Attraktives Ziel für Hacker: das Gesundheitswesen
Auf dem Weg in ein digitalisiertes und sicheres Gesundheitswesen
Förderungsmaßnahmen der Bundesregierung treiben Modernisierung in Krankenhäusern und Kliniken voran
Von Stefan Rabben, Area Sales Director DACH and Eastern Europe bei Wallix
Der Staat hat gesetzlich festgelegt, dass in Krankenhäusern und Kliniken die Digitalisierung vorangetrieben und in die Cybersecurity der IT-Landschaft und der medizinischen Geräte investiert wird. Doch was fordert das Krankenhauszukunftsgesetz (KHZG) und inwiefern soll es zu mehr Sicherheit führen? Wie können Kliniken gemäß des KHZGs Interoperabilität und IT-Sicherheit stärken und wo die Fördermittel einsetzen? Was sind die Schwachpunkte der Kliniken und welche Rolle spielen Access- und Identitiy Management sowie Endpoint Privilege Management bei der Umsetzung von Sicherheitsmaßnahmen?
Das Gesundheitswesen ist eines der attraktivsten Ziele für Hacker. Denn es verfügt über die wertvollsten Daten und hat häufig noch keine so robusten Schutzmaßnahmen wie andere Branchen implementiert. Jüngste bekanntgewordene Opfer wie der Medizin Campus Bodensee im Januar 2022 oder die SRH Holding und das Städtische Klinikum Dessau im September 2021 sprechen Bände. Anfällige Geräten und äußerst wertvolle elektronische persönliche Gesundheitsdaten (Electronic Personal Health Information, ePHI) – die IT-Sicherheit ist für Krankenhäuser und Gesundheitsorganisationen auf jeder Ebene von entscheidender Bedeutung und spielt gerade bei KRITIS-Umgebungen eine fundamentale Rolle.
Krankenhäuser zählen aufgrund ihrer herausragenden Bedeutung für das Wohlergehen und den Schutz der Bevölkerung zu den Kritischen Infrastrukturen unserer Gesellschaft. Ihr Ausfall oder auch die Beeinträchtigung nachhaltig wirkender Versorgungsengpässe würde erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen nach sich ziehen. Kliniken haben daher eine besondere Verpflichtung, die Verfügbarkeit ihrer Dienste und der Prozesse, mit denen diese erbracht werden, zu gewährleisten und sicherzustellen
Das Krankenhauszukunftsgesetz regelt Digitalisierungs- und Sicherheitsprozesse
Die notwendige Digitalisierungsdynamik und der Sicherheitsdruck wird bereits seit einiger Zeit von der Bundesregierung begleitet und orchestriert. Jüngstes Beispiel ist das Krankenhauszukunftsgesetz (KHZG). Dabei handelt es sich um die in ein Gesetz gegossenen Rahmenbedingungen für die Finanzierung von Digitalisierungsvorhaben. Dabei werden vor allem diejenigen Entwicklungen von Prozessen gefördert, die auf einer funktionierenden Telematikinfrastruktur (TI) innerhalb der Krankenhäuser basieren. Das neue KHZG ist dabei eine logische Ergänzung der bereits existierenden Gesetzgebung des Ministeriums für Gesundheit, in der die Digitalisierung vieler Prozesse umfassend geregelt ist.
Zwei Dinge sind es vor allem, die der Gesetzgeber im KHZG von allen Krankenhäusern verlangt: Interoperabilität und IT-Sicherheit. Wer sich diesen Zielen nicht nachweislich annimmt, wird keine Förderung bekommen. Die Monate um den Jahreswechsel und das erste Quartal des laufenden Jahres waren und sind vor dem Hintergrund der TI-Einführung und KHZG-Förderung die "heiße Phase" für eine grundlegende Auseinandersetzung mit der Digitalisierung von Prozessen im Krankenhaus – angefangen bei der Zuweisung über die Aufnahme, die Behandlungsdokumentation und das Entlassungsmanagement bis zur Überleitung.
Die Fördergelder stehen seit dem 1. Januar 2021 zur Verfügung. Die Länder und/oder die Krankenhausträger müssen sich jedoch mit einem Eigenanteil von 30 Prozent an den jeweiligen Investitionskosten beteiligen. Für den Fall, dass dies nicht in ausreichendem Maße geschieht, wurde die Möglichkeit geschaffen, ein Sonderkreditprogramm der KfW in Anspruch zu nehmen. Alles in allem stehen dem Krankenhauszukunftsfonds rund 4,3 Milliarden Euro zur Verfügung. Es ist jedoch festgelegt, wofür die Gelder abgerufen werden können: So müssen mindestens 15 Prozent der beantragten Gelder für die Verbesserung der IT-Sicherheit ausgegeben werden.
