Das übersehene Risiko Bekannte ausgenutzte Schwachstellen im Gesundheitswesen

Wenn im Gesundheitswesen über IT-Sicherheit gesprochen wird, wird ein Risikofaktor oftmals ausgeblendet. Ungepatchte Geräte im Netzwerk, die seit Jahren treu ihre Dienste verrichten, dienen gegebenenfalls als Einfallstor für Cyberkriminelle und Datendiebe.

Ein Hacker durchsucht das Internet mit Tools wie Shodan. Innerhalb weniger Minuten entdeckt er ein ungeschütztes Gerät in einem Krankenhaus: ein medizinisches Bildgebungssystem mit einer öffentlichen IP-Adresse, auf dem veraltete Software mit einer bekannten Schwachstelle (KEV) läuft. Mit minimalem Aufwand nutzt der Angreifer die Sicherheitslücke aus und dringt in das Netzwerk des Krankenhauses ein. Von dort aus verschafft er sich über ein falsch konfiguriertes Fernzugriffstool dauerhaften Zugang, erweitert seine Berechtigungen und entwendet Patientendaten. Kritische Systeme werden verschlüsselt, der Klinikbetrieb kommt zum Erliegen und sensible Informationen werden gegen Lösegeld zurückgehalten. Dieses durchaus realistische Szenario beginnt mit einem einzigen Gerät mit Internetanschluss, von dessen Gefährdung niemand etwas wusste.

Gerade im Healthcare-Bereich ist es eine große Herausforderung, Geräte mit Internetverbindung zu finden und zu verwalten. Die meisten Krankenhäuser wissen nicht, welche Geräte exponiert sind, welche davon Schwachstellen aufweisen und wie sie mit externen Netzwerken kommunizieren. Grundsätzlich lassen sich drei Gerätetypen unterscheiden – mit jeweils spezifischen Risiken:

• Mit dem Internet verbundene Geräte mit IP-Adressen: Hierzu zählen beispielsweise DICOM-Server oder Fernzugriffstools wie Citrix-Server, die über ihre IP-Adresse öffentlich zugänglich sind und häufig durch Firewalls oder Load Balancer geschützt werden. Diese verwenden Network Address Translation (NAT), um öffentliche IP-Adressen internen zuzuordnen und so vor Bedrohungen wie fehlerhaften Paketen oder Denial-of-Service-Angriffen (DoS) zu schützen. Risiken: Ungepatchte Schwachstellen oder Fehlkonfigurationen können sie angreifbar machen, etwa wenn NAT interne IP-Adressen nicht verschleiert. Ältere Systeme verfügen zudem oftmals nicht über moderne Sicherheitsfunktionen wie Verschlüsselung oder Authentifizierung.

• Geräte mit Internetzugang: Diese befinden sich in privaten Netzwerken, sind jedoch mit dem Internet verbunden. Im Gesundheitswesen sind dies vor allem PCs, Laptops, Smartphones und Geräte des Internet of Medical Things (IoMT) wie intelligente Pumpen sowie Betriebstechnik wie Gebäudeautomationssysteme. Risiken: IoMT-Geräte und Betriebstechnik vergrößern die Angriffsfläche deutlich. Experten gehen von einer Wachstumsrate von 40 Prozent bis 2032 aus. Idealerweise verfügen diese Geräte über Software-Agenten für die Sicherheit auf Geräteebene und Netzwerksteuerungen wie Firewalls, Netzwerkzugangskontrolle (NAC) mit Zugriffskontrolllisten (ACLs) und Proxys, um den Datenverkehr zu überprüfen und bösartige Websites zu blockieren. Ohne diese Schutzmaßnahmen können sie kompromittiert werden oder mit bösartigen Websites kommunizieren.

• Geräte mit Fernzugriffsanwendungen: Diese Geräte sind eine Untergruppe der Geräte mit Internetzugang. Sie führen Anwendungen wie TeamViewer oder AnyDesk aus, die Fernverbindungen ohne öffentliche IP-Adressen ermöglichen. Diese Tools werden häufig von Anbietern für Wartungszwecke verwendet. Risiken: Gerade in diesem Bereich finden sich zahlreiche, sowohl nicht verwaltete als auch nicht durch die IT-Abteilung genehmigte Anwendungen (Schatten-IT). Auf diese Weise können die entsprechenden Geräte Firewall-Regeln umgehen und es Angreifern ermöglichen, unbemerkt dauerhaften Zugriff zu erlangen.

