Herausforderungen und Lösungen für den Schutz kritischer Infrastrukturen Patient Security: Wie sich Krankenhäuser cyberresilient aufstellen

Anbieter zum Thema

Damovo Deutschland GmbH & Co. KG

Governikus GmbH & Co. KG

Gesundheitseinrichtungen gehören zu den Lebensadern der Gesellschaft. Eine rund um die Uhr verfügbare medizinische Versorgung ist entscheidend, um Menschenleben zu retten und zu erhalten. Neben dem geschulten medizinischen Personal kommt es dabei auch auf das technische Equipment an. Ob für die Beatmung oder die medizinische Diagnostik: Die Geräte müssen einwandfrei funktionieren.

Cyberangriffe sind für KRITIS-Unternehmen wie Krankenhäuser besonders gefährlich, können sie doch die häufig in einer Betriebstechnologie (OT)-Umgebung vernetzten Geräte lahmlegen oder Zugriffe auf Patientendaten verweigern. Daher ist es brisant, dass Gesundheitseinrichtungen verstärkt ins Visier von Cyberkriminellen geraten. Angreifer nutzen Lücken in der IT-Infrastruktur aus, um teils ganze Krankenhäuser betriebsunfähig zu machen. So waren auch die Wertachkliniken in Bobingen und Schwabmünchen im September von einem Cyberangriff mittels Ransomware betroffen. Die Folge: Eine Vielzahl an Operationen musste abgesagt werden.

Schwachstelle IT-Sicherheit

Um das Risiko für Cyberattacken einzudämmen, sind Gesundheitseinrichtungen aufgefordert, ihre IT-Sicherheitsmaßnahmen auf den Prüfstand zu stellen. Auch gesetzliche Vorgaben wie die NIS-2-Richtlinie zwingen das Gesundheitswesen, seine Sicherheitsstandards deutlich zu erhöhen und sich intensiver mit der digitalen Bedrohungslage auseinanderzusetzen. Doch welche Anforderungen kommen auf KRITIS-Unternehmen wie Krankenhäuser zu? Wie können sie diese trotz der strukturellen Nachteile angehen und sich gesetzeskonform aufstellen?

Gesundheitswesen

NIS-2-Richtlinie: Neue Ära der Cybersicherheit

Bei über 30.000 vollstationären Fällen pro Jahr gilt ein Krankenhaus als eine kritische Anlage. Ein erhebliches Sicherheitsrisiko geht dabei von den zahlreichen vernetzten medizinischen Geräten aus. Diese verursachen hohe Investitionskosten und werden daher oft jahrzehntelang eingesetzt. Folglich ist es nicht immer möglich, das neueste Betriebssystem aufzuspielen oder ein modernes Antivirenprogramm einzusetzen. Das macht sie angreifbar und erleichtert Cyberkriminellen den Zugriff. Lange Lebenszyklen der Geräte treffen auf den kurzen Lifecycle der IT. Darüber hinaus verstärkt der freie Zugang zu öffentlichen Gebäuden wie Krankenhäusern das Risiko, sich unbefugt Zutritt zu sensiblen Bereichen zu verschaffen. Diese Herausforderungen machen den Schutz von Gesundheitseinrichtungen zu einer zunehmend komplexen Aufgabe.

Risiken für Cyberangriffe

Ein erheblicher Aufholbedarf in Sachen Security besteht darin, laufende Anwendungen, einschließlich Hard- und Software, ins 21. Jahrhundert zu heben. Oft liegt der Fokus im „Tool-Dschungel“ nur auf einzelnen Bereichen – Lösungen und Systeme werden als Inseln eingesetzt, die Transparenz fehlt. Hinzu kommt der „Faktor Mensch“, der neben technischen Security-Lösungen entscheidend für die erfolgreiche Gefahrenabwehr ist. Dessen sind sich auch Cyberkriminelle bewusst und setzen beispielsweise Phishing-Mails immer professioneller auf. Für ein ungeschultes Auge oder einen schnellen Blick wird es zunehmend schwerer, Spam-Mails zu identifizieren – ihre Erfolgsquote bleibt unverändert hoch.

Obwohl in vielen Einrichtungen Prozesse zur Früherkennung solcher Hackerversuche existieren, mangelt es häufig an der praktischen Umsetzung. Mitarbeiter auf allen Organisationsebenen sind sich oft nicht bewusst, welche Rolle sie in der Sicherheitskette spielen. Das klassische Öffnen eines vermeintlich harmlos aussehenden E-Mail-Anhangs reicht oft aus, um Cyberattacken zu ermöglichen. Insbesondere kritische Rollen und Zugänge, zum Beispiel in der IT, im Datenmanagement oder im Finanzbereich müssen wachsam sein. Denn in diesen Bereichen werden sensible Daten verarbeitet. Kriminelle können diese für Erpressungsversuche nutzen, Geräte und Systeme verschlüsseln. Eine eingeschränkte medizinische Versorgung und wirtschaftliche Schäden sind die Folge.

Um dies zu verhindern, sind neben den technischen Maßnahmen auch organisatorische Anpassungen erforderlich, etwa das Personal in Cybersicherheitsfragen schulen und klare Abläufe für den Umgang mit Sicherheitsvorfällen etablieren.

NIS-2 in der Praxis: Umsetzung der IT-Sicherheitsrichtlinien

Für viele Krankenhäuser bedeutet es einen enormen Kraftakt, ihre IT-Landschaft genauer unter die Lupe zu nehmen. Daher empfiehlt sich ein schrittweises Vorgehen, um eine effektive Sicherheitsstrategie zu entwickeln. Diese Methode beinhaltet meist drei zentrale Schritte: Bestandsaufnahme, Risiken- und Schwachstellenmanagement sowie die Umsetzung langfristiger Security-Maßnahmen zur Sicherung einer durchgängigen Betriebsfähigkeit.

• Bestandsaufnahme
  Zunächst gilt es, sich einen umfassenden Überblick über die vorhandenen Strukturen und Lösungen zu verschaffen. Anhand dieser Bestandsaufnahme ist es möglich, erste Optimierungen vorzunehmen, zum Beispiel IT-Anwendungen zu bündeln und die IT-Infrastruktur zu verschlanken.

• Risiko- und Schwachstellenmanagement
  Sobald ein Überblick über vorhandene Schwachstellen besteht, lassen sich Lücken schließen und bestehende Risiken minimieren. Für eine ganzheitliche Sicherheit gilt es, die Prozesskette durchgängig zu gestalten und Abläufe eng aufeinander abzustimmen.
  Eine kontinuierliche Risikobewertung sowie ein Eskalationsprozess für neu entdeckte Schwachstellen sollten fester Bestandteil des Managementsystems sein.

• Incident Management und langfristige Maßnahmen
  Darauf aufbauend wird ein Maßnahmenkatalog entwickelt, der die Cyber-Resilienz nachhaltig erhöht. Dazu gehört der Aufbau eines Incident Managements, um im Angriffsfall schnell auf organisatorischer und technischer Ebene zu reagieren. So wird ein unterbrechungsfreier Betrieb des Krankenhauses sichergestellt. Wichtig ist dabei, auch in die Schulung der Mitarbeiter zu investieren. Dazu gehört nicht nur der geschulte Umgang mit der IT, sondern auch mit den Menschen, und verstärkt darauf zu achten, keinen fremden Personen Türen aufzuhalten. So wird sichergestellt, dass jede befugte Person Eingänge mit der eigenen Chipkarte öffnet und sich niemand unberechtigt Zutritt verschaffen kann.

Strategische Implementierung als Erfolgsschlüssel

Um Cyberbedrohungen nachhaltig zu begegnen, müssen Krankenhäuser die IT-Sicherheit strukturell integrieren. Dafür ist es erforderlich, IT- und OT-Systeme noch besser miteinander zu verknüpfen und mit den Geschäftsprozessen zu verzahnen – im Rahmen eines IT-Security-Konzepts, das die Leitplanken für eine höhere Cyber-Resilienz setzt und branchenspezifische Sicherheitsstandards, etwa der B3S, berücksichtigt.

Ein Informationssicherheitsbeauftragter (ISB) mit direktem Zugang zur Geschäftsführung sollte die Sicherheitsstrategie steuern, unterstützt durch ein dynamisches Risikomanagement, das kontinuierlich neue Bedrohungen bewertet und adressiert. Mit Notfall- und Krisenmanagementplänen sind Krankenhäuser zudem in der Lage, im Ernstfall schnell zu reagieren. Durch diese ganzheitliche Herangehensweise können sie trotz knapper Ressourcen eine robuste IT-Sicherheitsstrategie entwickeln und umsetzen, die langfristig vor Cyberbedrohungen schützt.

Der Autor: Robert Zeif, Director Business Development bei Damovo

(ID:50201489)