Einführung eines Informationssicherheitsmanagementsystems unumgänglich
Und noch eine weitere gesetzgeberische Vorlage in Bezug auf das Thema Informationssicherheit kommt hier zum Tragen: Im Sozialgesetzbuch 5 mit dem Paragraphen 75c heißt es: "Krankenhäuser sind verpflichtet, {...} angemessene organisatorische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit sowie der weiteren Sicherheitsziele ihrer informationstechnischen Systeme, Komponenten oder Prozesse zu treffen {...} Krankenhäuser können die Verpflichtungen {...} erfüllen, indem sie einen branchenspezifischen Sicherheitsstandard für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus in der jeweils gültigen Fassung anwenden".
Diese Regelung ist zum 1. Januar 2022 in Kraft getreten. Das heißt im Umkehrschluss, dass im Laufe des Jahres 2021 zahlreiche Einrichtungen mit der Einführung eines Informationssicherheitsmanagementsystems (IMS) begonnen haben müssen. Denn, was bisher nur für Betreiber kritischer Infrastrukturen galt, ist seit 2022 auch für alle übrigen Krankenhäuser verpflichtend.
Das Ziel ist, dass bis zum Jahr 2025 alle Krankenhäuser den digitalen Verordnungen des Krankenhaus-Strukturfonds entsprechend ausgerüstet sind. Werden diese Anforderungen nicht erfüllt, droht eine Senkung der Diagnosis Related Group-Erlöse – kurz: DRG-Erlöse. Und zwar in der Höhe von zwei Prozent, was einen signifikanten Budgetposten darstellt.
Einsatzbarkeit, Praktikabilität und Usability stehen bei IT-Sicherheit im Vordergrund
Ein Teil des bereitgestellten Geldes muss also in sichere IT-Infrastrukturen investiert werden. Oberste Priorität sollten dabei alle Hardware- und Softwarekomponenten haben, die gewährleisten, dass Krankenhäuser in der Lage sind, Patienten vollumfänglich zu bedienen. Dazu gehören in erster Linie Portale, die notwendig zur Planung und Durchführung jeglicher Behandlungen, aber auch zur Bestellung von Medikamenten oder zur Einsatzplanung des Pflegepersonals sind.
Erfahrungsgemäß ist bei IT-Sicherheitsmaßnahmen in der Medizinbranche neben der gegebenen Sicherheit an sich vor allem die Umgänglichkeit der Maßnahmen im alltäglichen Betrieb von entscheidender Bedeutung. Eine IT-Sicherheitsmaßnahme, die vom Personal pro Patient eine erhebliche Wartezeit erfordert, ist kaum umsetzbar.
Einsatzbarkeit, Praktikabilität und Usability stehen daher im Vordergrund. Die Überarbeitung der Berechtigungen nach einem übergreifenden Berechtigungskonzept, in allen relevanten Systemen, ist dabei eine Maßnahme, die erfahrungsgemäß einen hohen Einfluss auf die IT-Sicherheit hat, aber kaum negativen Einfluss auf die Arbeit des Personals nimmt. Eine weitere beliebte Maßnahme ist die Einführung von Single-Sign-On. Das Pflegepersonal meldet sich nicht mehr am Stationscomputer mit Usernamen und Passwort an, sondern verwendet beispielsweise eine PKI-Karte mit einem PIN. So wird nicht nur die Anmeldung vereinfacht, sondern auch sichergestellt, dass ein Eindringling nicht nur eine PIN braucht, sondern auch die Karte an sich.
Daher spielt Identity und Access Management eine wichtige Rolle. Gerade in einem so kritischen Umfeld wie dem Gesundheitswesen spielt der Zugangsschutz eine erhebliche Rolle. Die Wallix-Lösungen sind bereits im KRITIS Umfeld etabliert, weil die Anforderungen der ISO 27001-Richtlinie beziehungsweise des entsprechenden B3S-Dokuments an die IT-Sicherheit durch den Einsatz dieser Lösungen effektiv erfüllt werden. Hervorzuheben sind insbesondere die Compliance-Anforderungen für einen dedizierten Genehmigungs-Workflow, die Kontrolle und Nachvollziehbarkeit sämtlicher Aktivitäten von externen Dienstleistern und internen Administratoren auf kritischen Systemen sowie die revisionssichere Speicherung dieser Daten in verschlüsselter Form.
Die branchenspezifischen Sicherheitsstandards für die Gesundheitsversorgung im Krankenhaus, B3S genannt, schreiben zudem vor, dass klar zu unterscheiden sein muss, welche Arbeiten auf diesen kritischen Systemen von internen Mitarbeitern und welche von externen Mitarbeitern oder Dienstleistern ausgeführt werden. Die bei diesen Arbeiten anfallenden Log-Informationen dürfen dabei unabhängig von den jeweiligen Zugriffsrechten des Benutzers beispielsweise im Verzeichnisdienst nicht manipulierbar sein. Identity & Access Security Lösungen ermöglichen dies durch die Etablierung eines geregelten Rollenkonzeptes, in dem zu jeder Zeit nachvollziehbar und kontrollierbar ist, welche Anwenderrolle der Lösung welche Aktionen vorgenommen hat.
