Gesundheitswesen im Visier der Hacker
Diagnose Nachholbedarf
Krankenhäuser, Pflegebetriebe und Einrichtungen im Gesundheitswesen gehören seit Jahren zu beliebten Zielen von Hackern. Zugleich verschärfen der Trend zur Telemedizin und die immer stärkere Digitalisierung die Anforderungen in Sachen Cybersicherheit.
Der Artikel liefert unter anderem Antworten auf folgende Fragen:
- Wie gefährdet ist das Gesundheitswesen mit Blick auf Cyberbedrohungen?
- Mit welchen technischen Risiken hat die IT-Sicherheit im Gesundheitswesen zu kämpfen?
- Welche technischen Aspekte gilt es zu beachten, wenn man die Resilienz der IT-Systeme in Krankenhäusern verbessern will?
- Welche Hilfe können Krankenhäuser von extern erwarten?
- Wie können Organisationen des Gesundheitswesens die passenenden Sicherheitspartner bestimmen?
Krankenhäuser, Pflegebetriebe und Einrichtungen im Gesundheitswesen gehören seit Jahren zu den beliebtesten Zielen von Hackern. Gerade sie sind auf einen einwandfreien und reibungslosen Ablauf angewiesen, womit die Bereitschaft, Lösegeld bei Ransomware-Attacken zu zahlen, steigt. Gleichzeitig leiden gerade sie am Ressourcen-Mangel in Sachen IT-Sicherheit. Zugleich verschärfen der Trend zur Telemedizin und die immer stärkere Digitalisierung die Anforderungen in Sachen Cybersicherheit. Nur zeitgemäße Sicherheitstechnologien und starke Partner sowie externe Experten können als „Therapeuten“ der IT-Sicherheit helfen.
Das Zusammenspiel von veralteter und heterogener IT erleichtert es Hackern, ganze Systeme lahmzulegen oder sensible Patientendaten zu erbeuten. Lohnend, denn für diese bekommen sie im Darknet bis zu 2.000 Euro pro Datensatz. Und die Kette der lohnenden Angriffe hört nicht auf: Im November 2022 geriet das Klinikum Lippe in das Visier der Kriminellen, so dass die Verantwortlichen die gesamte Infrastruktur herunterfuhren und vom Netz trennten. Im Dezember konnte eine Klinik in Paris nach einer Attacke nur eingeschränkt weitere Patienten aufnehmen – ein ähnlicher Fall hatte sich schon vorher ereignet. Anfang Februar 2023 kam es zu Hacker-Attacken auf mehrere Kliniken, unter anderem in Schwabach und Gerolzhofen. Die Internetseiten der betroffenen Häuser waren für mehrere Stunden nicht erreichbar. Jüngst attackierten Kriminelle den Anbieter für E-Patientenakten Bitmark. Auf Krankenkassenseite erbeuteten sie im November in Australien sensible Informationen von Millionen von Kunden der Medibank.
Symptome
Die meisten Opfer sind oft völlig unvorbereitet. Darüber hinaus fehlt das Geld für eine vernünftige und umfassende IT-Abwehr: Genereller Einsparungsdruck, verstärkt durch die aktuellen betriebskritischen Kostenexplosionen für Energie, sorgt dafür, dass die Verantwortlichen an der IT wahrscheinlich auch weiterhin sparen werden. Der Mangel an qualifiziertem IT-Personal ist insbesondere in Krankenhäusern bereits deutlich spürbar. Mitunter sind zwei Mitarbeiter für die gesamte IT-Administration von drei Häusern verantwortlich.
Sie sollen aber zugleich zunehmende und strengere Regularien einhalten. Nachlässigkeit ist nicht erlaubt. Schon gar nicht von Krankenhäusern, die je nach Größe ein KRITIS-Unternehmen sind. Dies erhöht den Druck zusätzlich zu den bestehenden Regularien, die mit dem IT-Sicherheitsgesetz 2.0 und NIS2 noch umfangreicher werden. Die DSGVO bleibt überdies weiter ein scharfes Schwert des Datenschutzes. Daneben müssen die Zuständigen neben der IT-Sicherheit ISO-Zertifizierungen sowie Funkrichtlinien für technische Geräte berücksichtigen. Den wachsenden Aufwand kann eine ohnehin schon unterbesetzte IT nicht bewältigen.
Ansteckungsrisiken
Vor diesen technischen Risiken steht die IT-Sicherheit im Gesundheitswesen konkret:
Ransomware-Angriffe
Eine erpresserische Attacke ist für Krankenhäuser fatal. Denn es bleibt keine Zeit, diese einfach auszusitzen, wenn man gleichzeitig Patienten weiter versorgen will. Und die Angreifer gehen hier zukünftig noch aggressiver vor: zum einen durch automatisierte Attacken auf eine schlecht vorbereitete IT und zum anderen durch gezielte RaaS (Ransomware as a Service)-Attacken, die meist mittels Social Engineering auf die Entscheider im Personalwesen, der Administration und der Buchhaltung beginnen.