Die Bedrohung durch diese Geräte wächst kontinuierlich. Laut einer Analyse des US-Gesundheitsministeriums (HHS) gehören bereits bekannte ausgenutzte Schwachstellen (KEVs) auf internetfähigen Geräten mittlerweile zu den drei häufigsten Angriffsvektoren für Cyberangriffe im Gesundheitswesen. Auch der Verizon Data Breach Investigations Report (DBIR) 2024 verdeutlicht diesen Trend: Das Eindringen in Systeme über exponierte, mit dem Internet verbundene Geräte hat Phishing als häufigste Ursache für Datenverstöße abgelöst.

Angreifer suchen gezielt nach Schwachstellen in der Infrastruktur von Krankenhäusern und nutzen nicht gepatchte oder falsch konfigurierte Systeme aus, um sich Zugang zu verschaffen. So geschehen 2024 beim Angriff auf den US-amerikanischen Dienstleister Change Healthcare: Die Angreifer nutzten eine bekannte Schwachstelle in einem exponierten Citrix-Server aus und entwendeten sechs Terabyte sensibler Daten, darunter Sozialversicherungsnummern von Patienten.

Hinzu kommt, dass viele medizinische Geräte auf veralteten Protokollen wie DICOM basieren und nicht über moderne Sicherheitsfunktionen verfügen. Ferner sind von Anbietern installierte Fernzugriffstools häufig falsch konfiguriert und verwenden Standardzugangsdaten. Ohne umfassende Transparenz bleiben Krankenhäuser blind gegenüber diesen digitalen Einfalltoren.

Auf dem Weg zu Transparenz und Kontrolle

Der erste Schritt zum Schutz von Geräten mit Internetverbindung ist eine umfassende Transparenz. Dabei kommt dem Exposure-Management eine Schlüsselrolle zu. Gemäß dem NIST Cybersecurity Framework 2.0 verfolgt es einen fünfstufigen Ansatz zur Identifizierung, Priorisierung und Reduzierung von Risiken:

• 1. Umfang: Definieren Sie die Umgebung – sei es ein gesamtes Krankenhaus, eine Abteilung oder ein Gerätetyp (z. B. IoMT, DICOM-Server oder Geräte mit Fernzugriffstools).

• 2. Identifizierung: Katalogisieren Sie alle Geräte innerhalb des Umfangs und erfassen Sie dabei detailliert deren Software, Firmware und zugehörige KEVs.

• 3. Priorisierte Risiken: Bewerten Sie Gefahren anhand der Auswirkungen auf Betrieb, Patientensicherheit und Systemkritikalität, um sich auf die dringendsten Bedrohungen zu konzentrieren.

• 4. Validierung: Arbeiten Sie mit Geräteherstellern zusammen, um das tatsächliche Risiko von Schwachstellen zu erkennen und empfohlene Abhilfemaßnahmen zu ermitteln.

• 5. Maßnahmen zur Risikominderung: Implementieren Sie Lösungen wie Patches, Netzwerksegmentierung, Firewall-Regeln, das Schließen unnötiger Ports oder den Einsatz von NAC mit ACLs und Proxys, um den Datenverkehr zu begrenzen.

Spezielle Lösungen für den Healthcare-Bereich unterstützen das Exposure-Management für alle drei Gerätetypen. Mithilfe von Deep Packet Inspection, KI-gestütztem maschinellem Lernen und kontinuierlicher Verkehrsüberwachung identifizieren sie Geräte mit öffentlichen IP-Adressen, mit dem Internet verbundene IoMT-Geräte und solche, auf denen Fernzugriffsanwendungen ausgeführt werden. Zudem werden Fehlkonfigurationen erkannt und gefährliche Kommunikationen identifiziert. Intelligente Systeme erstellen wichtigen Kontext und liefern Antworten auf Fragen wie: „Soll dieses Gerät mit dem Internet verbunden sein?“ „Entspricht sein Datenverkehr den Sicherheitsrichtlinien?“ Mit diesen Informationen können Krankenhäuser Firewall-Regeln durchsetzen, Netzwerke segmentieren, NAC und Proxys einsetzen oder Software-Agenten installieren, um Risiken zu reduzieren und Bedrohungen einzudämmen. Und das ist dringend erforderlich, denn derzeit spricht nichts dafür, dass Cyberkriminelle vom Gesundheitssektor als einer ihrer bevorzugten Branchen abrücken würden.

Der Autor: Thorsten Eckert ist Regional Vice President Sales Central bei Claroty.

KIS

Heldenepos oder Epic Fail?

Digitale Gesundheitskompetenz im Alter

vdek wird Partner des DigitalPakt Alter

(ID:50664680)