Hackerangriff an Uniklinik - Experte verrät, wie Krankenhäuser ihre IT-Systeme richtig aufstellen und schützen
- Bild-Infos
- Download
Muntelier (ots)
Nach dem Hackerangriff am 06. Oktober sieht sich das Universitätsklinikum Frankfurt gezwungen, seine gesamte IT-Infrastruktur von Grund auf neu zu gestalten. Laut Aussagen von Experten wird es Monate dauern, bis alle Systeme wieder uneingeschränkt funktionieren.
Dabei wurde die Cyberattacke zwar früh erkannt, was größeren Schaden abgewendet hat. Das ist ein positives Zeichen für steigende Wachsamkeit, aber im Ernstfall geht es doch um hochsensible Daten. Hacker wissen: Wenn sie an die Daten gelangen, müssen Krankenhäuser zahlen, um die Daten zurückzuerhalten - und das in beträchtlichen Summen. Wie also können Krankenhäuser ihre IT-Systeme richtig und sicher aufstellen?
Über diese Schwachstellen in den IT-Systemen von Krankenhäusern erfolgt der Zugriff
In Krankenhäusern und Spitälern werden unzählige sensible Patientendaten gespeichert. Diese unterliegen dem Datenschutz und müssen deshalb besonders geschützt werden. Jeder Zugang zum Internet stellt allerdings einen potenziellen Zugriffspunkt für Hacker dar. Insbesondere Anwendungen und Cloud-Lösungen bergen dabei ein hohes Risiko, zum Beispiel häufig genutzte Online-Datenbanken.
Auch das sogenannte Krankenhauszukunftsgesetz zielt auf ein Vorantreiben der Digitalisierung in Krankenhäusern und Spitälern ab. Im Fördertatbestand 3 geht es zum Beispiel um die digitale Dokumentation der Pflegemaßnahmen, die am jeweiligen Patienten durchgeführt wurden. Explizit wird dort auch die Arbeit mit Spracherkennungssoftware genannt. Allerdings sind die Programme, die gesprochene Aufzeichnungen verschriftlichen, mittlerweile ausschließlich Cloud-basiert verfügbar und deshalb zugriffsgefährdet. Eine weitere Gefahr stellen die zahlreichen Schnittstellen dar, die durch die medizinischen Geräte entstehen. Bei jedem können sich Techniker mit ihren Firmen-Laptops verbinden. Sobald dies jedoch eintritt, ist eine Zugriffsstelle geschaffen. Nicht zuletzt greift auch das medizinische Personal regelmäßig auf das Internet zu, beispielsweise durch die Beantwortung von Patienten-E-Mails. Ein komplettes WLAN-Netzwerk hingegen, wie es den Patienten meist zur Verfügung gestellt wird, ist keine große Gefahr, weil dieses mit wenig Aufwand gesichert werden kann.
So können sich Krankenhäuser präventiv vor Cyber-Attacken schützen
Für einen effizienten Schutz müssen stets zwei Strategien verfolgt werden: Einerseits sorgen geeignete technische Maßnahmen dafür, dass die Hacker es möglichst schwer haben, wenn sie auf die IT-Systeme zugreifen möchten. Andererseits müssen organisatorische Vorkehrungen getroffen werden.
Aus technischer Sicht sind verschiedene Ansätze denkbar. Am effektivsten ist eine umfangreiche Verschlüsselung aller Daten, die im Netzwerk unterwegs sind, insbesondere auch solche Daten, die mit den angebundenen Cloud-Diensten ausgetauscht werden. Dadurch werden den Hackern zwei Druckpunkte entzogen: Sie können die ausspionierten Daten weder veröffentlichen und das Krankenhaus oder Spital damit unter Druck setzen, noch können sie die bereits verschlüsselten Informationen selbst verschlüsseln und so zu Lösegeldforderungen missbrauchen. Alternativ besteht die Möglichkeit, die Zugangspunkte zum Internet zu kappen; in der Realität ist diese Alternative aber sehr umständlich und auch mit vielen Einschränkungen für die Einrichtung verbunden. Wenn in einem Krankenhaus oder Spital viele Cloud-Dienste genutzt werden, ist der Einsatz einer SASE-Lösung (Secure Access Service Egde) denkbar. Hier werden die Cloud-Dienste schon vom Anbieter mit Sicherheitsaspekten kombiniert.
