Wirft man einen Blick auf die vergangenen vier Jahre, dann wird offensichtlich, dass die Gesundheitsbranche im Zuge der Corona-Krise sich mit erheblichem Nachholbedarf in der Cyber-Sicherheit konfrontiert sah und Mühe hatte, diese turbulente Zeit zu bewältigen. Der Ansturm von Patienten und die Reaktionen der Unternehmen auf das Virus zwangen die Einrichtungen des Gesundheitswesens zu einer raschen Digitalisierung. Damit wuchs die Zahl vernetzter und an das Internet angeschlossener Geräte stark und ebenso die virtuelle Angriffsfläche. Die Umstellung zeigte, dass es in vielen Einrichtungen an guten Sicherheitslösungen mangelt, die Planung für die Reaktion auf Zwischenfälle unzureichend ist und in den IT- sowie OT-Abteilungen der Krankenhäuser die IT-Fachkräfte fehlen. Diese Unzulänglichkeiten in Verbindung mit dem hohen Schwarzmarktwert medizinischer Daten machten Gesundheitseinrichtungen daher zu bevorzugten Zielen für Hacker.

Es kam zu einer Reihe bedeutender Cyber-Sicherheitsverletzungen im Gesundheitssektor: Im Mai 2021 wurde die irische Gesundheitsbehörde Health Service Executive (HSE) das Opfer eines Ransomware-Angriffs, der zur Abschaltung ihrer Systeme durch die Regierung führte. Die Angreifer verwendeten die Ransomware Conti, die Berichten zufolge von einer russischen Gruppe von Cyber-Kriminellen betrieben wurde. Im Mai 2022 starteten russische Hacker DDoS-Angriffe auf italienische Websites, darunter auch Gesundheitseinrichtungen, mit der Absicht, NATO-Länder und die Ukraine ins Visier zu nehmen. Im selben Monat kam es im grönländischen Gesundheitssystem zu einem Netzzusammenbruch, der die Gesundheitsdienste stark einschränkte, aber glücklicherweise keine zivilen Daten gefährdete. Anders war es nach einem Cyber-Angriff auf die Deegenbergklinik in Bad Kissingen: Dienstpläne, Bewertungen der Klinik durch Patienten und sogar Patientenakten sind im Darknet aufgetaucht. Durch die Veröffentlichung von sensiblen Daten wird der Druck auf die Opfer erhöht - Hacker erhoffen sich dadurch bessere Zahlungschancen.

Die Rolle der OT im Gesundheitswesen

Es geht jedoch nicht nur um IT, wie man gerne denkt, sondern ebenso um die OT (Operational Technology). Sie spielt eine zentrale Rolle, um Funktion und Effizienz von medizinischen Geräten zu steigern. Definiert von Gartner als Hardware und Software, die durch die direkte Überwachung und Steuerung von physischen Geräten, Prozessen und Ereignissen eine Veränderung erkennt oder herbeiführt, reicht OT im Gesundheitswesen von einfachen Überwachungsinstrumenten hin zu fortschrittlichen Diagnosegeräten, wie MRT-Scannern, CT-Scannern, physiologischen Monitoren, Beatmungsgeräten und Infusionspumpen. Die Beschleunigung der Automatisierung und Digitalisierung hat es diesen OT-Technologien ermöglicht, die Effizienz der medizinischen Versorgung zu verbessern und gleichzeitig die Kosten zu senken.

Darüber hinaus umfassen OT-Umgebungen in großen medizinischen Einrichtungen solche Elemente, die über medizinische Geräte hinausgehen: Energie-Management, Aufzüge, Klimatisierung, Parkschranken, Gebäudeausrüstung und medizinische Fluidsysteme. Die meisten Cyber-Angriffe auf den Gesundheitssektor konzentrieren sich außerdem auf Drittanbieter mit weitreichenden Zugriffsrechten für Wartung und Nachrüstung. Diese Heterogenität, gepaart mit einer wenig sicheren Konnektivität, verschärft die Bedrohungslage erheblich.

