Die amerikanische Gesundheitsbehörde FDA hat bereits im Jahr 2013 davor gewarnt, dass Krankenhausnetzwerke durch Cyber-Angriffe bedroht sind. Sie bemängelt, dass vor allem die Sicherheit von vernetzten Geräten in Krankenhäusern oft unzureichend ist. Betroffen sind demnach zum Beispiel PCs, Tablets oder Smartphones mit darauf verfügbaren Patientendaten, aber auch Instrumente, die im OP oder zur Diagnose eingesetzt werden.

4,5 Millionen Datensätze gestohlen
Welche Folgen das haben kann, verdeutlichen Beispiele aus einer Risikoanalyse zur Krankenhaus-IT des Bundesamts für Sicherheit in der Informationstechnik (BSI) aus dem Jahr 2013: So ist nach einem Virenbefall auf den Servern eines Krankenhauses in Holland 2010 die gesamte IT zusammengebrochen. Auch in einem US-amerikanischen Medizinzentrum in Georgia hat ein Computervirus 2011 das IT-Netz ganze drei Tage lahmgelegt. Das jüngste Beispiel stammt ebenfalls aus den USA: Laut dem Nachrichtenprotal „Heise online“ hat die Universität Los Angeles (UCLA) im Mai dieses Jahres bemerkt, dass Unbekannte in das Klinik-Netzwerk eingedrungen sind und dort 4,5 Millionen Datensätze zu Patienten gestohlen haben. Die Hacker haben sich demnach Zugriff auf medizinische und persönliche Informationen wie etwa Sozialversicherungsnummern verschafft.

Gezielte Risikoanalyse
Grundsätzlich raten Experten wie Christian Götz, Services Manager des US-amerikanischen Anbieters Cyberark, der sich speziell auf den Kampf gegen gezielte Cyber-Bedrohungen konzentriert, zunächst eine Risikoanalyse durchzuführen. „Man muss sich die Frage stellen, an welchen Stellen es besonders weh tut, wenn auch nur eine einzelne Maschine oder ein einzelnes Gerät in der IT ausfällt.“ Hier gilt es, auf Ausfälle vorbereitet zu sein und Ersatzsysteme vorzuhalten. Da in einem Kliniknetzwerk oft mehrere Einzelsysteme miteinander verzahnt sind, rät er, auf deren Knotenpunkte zu achten: „ Nicht nur Server, sondern auch Dinge wie ein Router oder ein Switch im Netzwerk können ausfallen. Fallen sie aus, können die Server auch drei- oder vierfach ausgelegt sein – wenn die nicht miteinander kommunizieren können, ist Ruhe“, warnt Götz.

Strickte Datentrennung ist Pflicht
Wichtig ist auch, die einzelnen Systeme im Netzwerk klar voneinander zu trennen. Das gilt auch für die darin vorhandenen Daten. Johannes Dehm, Geschäftsführer der Initiative Mikromedizin des Verbands der Elektro- und Informationstechnik (VDE), erinnert hier an die international verpflichtende Vorgabe, die Personendaten im Kliniknetzwerk klar von den durch Diagnosen und Behandlungen erfassten Daten abzugrenzen und getrennt zu archivieren. So verhindern die Kliniken, dass Angreifer, die etwa in den Besitz von Laborergebnissen kommen, auch wissen, zu welchem Patient sie gehören. Zu der sauberen Trennung gehört auch, den Zugang auf diese Daten einzuschränken. Hier sind Kliniken gut beraten, neben der Authentifizierung jedes Teilnehmers im Netzwerk durch personenbezogene Passwörter auch die Zugriffsrechte auf diese Informationen einzuschränken. So sollten nur jene Mitarbeiter Daten eines Patienten einsehen dürfen, die dazu berechtigt sind. Das dazu auch eine digitale Signatur gehört, ist nicht jedem Krankenhaus bewusst. Das macht eine Studie der Wirtschaftsberatungsgesellschaft PWC im Auftrag der Europäischen Kommission deutlich, für die 1717 europäische Akutkliniken befragt wurden. Demnach ist der Zugang zu IT-Systemen zwar in der Regel erst nach dem Eingeben eines persönlichen Passworts möglich – allerdings sind die Daten selbst nur in jedem vierten Krankenhaus zusätzlich durch digitale Signaturen geschützt.

Zugriffsrechte beschränken
Die Teilnehmer im Netzwerk sind aber nicht nur Personen, sondern auch die Endgeräte, von denen auf jene Daten zugegriffen wird – also PCs, Laptops, Tablets und Smartphones. Sie sollten im Kliniknetzwerk einzeln registriert und mit eingeschränkten Zugriffsrechten versehen sein. Zusätzlich rät Götz, die Zugriffe von Personen und Geräten auf das Kliniknetzwerk mit Hilfe von detaillierten Benutzerkonten zu kontrollieren, die an einem zentralen Punkt verwaltet werden. So kann ein Krankenhaus die Nutzung dieser Zugänge beschränken und überprüfen, was im Kontext dieser privilegierten Konten gemacht wird. Um Cyber-Attacken keine Angriffsflächen zu bieten, sollten sich die Krankenhäuser laut dem Experten außerdem darüber im Klaren sein, welche Einstiegspunkte ein Netzwerk bietet. So bergen auch sogenannte Trojaner, die in Software-Updates versteckt sein können, eine Gefahr. Daher darf sich laut Götz kein Gerät innerhalb eines Kliniknetzwerks automatisch über das Internet updaten oder Patches installieren. Stattdessen müssten Systemadministratoren sämtliche Software auf unerlaubte Daten überprüfen, einen Testlauf durchführen und erst anschließend freigeben.

Dass die deutschen Krankenhäuser sicherer vor Hackern sind als die anderer Länder, halten die Experten für ausgeschlossen. Deshalb gibt es nur einen Königsweg im Kampf gegen Cyberattacken: „Das Ziel muss eine eingeschränkte, überschaubare und kontrollierte IT-Umgebung sein. Das setzt voraus, dass eine Klinik genau weiß, wer in dieser Umgebung mitspielt – und unter welchen Bedingungen die Geräte und Personen dort kommunizieren“, so Götz.