IT-Sicherheit im Krankenhaus

Krankenhäuser sammeln sehr viele Daten, sei es bei der Aufnahme von Patientinnen und Patienten oder bei der Benutzung von medizintechnischen Geräten wie MRT oder Ultraschall. Leider zeigt es sich immer wieder, dass diese Daten nicht so gut geschützt sind, wie sie es sein sollten – Hackerangriffe legen zum Teil ganze Kliniken lahm. Um solchen Angriffen etwas entgegenzusetzen, sind Krankenhäuser gesetzlich verpflichtet, ihre IT zu schützen. Doch unabhängige Prüfungen zeigen, dass zum Teil noch deutliche Mängel zu finden sind. Eine gute Beratung durch externe Fachkräfte ist deshalb wichtig. Wir sprachen mit Alexander Häußler vom TÜV SÜD, der Krankenhäuser zum Thema IT berät.

Herr Häußler, in Deutschland wurden unter anderem Server der Uniklinik Düsseldorf gehackt, in Barcelona kürzlich eines der größten Krankenhäuser der Region. In beiden Fällen hatten viele Patientinnen und Patienten das Nachsehen, da Behandlungen und Operationen ausfielen. Ob sensible Daten abgegriffen wurden, muss noch geklärt werden. Zumindest in Deutschland gibt es mit dem Patientendaten-Schutz-Gesetz seit Anfang 2022 für jedes Krankenhaus die Pflicht, für die Sicherheit der IT zu sorgen. Ist damit alles im grünen Bereich und unsere Krankenhaus IT geschützt?

Alexander Häußler: Das kann man so nicht sagen. Es gibt Krankenhäuser, die haben den Datenschutz ganz oben auf ihrer Prioritätenliste stehen, während andere da etwas nachlässiger sind. Möglicherweise ist das auch den Belastungen durch die Pandemie und der Tatsache geschuldet, dass Krankenhäuser im Moment noch einige andere Baustellen haben – aber das ist die Realität. Leider sind die Anforderungen an Krankenhäuser im Paragrafen 75c des Sozialgesetzbuches V: "IT-Sicherheit in Krankenhäusern" auch nicht sehr genau benannt worden. Die kleineren Krankenhäuser, die keine "kritische Infrastruktur" sind, werden zwar aufgefordert selbst zu prüfen, wo sie aktuell stehen und welche Kriterien sie nach heutigem Stand erfüllen. Es gibt allerdings keine Verpflichtung zu einer unabhängigen Prüfung. Schärfere Anforderungen gelten für die großen Kliniken. Sie sind in §8a des BSI-Gesetzes formuliert, der sich mit der Sicherheit in der Informationstechnik Kritischer Infrastrukturen befasst. Danach müssen große Kliniken zumindest einen unabhängigen Begutachtungsnachweis ans Bundesamt für Sicherheit in der Informationstechnik (BSI) schicken. Diese Nachweise werden allerdings von unterschiedlichen Prüfstellen mit unterschiedlichen Prüfmethoden erbracht. Die Deutsche Krankenhausgesellschaft hat mit ihrem B3S-Standard für Krankenhäuser zwar einheitliche Kriterien definiert, allerdings kann ich nicht beurteilen, inwieweit die IT-Verantwortlichen in den kleineren Krankenhäusern sich tatsächlich danach richten.

Häußler: Im Wesentlichen sollen sie das beachten, was auch die größeren Häuser beachten müssen – damit die Sicherheit ihrer IT gewährleistet ist und niemand unberechtigt darauf zugreifen kann oder sie lahmlegt. Dabei haben die kleinen Krankenhäuser mit genau den gleichen Problemen zu kämpfen wie die großen: Sie müssen die Sicherheit einzelner Systeme überprüfen und genau festlegen, wer berechtigt ist auf bestimmte Systeme und Bereiche zuzugreifen. Allerdings besitzen kleinere Häuser meistens nicht ganz so viele Apparate unterschiedlicher Hersteller, sodass der Begutachtungsaufwand unter Umständen geringer ist. Und natürlich spielt auch das Thema "Backup und Recovery" eine große Rolle. Wie speichere ich Daten und wie kann ich sie – beispielsweise nach einem Hackerangriff – nötigenfalls wiederherstellen?

