{"id":279778,"date":"2023-04-16T00:17:00","date_gmt":"2023-04-15T22:17:00","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=279778"},"modified":"2024-02-19T07:52:14","modified_gmt":"2024-02-19T06:52:14","slug":"it-sicherheit-2023-nachholbedarf-im-gesundheitswesen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/04\/16\/it-sicherheit-2023-nachholbedarf-im-gesundheitswesen\/","title":{"rendered":"IT-Sicherheit 2023: Nachholbedarf im Gesundheitswesen"},"content":{"rendered":"

\"GesundheitIm Gesundheitswesen stehen die Zeichen ja stark auf \"verst\u00e4rkte Digitalisierung\". Elektronische Patientenakte (ePA), elektronische Krankschreibung, elektronische Rezepte sollen die \u00c4rzte entlasten, sagen die Propagandisten. Weiterhin ist ein EU Gesundheitsdatenraum in Planung, der neue Herausforderungen bringt. Andererseits erleben wir st\u00e4ndig, dass neue Hacks und Cyberangriffe auf Kliniken oder Gesundheitsdienstleister stattfinden und Kliniken lahm lagen. Auch gibt es immer wieder Datenskandale. Sicherheitsanbieter Check Point sieht im Gesundheitswesen einen erheblichen Nachholbedarf in Bezug auf IT-Sicherheit.<\/p>\n

<\/p>\n

\"\"Die Information erreichte mich zwar zum Weltgesundheitstag (7. April 2023), ist aber auch nach diesem Stichtag weiterhin relevant. Beobachtungen von Checkpoint zeigt, dass das Gesundheitswesen seine IT-Sicherheit dringend verst\u00e4rken muss. J\u00fcngste Daten des Unternehmens zeigen, dass die Zahl der weltweiten Angriffe in der Branche im Vergleich zum Vorjahr um 78 Prozent zugenommen hat. Mit durchschnittlich 1426 Angriffsversuchen je Woche ist ein besorgniserregendes Niveau erreicht. <\/p>\n

Angriffe auf Gesundheitsversorger<\/h2>\n<\/p>\n

Immer wieder hat ein Angriff auf einen Gesundheitsversorger erhebliche Auswirkungen, schreiben die Sicherheitsexperten von Check Point. Erw\u00e4hnt wird ein Cyberangriff auf mehrere Kliniken in Franken<\/a> (ich hatte diesbez\u00fcglich im Blog-Beitrag Cyberangriffe auf Rechtsanw\u00e4lte Kapellmann, Geomed-Klinik Gerolzhofen; Angriffe auf ESXi-Server<\/a> berichtet). Dieser Cyberangriff legte nur die Internetseiten der Kliniken lahm. <\/p>\n

Im Blog-Beitrag BIG-Krankenkasse wurde am 28. M\u00e4rz 2023 Opfer eines Cyberangriffes<\/a> hatte ich berichtet, dass die Bundesinnungskrankenkasse Gesundheit von einem Cyberangriff betroffen ist. Zum 6. April 2023 meldet heise in diesem Artikel, dass die Krankenkasse \"tagelang\" nicht f\u00fcr Versicherte erreichbar war – und auch hier im Blog gab es entsprechende Kommentare. Obwohl in beiden F\u00e4llen (Krankenkasse sowie Webseiten von Kliniken) die eigentlichen IT-Systeme von Kliniken nicht betroffen worden waren und es nur zu einem Ausfall der Internet-Seiten bzw. bei der Krankenkasse deren Kommunikationssysteme und die internen IT kam, war das problematisch. <\/p>\n

Bei Cyber-Angriffen auf Kliniken oder Labors, aber auch Praxen, kann es um \"Leben und Tod\" gehen, wenn wichtige Infrastruktur nicht mehr arbeitsf\u00e4hig ist. Eine vom Ponemon Institute durchgef\u00fchrte Umfrage<\/a>ergab, dass mehr als 20 Prozent der Organisationen im Gesundheitswesen nach einer Sicherheitsverletzung einen Anstieg der Patientensterblichkeitsrate meldeten. <\/p>\n