Risikofaktor IoT und OT
IoT- und OT-Geräte im Gesundheitswesen erhöhen das Risiko eines Angriffs deutlich. Denn diese sind in der Regel nicht mit der angebrachten Sorgfalt in Netzwerke integriert. Hacker nutzen die entstehenden Schwachstellen aus. Zudem haben die Geräte häufig fest-kodierte Passwörter, welche die Administratoren beim Einrichten nicht ändern. Diese sind nicht schwer herauszufinden und ermöglichen es dem Cyberkriminellen, ins System zu gelangen. Erstaunlich häufig kommen Geräte zum Einsatz, die nur mangelhaft zertifiziert sind. Systeme mit veralteten, nicht mehr unterstützten Betriebssystemen sorgen mit der Zeit ebenso für neue Schwachstellen.
Fehlender Überblick
Vielen fehlt der Überblick über die Gesamtheit ihrer IT-Strukturen. So war die Verschlüsselung der Server im bekannten Fall des Lukaskrankenhauses in Neuss nur deshalb möglich, weil ein alter und nicht sichtbarer Client Administratorenrechte hatte. Über diesen wurde der Malware dann die weitere Ausbreitung ermöglicht.
Zero-Day-Sicherheitslücken treffen gerade Krankenhäuser
Gerade die Gesundheitsbranche ist für derartige Schwachstellen sehr anfällig. Eine aus Zeitmangel resultierende mangelhafte Update-Disziplin sorgt dafür, dass Lücken lange bestehen bleiben.
Ganzheitliche Therapie erwünscht
Wer die Resilienz der IT-Systeme in Krankenhäusern verbessern will, sollte folgende technische Aspekte beachten:
- Alle Geräte in den Schutz einbinden: Eine Extended-Detection-and-Response-Lösung (XDR) überwacht nicht nur die gewöhnlichen Endpunkte, sondern auch Geräte, auf denen – wie im Falle von IoT – keine Möglichkeit besteht, Agenten zu installieren oder diese außerhalb der Kontrolle der IT-Verantwortlichen liegen.
- Kontinuierliches Management und Bewerten von Sicherheitslücken: Due-Diligence-Checks sowie das Priorisieren von Schwachstellen sind zentrale Elemente, um effektiv die gefährlichsten Lücken zu entdecken und zu schließen.
- Isolation von Netzwerk-Segmenten: Wenn Administratoren Teilbereiche des Netzes schnell voneinander trennen können, verhindern sie das Verbreiten von Malware und grenzen den Schaden effektiv ein. Dies ist vor allem bei Ransomware-Attacken wichtig, die ihre Gefahr dadurch entwickeln, dass sie so viele Systeme wie möglich lahmlegen .
- Identitätsmanagement: Eine sparsame Vergabe von Rechten an Mitarbeiter hilft, das Risiko von Fehlverhalten zu verringern. Das ist gerade bei großen Krankenhäusern wichtig. Viele Mitarbeiter in Krankenhäusern verstehen die Folgen ihres Handelns für die Datensicherheit nicht oder sind sich der Probleme nicht bewusst.
- Penetrationstests: Sie testen die Reaktionsfähigkeit der eigenen IT-Abwehr und tragen dazu bei, gefährdete Organisationsteile bzw. Mitarbeiter zu identifizieren und Bereiche zu ermitteln, in denen sich die Reaktion auf Vorfälle verbessern kann.
Hilfe von außen
Neben Zeit, Geld und Personal fehlt IT-Teams häufig die notwendige Expertise. Selbst dringende Umbauarbeiten wie zum Beispiel der Umstieg auf eine neue Lösung oder eine Cloud-Migration bringen daher große Probleme mit sich. Viele IT-Abteilungen tun sich schon schwer, das Vorgängersystem vollständig zu deinstallieren oder alle Clients manuell sicher und zweckmäßig neu zu konfigurieren. Neu anzulegende Regelsätze können im Live-Betrieb dann für alle Beteiligten unangenehme Effekte haben, deren Ursachen die IT dann wiederum zeitraubend analysieren und beheben muss. Hier können sich Partner mit ihrer Expertise einbringen und Roll-Out-Prozesse intensiv begleiten, um dieses Nacharbeiten so gering wie möglich zu halten und zeitnah reagieren zu können. Ein Value Added Reseller spielt hier eine wichtige Rolle und lässt sich buchhalterisch als Service-Posten im Budget separat ausweisen.
Wahl der richtigen Sicherheitsanalysten: Ebenso wichtig sind Managed-Detection-and-Response (MDR)-Dienste. Vor allem größere Kliniken mit hochkomplexen Systemen, die aus Gründen der Compliance etwa ein SIEM oder ISMS (Security Information and Event Management beziehungsweise Informationssicherheits-Managementsystem) bräuchten, können sich die notwendigen Technologien und Ressourcen mit einem externen Security Operation Center im Rahmen eines MDR-Dienstes kostengünstig anmieten. Den meisten Krankenhäusern ist es gar nicht möglich, eine solche Kompetenz intern aufzubauen.
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
