IT-Sicherheit in KRITIS-Krankenhäusern So schützen sich Krankenhäuser gegen Cyberkriminelle

Mit der durch die Corona-Pandemie beschleunigten und weiter fortschreitenden Digitalisierung werden auch die Möglichkeiten für Cyberkriminelle immer größer. Besonderen Schutz vor ihren Angriffen bedürfen die so genannten kritischen Infrastrukturen (KRITIS), zu denen auch Krankenhäuser zählen.

In Deutschland regelt das IT-Sicherheitsgesetz seit 2015 verbindliche Mindestanforderungen und Meldepflichten für die Betreiber kritischer Infrastrukturen (KRITIS), also Systeme mit wichtiger öffentlicher Bedeutung, an das Bundesamt für Sicherheit in der Informationstechnik (BSI). Das BSI definiert KRITIS als „Organisationen oder Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen, bei deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen eintreten würden.“ Dies betrifft die Sektoren Energieversorgung, Informationstechnik und Telekommunikation, Transport und Verkehr, Wasser, Ernährung, Finanz- und Versicherungswesen, Staat und Verwaltung, Medien und Kultur sowie Gesundheit. Krankenhäuser zählen zu den kritischen Infrastrukturen, wenn sie mindestens 30.000 vollstationäre Behandlungsfälle pro Jahr verzeichnen.

Schwachstellen der KRITIS-Krankenhäuser

Viele Krankenhäuser sind derzeit unzureichend vor Cyberangriffen geschützt und verfügen oft über veraltete Software ohne die notwendigen Updates, die bekannte Schwachstellen schließen. Hierzu fehlen im Alltag häufig schlicht die Zeit oder die notwendigen IT-Kenntnisse. Besonders lebenswichtige medizinische Geräte können nicht einfach kurzfristig vom Netz genommen werden, um ein notwendiges Update zu installieren. Auf der anderen Seite bietet veraltete Software Cyberkriminellen ein Einfallstor für ihre Angriffe, was für den Patienten schwerwiegende, wenn nicht sogar tödliche Folgen haben kann – eine Pattsituation. So legten beispielsweise Cyberkriminelle über eine Sicherheitslücke in VPN-Lösungen von Citrix im September 2020 das Universitätsklinikum Düsseldorf wochenlang teilweise lahm. Dies hatte zur Folge, dass Patienten bei Rettungseinsätzen an andere Krankenhäuser verwiesen werden mussten, woraufhin eine Patientin wegen des längeren Transportwegs verstarb.

Um dem entgegenzuwirken, verpflichtet das IT-Sicherheitsgesetz KRITIS-Organisationen, ihre IT-Systeme „nach dem Stand der Technik angemessen abzusichern“. Zudem besteht für KRITIS-Betreiber eine Meldepflicht bei Sicherheitsvorfällen in der IT sowie mindestens alle zwei Jahre die Durchführung eines Audits zur Prüfung der Anforderungserfüllung. Ebenfalls schreibt das Gesetz die Einführung eines zertifizierten Informationssicherheits-Management-Systems (ISMS) vor.

Durch die gesetzlichen Regelungen sollen KRITIS-Krankenhäuser dazu verpflichtet werden, gewisse IT-Sicherheitsstandards einzuführen, um dadurch bestimmte Mindestanforderungen zu gewährleisten, bei deren Missachtung hohe Geldstrafen drohen. Sie geben allgemeine Vorgaben, die für alle KRITIS-Umgebungen gelten, aber branchenspezifisch implementiert werden müssen. Denn dass die IT eines Krankenhauses anders abzusichern ist als beispielsweise die des Lebensmittelhandels oder Bankenwesens, liegt auf der Hand, da es hier differenzierter Ansätze und Prozesse bedarf.

Branchenspezifischer Sicherheitsstandard

Um die gesetzlichen Vorgaben an die einzelnen Branchen anzupassen, haben die jeweiligen Branchenverbände in enger Abstimmung mit Experten und dem BSI branchenspezifische Sicherheitsstandards, kurz B3S, entwickelt. Diese sind eine wichtige Grundlage für den Aufbau eines ISMS und legen Richtlinien fest, um unter anderem die komplexe und zeitaufwändige Implementierung zu erleichtern. Der für Krankenhäuser geltende Standard ist der Branchenspezifische Sicherheitsstandard (B3S) Medizinische Versorgung, der von der Deutschen Krankenhausgesellschaft (DKG) entwickelt und vom BSI anerkannt wurde. Der B3S Medizinische Versorgung ist nicht zwingend vorgeschrieben, um die Erfüllung der gesetzlichen Vorgaben nachzuweisen, hierzu können Krankenhäuser auch auf Standards wie ISO 27001 zurückgreifen. Jedoch wurde der B3S eigens für Krankenhäuser entwickelt und ist daher als Vorlage für die Einrichtung eines ISMS zu empfehlen, zumal er sich an der Norm ISO 27001 in Verbindung mit weiteren ISO-Normen orientiert und die für Krankenhäuser relevanten Aspekte übernimmt.

