Hacking

Cybersecurity: Krankenhäuser müssen ihre IT schützen

Eigentlich sollen Mikrodefibrillatoren Menschenleben retten, doch mehreren Patienten in einer Osloer Klinik bringen sie den Tod. Ein bedauernswerter technischer Fehler oder kaltblütiger Mord? Klingt wie ein spannender Krimi? Ist es auch! „Kammerflimmern“ von Even und Anne Holt um genau zu sein. Dass Fiktion und Realität gar nicht so weit auseinanderliegen, zeigten die Ransomware-Angriffe auf Krankenhäuser, die jüngst zu verzeichnen waren. Massive Sicherheitslücken dominieren die IT-Infrastruktur von Krankenhäusern und Kliniken und das nicht nur in Deutschland. Von einem flächendeckenden Umdenken der Entscheider ist weit und breit keine Spur zu erkennen; lieber verharren sie offenbar auf ihrer Insel der Glückseligkeit.

Report: Melanie Günther

Photo: Cybersecurity: Krankenhäuser müssen ihre IT schützen
Quelle: panthermedia.net / sudok1

Dabei ist die potenzielle Gefahr noch wesentlich größer: Denn je nach Netzwerk- und Fehlerstruktur können auch Medizingeräte gekapert sowie Patientendaten gestohlen werden. Erst im Mai letzten Jahres wurden in den USA Spritzpumpen der Firma Hospira von extern gehackt. Durch gezielte Eingriffe in die Software konnte die eigentliche Dosierungsmenge so manipuliert werden, dass mehr Medikamente verabreicht wurden als das Gerät tatsächlich anzeigte. Die Patienten starben an einer Überdosierung. Die FDA veröffentlichte daraufhin mehrere Rückrufaktionen. Kurze Zeit später erschien ein stark beachtetes Papier der FDA, das darauf hinwies, dass theoretisch alle softwaregesteuerten PEMS (programmable electrical medical systems) angreifbar seien und daher die Zulassungsbedingungen diesbezüglich verändert würden. Anfang des Jahres zog die Aufsichtsbehörde weitere Konsequenzen und veröffentlichte einen Richtlinien-Entwurf, der Medizintechnikhersteller zu mehr Sicherheit verpflichten soll. Ein Zustand von dem wir in Deutschland noch weit entfernt sind.

Vernetzung und Industrie 4.0 machen angreifbar

Prof. Thomas Kriesmer, Professor an der Technischen Hochschule in Mittelhessen im Bereich Life Science Engineering (LSE) und geschäftsführender Gesellschafter des Technologie Institut Medizin GmbH (TIM), weiß aus langjähriger beruflicher Erfahrung und Lehrtätigkeit, dass alle medizinischen Geräte, die entweder über einen Netzwerkzugang verfügen oder untereinander vernetzt sind, potenziell gefährdet sind. „Das größte Problem besteht bei vernetzbaren Medizinprodukten. Hier muss man die provokante Frage aufwerfen: Warum müssen diese überhaupt vernetzt werden?“

Schuld daran sei die sogenannte Medizin 4.0, abgeleitet vom Begriff Industrie 4.0. Egal ob Electronic Health Record, Interoperabilität oder Telemedizin – das Verlangen nach allumfassender Konnektivität ist groß. Viele Einrichtungen rüsten von kabelgebundenen Systemen auf W-LAN und Bluetooth um. Ärzte rufen Patientendaten von zu Hause über eine VPN-Verbindung ab. Der Wunsch nach Vernetzung macht uns angreifbar. „Wir müssen uns daher dringend die Frage stellen: Wo liegt der Nutzen der Vernetzung? Muss wirklich jede Information transferiert werden oder nur solche, die nachgewiesenermaßen einen wirklichen Nutzen haben?“, gibt Prof. Kriesmer zu bedenken.

