Zugriffsmanagement Passwort ade: sichere IT im Krankenhaus

Anbieter zum Thema

Imprivata, Inc.

Governikus GmbH & Co. KG

In kaum einer anderen Branche ist der reibungslose Zugriff auf Informationen so entscheidend wie im Gesundheitswesen. Von der Art und Qualität der Verwaltung von Zugriffen auf das IT-Netz hängt es aber ab, ob Kliniken gemäß dem Stand der Technik die KRITIS-spezifischen Regelungen des BSI-Gesetzes erfüllen und damit besser gegen Cyberangriffe gewappnet sind.

Die Digitalisierung im Gesundheitswesen ist Fluch und Segen zugleich. Als die Patientenakte als Hängeregister im absperrbaren Zimmer aufbewahrt wurde, war die Sorge gering, jemand könnte die Mappe stehlen. Andererseits war das Assistenzpersonal stundenlang damit beschäftigt, Befunde zu organisieren und sie per Brief oder Fax mit Ärztinnen und Ärzten zu teilen. Mit der Digitalisierung ist das alles einfacher und schneller geworden. Aber mit steigender Cyberkriminalität erhöht sich der Aufwand für die IT-Administration und die Bedenken in punkto Datensicherheit sind groß. Zu Recht.

Passwörter als Sicherheitsrisiko

Eine IT-Infrastruktur bietet aufgrund ihrer Komplexität viele Angriffsflächen. Manche Schwachstellen können Cyberkriminelle leichter ausnutzen als andere. Ein relativ einfaches Einfallstor sind Authentifizierungen für den Zugang zu Computersystemen und Anwendungen. Mit ausgespähten oder geklauten Passwörtern haben in der Vergangenheit viele Krisen angefangen, ist oftmals sogar der Einbruch bis ins Herz der IT gelungen. Was folgte, war ein Stillstand des Betriebs, die Unfähigkeit zu handeln und zu kommunizieren. Für Unternehmen ist das schlimm, für Krankenhäuser ein Desaster. Wie lässt sich das Problem lösen, wie kann die Gefahr gegen Null reduziert werden?

Zugriffsmanagement auf Basis von Identitäten

Komplexe Zugangscodes in den Händen der Mitarbeitenden verkehren sich oft ins Gegenteil und wandeln sich in eine Unsicherheit. Denn je strenger die Vorgaben der IT-Abteilung für Passwörter sind, beispielsweise mindestens zehn Zeichen, durchmischt von Groß- und Kleinschreibung, Ziffern und Sonderzeichen, desto eher landen sie auf gelben Zetteln unter der Tastatur. Zumal, wenn erzwungen wird, dass Passwörter häufig geändert werden müssen.

Selbst Trainings für Mitarbeitende, die über die verschiedenen Angriffsmethoden aufklären, helfen dann nicht, wenn etwa ein gehackter Mailaccount von der Klinikleitung oder anderen Respektspersonen einen Mitarbeitenden zur Preisgabe seines Passworts auffordert. Die Methoden der Cyberschurken werden immer perfider und perfekter. Das Access Management muss deshalb auf Multifaktor-Authentifizierung umgestellt werden und ein Zero-Trust-Konzept unterstützen. Langfristig sollten Organisationen auf einen passwortlosen Zugang umstellen.

Der Zugang ins Netzwerk muss im Backend gelöst werden

Zugriffssicherheit muss für die Nutzerinnen und Nutzer einfach und effektiv einzuhalten sein, darf die Ausübung der eigentlichen Tätigkeit nicht einschränken und sollte sich nicht auf deren Vorsicht verlassen. Ein strategisches Access Management im Rahmen einer Identitätsstrategie ist die Lösung. Nur die nach Zweifaktor-Authentifizierung berechtigten Personen erhalten Zugang zu den für sie genehmigten Ressourcen. Diese Berechtigung ist mehrfach im Backend geregelt.

Für die Zweifaktor-Authentifizierung werden biometrische Methoden oder hardware-basierte Techniken eingesetzt. Bei der Einführung passwortfreier Authentifizierung werden verschiedene Technologien kombiniert:

• Biometrie: Die Authentifizierung erfolgt über Fingerabdruck oder Gesichtserkennung. Das bietet zum Beispiel „Windows Hello for Business“. Anwender können sich biometrisch, optional zusätzlich mit PIN oder Passkey in Windows und damit im Netzwerk anmelden.

• Besitzfaktoren wie Hard-/Software-Token mit FIDO2-konformen kryptografischen Schlüsseln für die Zwei-Faktor-Authentifizierung ersetzen Passwörter vollständig, sind einfach zu bedienen und schützen vor allen Cyberattacken, die es auf Passwort-Diebstahl abgesehen haben.