Gesundheitsbereich attraktiv f\u00fcr Hacker<\/h2>\n<\/p>\n

In seinem j\u00fcngsten Security Report<\/a> stellte Check Point fest, dass die Attraktivit\u00e4t f\u00fcr Hacker nicht nur vom Zugriff auf wichtige Patientendaten und medizinische Aufzeichnungen herr\u00fchrt. Sondern die Angreifer k\u00f6nnen sich sicher sein, dass die Vorf\u00e4lle ihren Niederschlag in den Medien erhalten. Beide Faktoren setzen die Opfer unter immensen Druck und erh\u00f6hen die Wahrscheinlichkeit, dass bei Ransomware-Angriffen ein hohes L\u00f6segeld gezahlt wird.  <\/p>\n

Der Gesundheitssektor ist aus mehreren Gr\u00fcnden verwundbar: Die zunehmende Raffinesse und Quantit\u00e4t von Cyber-Angriffen stellen eine Bedrohung dar, auf die diese Unternehmen im Gesundheitsbereich schlicht nicht eingestellt sind. Viele Krankenh\u00e4user verlassen sich auf eine Mischung aus alten und neuen Technologien, von denen die meisten entweder nicht direkt verwaltet oder aufgrund unsachgem\u00e4\u00dfer Dokumentation vergessen werden. <\/p>\n

Dieses Problem hat sich im Laufe der Zeit noch versch\u00e4rft, da immer mehr IoT- und medizinische Ger\u00e4te hinzukommen, obwohl sie selten von vornherein sicher konstruiert sind und von den IT-Teams nicht verwaltet werden. Der derzeitige Fachkr\u00e4ftemangel im Bereich der IT-Sicherheit bedeutet auch, dass es an Fachwissen mangelt, um diese wachsende Angriffsfl\u00e4che zu verwalten. <\/p>\n

Stress f\u00fcr Cyber-Spezialisten <\/h2>\n<\/p>\n

Andererseits habe ich von Gartner bereits im Februar 2023 eine Analyse gesehen<\/a>, dass Cybersecurity-Fachleute (in allen Bereichen, nicht nur im Gesundheitswesen) unter enormen Druck stehen.  Entweder sie werden gehackt oder nicht \u2013 aber die Experten sind immer in der Defensive. Diese Situation wirkt sich psychologisch direkt auf die Entscheidungen und die Leistung der Verantwortlichen und ihrer Teams aus Gartner prognostiziert, dass fast die H\u00e4lfte der Cybersecurity-F\u00fchrungskr\u00e4fte wird bis 2025 den Job wechseln wird. Und 25 Prozent der Cybersecurity-F\u00fchrungskr\u00e4fte werden sich aufgrund von Stress am beruflich neu orientieren. Keine besonders guten Aussichten. <\/p>\n

Check Point hofft auf Technologien …<\/h2>\n<\/p>\n

Trotz dieser Herausforderungen gibt es, nach der Sichtweise von Check Point, Technologien und Strategien, die zum Schutz von Gesundheitsdienstleistern beitragen k\u00f6nnen. Die Sicherheitsspezialisten habe f\u00fcnf zentrale Aspekte formuliert, die jede Organisation befolgen sollte, um maximale Sicherheit zu gew\u00e4hrleisten:  <\/p>\n

