Schwachstelle Medical IoT Wie können Krankenhäuser ihre IT-Systeme schützen?

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

Auch im Gesundheitssektor steigt die Zahl der digitalen Angebote. Die Entwicklung zu einem intelligenten Krankenhaus ist unaufhaltbar und bietet große Chancen – aber auch Herausforderungen für die IT-Sicherheit.

Die Anforderungen an die IT-Sicherheit von Krankenhäusern sind bekanntlich groß, weil sie sensible Patientendaten verarbeiten, systemrelevant sind und größere Einrichtungen zu den kritischen Infrastrukturen (KRITIS) gehören. Sie müssen unter anderem das Patientenrechtegesetz, den IT-Grundschutzkatalog des Bundesamts für Sicherheit in der Informationstechnik (BSI) für Krankenhäuser und weitere europäische Normen erfüllen. Mindestens genauso lang wie die Liste der Anforderungen sind die Listen der IT-Herausforderungen und Cybergefahren.

Herausforderung IT-Sicherheit bei zunehmender Medical IoT

Vernetzten medizinischen Endgeräten, auch bezeichnet als Medical IoT, können selten regelmäßig aktualisiert werden. Das liegt zum einen an Hersteller- und Garantiebestimmungen, zum anderen sind viele dieser Geräte oft durchgehend im Einsatz. Sie für Updates vom Netz zu nehmen, ist in diesen Fällen keine Option. Die Vielzahl unterschiedlicher Geräte mit unterschiedlichen oder sogar veralteten Betriebssystemen wie Windows XP macht es zudem schwer, diese von der zentralen IT verwalten zu lassen. Zum Teil laufen diese Geräte auch einfach „unter dem Radar“ der zentralen IT und werden daher weder gepflegt, noch mit Sicherheits-Updates bespielt. Fest steht: Solange Security-Teams auf Wartungsfenster seitens Hersteller warten müssen, um IT-Sicherheit proaktiv umsetzen zu können, sind Krankenhäuser und Kliniken ein leichtes Ziel für Cyberkriminelle.

Doch selbst wenn ein Gerät alle nötigen Updates und Patches hat, bleibt immer noch der Faktor Mensch:

• Frei zugängliche USB-Ports an den Geräten können leicht kompromittiert werden.

• Krankhauspersonal verlässt für wenige Minuten das Sprechzimmer bei geöffneter digitaler Patientenakte.

• Patienten-Befunde werden für den Datentransfer unverschlüsselt auf Datenträger kopiert.

… um nur einige Beispiele zu nennen.

Der Gesundheitssektor – Lieblingsziel der Hacker

Laut der European Union Agency for Network and Information Security Science (ENISA) gibt es fünf Angriffsszenarien, die für intelligente Krankenhäuser und Medical IoT relevant sind:

1. Malware / Ransomware (Erpressungssoftware)-Attacken auf Krankenhausinformationssysteme

2. Lahmlegung von Krankenhaus-Servern

3. Social Engineering (E-Mail-Manipulation)

4. Manipulation von Geräten

5. Diebstahl von Geräten und Daten-Exfiltration

Malware- und Social Engineering- Attacken zielen auf den Menschen als Schwachstelle in der IT-Sicherheit ab. Beim ersten werden eMails mit infizierten Anhängen geschickt. Beim Klick auf den Anhang wird das Schadprogramm heruntergeladen, ausgeführt und die Systeme verschlüsselt. Gegen ein Lösegeld geben die Hacker den Code frei, mit dem die Systeme wieder genutzt werden können. Diese Vorgehensweise bei Krankenhäusern ist für Cyberkriminelle besonders erfolgsversprechend. Da lebenserhaltende Systeme betroffen sind, ist hier die Zahlungsbereitschaft hoch. Zudem verfallen Patientendaten wie Versicherungsnummer oder Krankenakten nicht so schnell. Kreditkarten dagegen können in wenigen Minuten gesperrt werden. So sind Kriminelle dazu imstande, auch Wochen nach dem Angriff Patientendaten zu missbrauchen.

Social Engineering bezeichnet das Versenden von gefälschten Mails, beispielsweise von Geschäftspartnern, um an Zugangsdaten zu kommen oder einen Geldtransfer an das Konto der Hacker zu initiieren. Um Daten abzugreifen, medizinische Geräte zu manipulieren oder das gesamte System lahmzulegen, benötigen Hacker nicht unbedingt Zugangsdaten. Ungeschützte Geräte im Umfeld von Medical IoT, nicht gepatchte Sicherheitslücken und Schatten-IT bieten ihnen genügend Einfallstore, um Krankenhaussysteme auf einfache Weise zu kompromittieren.