Bezüglich der Organisation der IT-Systeme ist eine umfassende, sich regelmäßig wiederholende Schulung und Aufklärung aller Mitarbeiter essenziell. Dabei darf keinesfalls der Eindruck entstehen, Netzwerksicherheit sei ein notwendiges Übel; vielmehr müssen die gravierenden Folgen verdeutlicht werden, um das nötige Verantwortungsbewusstsein bei den Mitarbeitern anzubahnen. Außerdem sollte präventiv ein Worst-Case-Plan erarbeitet werden, also ein Plan, aus dem im Angriffsfall genau zu entnehmen ist, wie der jeweils nächste Schritt aussieht. Das verhindert kopfloses Handeln im Ernstfall. Auch eine Versicherung gegen einen Hackerangriff ist denkbar. Hier empfiehlt es sich, frühzeitig mit Versicherern in den Kontakt zu gehen und mögliche Bedrohungsszenarien zu besprechen.
Diese Maßnahmen sollten Krankenhäuser im Falle eines Angriffs durchführen
Das notwendige Verhalten nach einem Angriff hängt davon ab, ob ein Schaden entstanden ist, also ob die Hacker Daten abgreifen konnten. Wenn nicht, reicht eine umfassende Analyse aus, über welche Schwachstelle die Attacke erfolgte. Wenn das Krankenhaus oder Spital einen SASE-Dienst nutzt - das ist eine Architektur, die Sicherheitsanwendungen zur Verfügung stellt -, können dort wertvolle Hinweise herausgelesen werden.
Bei einem Schaden reicht dies jedoch nicht aus. Wenn eine Versicherung gegen Cyberangriffe besteht, muss sofort der Versicherer kontaktiert werden. Darüber hinaus sollten der interne Datenschutzbeauftragte und der des Landes, das Cyber Security Center und die Polizei informiert werden. Die weitere Vorgehensweise und ob den Forderungen nachgekommen wird, wird dann von den Fachleuten koordiniert.
In jedem Fall muss eine sofortige Trennung aller Systeme vom Netz erfolgen. Anschließend werden nach und nach die betroffenen Systeme identifiziert und neu installiert. Abschließend werden die Daten neu eingespielt.
Über Frank Becker:
Auch Krankenhäuser, Spitäler und Unikliniken benötigen eine funktionierende Informationstechnik - unter anderem zur Erfassung, Bearbeitung und Weitergabe medizinischer und administrativer Daten. Die Ist-Situation zeigt jedoch, dass die meisten IT-Abteilungen weder finanziell noch personell gut ausgestattet sind und die Digitalisierung nur schleppend verläuft. Dabei ist es gerade im Gesundheitswesen von höchster Wichtigkeit, dieses Thema voranzutreiben. Denn eine fortschrittliche IT wird Patienten und Mitarbeitern besser gerecht. Außerdem müssen auch Einrichtungen im Gesundheitswesen sich heutzutage gegen mögliche IT-Angriffe wappnen. Frank Becker kennt die Herausforderungen genau. Der gelernte Ingenieur gelangte gleich nach seinem Studium in die Branche - mit der Gründung seines ersten Softwareunternehmens. Seit 27 Jahren unterstützt er seine Kunden rund um IT-Themen. Mit Becker Project Consulting übernimmt er das IT-Projektmanagement für Krankenhäuser, Universitätskliniken, medizinische Labore und große Arztpraxen. Mehr Informationen unter: https://beckerprojectconsulting.com/
Pressekontakt:
Becker Project Consulting
Vertreten durch Frank Becker
contact(at)beckerprojectconsulting.com
https://beckerprojectconsulting.com
Original-Content von: Becker Project Consulting, übermittelt durch news aktuell