smart Hospitals“ angesehen werden. Als solche werden „intelligente“ Krankenhäuser beschrieben, die intelligent vernetzt und in der Lage sind, autonom Entscheidungen zu treffen. Dazu gehören z.B. mobile Endgeräte, Identifikationssysteme und vernetzte klinische Informationssysteme.

Diese 5 Angriffsszenarien sind:

• Malware / Erpressungssoftware-Attacken auf Krankenhausinformationssysteme
• Lahmlegung von Krankenhaus-Servern
• Social Engineering (E-Mail-Manipulation / -Fälschung)
• Manipulation von Geräten und
• Diebstahl von Geräten und Daten-Exfiltration
  
  

Regulatorien der IT-Sicherheit im Gesundheitssektor

Die Anforderungen an die IT-Sicherheit sind also hoch und sie liegen auf dem Tisch: DSGVO, IT-Grundschutz, KRITIS – letztlich gilt es die besonders sensiblen Patientendaten zu schützen und den Krankenhausbetrieb störungsfrei aufrechtzuerhalten. Die Liste der Cyber-Bedrohungspotenziale und der empfohlenen Maßnahmen ist bekannt; sie ist in nationalen und europäischen Leitfäden bzw. Empfehlungen, sog. Branchen-Standards, definiert.

Nach § 8a des BSI-Gesetzes (BSIG) müssen Betreiber kritischer Infrastrukturen nachweisen, dass ihre IT-Sicherheit auf dem "Stand der Technik" ist. Die deutsche Krankenhausgesellschaft hat sich daraus ihren eigenen Standard entwickelt. Der Branchenspezifische Sicherheitsstandard für Krankenhäuser steht als Orientierung allen Kliniken jeglicher Größe zur Verfügung und sollte als Maßstab für die Umsetzung angemessener IT-Maßnahmen dienen.

Laut Patientenrechtegesetz müssen die medizinischen Leistungserbringer revisionssicher aufzeichnen und bei Audits nachweisen, wann sie welcher Stelle in welcher Form Krankenunterlagen übertragen haben. Und unabhängig vom Wirtschaftszweig gilt die DSGVO. Gesundheitsdaten gelten als besonders sensibel und schützenswert.

WELCHE SCHUTZMAßNAHMEN WERDEN EMPFOHLEN?

Der B3S Branchenstandard für Krankenhäuser nennt folgende Maßnahmen und Instrumente: Schutz vor Schadsoftware und Maßnahmen zur Vermeidung und Erkennung von nicht authorisierter Software, Intrusion Detection & Prevention, sichere Multi-Faktor-Authentifizierung, Datenverschlüsselung und sicherer Umgang mit Datenträgern. Das schwächste Glied in der IT-Sicherheitskette bleibt aber der Mensch, der zu Fehlverhalten neigt und von Hackern ausgenutzt wird. Diesen gilt es zu sensibilisieren und auf Wachsamkeit zu schulen.

DriveLock bietet zu all diesen technisch-organisatorischen Maßnahmen Unterstützung und Lösungen an: Applikationskontrolle und Gerätekontrolle, zum Schutz vor Schadsoftware und Kontrolle mobiler Datenträger, Endpoint Monitoring & Detection-Werkzeuge, Datenverschlüsselung für Festplatten, Verzeichnisse, Dateien und externe Datenträger als auch eine Middleware zur effizienten Verwendung von Smartcards für die Multi-Faktor-Authentifizierung.

Zudem können durch unser Security Awareness-Modul Ärztinnen und Ärzte wie auch das Pflege- und Verwaltungspersonal kontinuierlich mit Informationskampagnen direkt am Arbeitsplatz geschult und sensibilisiert werden.

Mehr erfahren Sie in dem 17 seitigem Whitepaper „Cyber Security im Healthcare Sektor“, das Sie hier kostenlos herunterladen können.