Moderner IT-Schutz für Krankenhäuser

Die Verantwortlichen für die IT-Sicherheit in Krankenhäusern stehen vor der Herausforderung, eine sehr heterogene IT-Landschaft mit unterschiedlich stark ausgeprägter Schatten-IT und vielen Einfallstoren für Cyberkriminelle abzusichern. Erschwert wird dies durch die strukturellen Rahmenbedingungen: Es fehlt nicht nur an Budget, IT-Fachpersonal, Know-how und einem Sicherheitsbewusstsein der Beschäftigten. IT-Verantwortliche unterliegen auch zahlreichen gesetzlichen Vorgaben. Eine Orientierungshilfe für Security-Teams liefert das BSI: den B3S Branchenspezifischen Sicherheitsstandard für Krankenhäuser und Kliniken jeglicher Größe. Darin sind angemessene IT-Maßnahmen hinsichtlich Datenintegrität, Vertraulichkeit und Verfügbarkeit festgelegt.

Nach dem BSI-Gesetz müssen Betreiber kritischer Infrastrukturen alle zwei Jahre in Audits nachweisen, dass ihre IT-Sicherheit auf dem Stand der Technik ist. Im Gesundheitssektor fallen darunter die Strukturen für stationäre Versorgung, Arzneimittel und Impfstoffe sowie Labore. Für neue Hard- und Software gilt zudem, dass sie vor dem Audit mindestens sechs Monate im Einsatz sein sollte.

Bei der skizzierten Bedrohungslage und der komplexen Krankenhaus-Infrastruktur gewährleistet ein Zero-Trust-Konzept die IT-Sicherheit, die Krankenhäuser benötigen. Ein Managed Security Service aus der Cloud eliminiert gleich mehrere strukturelle Herausforderungen für Verantwortliche im Gesundheitssektor:

• Kein zusätzliches Personal nötig: Der Security-Anbieter übernimmt die Wartung und Verwaltung der Lösung.

• Kein Know-how nötig: Auch hier bringt der Security-Anbieter seine Experten und Expertise ein.

• Budget wird weniger belastet: Ein Service aus der Cloud ist kostengünstiger, als alle erforderlichen Lösungen und Personalien selbst bereitzustellen.

• Proaktiver, flexibler Schutz: Cloud-Lösungen können direkt, schnell und einfach an neue Entwicklungen angepasst werden – unabhängig von Wartungsfenstern von Geräte-Herstellern.

• Richtlinien können zentral eingepflegt, konfiguriert und verwaltet werden.

Das Zero-Trust-Security-Konzept verfolgt die Maxime „never trust, always verify“ – nie vertrauen, immer überprüfen. Das Konzept ist das intelligente Zusammenspiel von verschiedenen Sicherheits-Tools. Es unterscheidet nicht zwischen internen und externen Nutzern und fragt für jeden Zugriff sowie jede Aktion die Zugriffsbefugnis ab. Cyberkriminelle können Sicherheitslücken nicht mehr ausnutzen und Schäden durch menschliches Fehlverhalten werden auch reduziert. So bekommen Anwender gerade so viele Zugriffsrechte, wie sie für ihre Arbeit tatsächlich benötigen. Multi-Faktor-Authentifizierung erhöht die IT-Sicherheit zusätzlich – vor allem in Zeiten von Bring Your Own Device und vernetztem Arbeiten, wo es keine herkömmlichen Systemgrenzen mehr gibt.

Intelligente Application Control und Device Control verhindern, dass unbekannte oder nicht-gelistete Anwendungen und Geräte gestartet werden. Wenn zum Beispiel Malware über Spam oder infizierte USB-Sticks ins System gelangt, wird die Ausführung des Schadprogramms direkt blockiert – ohne Mehraufwand für IT-Teams. Das Zero-Trust-Konzept umfasst auch fortgeschrittene Verschlüsselung zum Schutz sensibler Daten für Festplatten, Verzeichnisse, Dateien und USB-Sticks. All diese Maßnahmen unterstützen die Datenintegrität, Vertraulichkeit und Verfügbarkeit im Sinne des B3S-Sicherheitsstandards.

Krankenhäuser stehen beim Schutz ihrer Systeme vielen Cyberbedrohungen und strukturellen Herausforderungen gegenüber, die durch die fortschreitende Digitalisierung und den zunehmenden Einsatz von Medical IoT weiter verschärft werden. Mit Zero Trust Security aus der Cloud können Security-Verantwortliche die IT-Sicherheit in Krankenhäusern sowie die Einhaltung von gesetzlichen Vorgaben kostengünstig und effizient gewährleisten.

* Der Autor, Anton Kreuzer, ist CEO bei DriveLock.

(ID:46765792)