IT-OT-Konvergenz verstehen

OT-Sicherheit stellt besondere Anforderungen an kritische Anlagen. So gewährleistet die OT-Sicherheit die Zuverlässigkeit des Betriebs in der physischen Welt, während die IT-Sicherheit die Daten im Ruhezustand oder bei der Übertragung schützt. Im Gegensatz zu IT-Systemen, die regelmäßig und ohne Unterbrechung aktualisiert werden, können Patch-Updates im OT-Bereich unerwünscht und komplex sein, da Maschinen angehalten werden müssten, was selten gefahrlos möglich ist. Darüber hinaus umfasst die OT-Sicherheit verschiedene proprietäre und spezielle Kommunikationsprotokolle, wie SCADA, während die IT-Sicherheit auf Standardprotokolle angewiesen ist. Zudem laufen, aus diesen Gründen, viele OT-Geräte mit veralteten Betriebssystemen und entsprechend schlecht ist ihr Patch-Status.

Die Überbrückung der Kluft zwischen IT- und OT-Sicherheit ist für einen umfassenden Schutz im Gesundheitssektor unerlässlich. Die Anerkennung und Berücksichtigung der unterschiedlichen Anforderungen beider Bereiche ist der Schlüssel zum Schutz des komplizierten Netzwerks von Geräten und Systemen, die das Rückgrat moderner Gesundheitseinrichtungen bilden. Die Branche muss einen ausgewogenen Ansatz für die IT- und OT-Sicherheit verfolgen, um sowohl den Schutz von Daten als auch die physische Integrität von Gesundheitseinrichtungen zu gewährleisten. Die OT darf nicht vergessen werden.

Schwachstellen des Gesundheitswesens

Im Gesundheitswesen sind die Schwachstellen der Cyber-Sicherheit – insbesondere in OT-Systemen – stetig gravierender geworden. OT-Technologien, wie vernetzte medizinische Geräte und Infrastrukturkontrollsysteme, verfügen häufig nicht über robuste Sicherheitsmaßnahmen und arbeiten oft mit veralteten Systemen ohne angemessene Datenverschlüsselung, Passwortverwaltung oder Authentifizierung. Ihre notwendige Integration vergrößert daher die Angriffsfläche, da diese Vernetzung die Netzwerkisolierung aufhebt und den Zugang zu kritischen Systemen erleichtern kann. Vielen Organisationen im Gesundheitswesen mangelt es außerdem an ausreichendem Bewusstsein für OT-Sicherheit und an Schulungen zu IT-Bedrohungen allgemein.

Probleme treten aber auch bei Drittanbietern auf, die für die Wartung und die Modernisierung von medizinischen Geräten und Systemen zuständig sind. Diese Anbieter können zu Einfallstoren für Cyber-Angriffe werden, insbesondere wenn sie über weitreichende Zugriffsrechte verfügen. Hinzu kommt, dass einige Wartungsdienste mit wenig gesicherten Fernverbindungen arbeiten. Betrachtet man die Bedrohungen an sich, dann lässt sich außerdem deutlich zeigen, wie die meisten Angriffe aussehen und ablaufen. Häufig handelt es sich bei den IT- und OT-Bedrohungen im Gesundheitswesen hauptsächlich um externe Software-Infektionen oder Einbrüche, die zu Datendiebstahl oder -schäden führten. Um diesen Bedrohungen zu begegnen, sind gezielte Gegenmaßnahmen unerlässlich, denn Infektionen erfolgen häufig über Speicher-Medien, wie USB-Laufwerke, CDs und DVDs oder Smartphones. Aktiviert wird die Malware schließlich durch E-Mail-Anhänge, Links oder Netzwerkangriffe. In einem frühen Stadium, wenn der Angriff noch schwer zu erkennen ist, wird zusätzlich gerne die Grundlage für Ransomware-Verbreitung gelegt, um Dateien zu verschlüsseln und den Betrieb zu unterbrechen. Die Einschleusung von Malware oder Ransomware kann sogar zu einem vollständigen Ausfall medizinischer Geräte führen und gefährdet dann sogar das Leben von Patienten.

Weltweite gesetzliche Initiativen

Derzeit internationale Regulierungsbehörden ihre Bemühungen, um die Cyber-Sicherheit im medizinischen Bereich zu verbessern. Zu den wichtigsten Maßnahmen gehören die Sicherung des Zugangs für Administrator-Konten und die Kontrolle der Berechtigungen auf den Endpunkten, um Netzwerkinfiltrationen zu verhindern. Internationale Standards, wie MITRE ATT&CK und ISA/IEC 62443, helfen Organisationen bei der Einführung sicherer Praktiken, wobei der Schwerpunkt auf dem OT-Schutz liegt. Dieser wird auch durch die europäische NIS-2-Richtlinie betont und ebenso sieht das deutsche KRITIS-Gesetz die OT-Sicherheit als wichtigen Faktor an. Das US-Gesundheitsministerium (HHS) stellt ebenfalls Ressourcen und Anreize für Cyber-Sicherheitsmaßnahmen im Gesundheitswesen bereit und verschärft die Strafen bei Nichteinhaltung der Vorschriften.

Die bereits angesprochene Konvergenz von IT und OT vergrößert zusätzlich die Angriffsfläche, da sich Angreifer zwischen den beiden Umgebungen bewegen können. Die japanische Richtlinie für die Sicherheit von medizinischen Informationssystemen 6.0 konzentriert sich beispielsweise auf den physischen und individuellen Schutz. Jedoch sollte dort die OT-Sicherheit stärker betont werden. Für Notfälle, die von Cyber-Angriffen bis hin zu Systemausfällen reichen, sind weltweit unterschiedliche Reaktionsstrategien vorgeschrieben worden. Die Erstellung eines Business Continuity Plans (BCP), laufende Schulungen und regelmäßige Prüfungen sind jedoch stets entscheidend. BCPs sollten dabei Netzwerkvorfälle als Risiko priorisieren. Außerdem müssen fortschrittliche IT- und OT-Systeme im Gesundheitswesen über robuste Benutzerauthentifizierungs- und Autorisierungsprozesse verfügen.

Das Zero-Trust-Modell, bei dem alle Nutzer und Netzwerkobjekte standardmäßig als nicht vertrauenswürdig eingestuft werden, ist für die OT-Sicherheit außerdem unerlässlich. Es erfordert eine umfassende Kenntnis von Anlagen, Protokollen, Prozessen und Netzwerkaktivitäten.

Hinzu kommen die externen Zugriffe, denn in modernen Gesundheitseinrichtungen sind Outsourcing und die Nutzung externer Dienste – einschließlich Cloud-Services – üblich geworden. Die Auswahl fähiger Anbieter von IT- und OT-Systemen sowie Dienstleister ist sehr wichtig, um sicherzustellen, dass diese sich mit der sicheren Verwaltung von Daten in externen Umgebungen wirklich auskennen. Externer Speicher kann außerdem, wenn er richtig eingesetzt wird, die Fähigkeit medizinischer Einrichtungen zur Verwaltung von Informationen verbessern.

Weitere Herausforderungen, wie Servicekontinuität, Herstellergarantien und veraltete OT-Geräte, erfordern spezifische Lösungen, die über herkömmliche IT-Ansätze hinausgehen. Die Integration von Sicherheitsaspekten in die Bereitstellung medizinischer Geräte ist zusammen mit dem Change-Management und der Sensibilisierung der Benutzer von entscheidender Bedeutung, da Cyber-Bedrohungen immer häufiger und schwerwiegender werden.

