kma: Wie schützt sich Ihr Klinikum vor Cyberangriffen?

Jung: Umfangreich. Wir nutzen verschie­dene technische Cyberabwehrsysteme: Dazu zählen Next-Gen-Gateway-Firewall und Datacenter-Firewall, Intrusion Detection und Prevention, Mail-Security inklusive Sandboxing, Endpoint Detection and Response (EDR) und Netzwerk-Segmentation. Natürlich schulen wir auch unsere Mitarbeiter zum Thema IT-Sicherheit, insbesondere das IT-Personal.

Worin sehen Sie die größte Herausforderung der IT-Sicherheit?

Viele Krankenhäuser haben für eine adäquate, technische und personelle Ausstattung schlichtweg nicht die nötigen finanziellen Mittel.

Viele Krankenhäuser haben für eine adäquate, technische und personelle Ausstattung schlichtweg nicht die nötigen finanziellen Mittel.

Was hat sich durch den Cyberangriff bei Ihnen geändert? 

Wir haben uns proaktiv vom ­Internet getrennt, um Datenverlust und Verschlüsselung zu verhindern. Das hat viele Arbeits­prozesse temporär erschwert. Durch entschlossenes, schnelles Krisenmanagement konnten wir in kurzer Zeit zumindest funktionale Übergangslösungen etablieren. Mit Blick auf die IT-Sicherheit achten wir jetzt bei Änderungen der Infrastruktur intensiver auf Risiken und geben mehr Geld für IT-Sicherheitstechnik und deren Betrieb aus.

Was haben Sie aus dem Angriff gelernt?

Der Angriff hat uns verdeutlicht: Gute IT-Sicherheitstechnik allein reicht nicht. Es geht auch um die Prozesse und Menschen, welche die Technik steuern. Um Risiken zu erkennen und zu vermeiden, benötigt die IT genügend Zeit, um die Technik sicher zu konfigurieren und den Status kontinuierlich zu überprüfen. Es braucht verbesserte Aufklärung über die Abhängigkeiten der Geschäftsprozesse von Technologien und technische Alternativen, die bei einem Ausfall unmittelbar zur Verfügung stehen.

kma: Wie schützt sich Ihr Klinikum vor Cyberangriffen?

Schramm: Wir orientieren uns an den BSI-Empfehlungen wie der Absicherung von Netzübergängen durch Firewalls, E-Mail- und Web-Inhaltsfilter inklusive Malwareschutz. Das Netzwerk ist stark segmentiert, der Datenverkehr durch eine Segmentierungsfirewall geregelt. Der Zugang zum Netz ist durch Network Access Control geschützt, der zu den Systemen durch die hohe Passwortstärke. Externe Zugänge erfordern Multi-Faktor-Authentifizierung, ebenso der administrative Zugriff auf die Managementnetze. Patch Management und Endpoint Protection schützen die Systeme, der Aufbau eines ISMS wurde in die Wege geleitet.

Was ist für Sie die größte Herausforderung beim Thema IT-Sicherheit?

Die Besetzung offener Stellen im Bereich IT-Security und -Infrastruktur mit geeigneten Experten.

Die Besetzung offener Stellen im Bereich IT-Security und -Infrastruktur mit geeigneten Experten.

Schwierig ist zudem der Spagat zwischen Zeitdruck bei der Umsetzung der KHZG-Projekte und der damit verbundenen Fortführung der Digitalisierung – genauso wie der extreme Anstieg an gesetzlichen Anforderungen im Gesundheitswesen und damit den Anforderungen an die Umsetzung von IT-Lösungen und die Pflege und Weiterentwicklung von IT-Sicherheitsstrukturen und Ausfalllösungen. 

Was hat sich seit dem Cyberangriff an Ihrem Klinikum geändert?

