Malware-Schutz Wie ICAP den Datenaustausch über KIM absichert

Seit 1. Mai 2025 müssen Kliniken sensible Daten per KIM versenden – doch die Ende-zu-Ende-Verschlüsselung verhindert eine Zwischenprüfung auf Malware. Abhilfe verspricht die ICAP-Schnittstelle, die Anti-Malware-Multiscanning vorschaltet, bevor Dateien ins Klinik-Netzwerk gelangen.

Mit dem 1. Mai 2025 wurden alle Krankenhäuser dazu verpflichtet, den Antrag auf Anschlussheilbehandlung (AHB-Antrag) digital über die Telematikinfrastruktur (TI) per KIM-Verfahren an die gesetzlichen Krankenkassen zu versenden. Das birgt Gefahren, denn ein einziger infizierter Anhang in der gesetzlich vorgeschriebenen „Kommunikation im Medizinwesen“ (KIM) kann reichen, und plötzlich steht die Krankenhaus-IT still. Doch was nach Risiko klingt, wird durch Integration von Anti-Malware-Multiscanning in KIM über die ICAP-Schnittstelle (Internet Content Adaptation Protocol) eine Chance und ein Hebel für mehr Sicherheit.

Kommunikation im Medizinwesen

Fünf Jahre KIM

Wenn Nutzungspflichten sukzessive ausgeweitet werden, nehmen Risiken zu

Grundlage für KIM war das Gesund­heits­ver­sor­gungs­weiter­ent­wicklungs­gesetz (GVWG), das die Kommunikation zwischen Krankenhäusern und Krankenkassen digitalisieren und vereinheitlichen sollte. Schon zuvor mussten Krankenhäuser elektronisch ausgestellte Arbeits­un­fähig­keits­bescheini­gungen (eAU) per KIM übermitteln. Als Teil der TI soll KIM den sicheren Austausch dieser sensiblen Dokumente ermöglichen. Dazu gehören auch die elektronische Gesundheitskarte (eGK), die elektronische Patientenakte (ePA) oder das e-Rezept.

Schritt für Schritt werden aktuell weitere Anwendungen ausgerollt, etwa der Versand und Empfang elektronischer Arztbriefe (eArztbrief). Damit entwickelt sich KIM zunehmend zum zentralen Standard für den digitalen Datenaustausch im deutschen Gesundheitswesen. Kliniken, die Fristen nicht einhalten, riskieren dabei Einschränkungen im Betrieb oder Sanktionen.

KIM als „Black Box“

Zwar werden die Daten Ende-zu-Ende verschlüsselt, doch Verschlüsselung allein schützt nicht vor infizierten Anhängen, die unbemerkt in Krankenhausnetze gelangen. Patienten laden beispielsweise Dateien in Klinikportalen hoch oder bringen Röntgenbilder auf mobilen Datenträgern mit. Am Eintrittspunkt von KIM ist nicht geregelt, wie solche Patientendateien auf Schadsoftware geprüft werden sollen. Zudem können wegen der Ende-zu-Ende-Verschlüsselung keine anderen Applikationen oder Systeme die Daten in KIM prüfen, sondern erst der Empfänger selbst beim Öffnen bzw. Verarbeiten.

Im Fall von infizierten Dateien ist das allerdings schon zu spät, da der Schadcode dann bereits im System ist. Somit ist KIM vor allem für Empfänger eine nicht einsehbare „Black Box“ und stellt einen potenziellen Angriffsvektor in interne Netzwerke dar. Besonders kritisch für den Betrieb der Einrichtungen ist dabei, dass Krankenkassen bei Bekanntwerden eines Sicherheitsvorfalls Arztpraxen bzw. Kliniken für mehrere Wochen aus deren Abrechnungssystem sperren. Das bedeutet, dass die betroffene Einrichtung für diesen Zeitraum keine Leistungen abrechnen kann und der Geldfluss ins Stocken gerät.

ICAP schließt die Lücke zwischen KIM und Empfänger

Hier bietet das Internet Content Adaptation Protocol Schutz, indem es Sicherheits-Tools als Middleware integriert. Dabei können über den ICAP-Server die Daten aus KIM an Applikationen wie …

• 1. Virenscanner oder für höhere Erkennungsraten Anti-Malware-Multiscanner,

• 2. Datei-Desinfektion (auch Data Sanitization oder Content Disarm und Reconstruction/CDR) sowie

• 3. Sandboxes

… gesendet werden.

Die Prüfung auf Malware erfolgt entweder durch einen einzelnen Virenscanner oder, für Erkennungsraten von über 99 Prozent, durch mehrere parallel arbeitende Antivirus-Engines (Anti-Malware-Multiscanner). Ein solcher mehrstufiger Scan erkennt verdächtige Inhalte frühzeitig. Nur Dateien, die als unbedenklich eingestuft werden, gelangen anschließend zur weiteren Verarbeitung an den Empfänger. Damit ist der gesamte Prüfprozess abgeschlossen, bevor die Datei in das interne System gelangt. Ein Praxisbeispiel folgt im weiteren Verlauf.