Fünf kritische Sicherheitsaspekte im Gesundheitswesen

Im modernen Gesundheitswesen erfordert die Bewältigung von Cyber-Bedrohungen einen umfassenden Ansatz, der nicht nur die physische Ausrüstung, wie Server, Terminals und Netzwerke, einschließt, sondern auch die Verwaltung der verschiedenen Systemkomponenten und der Benutzer und Administratoren, die sie bedienen. Diese Perspektive muss die Auflistung und Verwaltung aller Vermögenswerte und Konten umfassen, die mit IT- und OT-Systemen im Gesundheitswesen interagieren. Angesichts des kollaborativen Charakters dieser Systeme ist es unerlässlich, das System selbst als eine zu verwaltende Einheit zu betrachten.

Kern dieser Strategie ist eine solide Governance, die den normalen Betrieb dieser Komponenten und Konten sicherstellt und jedes abweichende Verhalten überwacht. Wenn Anomalien festgestellt werden, müssen sofort Maßnahmen eingeleitet werden. Governance allein reicht jedoch nicht aus – entscheidend ist die Antizipation von IT-Attacken in Krisenzeiten. Dies erfordert die Festlegung von Richtlinien, Kriterien und Verfahren für den Notfallbetrieb als Teil eines Business Continuity Plans (BCP). Backups von Systemen und Daten in allen betrieblichen und systembezogenen Aspekten ist für eine umfassende Vorbereitung zudem unerlässlich. Diese fünf Sicherheitsaspekte sollten besonders beachten werden:

1. Governance

Aufgrund der Fernzugriffsmöglichkeiten erstreckt sich das Risiko auch auf angeschlossene Router, Geräte und sogar Kommunikationswege, die von externen Anbietern verwaltet werden. Schwachstellen in diesen externen Systemen können eine erhebliche Bedrohung für das gesamte System des Gesundheitswesens darstellen. Obwohl eine direkte Verwaltung externer Anbieter nicht möglich ist, müssen Gesundheitseinrichtungen über den Status ihrer Konnektivität informiert bleiben und durch vertragliche Vereinbarungen sicherstellen, dass keine Sicherheitslücken bestehen. Ein negatives Beispiel: Es kann die Systemwartung für einzelne Abteilungen direkt mit den Lieferanten ausgehandelt werden, ohne, dass die Gesundheitseinrichtung davon Kenntnis hat. In solchen Fällen wird die Gewährleistung der Patientensicherheit durch verantwortungsvolle Sicherheitsmaßnahmen zur Herausforderung. Einrichtungen des Gesundheitswesens müssen sich darum ihrer Konnektivität bewusst sein und diese kontrollieren, um robuste und wirksame Maßnahmen zu gewährleisten.

2. Konfigurationen

Eine wirksame Konfigurationsverwaltung und Zugangskontrolle sind für die Aufrechterhaltung der Cyber-Sicherheit in Informationssystemen des Gesundheitswesens entscheidend. Dazu gehört ein umfassendes Verständnis und eine Katalogisierung der Geräte und Netzwerkstrukturen, aus denen das System oder der Dienst besteht. Indem sie sicherstellen, dass die richtigen Netzwerkverbindungsgeräte und -pfade vorhanden sind, können Einrichtungen des Gesundheitswesens unsachgemäße Geräteverbindungen, Software- oder Datenintegrationen sowie anormale Datenkommunikation verhindern. Insbesondere aus Sicht der Netzwerksicherheit ist es wichtig, die logische oder physische Konfiguration zu segmentieren, die Verbindungsgeräte zu kontrollieren und die Kommunikationsdaten zu verwalten, um die Sicherheitsintegrität zu gewährleisten.

