Wie man Cyberbedrohungen für Krankenhäuser mildert

Das deutsche Gesundheitswesen sieht sich großen Cyberbedrohungen und vielfältigen Angriffen aus dem Netz gegenüber. Diese Risiken sind Nebeneffekte der digitalen Weiterentwicklung im Gesundheitswesen. Denn Krankenhäuser und Co machen große Schritte in Richtung Digitalisierung: Die im Herbst 2018 beschlossene elektronische Patientenakte soll die Prozesse in Kliniken und Arztpraxen effizienter und schneller gestalten.

Als im Juli dieses Jahres die Mitarbeiter der 13 Krankenhäuser in Rheinland-Pfalz und im Saarland bemerkten, dass etwas mit den Computern nicht stimmte, war es schon zu spät. Die Kliniken der Trägergesellschaft Süd-West des Deutschen Roten Kreuzes waren nämlich einem Hacker-Angriff zum Opfer gefallen. Über den infizierten Anhang einer E-Mail wurde Ransomware in das System geschleust. Das Ergebnis: Sämtliche Datenbanken und Server wurden verschlüsselt und die digitale Kommunikation lahmgelegt. Die Mitarbeiter hatten keinen Zugriff auf wichtige Daten, sodass sie auf prädigitale Methoden zurückgreifen mussten, was Arbeitsprozesse verlangsamte. Bevor die Verantwortlichen ein Lösegeld fordern konnten, wurde der Virus aber glücklicherweise entfernt. Zwar kam bei diesem Angriff kein Patient zu Schaden, doch zeigt dieses Ereignis, dass sich das Gesundheitswesen neben den Vorteilen der Digitalisierung auch der Risiken und Gefahren bewusst sein muss.

Private und hochsensible Daten über Patienten werden heute digital gespeichert und versendet. Darunter fallen Diagnosen, Krankheitshistorien, Medikamentenpläne und andere Therapien. Darüber hinaus umfassen die elektronischen Patientenakten sensible Informationen wie Familienname, Krankenversicherung und Details zu Krankheiten physischer und psychischer Natur. All diese Informationen sind notwendig, um eine optimale Behandlung der Patienten zu gewährleisten. Dabei müssen sie allen Akteuren direkt und schnell zur Verfügung stehen. Dies beschleunigt nicht nur sämtliche Prozesse und gestaltet Arbeitsabläufe effizienter, sondern entlastet das Personal in Zeiten des Fachkräftemangels in deutschen Krankenhäusern. Die Digitalisierung und moderne Technologien bieten demnach reichlich Chancen für Krankenhäuser, alle internen Abläufe reibungslos aufrechtzuerhalten. Doch das Unterbringen medizinischer Geräte und die steigende Anzahl der Nutzer in einem System verwandelt die IT-Sicherheit in eine Zielscheibe für externe Bedrohungen, so die Erkenntnis der Universität Potsdam.

Ransomware: Hierbei handelt es sich um Programme, die geschäftskritische Bereiche im Netzwerk und Daten verschlüsselt, sodass nicht mehr auf sie zugegriffen werden kann. Sie gelangen zumeist über Phishing-Mails in das System: Eine E-Mail, die augenscheinlich von einem Mitarbeiter oder einer anderen bekannten Person versendet wurde, beinhaltet eine infizierte Datei im Anhang. Sobald dieser Anhang geöffnet wird, wird das Erpresser-Programm ausgeführt. Für die Freigabe der betroffenen Bereiche fordern die Verantwortlichen beträchtliche Lösegeldsummen.

Handel mit Patientendaten: McAfee konnte in einer Untersuchung zum Thema „Gefahren für das Gesundheitswesen“ nachweisen, dass im Dark Web ein Markt für Patientendaten existiert. Dort wird mit den Gesundheitsdaten zu Datensatzpreisen zwischen einem Cent und 2,42 US-Dollar in umfangreichen Datenpaketen gehandelt. Es verwundert nicht, dass intime und private medizinische Daten, die man ungern in den falschen Händen sehen will, als wertvolles Handelsgut im Internet betrachtet werden.

Laut der Krankenhausstudie des Beratungsunternehmens Roland Berger von 2017 waren 64 % der befragten Krankenhäuser bereits Opfer eines Hackerangriffs. Die wenigsten Krankenhäuser reagierten darauf mit einer Erweiterung ihrer IT-Abteilung (31 %). Stattdessen setzten sie in den meisten Fällen (98 %) auf eine Verstärkung der Firewall. Weiterhin führten 73 % der befragten Krankenhäuser nach einem Angriff Personalschulungen durch. Es ist wichtig, solche Schulungen regelmäßig durchzuführen, damit Mitarbeiter für das Erkennen von externen Bedrohungen (Phishing-Mails) sensibilisiert werden und angemessen darauf reagieren.

Neben der Aktualisierung veralteter Software und Betriebssysteme gibt es darüber hinaus Software-Lösungen zur Data Loss Prevention (DLP), die in das System integriert werden sollten. Diese identifizieren sensible Daten und schützen sie vor dem unberechtigten Zugriff Dritter. Damit DLP-Tools erfolgreich sind, müssen alle Mitarbeiter mit einbezogen sowie andere Tools für Monitoring und Identitäts-Management eingebunden werden.

Wichtige Daten werden in Cloud-Anwendungen zentral gespeichert und sind für alle Berechtigten direkt abrufbar. Sämtliche Arbeitsprozesse des Klinikpersonals werden beschleunigt und der notwendige Datenaustausch effizienter. Diese Optimierungen wirken sich entsprechend positiv auf die Behandlung der Patienten aus. Eine Studie von Frost & Sullivan schätzt den Umsatz für Cloud Computing in der Gesundheitsbranche auf rund zehn Milliarden Euro. Dies wird in der exponentiell steigenden Menge an Gesundheitsdaten begründet.

Zwar wird die Cloud als sicherer eingestuft als lokale Netzwerke, da die Daten jedoch zentral verfügbar sind, können auch sie zum Ziel für Hacker werden, was weitere Sicherheitsmaßnahmen erfordert. Cloud Access Security Broker (CASB) funktionieren sowohl für lokale Netzwerke als auch die Cloud und sind besonders für hybride IT-Landschaften geeignet. Sie erlauben die zentrale Überwachung des Datenverkehrs zwischen Nutzern sowie Cloud und sorgen dafür, dass lokale Sicherheitsrichtlinien auch in der Cloud durchgesetzt werden.

Eine Herausforderung besteht also darin, digitale Sicherheitsmaßnahmen zu etablieren, die internen sowie externen Bedrohungen entgegenwirken und eine optimale Behandlung der Patienten gewährleistet, ohne dabei an Effizienz einzubüßen. Software-Lösungen schützen lokale Netzwerke sowie Cloud-Anwendungen vor äußeren Einflüssen durch Unbefugte. Außerdem sollten Krankenhäuser in Betracht ziehen, in Sachen Personalaufstockung mehr in ihre hauseigene IT-Abteilung zu investieren. Ein erster wichtiger Schritt ist es, Mitarbeiter für externe Bedrohungen zu sensibilisieren. Krankenhausmitarbeiter sind schließlich auch nur Menschen, die Gefahr laufen, Cyberkriminellen unwissend die Tür für digitale Krankheiten zu öffnen.

Hans-Peter Bauer