    \n
  1. Kommunikation:<\/strong> Unternehmen m\u00fcssen ihre Mitarbeiter aufkl\u00e4ren, wie sie sicher bleiben k\u00f6nnen. Wenn ein Ger\u00e4t au\u00dferdem nicht ordnungsgem\u00e4\u00df verwaltet wird, ist dieses, falls es Zugang zu einem Netzwerk hat, ein Einfallstor f\u00fcr Hacker. Dieses Problem hat sich mit hybriden und Remote-Arbeitspl\u00e4tzen und der Verbreitung von pers\u00f6nlichen Mobilger\u00e4ten, die f\u00fcr den Zugriff auf medizinische Daten in E-Mails und Microsoft 365 verwendet werden, vervielfacht. <\/li>\n
  2. Sichtbarkeit und Segmentierung:<\/strong> Es ist unm\u00f6glich, ein Netzwerk erfolgreich zu sichern, ohne alle darin enthaltenen Ressourcen zu verstehen. Ein umfassender \u00dcberblick, der auch Cloud und Rechenzentrum einschlie\u00dft, deckt Schwachstellen auf, z. B. m\u00f6gliche Sicherheitsupdates oder Ger\u00e4te mit veralteter Firmware. Sobald das Netzwerk kartiert ist, k\u00f6nnen hilfreiche Ma\u00dfnahmen, wie die Segmentierung, vollzogen werden. Diese schafft virtuelle Grenzen zwischen den Segmenten, die verhindern, dass sich Hacker seitlich bewegen k\u00f6nnen, um weitreichenden Schaden anzurichten. <\/li>\n
  3. Konsolidierte Sicherheit ist Pflicht:<\/strong> Da betr\u00fcgerische E-Mails weiterhin die Nummer Eins unter den Bedrohungen sind, dicht gefolgt von Schwachstellen und Fehlkonfigurationen, ist eine Strategie, die auf der Implementierung mehrerer Einzell\u00f6sungen beruht, kein ausreichender Schutz mehr. Sicherheitsprozesse ben\u00f6tigen eine vollst\u00e4ndige End-to-End-Transparenz, weniger Fehlalarme und die absolute Gewissheit, dass alle Vektoren das gleiche hohe Niveau an gemeinsamer Bedrohungsintelligenz und pr\u00e4ventionsbasierter Sicherheit aufweisen, um sicherzustellen, dass alle potenziellen Bedrohungen abgedeckt sind. <\/li>\n
  4. CISOs m\u00fcssen ihren Teil beitragen:<\/strong> Die Rolle eines CISOs besteht darin, sicherzustellen, dass die Gesch\u00e4ftsleitung ein klares und deutliches Verst\u00e4ndnis f\u00fcr die Risiken hat, denen ein Unternehmen ausgesetzt ist. Ihre Aufgabe ist es, diese Punkte in einer f\u00fcr alle Positionen leicht verst\u00e4ndlichen Sprache deutlich zu machen und die gesch\u00e4ftlichen Konsequenzen einer schwachen Sicherheit zu erkl\u00e4ren. Wenn es generell an Kommunikation zwischen CISOs und dem Unternehmen mangelt, muss sich das \u00e4ndern, um kritische Dienste besser zu sch\u00fctzen. <\/li>\n
  5. Zusammenarbeit ist der Schl\u00fcssel:<\/strong> Unternehmen aller Branchen m\u00fcssen ihre Sicherheitsprogramme verbessern, aber sie k\u00f6nnen es nicht allein tun. Sicherheitsanbieter m\u00fcssen zusammenarbeiten, um einen einheitlichen Schutz gegen Bedrohungen zu schaffen, und es sollte eine einheitliche Regulierungsbeh\u00f6rde eingerichtet werden, um die Umsetzung von Standardverfahren zu unterst\u00fctzen und Ungleichheiten bei den Ausgaben f\u00fcr Cyber-Sicherheit zu verringern.<\/li>\n<\/ol>\n

    \"Viele Organisationen des Gesundheitswesens verf\u00fcgen \u00fcber ein gutes Risikomanagement, aber es fehlt ihnen an einer konsolidierten, kooperativen und umfassenden Strategie, die eine echte Widerstandsf\u00e4higkeit im Bereich der Cyber-Sicherheit bietet. Die Bedrohungslage nimmt weiter zu, und die Folgen k\u00f6nnen nur schwerwiegender werden\", erkl\u00e4rt Lothar Geuenich, VP Central Europe\/DACH bei Check Point. \"Solche Angriffe k\u00f6nnen nicht nur den Betrieb dieser Gesundheitsorganisationen st\u00f6ren, sondern auch zum Verlust von Menschenleben f\u00fchren, wenn Dienstleistungen nicht erbracht werden k\u00f6nnen. Wir brauchen L\u00f6sungen, um sofort handeln zu k\u00f6nnen, aber vor allem, um solche Angriffe von vornherein zu verhindern und nicht nur zu entdecken.\" <\/p>\n

    Die obigen f\u00fcnf Punkte sind zwar einleuchtend und bedenkenswert, aber die H\u00fcrden sind in der Praxis doch enorm hoch. Der arme CISO, der eh nur Anh\u00e4ngsel einer Klinik und Kostenfaktor ist, soll also dem Verwaltungschef der Klinik, der st\u00e4ndig finanzielle L\u00f6cher stopft, erkl\u00e4ren, dass er die H\u00e4lfte seiner medizinischen Ger\u00e4te auf den Stationen aussortieren muss, weil diese nicht mehr verwaltet werden k\u00f6nnen?  <\/p>\n