3. Zugangskontrolle

Die Zugangskontrolle erfordert eine detaillierte Auflistung der Personen, die an der Nutzung und Verwaltung des Informationssystems im Gesundheitswesen beteiligt sind. Es ist von entscheidender Bedeutung, deren spezifischen Berechtigungen zu kennen und zu wissen, wie sie mit den verschiedenen Systemen interagieren. Systemadministratoren, einschließlich derer von zugehörigen Dienstleistern, benötigen eine strenge Kontoverwaltung, um zu verhindern, dass Malware irgendwelche Schwachstellen im System ausnutzt, sich administrative Rechte aneignet und die Schutzmaßnahmen durchbricht. Wenn die administrativen Berechtigungen gestohlen werden, können Authentifizierungskontrollsysteme wie Active Directory oder LDAP missbraucht werden. Durch die Trennung der Sicherheitsanmeldeinformationen von Betriebssystemen und Backup-Systemen kann jedoch Zeit zum Reagieren gewonnen und das Backup- und Sicherheitssystem möglicherweise geschützt werden.

4. Kontinuierliche Überwachung

Um unbefugten Zugriff zu verhindern werden Sicherheitsdienste, wie Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS), eingesetzt. Empfehlenswert sind auf OT-Systeme zugeschnittene Sicherheitslösungen, die mithilfe von regelbasierten Lern-Systemen automatisch Vertrauenslisten für OT-Netzwerke erstellen und Unternehmen dabei helfen, präzise L2-L7-Netzwerkrichtlinien festzulegen. Diese strengen Richtlinien, die auf der notwendigen Kommunikation der Anlagen basieren, zeigen alle verdächtigen oder potenziell schädlichen Aktivitäten. Darüber hinaus ist es wichtig, Lösungen zu wählen, die Kommunikationsprotokolle verschiedener medizinischer Kontrollsysteme genau verstehen. So können Krankenhäuser ihre Netzwerkdatenpakete effektiv analysieren, um bösartige Aktivitäten und Fehler zu verhindern, ohne den medizinischen Betrieb zu unterbrechen.

5. Der robuste Geschäftskontinuitätsplan

In der digitalen Landschaft des Gesundheitssektors, in der die Cyber-Bedrohungen immer raffinierter werden, ist die Entwicklung eines robusten Business Continuity Planes unerlässlich. Ein umfassender BCP sollte Strategien zur Minimierung des Chaos und der geschäftlichen Auswirkungen im Falle eines Vorfalls sowie schnelle Wiederherstellungslösungen beinhalten. Allerdings muss man sich darüber im Klaren sein, dass eine vollständige Vermeidung von Cyber-Attacken ein unrealistisches Ziel ist. Daher müssen sich Organisationen des Gesundheitswesens auf den schlimmsten Fall vorbereiten und Attacken ebenso wie größere Katastrophen in ihre BCP einbeziehen. Diese Vorbereitung könnte papierbasierte Operationen oder die Unterstützung durch benachbarte medizinische Einrichtungen in Notfallsituationen umfassen.

Fazit:

Das Gesundheitswesen ist ein besonders sensibler und damit zugleich für Hacker lukrativer Sektor. Die sensiblen Patientendaten und der hohe Druck, weil im schlimmsten Fall Menschenleben auf dem Spiel stehen, machen die Cyber-Sicherheit bedeutsam. Daher darf IT- und OT-Sicherheit in Gesundheitseinrichtungen nur gemeinsam gedacht werden und kann letztlich nur mit einem allumfassenden Ansatz erreicht werden. Um Schwachstellen zu schließen und die auch gesetzlich geforderte Versorgungssicherheit zu gewährleisten, ist eine strategische Überbrückung der Kluft zwischen IT- und OT-Sicherheit unerlässlich. Dazu bedarf es nicht nur technischer Maßnahmen, sondern auch einer Governance, guter Konfigurationen, einer Zugangskontrolle und kontinuierlichen Überwachung sowie eines robusten Geschäftskontinuitätsplans.

 

Autor: Klaus Stolper, Sales Director DACH bei TXOne Networks Inc.