Das Sicherheitsniveau ist höher. Ein halbes Jahr vor dem Cyberangriff führten wir ein IT-Sicherheitsaudit durch, um das Sicherheitskonzept zu schärfen. Leider erfolgte der Hackerangriff vor Abschluss dieser Maßnahmen. Die beschafften ­Lizenzen nebst Hardware konnten wir beim Wiederaufbau der IT-Infrastruktur sofort einsetzen und so die Audit-Maßnahmen wiederherstellen. Die erhöhten Sicherheitsanforderungen wirken sich auf die tägliche IT-Arbeit aus: Selbst einfache Prozesse, wie der Aufbau von Arbeitsplätzen oder Software-Installation, sind inzwischen deutlich komplexer und zeitaufwändiger.

Was haben Sie aus dem Angriff gelernt?

Informationssicherheit ist ein permanenter, zeitintensiver Prozess. Um Hackerangriffe zu überstehen, benötigt man gute Partner im Netzwerk-, Backend- und Sicherheitsbereich. Langjährige Partnerschaften, die mit den hausinternen Strukturen vertraut sind, machen sich bezahlt. Genau wie das IT-Team in puncto­ Zusammenhalt, Kommunikation und Mitarbeiterqualifikation – und natürlich der Rückhalt durch die Klinikleitung.

kma: Wie schützt sich Ihr Klinikum vor Cyberangriffen?

Müller: Mit einer „menschlichen Firewall“, d.h. einer permanenten Sensibilisierung aller User mit Blick auf Phishing-Angriffe. Verantwortlich dafür sind die zentrale IT und Führungskräfte, die u.a. mit Schulungsvideos und simulierten Attacken ­arbeiten. Außerdem durch starke technische Maßnahmen, wie die Rechte-Einschränkung, die Absicherung von Endgeräten und Servern über eine EDR Lösung sowie Firewalls, eine verbesserte Netzwerksegmentierung und Multi-Faktor-Authentifizierung beim externen Zugriff. Unterstützt werden die Maßnahmen durch ein intern und extern betreutes Security Incident and Event Management (SIEM).

Was ist für Sie die größte Herausforderung beim Thema IT-Sicherheit?

Die meist organisch gewachsenen Netzwerkstrukturen mit Ursprung aus Zeiten, als IT-Sicherheit im Krankenhaus keine erhöhte Relevanz hatte.

Schädlich für ein höheres Sicherheitsniveau sind zudem die langen Laufzeiten von Medizingeräten, die oft keine Sicherheitspatches mehr erhalten. 

Schädlich für ein höheres Sicherheitsniveau sind zudem die langen Laufzeiten von Medizingeräten, die oft keine Sicherheitspatches mehr erhalten. Systeme und Software werden in der Medizintechnik teilweise immer noch nicht mit der Maßgabe „Security by Design“ entwickelt. Sicherheitsfeatures werden nachträglich übergestülpt – nicht immer erfolgreich. Die Sicherheitsmaßnahmen erhöhen die Unbequemlichkeit der täglichen Arbeit, so dass wir das Bewusstsein für ihre Notwendigkeit stärken müssen.

Was hat sich durch den Cyberangriff bei Ihnen geändert?

Obwohl die SRH-Kliniken nicht direkt betroffen waren, wurden sie durch den erfolgreichen Cyberangriff und die Wiederanlaufmaßnahmen im Betrieb eingeschränkt. Sowohl technische als auch menschliche „Schutzschilde“ wurden „hochgefahren“: Dazu gehörte die Erweiterung der technischen Absicherungen – nicht zuletzt durch die komplette Änderung der Administration unserer Systeme und Architektur der Verwaltung.

Zudem haben wir Informationen und Schulungen massiv erhöht, beginnend bei den Führungskräften.

Das Security-Team wurde intern und extern vergrößert, die Einzelmaßnahmen besser implementiert. Zudem haben wir Informationen und Schulungen massiv erhöht, beginnend bei den Führungskräften.

Was haben Sie aus dem Angriff gelernt?