Gefahrenpotenzial wird steigen

Auch das Darknet entwickelt sich weiter: „Viren, Trojaner und Bots sind frei im Internet zu kaufen. Entweder bauen Sie sich selbst ein entsprechendes Angriffswerkzeug zusammen oder kaufen einen Hacker ein, der dies für sie übernimmt“, erläutert Sebastian M. Kriesmer, Marketing und Sales-Consultant bei TIM.

Schon durch eine einfache DOS-Attacke (denial of service) kann ein Gerät kompromittiert werden. Egal ob Beatmungsgerät, Spritzenpumpe, Monitor oder PACS – die Geräte reagieren nicht und schlagen in lebensbedrohlichen Situationen nicht mehr Alarm. Der Hacker hat dabei noch nicht einmal die Kontrolle über die Maschine übernommen! Die reine „Anwesenheit“ im Netzwerk reicht bereits aus. Darüber hinaus kann gezielt in die Kommunikation zwischen einzelnen Geräten wie Monitor oder Cockpit auf einer Intensivstation eingegriffen werden, um Daten wie beispielsweise Medikationsangaben zu manipulieren. Ein Modellversuch in Heidelberg hat gezeigt, dass Geräte direkt angesteuert und Parameter verfälscht werden können, so geschehen bei einem Anästhesiegerät.

Die Täter im Inneren

Was viele Krankenhäuser unterschätzen: Das größte Gefahrenpotenzial geht von unachtsamen Mitarbeitern, aber auch explizit ausgeführten Aktionen – meist gegen den Arbeitgeber – aus. „Ich möchte nicht wissen, wie viele Mitarbeiter einen ‚trojanerverseuchten‘ USB-Stick mitbringen, um sich die Nachtschicht mit ein paar Urlaubsfotos zu vertreiben“, gibt Prof. Kriesmer zu bedenken, „Oder Mitarbeiter, die Patienten allein im Behandlungsraum zurücklassen und damit keine Kontrolle haben, ob auf die Arztrechner zugegriffen wird. In den meisten Krankenhäusern werden Rechner und UBS-Ports nicht ausreichend geschützt.“ Dabei würden kleine Eingriffe wie der Passwortschutz auf dem Bildschirmschoner oder das Verbot, unbekannte USB-Sticks zu nutzen, schon helfen. „Würden diese trivialen Dinge umgesetzt, wäre die Einrichtung gegen akzidentielle Eingriffe weitreichend geschützt. Und das ist keine Frage des Geldes“, erläutert Prof. Kriesmer.

Mit der Kritis-Verordnung auf einem guten Weg

Der Teufel steckt jedoch in einem ganz anderen Detail: Krankenhäuser und Kliniken müssten im Fall des Falles erst einmal zugeben, dass ein IT-Sicherheitsproblem besteht oder sie gar Opfer eines Angriffes wurden. Prof. Kriesmer: „Krankenhäuser stehen im Wettbewerb zueinander. Verantwortliche geben daher nur in den seltensten Fällen zu, dass sie ein IT-Sicherheitsproblem haben. Zudem scheinen sie sich nicht ernsthaft für das Thema zu interessieren, sondern ignorieren derzeit die Gefahr.“

Sebastian Kriesmer räumt darüber hinaus ein: „Und das obwohl Krankenhäuser und Kliniken per Kritis-Verordnung, dem seit Juni 2015 geltenden IT-Sicherheitsgesetz, dazu verpflichtet sind, beim Bundesamt für Sicherheit in der Informationstechnik (BSI) Meldung zu machen. Diese Hürde muss aber überwunden werden, denn sobald das Landeskriminalamt oder der Verfassungsschutz eingeschaltet werden und mit der Forensik anfangen, tritt der Fall meist über verängstigte Mitarbeiter an die Öffentlichkeit.“   

Mit dem IT-Sicherheitsgesetz und der Kritis-Verordnung hat Deutschland dennoch im positiven Sinn Nägel mit Köpfen gemacht. Krankenhäuser und Kliniken sind verpflichtet innerhalb von zwei Jahren ihre Einrichtungen zu prüfen, mit einer Risikoanalyse zu bewerten und Sicherheitslücken zu schließen. Außerdem muss beim BSI ein Ansprechpartner benannt werden.

