Cybersicherheit im stationären Umfeld – eine beherrschbare Aufgabe?
Die neue Gefahr der vernetzten Systeme
Für Einrichtungen der Gesundheitsversorgung mit stark vernetzter Infrastruktur stellen Cyberrisiken eine zunehmende Bedrohung dar (1). Dabei trägt die Komplexität der Organisationen und das Vorhandensein zahlreicher veralteter und inkompatibler Systeme dazu bei, dass Risiken schwer beherrschbar sind. Ein ungehindertes Eindringen in Datenbanken, die Lähmung von Systemen oder die Unterbrechung der Stromversorgung bergen Sicherheitsrisiken für die Gesundheitsversorgung (2,3). Die in der Vergangenheit stattgefundenen Hackerangriffe auf Datenbanken sowie die Angriffe durch Maleware bzw. Ransomware haben die Anfälligkeit von Kliniken sichtbar gemacht (3,4). Weltweit wurden Lösegeldzahlungen in Millionenhöhe geleistet, um die Kliniken zurück in die Versorgung zu bringen (1). Zudem entstehen Schäden durch den Versorgungsausfall (4). In welchem Ausmaß ist die Versorgungssicherheit durch Cyberrisiken in der stationären Gesundheitsversorgung gefährdet?
Große Risiken in der Versorgungssicherheit
Der WannaCry Cyberangriff im Mai 2017 infizierte 34 Kliniken des National Health Service (NHS) in Großbritannien (4). Die Ausfallkosten für nicht stattgefundene Leistungen werden auf 5,9 Millionen Pfund in einer Woche beziffert (4). Diese setzen sich aus 4 Millionen Pfund für entgangene stationäre Leistungen, 600 Tausend Pfund für entgangene Notfälle und 1,3 Millionen Pfund für abgesagte ambulante Termine zusammen. Die Gesamtzahl der Einweisungen ging um 6 Prozent pro Tag zurück. Ein signifikanter Anstieg von Todesfällen in den Notaufnahmen konnte infolge des Cyberangriffs nicht nachgewiesen werden. Dennoch entsteht durch den begrenzten Zugang zu medizinischen Leistungen eine Versorgungslücke (4). Neben den genannten wirtschaftlichen Schäden besteht auch ein objektives Risiko für Patienten (3). Das Herunterfahren des Versorgungsangebots kann dringend notwendige Behandlungen unmöglich machen. Zudem könnten Fehlentscheidungen aufgrund falscher oder veränderter Daten zu Behandlungsfehlern mit Personenschäden führen (3). Seit 2018 wurden in Deutschland offiziell 27 Cyberangriffe nach der Definition von BSI-Gesetz bzw. BSI-Kritis-Verordnung gemeldet (5). Da die Erfassung erst seit 2018 durchgeführt wird, liegen keine Daten für den weltweiten WannaCry Cyberangriff aus dem Jahr 2017 vor. Seit der Corona-Pandemie wird ein erhöhtes Aufkommen von Cyberangriffen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) verzeichnet (5).
Digitalisierung als Schwachstelle der Cybersicherheit
Die digitale Vernetzung in Kliniken sowie der Einsatz von mobilen Endgeräten erhöhen die Angriffspotenziale (3,6). Darauf sind Krankenhäuser nicht hinreichend vorbereitet, haben keine ausreichenden Frühwarnsysteme oder verfügen nicht über geeignete Gegenmaßnahmen. Aufgrund der Organisationsstruktur, einer hohen Endpunktkomplexität und Technologiesättigung, sind Krankenhäuser ein leichtes Ziel für Cyberangriffe (6). Drei Ursachen können identifiziert werden: Erstens der Einsatz einer Vielzahl medizinischer Geräte. Im Jahr 2014 wurden mehr als 300 dieser Geräte als gefährdet eingestuft (6). Zweitens eine unzureichende Sensibilisierung des Personals beim Umgang mit digitalen Arbeitsmitteln (1). Drittens ein geringes Budget zur Cyberabwehr. Die Mehrzahl der Organisationen des NHS geben 1 bis 2 Prozent für ihre IT aus. In anderen Sektoren liegt der Durchschnittswert jedoch bei 4 bis 10 Prozent (7). Die mangelnden Ressourcen in diesem Bereich führen dazu, dass veraltete Systeme im Einsatz sind, keine Mittel für Sicherheitsmaßnahmen zur Verfügung stehen oder Sicherheitslücken zu spät geschlossen werden (7).