Ransomeware-Angriffe sind die größte Bedrohung
Weit verbreitet sind Ransomware-Angriffe durch Schadprogramme, meist Verschlüsselungssoftware, mit deren Hilfe ein Eindringling den Zugriff des Computerinhabers auf Daten, deren Nutzung oder auf das ganze Computersystem verhindern kann. Für die Entschlüsselung der Daten verlangen die Erpresser häufig ein Lösegeld. Oft geht es jedoch um mehr als nur die Verschlüsselung von Systemen. Es könnte eine zweite Phase der Erpressung geben, in der es um die Offenlegung gestohlener Daten geht. Darum muss das oberste Gesetz lauten, gezielte Cyberangriffe und Ransomware-Attacken unbedingt zu verhindern.
Die Verteidigungsstrategie beginnt mit einer präzisen Erfassung aller angeschlossene medizinische Geräte (IoMT), die in ein Netzwerk eingebunden oder mit dem Internet verbunden sind. Hier geht es darum, die Angriffsfläche nach außen und innen zu reduzieren, das "Lateral Movement " (Erkundung des Netzwerks durch den Angreifer) zu verhindern und den Zugriff auf Server mit sensiblen Daten zu schützen. In diesem Rahmen sollte eine Whitelist für Unternehmensanwendungen, eine Greylist für gefährliche Anwendungen und eine Blacklist für die verschiedene Malware erstellt werden.
Privilegierte Konten und lokale Administratorrechte sind zu löschen. Vielmehr sollten Privilegien auf Anwendungs- und Prozessebene für genehmigte Verwaltungsaufgaben (Whitelist) erzeugt werden. Die Privilegien bei potenziell gefährlichen Anwendungen (E-Mail-Programme, Browser etc. mit Internet-Zugang) sind stark zu reduzieren, um den Zugriff auf sensible Ressourcen, unabhängig von den erweiterten Privilegien des Benutzers, zu verwehren (Greylist). Verhindern Sie, dass Malware, Ransomware, und Cryptoviren, Dateien ausführen oder verschlüsseln. Mit einem Endpoint Privilege Management wird ein Prinzip der wenigsten Privilegien (PoLP) mit nahtloser und granularer Berechtigungskontrolle auf Anwendungsebene erstellt. So wird verhindert, dass Ransomware, Malware und Cryptoviren ins Krankenhausnetzwerk gelangen – selbst wenn Benutzer über erweiterte Privilegien verfügen. Die Privilegien werden auf der Anwendungs- und Prozessebene kontrolliert und Verschlüsselungsoperationen mit innovativer Technologie zum Endpoint-Schutz gestoppt.
Niemand muss also ohnmächtig das Treiben der Hacker und Erpresser erdulden. Es gibt genügend starke Gegenmaßnahmen, die auf Basis einer Rechtevergabe von Mitarbeitern und Geräten, einer Zuordnung von Anwendungen zu den individuellen Rechten, einer engen Zusammenarbeit der Führungsebene mit der IT, auf geschulten Mitarbeitern und auf ausreichende Ressourcen sowie einer ständigen Anpassung der Security an neue Bedrohungsszenarien beruhen.
Auditing und Compliance im Bereich Cybersicherheit
Probleme bei der Einhaltung von Vorschriften zur Zugriffssicherheit sollten direkt mit soliden, Audit-sicheren Technologien angegangen werden, um die IT-Systeme zu schützen und die Datensicherheit zu gewährleisten. Bestimmungen und Standards des Bundeslandes, lokal und auf Branchenebene – von DSGVO über ISO 27001 bis hin zu PCI DSS – verlangen, dass Organisationen auf Maßnahmen zur Einhaltung der IT-Sicherheitsvorschriften beim Zugriff auf kritische Infrastrukturen und Daten reagieren.
Bei der Compliance muss die Geschäftsleitung darauf achten, dass im Betrieb keine unrechtmäßigen Handlungen begangen werden und auch die Datenschutzvorschriften nicht verletzt werden. Die Geschäftsleitung sollte jederzeit ein Vorbild der Mitarbeiter sein und IT-Security vorleben. Denn es zeigt sich regelmäßig: Der größte Schwachpunkt sind die Mitarbeiter, die durch ihr Verhalten wissentlich oder unwissentlich die Schutzmaßnahmen untergraben. Das nutzen Cyberkriminelle regelmäßig aus.
Die Sicherheit und der Schutz der Patienten stehen an erster Stelle. Dem hat sich alles unterzuordnen - mit Arbeitsabläufen und IT-Security-Maßnahmen, die diesen Schutz sicherstellen. In kaum einem anderen Land wird so viel über IT-Sicherheit und Datenschutz diskutiert wie in Deutschland. Es wird Zeit, die große Lücke zwischen Anspruch und Wirklichkeit zu schließen. (Wallix: ra)
eingetragen: 21.04.22
Newsletterlauf: 23.05.22
Wallix: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.