• Bluetooth Low Energy (BLE) dient der berührungslosen Authentifizierung. Die meisten Smartphones unterstützen BLE, weil es in vielen IoT-Anwendungen eingesetzt wird. Es bietet eine Reihe von Sicherheitsmechanismen wie Verschlüsselung und Authentifizierung bei der Datenübertragung über kurze Distanzen. Das Smartphone fungiert dann als Token.

• Die vierte Technologie, die für den passwortlosen Zugang relevant ist, ist Single Sign-On (SSO) in Kombination mit starker initialer Authentifizierung im 2FA-Verfahren. Bei SSO reicht die einmalige Anmeldung über das Endgerät im Netzwerk aus. Passwörter der einzelnen Anwendungen werden zentral vom SSO-System verwaltet und gemäß der Vorgabe der Anwendung erstellt und aktualisiert, ohne Zutun der Enduser.

Vor der technischen Einrichtung der passwortfreien Authentifizierung sind die gesetzlichen Regelungen wie die Datenschutz-Grundverordnung (DSGVO) oder eventuell auch andere branchenspezifische Vorschriften zu klären. Schließlich werden biometrische Kennzeichen von Personen und Identitätsnachweise gespeichert und verarbeitet. Dabei ist die Auswahl von Sicherheitsverfahren sehr wichtig. Sie sollten auf Standards und starker Verschlüsselung beruhen.

Der Abschied vom Passwort in vier Phasen

Auf die Schnelle ist der Übergang zur passwortlosen Authentisierung und Authentifizierung nicht zu machen. Dazu ist die IT-Infrastruktur meistens zu komplex, und viele Beteiligte müssen eingebunden werden.

Im ersten Schritt werden Single-Sign-On und eine passwortergänzende Authentifizierungsmethode eingeführt. Damit genügt eine Anmeldung, um an allen Systemen zugelassen zu werden. Bei sehr kritischen Anwendungen und Datenbereichen kann der Zugriff von Anfang an entsprechend eingeschränkt werden. Durch berührungslose Authentifizierung, etwa in Verbindung mit einem Mitarbeiterausweis, entfällt eine händische Eingabe des Passworts.

Im zweiten Schritt wird die passwortlose Anmeldung speziell für kritische Anwendungen ausgerollt. Dafür wird die berührungslose Authentifizierung mit der Multi-Faktor-Authentifizierung (MFA) kombiniert wie zum Beispiel Gesichtserkennung, Fingerabdruck oder Iris-Scan. Für beide Methoden ist keine Eingabe eines Passworts notwendig, daher sind sie gegen Phishing resistent und erhöhen das Sicherheitsniveau deutlich. Ein Teil des Zero-Trust-Konzepts ist Privileged Access Management, das bedeutet die rollenbasierte Freigabe von Zugriffen nur auf die Bereiche und Applikationen, die für die Arbeit wirklich nötig sind. Die Implementierung von PAM beginnt ebenfalls bei den unternehmenskritischen Systemen und Applikationen.

Im dritten Schritt werden Token und Biometrie eingesetzt. Der Anwender muss sich kein Passwort mehr merken. Die Passwortrichtlinien werden vom IT-System selbst überwacht und Passwörter bei Bedarf ohne Zutun des Nutzers geändert. Die Passwörter können stärker werden und Phishing oder Social Engineering bleiben erfolglos, was die Chancen eines illegalen Zugriffs über ausgespähte Passwörter praktisch gegen Null gehen lässt.

Der vierte Schritt ist, dass alle Anwendungen in Single-Sign-On integriert werden, wobei dafür moderne Authentifizierungsstandards wie OAuth (OpenAuthentication) oder OIDC (OpenID Connect) unterstützt werden sollten.

KRITIS-Organisationen sicherer ohne Passwörter

Kliniken zählen zu den kritischen Infrastrukturen. Wenn sie nicht funktionieren, leidet das Gemeinwohl. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) verlangt qua BSI-Gesetz von Unternehmen und Organisationen, die unter die Kritische Infrastruktur fallen, dass sie sich um die IT-Sicherheit gemäß dem „Stand der Technik“ kümmern. Die passwortlose Anmeldung an Systemen und Anwendungen wird kommen, auch wenn der „Stand der Technik“ vom Gesetzgeber nicht definiert ist und sich zwangsläufig laufend im Wandel befindet. Dazu ist die Entwicklung der IT-Technologie zu schnell und innovativ. Aber Passwörter, das lässt sich heute schon getrost behaupten, werden bereits in wenigen Jahren überholt sein.

Digitaler Arztbesuch

Dermatologische Erstbefunde per App

Baden-Württemberg

Land investiert 248 Millionen in Krankenhäuser

(ID:50444583)