Aber auch für Krankenhäuser, die nicht unter die KRITIS-Definition fallen, ist der B3S Medizinische Versorgung relevant. Denn durch Inkrafttreten des Patienten-Daten-Schutzgesetzes (PDSG) und der damit verbundenen Einführung des Paragrafen 75c Sozialgesetzbuch (SGB) Fünftes Buch (V) werden die oben beschriebenen Anforderungen an KRITIS-Krankenhäuser praktisch auf alle Kliniken in Deutschland ausgeweitet. So sind auch diese ab dem 1. Januar 2022 dazu verpflichtet, ihre IT-Sicherheitssysteme „nach dem Stand der Technik“ angemessen zu schützen.

Wie funktioniert ein ISMS und welchen Ansatz verfolgt es?

Ein Informationssicherheits-Managementsystem ist zunächst nicht mit einer Technologie zu verwechseln, sondern wird als ein ganzheitlicher und strukturierter Ansatz verstanden, der als Richtlinie dient, um Verfahren und Regeln im Hinblick auf die IT-Sicherheit besser verfolgen und steuern zu können. Der ISMS-Ansatz dient dazu, die Arbeitsabläufe und Organisation stetig zu optimieren. Als sich wiederholender Prozess muss eine ISMS dabei folgende Phasen durchlaufen:

• 1. Prozessanalyse und Risikobewertung durchführen: Kernprozesse wie die Patienten-Aufnahme, Diagnose, Behandlung, Aufenthalt und Entlassung müssen identifiziert und die dazugehörige IT-Unterstützung ermittelt werden. Im Anschluss erfolgt eine Risikoanalyse der kritischen Prozesse.

• 2. Vorgaben definieren: Richtlinien werden festgelegt und von der ausgewählten Führungsebene unterzeichnet. Eine klar definierte Aufgabenverteilung sowie die zeitlichen und finanziellen Ressourcen müssen gewährleistet sein.

• 3. Prozesse dokumentieren: Die definierten Prozesse und Richtlinien werden parallel dokumentiert. Dies ist wichtig für die IT-relevanten Abläufe, um beispielsweise Rechte und unterschiedliche Nutzer festzulegen. Änderungen, Updates, Downloads von Anwendungen, Beschaffung oder Freigaben sollten durch eine dokumentierte Zugriffsreglung klar definiert sein. Diese dient dazu, IT-Systeme sicher zu konfigurieren, Rechenzentrum und Krankenhausnetz abzusichern und zu protokollieren, denn KRITIS-Betreiber sind dazu verpflichtet, Vorfälle in der IT genau zu dokumentieren und an das BSI zu melden.

• 4. Notfallplan implementieren: Um die Patientenversorgung jederzeit zu gewährleisten, muss ein Notfallplan erstellt werden. Zudem empfehlen sich regelmäßige Übungen für den Ernstfall.

• 5. Awareness schaffen: Einer der wichtigsten Faktoren, um IT-Sicherheit auf allen Ebenen zu gewährleisten, ist das Bewusstsein und die Sensibilität der Mitarbeiter für Cyberbedrohungen zu schärfen. Hierzu sind regelmäßige Schulungen unerlässlich, um Mitarbeiter beispielsweise mit Phishing oder anderen Angriffs-Trends vertraut zu machen. Außerdem müssen alle Mitarbeiter die definierten Vorgaben kennen und sich darüber bewusst sein, was sie dürfen und was nicht.

• 6. Evaluierung und regelmäßiger Audit: Das eingeführte ISMS muss kontinuierlich weiterentwickelt werden. Dazu empfiehlt sich die Einführung von messbaren Kennzahlen und die Durchführung von Audits.

Einzelne IT-Systeme, wie Server und deren gesamte Vernetzung stellen eine große Herausforderung für KRITIS-Krankenhäuser dar, da IT-Kenntnisse in hohem Maße gefordert sind. Das Netzwerk einer KRITIS-Organisation muss strikt überwacht und auf dem neuesten Stand gehalten werden. Schwachstellen müssen identifiziert und Auffälligkeiten zeitnah an das BSI gemeldet werden. Auch wenn ein Großteil der Angriffe durch Antivirus-Software aufgespürt und blockiert wird, gibt es immer neue Schwachstellen, die nicht in Echtzeit erkannt werden können. Diese Schwachstellen müssen daher kontinuierlich gepatcht und upgedatet werden, um Cyberkriminellen kein Einfallstor zu bieten.

Nächste Schritte für Krankenhäuser

Die Umsetzung der Sicherheitsmaßnahmen fällt nicht nur in die Verantwortung der IT-Abteilung, sondern fängt beim Krankenhaus-Management an und muss von allen Mitarbeitern mitgetragen werden. Die Implementierung eines ISMS, basierend auf B3S oder ISO 27001, bietet einen umfangreichen Sicherheitsansatz, der sowohl Bewusstsein schafft als auch Strukturen und IT-Verantwortungsfelder klar definiert. Neben dem Fachkräfteausbau müssen Krankenhäuser ihre IT-Systeme auch mit externen Sicherheitslösungen, wie beispielsweise denen von Avast, aufstocken. Durch diese Lösungen werden

• die Risiken für Datendiebstahl oder Angriffe auf Schwachstellen im System minimiert,

• die Kosten für die IT-Sicherheit gering gehalten,

• die komplexe IT-Umgebung transparenter gestaltet und Informationen übersichtlich datiert.

Während externe Sicherheitslösungen beispielsweise Unternehmen im Bankenwesen oder in anderen Branchen gleichzeitig wettbewerbsfähiger machen, geht es in Krankenhäusern um Menschenleben, die dadurch gerettet werden können.

(ID:47419460)