Bei noch höherem Schutzbedarf lässt sich solch ein System um die Datei-Desinfektion ergänzen. CDR geht davon aus, dass in jeder Datei, in der Malware eingebettet sein könnte, auch Malware enthalten ist. Daher prüft das Programm alle riskanten Dateitypen und Inhalte, wandelt diese in risikolose Dateitypen um, entfernt dadurch integrierten Schadcode und deaktiviert potenziell gefährliche Konfigurationen wie beispielsweise Makros in Office-Dokumenten. Üblicherweise wird Datei-Desinfektion zusätzlich zu Malware-Scannern verwendet, um Restrisiken wie Zero Days zu eliminieren.

Eine zusätzliche Hürde gegen Schadsoftware ist eine Sandbox. Beim Sandboxing werden verdächtige Dateien in eine komplett isolierte Umgebung geladen, um deren Verhalten in Ruhe, also ohne Auswirkungen auf produktive Umgebungen, zu überprüfen. Über die ICAP-Schnittstelle ließe sich auch eine solche Sandbox vorschalten. Dabei empfiehlt es sich, Next Generation Sandboxing einzusetzen.

Diese Technik ist darauf ausgelegt, auch intelligente Malware zu erkennen. Solche Schadprogramme können normalerweise feststellen, dass sie sich in einer herkömmlichen Sandbox befinden, und ihr Verhalten entsprechend anpassen. Zudem können Hacker einen Schlafmodus in den Schadcode einbauen, damit er die Sandbox-Überprüfung „aussitzt“ und erst danach aktiv wird. Angreifer teilen Schadcode auch in mehrere unauffällige Fragmente auf, die erst im echten Netzwerk wieder zusammengesetzt und damit wirksam werden. Next Generation Sandboxing kann diese Formen der Täuschung besser identifizieren und dient deshalb als ergänzender Schutzmechanismus.

Praxisbeispiel: KIM mit vorgeschaltetem Multi Engine Scanning über ICAP

Die Integration eines Virenscanners über die ICAP-Schnittstelle schließt auch die Sicherheitslücke auf Empfängerseite: Inhalte aus KIM werden auf Viren geprüft, noch bevor Empfänger die Daten verarbeiten, und etwaige Schadsoftware wird vorab gestoppt. Wie die Umsetzung mit Virenscanner in der Realität aussieht, zeigt ein aktuelles Projekt in Baden-Württemberg: Ein Krankenhaus hat KIM in die bestehende Infrastruktur integriert und dabei einen Anti-Malware-Multiscanner vorgeschaltet, der über ICAP angebunden ist. Die zentrale Herausforderung bestand darin, KIM nahtlos einzubinden, ohne bestehende Abläufe zu stören, und gleichzeitig eine Malware-Absicherung zu verankern, die im Alltag unsichtbar, aber zuverlässig wirksam ist.

Der Aufbau von KIM mit Anti-Malware-Multiscanner auf Empfängerseite sieht wie folgt aus:

Die Entscheidung des Krankenhauses fiel dabei auf einen Anti-Malware-Multiscanner, der Daten mit gleich acht AV-Scannern parallel überprüft. Das maximiert die Erkennungsrate erheblich und der Einsatz eines ergänzenden Security-Tools wird nicht weiter nötig. Die parallele Prüfung erfolgt außerdem weitaus schneller als serielle Scans – ganz besonders bei großen Datenvolumen. Auch verglichen mit Sandboxing und Datei-Desinfektion ist der Ansatz mit Multi Engine Scanning schneller, denn bei dem einen wird erst die Reaktion der Dateien abgewartet und bei dem anderen werden teilweise Konfigurationen u.a. noch deaktiviert. Doch vor allem in medizinischen Notfällen ist Zeit ein kritischer Faktor.

So sprechen zwei wesentliche Vorteile für die Integration von parallelem Anti-Malware Multiscanning über ICAP in KIM: Erstens werden wegen der sehr hohen Erkennungsrate keine weiteren Tools und somit keine weiteren Kosten fällig. Zweitens ist dieser Ansatz der schnellste mit den geringsten Auswirkungen auf den regulären Betrieb.

Das Malware-Problem in KIM – nicht nur Empfänger verantwortlich

Auf Senderseite ist das Zwischenschalten von Sicherheitslösungen vor dem Upload ebenfalls möglich, wenngleich in der Praxis die Nachfrage danach weitaus geringer ist. Dabei könnten Sender die medizinischen Daten vor dem Versand über KIM durch einen eigenen ICAP-Server prüfen lassen, um …

• sicherzustellen, dass keine infizierten Dateien verschickt werden,

• die eigene Reputation zu schützen und

• das Vertrauen der Empfänger (z. B. Ärzte, Partner) in die eigene Einrichtung zu stärken.

Eines wird dabei deutlich: Die KIM-Pflicht ist kein reines Compliance-Thema, sie wirkt sich vielmehr unmittelbar auf die Sicherheit und Funktionsfähigkeit von Krankenhäusern aus. Wer KIM implementiert, sollte daher den Malware-Schutz von Anfang an mitdenken.

Cyberangriffe auf OT-Systeme

Industrie und Gesundheitswesen im Visier der Hacker

(ID:50658309)