Mit 3 Milliarden Euro will die Bundesregierung die Modernisierung von Krankenhäusern fördern. Allerdings sollen nur solche Einrichtungen Geld erhalten, die in die IT-Sicherheit investieren.

1. Webanwendungen schützen
Browserbasierte Anwendungen erleichtern die Zusammenarbeit in der Gesundheitsbranche erheblich. Medizinische Unterlagen und Berichte lassen sich über Portale und Apps einsehen, und zwar sowohl vom PC, Tablet, Smartphone oder anderen vernetzten Geräten. Die digitale Patientenakte ist der nächste Schritt auf diesem Weg. Für Hacker ist es jedoch relativ einfach, sich in solche lediglich durch Logins geschützte Portale zu hacken und an die dahinterliegende Datenbank zu gelangen. Cyberkriminelle erhalten damit auf einen Schlag Zugriff auf große Mengen persönlicher Daten und können diese entwenden oder löschen. Ein solcher Diebstahl persönlicher Daten führt nicht nur zu einem enormen Vertrauensverlust gegenüber den Patienten. Den betroffenen Krankenhäusern drohen auch hohe Geldbußen, wenn sie den Vorgaben der EU-DSGVO nicht entsprechen. Ungeschützte Webapplikationen stellen daher eines der größten Risiken für ein Krankenhaus dar.

Um Webapplikationen besser zu schützen, brauchen Krankenhäuser eine spezielle „Web Application Firewall“: Diese analysiert den Datenaustausch zwischen Endgeräten und Webservern. Wenn Inhalte als verdäch¬tig eingestuft werden, wird der Zugriff über die Web Application Firewall verhindert. Herkömmliche Firewalls sind dazu nicht in der Lage.  

2. Ransomware abwehren
Eine der größten Bedrohungen für Krankenhäuser sind Ransomware-Angriffe: Über einen Trojaner oder eine andere Malware dringen Cyberkriminelle in das IT-Netzwerk ein und verschlüsseln Datenbanken und Server. Anschließend stellen die Hacker eine Lösegeldforderung an das Krankenhaus. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aktuell vor neuen Ransomware-Methoden: Hacker stehlen die Daten, bevor sie sie verschlüsseln, und drohen damit, diese zu veröffentlichen. Auch hier gilt: Wenn sensible Daten verloren gehen, drohen hohe Strafen.

Auch für den Klinikbetrieb ist ein Ransomware-Angriff eine akute Gefahr. Um eine Ausbreitung der Software zu vermeiden, muss das Krankenhaus alle IT-Systeme herunterfahren. Die Folgen sind OP-Ausfälle, ein Aufnahmestopp von Patienten und die Lähmung der gesamten Verwaltung. Schützen können sich Krankenhäuser vor Ransomware-Angriffen, indem sie ihren Internetzugang absichern. Am einfachsten lässt sich dies mit sogenannten vollvirtualisierten Browsern erreichen, wie etwa dem „R&S Browser in the Box“. Diese Lösung ermöglicht eine konsequente Netzwerktrennung. Alle potenziell gefährlichen Aktivitäten werden isoliert, ehe sie überhaupt ins Netzwerk eindringen können.

3. Übertragungswege absichern
Zu einer IT-Sicherheitsstrategie im Gesundheitswesen gehört auch die Absicherung der Übertragungswege – sei es zwischen einem Gerät im Krankenhaus und dem Hausarzt eines Patienten oder dem Krankenhaus und einem Rechenzentrum. Die Herausforderung: Die Übertragung muss trotz hochsicherer Verschlüsselung effizient bleiben. Dazu gibt es spezielle Verschlüsselungsprodukte, die einen hohen Schutz bieten, ohne dass die Übertragungsleistung herabgesetzt wird.

4. Daten sicher in der Cloud speichern
Cloud- und sog. „Collaboration“-Systeme erleichtern die Arbeit der Krankenhaus-Administration erheblich – zum Beispiel auch dann, wenn Mitarbeiter im Home Office arbeiten. Bei der Speicherung in Cloud-Diensten haben jedoch nicht nur der Benutzer und der Administrator Zugriff auf die Daten. Auch die Cloud-Provider könnten sich Zugriff verschaffen, wenn Daten ungeschützt und unverschlüsselt abliegen. Kliniken sollten daher auf Lösungen setzen, die Daten unabhängig von ihrem Speicherort und EU-DSGVO-konform schützen. Solche datenzentrischen Lösungen ermöglichen eine rechtssichere Nutzung von Cloud- und Collaboration-Tools.

5. Mitarbeiterschulungen
Ein Sicherheitskonzept kann noch so ausgeklügelt sein: Als Schwachpunkt bleibt der Mensch. Mitarbeiter öffnen Phishing-E-Mails und laden gefährliche E-Mail-Anhänge herunter; sie verraten nichts ahnend ihre Zugangspasswörter an Unbefugte, die sich am Telefon als IT-Dienstleister ausgeben; und sie verbummeln wichtige Sicherheits-Updates. Neben der richtigen IT-Sicherheitstechnik ist eine Schulung und Sensibilisierung der Mitarbeiter daher ausschlaggebend für die IT-Sicherheit im Unternehmen.

Fazit
Krankenhäuser, die diese fünf ToDos umsetzen, schaffen die Grundlage für eine digitale Entwicklung ihrer Einrichtung, ohne Patientendaten oder die medizinische Versorgung zu gefährden. Das wirkt sich auch positiv auf das Vertrauen der Patienten in das „smarte“ Krankenhaus der Zukunft aus.

Autor: Falk Herrmann, CEO Rohde & Schwarz Cybersecurity

Quelle (Text/Bild): Rohde & Schwarz Cybersecurity