Widerstandsfähigkeit auf drei Ebenen stärken
Auf organisationaler Ebene müssen Schwachstellen aufgedeckt, Frühwarnindikatoren entwickelt sowie Sicherheitsstandards definiert werden (2,6). Die Europäische Agentur für Netz- und Informationssicherheit (ENISA) aktualisiert regelmäßig ihre Leitlinien im Umgang mit Informationssystemen sowie zu zahlreichen weiteren Themenfeldern, wie der Vertragsgestaltung von Cloud-Diensten oder zu Zertifizierungsverfahren. Die Leitlinien sind in verschiedenen Sprachen auf der Website verfügbar. Die Durchführung von Penetrationstests ist ein zielführendes Instrument zur Schwachstellenidentifikation. Die Berufung eines Managers für IT-Sicherheit ist in jeder Klinik anzustreben, mit weitreichenden Durchgriffsrechten und Entscheidungsbefugnissen. Auf personeller Ebene tragen folgende Maßnahmen zur Verringerung der Verwundbarkeit bei. Die Ausarbeitung eines ausführlichen Cybersicherheitsplans, die Schaffung engagierter Teams zur Gefahrenabwehr sowie die Etablierung einer Schutzrichtlinie innerhalb der Organisation (2). Regelmäßige Schulungsangebote sind eine konkrete Handlungsempfehlung, um die Mitarbeitenden für die genannten Maßnahmen zu sensibilisieren. Eine optimale Stakeholder-Abstimmung gewährleistet in diesem Zusammenhang, dass verschiedene Interessengruppen effektiv aufeinander abgestimmt sind (6). In Kliniken ist darauf zu achten, dass medizinisches und pflegerisches Personal keine widersprüchlichen Anweisungen befolgen müssen. Auf der technischen Ebene ist die Reduktion der Endpunktkomplexität entscheidend (6). Hierbei wäre unter anderem der Umstieg auf Cloud-Hosting Dienste oder ein Erkennungssystem für nicht autorisierte Geräte im Netzwerk denkbar.
Die besondere Rolle der Kliniken als kritische Infrastruktur (§ 8a i. V. m. § 2 Abs. 10 Nr. 1 BSI-Gesetz) erfordert einen expliziten Nachweis, dass Maßnahmen zur Widerstandsfähigkeit gewährleistet werden. Die Einhaltung der IT-Sicherheit nach dem Stand der Technik ist regelmäßig gegenüber dem BSI nachzuweisen. Mit Inkrafttreten der Datenschutzgrundverordnung 2018 wurden höhere Bußgelder bei Verstößen definiert. Demnach könnten bis zu 20 Mio. Euro Strafzahlung (Art. 83 EU-DSGVO) drohen, wenn Datenschutzvorschriften verletzt werden.
Fazit
Die Digitalisierung des Gesundheitswesens bringt große Potentiale mit dem Einsatz innovativer, intelligenter Systeme mit sich. Damit diese Systeme auch zielführend in der Gesundheitsversorgung eingesetzt werden können, ist gleichzeitig ein effektives Cybersicherheitsmanagement der Leistungserbringer notwendig. Die Angriffe auf Kliniken haben die Verwundbarkeit gezeigt und welcher wirtschaftliche Schaden entstehen kann. Die dauerhafte Sensibilisierung der internen Stakeholder sowie eine enge Abstimmung dieser ist einer der entscheidenden Erfolgsfaktoren. Zudem sollte die Endpunktkomplexität reduziert werden, indem Dienstleister mit entsprechendem Know-How in die Cyberabwehr einbezogen werden.
Quellen
- Abrahama C, Chatterjeeb D, Sims RR. Muddling through cybersecurity: Insights from the U.S. healthcare industry. Business Horizons, Volume 62, Issue 4, July–August 2019, Pages 539-548. zum Original
- Le Bris A, El Asri W. |State of cybersecurity & cyber threats in healthcare organizations – Applied Cybersecurity Strategy for Managers. Journal of Strategic Threat Intelligence, Jan 2017, Strategic Report. zum Original
- Coventry L, Branley D. Cybersecurity in healthcare: A narrative review of trends, threats and ways forward. Maturitas 113 (2018) 48–52. zum Original
- Ghafur S, Kristensen S, Honeyford K, Martin G, Darzi A, Aylin P. A retrospective impact analysis of the WannaCry cyberattack on the NHS. npj Digital Medicine (2019) 2:98. zum Original
- Deutscher Bundestag – 19. Wahlperiode. Cyber-Angriffe auf medizinische Einrichtungen und Geräte. Antwort der Bundesregierung auf die Kleine Anfrage der Abgeordneten Jan Nolte, Gerold Otten, Jens Kestner, weiterer Abgeordneter und der Fraktion der AfD – Drucksache 19/18797 – 22.05.2020. zum Original
- Jalali MS, Kaiser JP. Cybersecurity in Hospitals: A Systematic, Organizational Perspective. J Med Internet Res 2018, 20(5):e10059, 1-17. zum Original
- Martin G, Martin P, Hankin C, Darzi A, Kinross J. Cybersecurity and healthcare: how safe are we? BMJ 2017, 358:j3179. zum Original
