Wie sich Krankenhäuser gegen Cyberangriffe absichern können.

Cybersicherheit im Krankenhaus

Branchenspezifische Sicherheitsstandards B3S, Kritis und BSI

Der Gesundheitssektor zählt zu den Kritischen Infrastrukturen, darunter fallen die Strukturen für stationäre Versorgung, Arzneimittel & Impfstoffe und Labore. Weniger als zehn Prozent der Krankenhäuser sind aber beim BSI im Sinne des IT-Sicherheitsgesetzes registriert*.

Der B3S Branchenspezifische Sicherheitsstandard für Krankenhäuser steht als Orientierung allen Kliniken zur Verfügung und sollte als Maßstab für die Umsetzung angemessener IT-Maßnahmen dienen.

Die EU-Agentur für IT-Sicherheit (Enisa) hat eine eigene Leitlinie für Krankenhäuser herausgegeben, die sog. Procurement Guidelines for Cybersecurity in Hospitals (ENISA).

DSGVO

Unabhängig vom Wirtschaftszweig gilt die DSGVO. Gesundheitsdaten gelten als besonders sensibel und schützenswert. Es muss sichergestellt werden, dass diese Daten nicht unkontrolliert abfließen und unbefugten Personen in die Hände fallen.

Patientenrechtegesetz

Die medizinischen Leistungserbringer müssen revisionssicher aufzeichnen und bei Audits nachweisen, wann sie welcher Stelle in welcher Form Krankenunterlagen übertragen haben.

*Bei Krankenhäusern sind das alle Einrichtungen, die mindestens 30.000 vollstationäre Fälle pro Jahr dokumentieren. 

Warum ist die Gesundheitsbranche besonders lukrativ für Angreifer?

• Der Digitalisierungsgrad der Branche ist sehr hoch: Krankenhausinformationssysteme (KIS) und IT-gestützte Prozesse sind essentiell für die Leistungserbringung - ein attraktives Ziel für Cyberkriminelle.
• Systeme in Labor und Radiologie sowie Patientendaten-Management und Bilddatenverwaltung beherbergen sensible Informationen und sind prädestiniert für Sicherheitsvorfälle.
• Patientendaten, etwa die Versicherungs- und Personalausweisnummer, haben typischerweise kein Verfallsdatum, lassen sich nicht einfach sperren und bieten Kriminellen gute Chancen, diese Daten längerfristig weiterverwenden zu können.
• Krankenhäuser zeigen eine hohe Zahlungsbereitschaft, wenn es darum geht, die Funktionstüchtigkeit kritischer Prozesse sicherzustellen.

Welche besonderen Anforderungen bestehen bzgl. IT-Sicherheit?

Für Krankenhäuser sind laut den branchenspezifischen Standards B3S und EU-Guidelines folgende IT-spezifische Bedrohungen und Schwachstellen zu beachten:

• Hacking und Manipulation
• Schadprogramme / Ransomware
• Systemmissbrauch (Innentäter) und unbefugter Zugriff
• Social Engineering
• Identitätsmissbrauch (Phishing, Skimming, Zertifikatsfälschung)
• Advanced Persistent Threat (APT)
• E-Mail-Account-Übernahme / Spamming
• Menschliche Fehlhandlungen

Bzgl. Technischer Informationssicherheit sind folgende Themen abzudecken: