Lange galt IT-Security in Kliniken als notwendiges Übel und wurde deshalb eher stiefmütterlich behandelt. Doch das Thema steigt allmählich in der Priorität, allen Beteiligten ist inzwischen klar, dass das Sicherheitsniveau in den Krankenhäusern steigen muss. Diese Erkenntnis kommt nicht von ungefähr: Etliche Cyberattacken auf Kliniken und Pflegeeinrichtungen machten in den vergangenen Jahren Schlagzeilen und führten den Bertreibern schmerzlich vor Augen, was drohen kann

Die Folgen solcher Angriffe sind verheerend und können sich über Monate hinziehen: Der Klinikalltag läuft nicht wie gewohnt, neue Patienten bleiben unregistriert und das Rechnungswesen steht still. Den Kliniken entstehen dadurch hohe Kosten, zusätzlich müssen sie viel Geld für die Wiederherstellung der Systeme ausgeben. Nicht zuletzt können Cyberangriffe lebensbedrohlich werden, wenn Hacker Medizingeräte wie beispielsweise Medikamentenpumpen manipulieren.

Public-Key-Infrastruktur als Basis der Security
Ein wichtiger Baustein, um die Sicherheit vor externen und internen Angriffen zu erhöhen, ist eine Public-Key-Infrastruktur (PKI). Dabei handelt es sich um eine asymmetrische Krypto-Technologie, die als eine der sichersten Formen der Verschlüsselung gilt. Mit der PKI lassen sich Daten und Nachrichten signieren und verschlüsseln, für jede Verbindung zwischen den Kommunikationspartnern – zum Beispiel zwischen Ärzten und Labormitarbeitern – sind zwei Schlüssel notwendig. Die sind ein öffentlicher Schlüssel für die Verschlüsselung der Daten und ein privater, geheimer Schlüssel für die Entschlüsselung. Die Authentizität des öffentlichen Schlüssels stellen digitale Zertifikate sicher, die in einer Art Kette jeweils das Vorgängerzertifikat validieren. So entsteht ein sicherer Zertifizierungspfad.

Je mehr Systeme Kliniken oder Pflegeeinrichtungen im Einsatz haben beziehungsweise mit je mehr externen Systemen sie im Rahmen der Beschaffung, telemedizinischen Anwendungen und der elektronischen Patientenakte kommunizieren müssen, desto komplexer gestalten sich Kommunikation, reibungsloser Betrieb und auch die Gewährleistung der Sicherheit. Die PKI stellt hier grundlegende Schutzmechanismen bereit, um die Kommunikation zwischen den Geräten abzusichern und sie vor unbefugten Zugriffen zu schützen. So verfügt jedes Medizingerät über eine eigene Device-Identity, sozusagen ein Einmalzertifikat. Mit diesem authentifiziert es sich bei der Inbetriebnahme im Kliniknetzwerk. In der Folge werden weitere Zertifikate vergeben, zum Beispiel für Updates von Hard- und Software oder für die Kommunikation mit anderen Systemen. Die jeweiligen Kommunikationspartner tauschen ihre Zertifikate aus und können Daten und Nachrichten dann so verschlüsseln, dass nur der jeweilige Partner sie entschlüsseln kann. Ein unbefugter Zugriff auf die Daten und eine mögliche Manipulation der Daten wird so verhindert.

Schutz durch IAM
Mit der PKI einhergehen sollte immer auch ein Identity- und Access-Management (IAM), mit dem sich Devices vor nicht-autorisierten Zugriffen schützen lassen. Es gilt, Computer und Medizingeräte mit Sicherheitsmechanismen auszustatten, sodass sie sich beispielsweise nicht ohne Login bedienen lassen. Allzu oft sind Bildschirme nicht gesperrt, Computer und Medizingeräte relativ frei zugänglich – Angreifer haben hier leichtes Spiel. Daher ist es notwendig, dass sich Pflegepersonal und Ärzte an Geräten einloggen und nach Benutzung auch wieder ausloggen müssen. Dies muss aber an den hektischen Klinikalltag angepasst und für die Belegschaft komfortabel sein. Der Trend geht hier eindeutig weg von der Eingabe von Passwörtern, weil dies aus gleich mehreren Gründen nicht praktisch ist: Passwörter sind nicht immer leicht zu merken und schnell vertippen sich Nutzer bei der Eingabe. Zudem bedeuten Passwörter für die IT einen recht hohen Verwaltungsaufwand und ihr Schutzniveau ist eher gering.

Zwar geht erhöhte Sicherheit immer mit einem gewissen Komfortverlust einher, doch unpraktikabel dürfen die Zugriffsmechanismen eben nicht sein. Um die Balance zwischen Sicherheit und Komfort zu finden, sind zum Beispiel Smartcards oder FIDO-Token (Fast Identity Online) gut geeignet. FIDO-Protokolle verwenden – wie die PKI – asymmetrische Kryptografie und somit einen öffentlichen und einen privaten Schlüssel. Jedoch nutzt diese Technologie keine Zertifikate für die Schlüsselverteilung, sondern generiert stets ein neues Schlüsselpaar, wobei der einzigartige private Schlüssel immer sicher auf dem Token lagert.

Durch Einstecken oder Auflegen der Hardwarekomponente authentifizieren sich die jeweiligen Personen und können beispielsweise Patientendaten einsehen oder die Medikation an Medizinpumpen ändern. Ist ihre Arbeit beendet, entnehmen sie ihren Token wieder und das Gerät ist gesperrt. Ein weiterer Vorteil ist, dass sich einfach und transparent nachhalten lässt, wer wann welche Änderungen vorgenommen hat. Bei besonders schützenswerten Daten oder Einstellungen kann zudem eine Multifaktor-Authentisierung zum Tragen kommen: Neben dem Auflegen des Tokens ist dann beispielsweise ein biometrischer Nachweis wie der Fingerabdruck erforderlich.

Die Smartcards bedienen sich der PKI. Die von der PKI generierten Zertifikate sind direkt auf der Smartcard einsetzbar und verbinden sich auch in den Verzeichnissen wie etwa dem Active Directory mit dem Anwender. Auch hier ist das Resultat eine passwortlose Authentifizierung mit höchster Sicherheit, die nur die Eingabe einer PIN benötigt.

Penetrationstest deckt Sicherheitslücken auf
Vor der Einführung einer PKI und eines IAM empfiehlt sich grundsätzlich eine Analyse des Status quo. Wo Einfallstore für Cyberangriffe lauern und wie die Bedrohungslage ist, lässt sich mit einem Penetrationstest ermitteln. Externe IT-Sicherheitsanbieter versetzen sich hierfür in die Rolle eines Hackers und prüfen das System auf Sicherheitsmängel. Auf Basis eines solchen Pentests können die Experten dann gezielt Empfehlungen aussprechen, mit der sich das Sicherheitsniveau erhöhen lässt, und bei der Systemplanung und Implementierung von PKI und IAM unterstützen. Im Rahmen solcher Projekte ist oftmals auch eine Awareness-Schulung des Personals sinnvoll. Denn klar ist auch: Die Sicherheit eines Systems hängt maßgeblich von den Anwendenden ab. Wie wichtig Schutzmechanismen sind und warum ein gewisser Komfortverlust notwendig ist, muss dem Klinikpersonal bewusst sein. Die gesamte Belegschaft muss die Notwendigkeit erkennen und die Einführung neuer Sicherheitssysteme mittragen.

Mit zur Bekräftigung von IT-Security hat indes bereits das Krankenhauszukunftsgesetz (KHZG) beigetragen. Im Zuge dessen hat das Bundesamt für Soziale Sicherung einen Krankenhauszukunftsfond eingerichtet, mit dem bis zu 4,3 Millionen Euro in den Ausbau der digitalen Infrastruktur von Krankenhäusern fließen sollen. Eine wesentliche Rolle im KHZG spielt die Verbesserung der IT-Infrastruktur: Bei Projekten, die im Rahmen des Gesetzes bewilligt wurden, müssen 15 Prozent der Fördermittel in Security-Maßnahmen investiert werden.

Fazit
Um das Klinikpersonal zu entlasten und die bestmögliche medizinische Versorgung zu gewährleisten, ist das Voranschreiten der Digitalisierung in Krankenhäusern unumgänglich. Mit der Einführung moderner Technologien müssen Kliniken aber auch das Thema Security mitdenken, weil das Risiko von Cyberangriffen zunehmend steigt. Um die Sicherheit in medizinischen Einrichtungen zu erhöhen, ist eine Public-Key-Infrastruktur in Verbindung mit einem Identity- und Access-Management ein guter Weg mit hoher Nutzbarkeit. Die PKI bietet starke Authentifizierungstechnologien, um die Kommunikation zwischen Geräten und Systemen abzusichern. IAM ermöglicht es, Geräte und Systeme zusätzlich vor nicht-autorisierten Zugriffen zu schützen.

ln/jp/Heinfried Cznottka, Director Security Solutions und Gorden Bitter, Sales Director HealthCare bei der achelos GmbH