Jedes Unternehmen kann Zielscheibe von Cyberangriffen werden. Nur eine Kombination aus technischen Systemen, Architekturen, Information und Sensibilisierung aller Mitarbeiter durch Unternehmen und IT macht das Risiko beherrschbar. Mit Blick auf Systeme und Konfigurationen ist allen klar geworden, dass wir Einschränkungen und Änderungen der Arbeitsweise in Kauf nehmen und unseren Mitarbeitern die Notwendigkeit derselben vermitteln müssen.

kma: Wie schützt sich Ihr Klinikum vor Cyberangriffen?

Wenz: Durch kontinuierliche Sensibilisierung aller Mitarbeitenden mittels Information und Schulungen. Je besser diese verstehen, welche Tricks von Kriminellen genutzt werden und welche Risiken dadurch für das Unternehmen, Kunden und Patienten entstehen, desto bedachter gehen alle vor – und desto schneller werden unsere Experten bei Verdachtsmomenten informiert. Außerdem ergreifen wir laufend organisatorische und technische Maßnahmen. U.a. haben wir einen Chief Information Security Officer (CISO) eingestellt, ein IT-Betriebsmodell nach BSI-Vorgaben aufgesetzt und betreiben aktives Monitoring der Netzwerke und aktiven Geräte. Auch klare, bedarfsentsprechende Rechtevergaberichtlinien und softwarebasierte Lösungen zur Endgeräte-Sicherheit gehören dazu.

Was ist für Sie die größte Herausforderung beim Thema IT-Sicherheit?

IT-Sicherheit betrifft die Patientensicherheit. Wir müssen an 365 Tagen rund um die Uhr gewährleisten, Menschen helfen zu können. Dazu benötigen wir sensible Patientendaten, Programme zur Steuerung des Betriebs und einzelner Systeme – sei es Radiologie oder computergestützte OP-Robotik – sowie Schnittstellen zu externen Partnern wie Kostenträgern, Haus- und Fachärzten nebst staatlichen Stellen.

Erschwerend kommt hinzu: Wir sprechen über wechselndes Personal mit temporärem Zugriff.

Erschwerend kommt hinzu: Wir sprechen über wechselndes Personal mit temporärem Zugriff. Medizinisch und pflegerisch tätige Klinikmitarbeiter benötigen nicht zwingend eine hohe IT-Affinität, wohl aber ein hohes Bewusstsein, um mögliche Angriffs-Szenarien oder Einfallstore zu erkennen und adäquat zu reagieren.

Wie sind Sie mit dem Cyberangriff umgegangen?

Durch unsere Sicherheitssysteme und die Aufmerksamkeit der IT konnten wir den Angriff identifizieren und unterbinden. Im Zuge der Schutz- und Überprüfungsmaßnahmen kam es zu Einschränkungen beim Internet und den Mailsystemen. Betriebssicherheit und Patientendaten waren jedoch nicht 
betroffen. Angesichts des Angriffsmusters­ haben wir externe Zugriffe und An­bindungen weiter eingeschränkt und unser IT-Betriebsmodell nebst Notfallplan auf Verbesserungsmöglichkeiten überprüft. Die hohe Aufmerksamkeit der Mitarbeitenden haben wir genutzt, um für das Thema zu sensibilisieren.

Mehr zum Thema:

Nmedia/stock.adobe.com

Gesellschaft für InformatikGo für Arbeitskreis gegen Cyberangriffe im Gesundheitswesen

Thieme/Fotostudio-Charlottenburg

Podcast „kma Kompass“Wie sich Kliniken vor Cyberangriffen schützen können

Was haben Sie aus dem Angriff gelernt?

Es gibt keine 100-prozentige ­Sicherheit. Es braucht immer ein gutes Zusammenspiel von technischer Sicherheit, aufmerksamen und schnell reagierenden IT-Spezialisten sowie sensibilisierten Mitarbeitenden. Wenn letztere sich bei Fragen oder Auffälligkeiten unmittelbar an die IT wenden, lässt sich vieles verhindern und möglicher Schaden geringhalten. Hard- und Software sind als stabile Basis nur ein Baustein: Transparenz über ­definierte Abläufe, mögliche Risiken und eine schnelle Reaktionsfähigkeit sind ausschlaggebend – und natürlich der Dialog mit IT-Kollegen anderer Unternehmen oder Behörden.

kma: Wie schützt sich Ihr Klinikum vor Cyberangriffen?