    Und ich kann noch so viel Mitarbeiterschulung veranstalten, bei mehreren Hundert bis Tausend Mitarbeitern ist es eine Frage der Wahrscheinlichkeiten, bis es zu einem Vorfall kommt. Hinzu kommen jetzt die Eingangs skizzierten Vorhaben der deutschen und europ\u00e4ischen Gesundheitspolitik zur Digitalisierung, die technisch, datenschutzm\u00e4\u00dfig und organisatorisch bei weitem nicht gekl\u00e4rt sind, Da wird nach meiner Einsch\u00e4tzung noch viel Freude aufkommen und ich sehe ehrlich gesagt nicht, wie das Thema \"IT-Sicherheit im Gesundheitsbereich\" auf sicherheitstechnisch solide F\u00fc\u00dfe gestellt werden k\u00f6nnte. <\/p>\n

    \u00c4hnliche Artikel:
    <\/strong>    Lauterbach \"will\" die elektronische Patientenakte (ePA) mit Opt-out \u2013 ein Desaster mit Ansage oder Wolkenkuckucksheim?<\/a>
    <\/strong>    Elektronische Patientenakte: B\u00e4r will Datenschutz schleifen<\/a>
    Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko?<\/a>
    Datenleck: Old-School-'Hack' f\u00fcr Gesundheitskarte<\/a>
    KBV: Gematik verschiebt eRezept-Einl\u00f6sung mit eGK auf Sommer 2023<\/a>
    TI-Konnectoren im Gesundheitswesen \u2013 der \"400 Millionen Euro\"-Hack des Chaos Computer Clubs<\/a>
    Sicherheitsl\u00fccken im deutschen Gesundheitsdatennetz<\/a>
    gematik-Gesellschafter haben Opt-out f\u00fcr elektronische Patientenakte (ePA) beschlossen<\/a>
    Vernichtendes Urteil an elektronischer Patientenakte auf Freie \u00c4rzteschaft (FA) Kongress (3.12.2022)<\/a>
    Neustart in 2023 f\u00fcr Elektronische Patientenakte (ePA) geplant<\/a>
    EU Gesundheitsdatenraum (European Health Data Space, EHDS): Erste Pl\u00e4ne, offene Fragen<\/a> <\/p>\n

    Cyberangriffe auf Rechtsanw\u00e4lte Kapellmann, Geomed-Klinik Gerolzhofen; Angriffe auf ESXi-Server<\/a> 
    BIG-Krankenkasse wurde am 28. M\u00e4rz 2023 Opfer eines Cyberangriffes<\/a>
    Was ist bei amedes Medizinische Dienstleistungen los? Verdacht auf Cyberangriff?<\/a>
    Cyber-Angriff zieht IFAP-Arzneimitteldatenbank in Mitleidenschaft<\/a>
    Cyberangriffe auf CompuGroup Medical SE & Co. KGaA<\/a>
    Ransomware bei britischem Labor HMR, Daten ver\u00f6ffentlicht<\/a>
    Cyber- und Ransomwareangriffe: Rodgau, Rosenbauer, Dole, Medibank \u2013 Facebook-Seite und TikTok-Gebrauch untersagt<\/a>
    Medibank und Deutsche Bank vom gleichen Angreifer gehackt?<\/a> <\/p>\n

    Sicherheitsl\u00fccken im deutschen Gesundheitsdatennetz<\/a>
    Tenable zeigt: Fast 106 Millionen Gesundheitsdaten offengelegt<\/a>
    Gesundheitsdaten ziehen Kriminelle besonders an<\/a>
    Heartbleed-L\u00fccke zum Klau der Gesundheitsdaten genutzt<\/a>
    Gesundheitseinrichtungen: E-Mail-Sicherheit mangelhaft<\/a>
    Digitalisierung Deutschland: Patientendaten in Praxissoftware einsehbar<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

    Im Gesundheitswesen stehen die Zeichen ja stark auf \"verst\u00e4rkte Digitalisierung\". Elektronische Patientenakte (ePA), elektronische Krankschreibung, elektronische Rezepte sollen die \u00c4rzte entlasten, sagen die Propagandisten. Weiterhin ist ein EU Gesundheitsdatenraum in Planung, der neue Herausforderungen bringt. Andererseits erleben wir st\u00e4ndig, dass … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-279778","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/279778","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=279778"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/279778\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=279778"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=279778"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=279778"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}