Cyberkriminalität im Gesundheitswesen darf nicht unterschätzt werden
Die Herausforderungen der Cyber-Resilienz und was Experten raten
Die fortschreitende Digitalisierung im Gesundheitswesen bringt neben zahlreichen Vorteilen auch erhebliche Risiken mit sich. Kliniken, medizinische Versorgungszentren und Großpraxen sind zunehmend Ziel von Cyberkriminellen, die es auf sensible Patientendaten und die Funktionsfähigkeit medizinischer Einrichtungen abgesehen haben. Die Folgen solcher Angriffe sind gravierend – verschobene Operationen, eingeschränkte Versorgung und immense Kosten. Die Bewältigung in betroffenen Einrichtungen kann sich über Wochen oder sogar Monate hinziehen.
„Obwohl sich heute viele Unternehmen mit dem Thema Cybersicherheit beschäftigen, wird das Risiko von Cyberangriffen noch immer unterschätzt“, warnt Thomas Lang. Er ist Partner und IT-Security Experte bei valantic und berät Unternehmen als sogenannter „Breach Coach“ und wird mit seinem Team immer dann gerufen, wenn diese Opfer einer Hacker-Attacke, eines Cyberangriff oder einer Ransomware-Erpressungen werden.
„Gefahren aus dem Cyberspace werden oft als nicht wirklich greifbar wahrgenommen“, weiß Lang aus seinem Berufsalltag. „Man liest über Hackerangriffe in der Zeitung. Aber einen solchen Angriff mit all seinen Folgen für das eigene Unternehmen zu durchdenken und mögliche Abwehrstrategien zu entwickeln, das wird leider oft vernachlässigt.“ Tritt dann eine Krise ein, sind die Unternehmen häufig unvorbereitet, es fehlt an kompetenten Krisenmanagern, Notfallpläne sind veraltet, Zuständigkeiten nicht eindeutig geklärt. „Oft werden zur Bewältigung solcher Situationen dann hektisch externe Dienstleister beauftragt, ohne zu klären, ob deren Angebote den langfristigen Sicherheitsbedürfnissen des eigenen Unternehmens überhaupt entsprechen“, sagt Lang.
Mit Krankenhausinformationssystemen (KIS) werden Patientendaten in Krankenhäusern zentral verwaltet. Diese Systeme sind mit verschiedenen anderen Systemen wie Radiologieinformationssystemen (RIS) und Laborinformationssystemen (LIS) vernetzt. Dazu kommen digitalisierte Gesundheitsdienste, die zusätzlich zu berücksichtigen sind. Wenn diese Systeme ausfallen, sind die digitalen Behandlungsprozesse massiv gestört oder fallen sogar komplett aus. Dann drohen Aufnahmestopps, IT-INFRASTRUKTUR CYBERRESILIENZ 12 | GESUNDzeit IT-INFRASTRUKTUR CYBERRESILIENZ Abmeldungen von der Notfallversorgung und das Verschieben von Operationen. Die größte Bedrohung für KIS-Systeme und ITNetzwerke im Gesundheitswesen sind Ransomware- Gruppierungen. Sie zielen meist nicht auf bestimmte Einrichtungen ab, sondern suchen allgemein nach angreifbarer Infrastruktur. Das Vorgehen ist immer gleich: Systeme werden gestört, Daten verschlüsselt und es wird mit Veröffentlichung gedroht, wenn nicht ein entsprechendes Lösegeld gezahlt wird.
Echte Bedrohungslage für Gesundsheitseinrichtungen
In den letzten Jahren hat die Anzahl der Cyberangriffe auf Gesundheitseinrichtungen signifikant zugenommen. Die Liste der betroffenen Kliniken ist lang. Allein in den vergangenen Monaten wurden die LUP-Kliniken, die Wertachkliniken, das Krankenhaus Agatharied, die Universitätsklinik Frankfurt oder auch der Bremer Klinikverbund „Gesundheit Nord“ Opfer eines Angriffsversuchs. Die Bedrohungslage ist also hoch. Ein besonders schwerwiegender Vorfall ereignete sich im September 2020 am Universitätsklinikum Düsseldorf. Durch eine Ransomware- Attacke wurden die IT-Systeme der Klinik lahmgelegt, was dazu führte, dass Rettungswagen umgeleitet werden mussten und eine Patientin laut Meldung des Deutschlandfunks möglicherweise infolgedessen verstarb. Der reguläre Betrieb konnte erst nach 13 Tagen wieder aufgenommen werden. Cybersecurity hat im Krankenhaus eine buchstäblich lebenswichtige Bedeutung. Regulatorische Vorgaben verlangen von den Betreibern daher, die Cyberresilienz zu erhöhen. Große Mengen an höchst sensiblen Gesundheitsdaten, die den bestehenden Vorschriften zum Datenschutz unterliegen, werden von den Krankenhäusern vorgehalten. Diese müssen gegen kriminelle Akteure abgesichert werden. Für alle Einrichtungen eines Krankenhauses oder einer Krankenhausgruppe in Deutschland greifen im Cyberzusammenhang verschiedene Bestimmungen, die Informationssicherheit, Patientensicherheit und Behandlungseffektivität sichern sollen. (KRITIS-Verordnung, NIS2- Bestimmungen, außerdem enthält das Sozialgesetzbuch relevante Cybervorgaben, die seit 1. Jauar 2022 für sämtliche Einrichtungen gelten (§ 75c SGB)).
Ursachen für die Anfälligkeit
Die Gründe für die erhöhte Anfälligkeit von Gesundheitseinrichtungen gegenüber Cyberangriffen sind vielfältig. Auf der einen Seite stehen komplexe IT-Infrastrukturen durch historisch gewachsene und oft heterogene ITSysteme. Das erschwert den Überblick und die Sicherung der gesamten Infrastruktur. Auf der anderen Seite ist es für die IT-Abteilungen, die operativ stark eingebunden sind, schwer, mit der wachsenden Bedrohungslage Schritt zu halten und gleichzeitig den laufenden Betrieb sicherzustellen. Besonders attraktiv für Cyberkriminelle sind Gesundheitseinrichtungen, weil sie hochsensible Patientendaten generieren und speichern. Diese sind besonders wertvoll für Erpressungen oder den Verkauf im Darknet.
Präventionsmaßnahmen für Gesundheitseinrichtungen
Um das Risiko von Cyberangriffen im Vorfeld zu minimieren, schlägt Thomas Lang, Partner bei der Unternehmensberatung valantic und Experte für Cyberkriminalität, folgende Maßnahmen vor:
- Regelmäßige Sicherheitsupdates: sicherstellen, dass alle Systeme und Anwendungen stets auf dem neuesten Stand sind, um bekannte Sicherheitslücken zu schließen.
- Schulung des Personals: Mitarbeiter regelmäßig in IT-Sicherheit schulen, um Phishing- Attacken und anderen Social-Engineering- Methoden vorzubeugen.
- Netzwerksegmentierung: Trennung kritischer Systeme vom restlichen Netzwerk, um im Falle eines Angriffs die Ausbreitung von Schadsoftware zu verhindern.
- Externe Sicherheitsüberprüfungen: regelmäßige Durchführung von Penetrationstests durch externe Experten sowie Vulnerability- Tests, um Schwachstellen frühzeitig zu identifizieren.
- Business Continuity Management: strukturierte Beantwortung der Frage, welche Geschäftsprozesse vor welchen Risiken zu schützen sind – und das nicht nur für Cyberkrisen.
Strukturierter Krisenplan für den Cyber-Ernstfall
Neben diesen Routinemaßnahmen zur Vorbeugung ist aber vor allem eine gründliche Vorbereitung auf den Ernstfall wichtig. „In den ersten Stunden und Tagen nach einem Hackerangriff fehlt es den betroffenen Organisationen meist an einem erprobten Cybersecurity-Krisenplan“, so Lang. Er empfiehlt, sich im Vorfeld auf Cyberangriffe vorzubereiten, einen Schrittfür- Schritt-Plan zu entwerfen und regelmäßige Trainingsmaßnahmen durchzuführen. „Eine gute Vorbereitung spart Zeit und minimiert Schäden im Ernstfall“, sagt Lang. Bei Ransomware-Attacken sind Teile oder sogar das gesamte IT-System stillgelegt und unbrauchbar. Die höchste Priorität gilt der schnellen Wiederherstellung der Arbeitsfähigkeit, da jede Downtime-Stunde das Funktionieren von Behandlungsprozessen beeinträchtigt und im Zweifel sogar die Gesundheit und das Leben von Patienten gefährdet – von den zusätzlichen hohen Kosten ganz abgesehen. „Die ersten Maßnahmen umfassen Gespräche mit den Verantwortlichen, um die Hektik zu reduzieren und ein genaues Bild vom aktuellen Status zu erhalten“, schildert Lang sein Vorgehen im Ernstfall. Es wird geprüft, welche ITSysteme betroffen sind, ob aktuelle Backups verfügbar sind und welche Prozesse am relevantesten sind. Auch die Frage nach der Bezahlung eines Lösegeldes muss diskutiert werden. „Priorität haben die größten Gefahren. Daher sollten schnell Maßnahmen eingeleitet werden, um diesen zu begegnen und die wichtigsten medizinischen und kaufmännischen Abläufe wiederherzustellen“, betont Lang. Sobald die priorisierten Prozesse sichergestellt und die Situation unter Kontrolle ist, folgt ein strukturierter Ablauf, um den Normalbetrieb wiederherzustellen und zukünftige Angriffe zu verhindern. Wie das Beispiel vom Universitätsklinikum Düsseldorf zeigt, kann das mehrere Wochen dauern.
Resilienz gegenüber Cybergefahren
Durch die Kombination aus Prävention, Schulung und klaren Reaktionsstrategien können Krankenhäuser, Kliniken und andere medizinische Einrichtungen ihre Widerstandsfähigkeit gegenüber Cyberangriffen erhöhen und somit die Sicherheit und das Vertrauen ihrer Patienten wahren. Die Bedrohung durch Cyberkriminalität im Gesundheitswesen ist real. Die Wahrscheinlichkeit, selbst betroffen zu sein, ist sehr hoch. Es stellt sich nicht die Frage, ob, sondern wann es zu einem Angriff kommt. Lang: „Wenn dann im Vorfeld die richtigen Maßnahmen getroffen wurden, sind Entscheidungsträger im Gesundheitswesen gut vorbereitet und können sofort und richtig reagieren.“ Genau wie Krankenhäuser und Rettungsdienste regelmäßig Katastrophenfälle und ihr Zusammenspiel in solchen Situationen üben, sollten auch Cyberangriff-Übungen regelmäßig durchgeführt werden.
Ihr Weg zu einer maßgeschneiderten Finanzierungslösung im Gesundheitswesen
Wir kennen die Branche und den Gesundheitsmarkt seit langer Zeit und verfügen über großes Know-how und viel Erfahrung. Unsere Berater entwickeln gemeinsam mit Ihnen ein Finanzierungskonzept, das optimal auf Ihre Bedürfnisse und technischen Ansprüche abgestimmt ist.