Montag: Durch technische Vorkehrungen wie z.B. die regelmäßige Installation von Updates und Patchen, die Prüfung auf und Filterung von schadhaften E-Mails und Anhängen, der Endgeräteschutz durch aktuelle Virenschutzlösungen, die Segmentierung der Netze, der Einsatz von Firewalls an den Netzübergängen und die regelmäßige Erstellung von Backups. All das hilft jedoch nur, wenn Anwender und Administratoren regelmäßig über Gefahren und Risiken informiert werden. Daher bieten wir regelmäßig Informationsveranstaltungen zu IT-Sicherheit und Datenschutz an und führen anlassbezogen Sensibilisierungen durch. Trotz aller Maßnahmen ist uns bewusst: Es ist nur eine Frage der Zeit, von einem Cyberangriff betroffen zu sein. Es gilt also, jederzeit neue Abwehrmaßnahmen ergreifen und Notfallpläne an sich ändernde Bedrohungslagen anpassen zu können.

Es ist nur eine Frage der Zeit, von einem Cyberangriff betroffen zu sein.

Was ist für Sie die größte Herausforderung beim Thema IT-Sicherheit?

Die Bewusstseinsarbeit, dass jeder Mitarbeitende im Krankenhaus zur IT-Sicherheit des Hauses und damit zur sicheren Patientenversorgung beiträgt. Eine weitere ist der Fachkräftemangel. Auf Seiten der Anwender, Ärzte wie Pflegende, führt das z.B. zur Zunahme von zeitlich befristeten Beschäftigungen, ­hoher Fluktuation und Zeitmangel. In Folge erhöht sich der Aufwand für Schulungen, Nutzer- und Berechtigungspflege. Es wird zunehmend schwer, gut ausgebildete Mitarbeiter mit aktuellem Fachwissen zu gewinnen. Die hohe Zahl an Applikationen, die im Krankenhaus zum Einsatz kommt, und die Digitalisierung erhöhen die Komplexität. So gesehen ist die größte Herausforderung, diese komplexe IT-Landschaft mit ihren Abhängigkeiten zu verstehen, zu administrieren und bei geringen Ausfallzeiten auf aktuellem Niveau zu halten.

kma: Wie schützt sich Ihr Klinikum vor Cyberangriffen?

Czech: Das UKM betreibt als erste Klinik ein eigenes Security Operation Center (SOC) mit eigenen Ressourcen. Dadurch können wir Kommunikationsmuster, die Cyberangreifer bei Angriffsversuchen hinterlassen, selbst erzeugen und analysieren. Mit KI-Tools entdecken wir solche „Kommunikationsartefakte“ innerhalb des Netzwerkdatenverkehrs nahezu in Echtzeit und leiten proaktive­ Maßnahmen ein. ­Zudem greifen wir unsere ­IT-Systeme selbst aktiv an, um Schwachstellen in Systemkonfigurationen und Softwareprodukten zu identifizieren und gezielt angehen zu können. Unsere ­Unternehmenssicherheit nimmt dafür die Rolle von Cyberangreifern ein.

Zudem greifen wir unsere ­IT-Systeme selbst aktiv an, um Schwachstellen in Systemkonfigurationen und Softwareprodukten zu identifizieren und gezielt angehen zu können.

Was ist für Sie die größte Herausforderung beim Thema IT-Sicherheit?

Primär die enorme Datenmenge, mit der wir in der IT-Sicherheit arbeiten. Am UKM haben wir ohne Nutzdaten pro Jahr 150 TByte reine Log- und Kommunikationsdaten. Dieses Volumen und die steigende Komplexität der IT-Systeme muss man erstmal beherrschen. Es reicht nicht, sich nur mit IT-Sicherheit auszukennen, man muss verstehen, wie die heterogene Software-Landschaft des Krankenhauses funktioniert und interagiert.