Alles eine Frage des Geldes – oder vielmehr der Reputation?

Ja und nein. Ein proaktiver Umgang mit Sicherheitsproblemen würde Vieles wesentlich einfacher machen. Aus Marketingsicht würde es Krankenhäusern möglicherweise sogar einen Wettbewerbsvorteil verschaffen, würden sie sich mit den eigenen Schwachstellen und Sicherheitslücken offen auseinandersetzen.

In großen Häusern stehen in der Regel für die Umsetzung einer sicheren IT-Infrastruktur genügend Ressourcen zur Verfügung und die Anforderungen der Kritis-Verordnung können gut umgesetzt werden. Kleineren Einrichtungen fehlt oft das nötige Kleingeld. Allerdings müssen die Lösungen nicht unbedingt teuer sein. Eine IT-Sicherheitsanalyse durch externe Beratungsdienstleister kann Probleme bereits eindämmen, ohne dass das Ziel der Vernetzung grundsätzlich ad acta gelegt werden muss.

Daneben müssen Mitarbeiter geschult und sensibilisiert werden. „Regelmäßige Schulungen mit aktuellen Inhalten und Informationen an die Mitarbeiter reichen bereits aus, um 80 Prozent Sicherheit auf breiter Ebene zu erzeugen“, ist sich Sebastian Kriesmer sicher. Auch die IT-Abteilung kann durch einfache Maßnahmen das System sichern, beispielsweise, indem Patches regelmäßig aktualisiert werden. Eine zentrale Steuerung der Abteilung kann helfen, den Verwaltungsaufwand zu minimieren.

Liebe Krankenhäuser- und Klinikentscheider, schützt eure IT-Infrastruktur!

Sicherheit kostet nicht Unmengen von Geld, sondern Engagement und vorausschauendes Denken. Szenarien wie sie im Roman „Kammerflimmern“ beschrieben werden, sind längst keine bloßen Fantasien des Autors mehr. Die Gefahr wird weiterhin steigen, solange die Medizin 4.0 ihren Einzug in die Krankenhäuser hält. Deshalb muss jetzt reagiert werden, um die gewünschte  Vernetzung auch sicher zu machen.

 

08.06.2016

Mehr aktuelle Beiträge lesen

Verwandte Artikel

Photo

Nagelprobe für Klinik-IT

Datensicherheit – das sollten Sie wissen

Im Juni 2019 wurde bekannt, dass vier Kliniken in Rumänien einem Erpressungstrojaner zum Opfer gefallen sein sollen. Derlei Computerschädlinge verschlüsseln Patientendaten und verlangen die…

Photo

Kritische Infrastruktur

Empfehlung zur Cybersicherheit von Medizinprodukten

Die Gefährdungslage für die Gesundheitswirtschaft hat sich in Bezug auf Cyberattacken deutlich verändert: Deutsche Krankenhäuser sind mehrfach mit Ransomware angegriffen worden, es gab…

Photo

Tatort Notaufnahme

Sicherheitskonzepte schützen Klinik-Mitarbeiter vor Übergriffen

Sie beschimpfen, bespucken und schlagen jene, die ihnen eigentlich helfen wollen: Übergriffe durch Patienten, Bewohner und deren Angehörige gehören inzwischen zum Arbeitsalltag für viele…

Verwandte Produkte

Agfa HealthCare – Dose

Dose Management Systems

Agfa HealthCare – Dose

Agfa HealthCare
Agfa HealthCare – DR 14e detector

DR Retrofit

Agfa HealthCare – DR 14e detector

Agfa HealthCare
Agfa HealthCare – DR 14s detector

DR Retrofit

Agfa HealthCare – DR 14s detector

Agfa HealthCare
Agfa HealthCare – DR 17e detector

DR Retrofit

Agfa HealthCare – DR 17e detector

Agfa HealthCare