Ransomware "WannaCry"

Hacker-Angriff: Auch Krankenhäuser müssen handeln

Der jüngste Hacker-Angriff mit der Ransomware „WannaCry“ unterstreicht eindrucksvoll die enorme Bedeutung der IT-Sicherheit. Das betrifft auch die Krankenhäuser, wie sich gerade in Großbritannien in erheblichem Umfang gezeigt hat. Derartige Angriffe auf die Krankenhaus-IT können erhebliche Folgen haben: Von der Aushebelung des Datenschutzes über Datendiebstahl, Verhinderung der Leistungsabrechnung mit massiven Folgen für die Liquidität bis hin zu vitalen Bedrohungen für Patienten durch Störungen der Medizintechnik beispielsweise in den Operationssälen oder der Intensivpflege.

In Deutschland verpflichtet die Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz (BSI-KritisV) Betreiber Kritischer Infrastrukturen dazu, erhöhte Anforderungen an die IT-Sicherheit ihrer Anlagen zu erfüllen. Sie gilt bisher jedoch nur für die Sektoren Energie, Wasser, Ernährung sowie Informationstechnik und Telekommunikation, sofern ihre IT-Anlagen bestimmte Schwellenwerte überschreiten.

Dass die Verordnung bislang keine Regelungen für Krankenhäuser enthält, rechtfertigt jedoch auch im Gesundheitswesen keineswegs eine Vernachlässigung der IT-Sicherheit. Denn unabhängig von ausdrücklichen gesetzlichen Anforderungen und den skizzierten, unmittelbaren Risiken sind Geschäftsführer und Vorstände der Sorgfalt eines ordentlichen Geschäftsmannes und damit zur IT-Compliance verpflichtet: Sie haben sich angemessen über mögliche IT-Risiken zu informieren und entsprechend notwendige Schutzmaßnahmen zu ergreifen. Damit ist ein tiefes Verständnis der eigenen IT-Systeme ebenso zwingend notwendig wie die kontinuierliche Schließung von Sicherheitslücken.

Auch aus datenschutzrechtlichen Gründen sollten Krankenhäuser die entsprechenden organisatorischen Maßnahmen (z.B. Handlungsleitfäden) schaffen, um im Krisenfall schnell und rechtssicher agieren zu können. Sofern personenbezogene Daten von Hacker-Angriffen betroffen sind, bestehen gemäß Bundesdatenschutzgesetz (BDSG) - und künftig auch der EU-Datenschutz-Grundverordnung (DSGVO) - unter bestimmten Voraussetzungen Meldepflichten gegenüber den Aufsichtsbehörden sowie Benachrichtigungspflichten gegenüber den betroffenen Personen. Im Falle einer meldepflichtigen Cyber-Attacke ist dann vor allem Schnelligkeit gefragt: Die Meldung hat unverzüglich (BDSG) und zukünftig nach der DSGVO spätestens innerhalb von 72 Stunden zu erfolgen.

 

Quelle: BDO

16.05.2017

Mehr aktuelle Beiträge lesen

Verwandte Artikel

Photo

IT-Sicherheit

Krankenhäuser im Visier von Hackern

Die jüngsten Cyberattacken gegen kritische Infrastrukturen (KRITIS) haben weltweit Schlagzeilen gemacht. Zu den potentiellen Zielen der Krminellen zählen auch Krankenhäuser – die Liste gehackter…

Photo

Messenger

Klinik integriert Chats in die Patientendokumentation

Das Universitätsklinikum Frankfurt hat als erstes Krankenhaus deutschlandweit die Weichen für die tiefe Integration eines Ende-zu-Ende-verschlüsselten Messengers gestellt. Leistungserbringer und…

Photo

Einrichtungen des Gesundheitswesens im Cybersecurity-Check

IT-Sicherheit: Schlechte Noten für Krankenhäuser & Co.

Krankenhäuser, Biotech- und Pharmaunternehmen gehen teilweise extrem lax mit hochsensiblen Patientendaten und medizinischen Forschungsergebnissen um. Laut dem neuen "Datenrisiko-Report für den…

Verwandte Produkte

Beckman Coulter – Remisol Advance

LIS, Middleware, POCT

Beckman Coulter – Remisol Advance

Beckman Coulter, Inc.
Image Information Systems - iQ-Web Portal

Portal Solutions

Image Information Systems - iQ-Web Portal

IMAGE Information Systems Europe GmbH
OR Technology ORCA - OR Cloud Archive

Portal Solutions

OR Technology ORCA - OR Cloud Archive

OR Technology (Oehm und Rehbein GmbH)
portal4med Referrer and Patient Portal

Portal Solutions

portal4med Referrer and Patient Portal

medavis GmbH
Newsletter abonnieren