Häußler: Die TÜV SÜD Management Service GmbH ist ein Tochterunternehmen von TÜV SÜD, das sich auf die Prüfung von Prozessen und Managementsystemen in unterschiedlichsten Branchen spezialisiert hat. Durch unsere Audits bei großen Krankenhäusern haben wir bereits umfangreiche Erfahrungen in diesem Bereich erworben, die wir auch für die Bewertung der IT-Sicherheit in kleineren Krankenhäusern nutzen können. Dazu gehen wir in die Krankenhäuser und stellen unparteiische Fragen, um zu schauen, wo es möglicherweise noch Lücken gibt. Dabei zeigen wir nicht mit dem Finger auf Personen, sondern wir schauen auf die Prozesse. Wir bewerten die Prozesse, analysieren den Ist-Zustand und vergleich den Ist-Zustand mit den gestellten Anforderungen des schon erwähnten B3S. Auf Basis dieses Vergleichs können die Krankenhäuser sehr klar benennen, was noch getan werden muss, um den geforderten Stand der Technik bei der IT-Sicherheit zu erreichen.

Heißt das, in den Krankenhäusern sind zum Teil noch Systeme zu finden, die nicht mit den aktuellen Updates für die Software bespielt sind?

Häußler: Das ist sicher der Fall. Aber das liegt auch daran, dass die Krankenhäuser solche Systeme nicht immer selbst updaten dürfen. Auch wenn die IT-Abteilung eines Krankenhauses beispielsweise von einem IT-Sicherheitsproblem bei einer Herz-Lungen-Maschine weiß, kann sie nicht einfach aus dem Internet ein Update laden und einspielen. Solche Updates müssen in der Regel über den Hersteller laufen, weil die sichere Funktion der Maschine sonst vielleicht nicht mehr gewährleistet ist, und diese sollte in einem Krankenhaus durchaus auch gewährleistet werden. Aber eine "veraltete" Software-Version muss auch nicht unbedingt schlimme Folgen haben. Solche älteren Systeme laufen häufig in abgesicherten Bereichen, sodass von außen niemand zugreifen kann. Dann spricht auch nichts dagegen, ein älteres Betriebssystem oder eine ältere Software-Version zu verwenden. Es muss nur sichergestellt sein, dass niemand zu diesem System vordringen kann. Dazu ein hoffentlich anschauliches Beispiel: Man kann teuren Diamantschmuck im Wohnzimmer liegen lassen, wenn sichergestellt ist, dass niemand von außen in das Zimmer kommen kann. Wenn man allerdings offene Türen hat, dann wäre ein Safe vielleicht der bessere Aufbewahrungsort für den Schmuck.

Können sich Krankenhäuser darauf verlassen, dass die Medizintechnik-Unternehmen regelmäßig Updates der Maschinen zur Verfügung stellen?

Häußler: Die großen Hersteller bieten in der Regel die nötigen Updates für ihre Software an, auch wenn es zum Teil länger dauert, als man es sich wünscht. Es gibt aber auch Hersteller, die das Risiko an den Betreiber übergeben. Dann muss der Betreiber selbst dafür sorgen, dass das Gerät so gut abgesichert ist, dass nichts passieren kann. In einem Krankenhaus müssen nicht alle Geräte notwendigerweise in ein Netzwerk eingebunden werden. Aber wenn ein Gerät in ein Netzwerk eingebunden wird, hat der Betreiber dafür Sorge zu tragen, dass die Schnittstelle abgesichert ist.

Ist es denn möglich die Software diverser Medizintechnikhersteller gemeinsam zu schützen? Oder muss quasi jedes Gerät einzeln durch die Unternehmen geschützt werden?

Häußler: Unter dem Sicherheitsaspekt wäre es natürlich schön, wenn ein Krankenhaus alle Geräte von nur einem Hersteller bekommen könnte. Das würde vieles vereinfachen. Aber selbst wenn dies möglich wäre, würde es immer unterschiedliche Generationen bei den Geräten und bei der Software geben. Vielleicht kommen wir aber mal dahin, dass es definierte Schnittstellen für die Geräte gibt, welche die Einbindung in die "Sicherheitsarchitektur" erleichtern. Aber auch wenn dies in Zukunft möglich wäre, wir müssen die Krankenhäuser jetzt absichern. Deshalb wird in den nächsten Jahren noch einiges zu tun sein – für die IT-Verantwortlichen in den Krankenhäusern und für uns.