Sicherheit für vernetzte Medizinprodukte

Nirgendwo sind IT (Informationstechnik) und OT (Betriebstechnik bzw. Steuerungssysteme von Geräten) so eng verzahnt wie im Krankenhaus. Viele medizinischen Geräte sind mit dem Internet und untereinander verbunden und dienen der Interoperabilität innerhalb und außerhalb eines Krankenhauses, der systematischen Datenanalyse oder dem effizienteren Informationsaustausch. Aber die zahlreichen Vorteile für die Patientenversorgung sind auch mit Risiken verbunden. Denn im Gegensatz zur Office-Welt, wo IT-Sicherheit keine Unbekannte ist, ist diese in der OT gar nicht oder nur unzureichend integriert. Cyberkriminelle können so Zugang zu sensiblen Patienteninformationen, medizinischen Diagnosen oder Behandlungen erschleichen oder im schlimmsten Fall die Patientenversorgung stilllegen. Gerade deshalb ist Cyber-Sicherheit in der Medizin- und Gebäudetechnik bei Einrichtungen im Gesundheitswesen so anspruchsvoll.

Der Marktführer für Cybersicherheit im Gesundheitswesen Asimily sichert weltweit an über 2.500 Standorten mehr als 1 Mio. medizinische Geräte und über 5 Mio. vernetzter Geräte ab. Die Asimily Experten verfügen über fundiertes interdisziplinäres Know-how aus Gesundheitswesen, Cybersicherheit, Networking und Analytik und arbeiten mit den führenden Medizinunternehmen und Gesundheitseinrichtungen zusammen. Im Gespräch mit Arne Trittelvitz, Director Europe, Asimily.

Herr Trittelvitz, wie steht es um die Cybersicherheit im Krankenhaus?

Bei den vernetzten medizinischen Geräten, aber auch den Steuerungssystemen der Gebäudetechnik, die für die Patientenbehandlung im Zweifel ebenso lebenswichtig ist, wie Klimaanlagen, Strom- und Wasserversorgung, etc. können gewaltige Sicherheitslücken entstehen und zum Einfallstor für Cyberangriffe werden. Das Problem ist, dass diese Geräte in der Regel nicht im Zugriff der klassischen IT-Abteilung sind und diese für die Fachabteilung auch nur sehr schwer zu definieren, messen und überprüfen sind. Durch diesen mangelnden Überblick und die mangelnde Früherkennung von Anomalien eines Gerätes entsteht eine große Angriffsfläche, die das Krankenhaus quasi nicht kontrollieren kann.

Wie sieht Ihre Lösung aus?

Transparenz ist ein entscheidender Faktor. Wir wissen, wie die Geräte des Kunden arbeiten, wo sie stehen und wie sie kommunizieren. Am Verhalten und Netzwerkverkehr jedes Gerätes können wir erkennen, ob, wann und wie eine Schadsoftware beginnt, sich auszubreiten. Bei einer Ransomware-Attacke hat man in der Regel 24-72 Stunden, bis die Verschlüsselung einsetzt. Daher braucht es ein effizientes Monitoring, um Angriffe so früh wie möglich erkennen und adäquat reagieren zu können. Im ersten Schritt eruieren wir, welche Systeme überhaupt im Einsatz sind. Über unseren Sensor im Kunden-Netzwerk wird jedes vernetzte Medizinprodukt und Gerät der Gebäudetechnik bis ins Detail und mit allen Kommunikationsbeziehungen erfasst und identifiziert.

Ist diese Bestandsaufnahme die Voraussetzung für Risikoverringerung?

Absolut. Wir haben die Möglichkeit, und damit sind wir ziemlich einzigartig auf dem Markt, über unsere Datenbank, die Schwachstellen bis in die 90er-Jahre erfasst, jede Schwachstelle konsequent bewerten und adressieren können. Unsere Kunden erhalten ein vollständiges Bild der vernetzten Geräteumgebung, sauber aufgeschlüsselt nach Risikorelevanz und intelligente Empfehlungen, um die dringendsten Risiken effizient zu entfernen. Insbesondere die Netzwerksegmentierung wird im Übrigen immer nachdrücklicher vom BSI* verlangt. Unsere Lösungen reduzieren den Zeiteinsatz einer solchen Segmentierung um Wochen bis Monate; Netzwerkbedrohungen können bis zu zehnmal schneller behoben werden, und das mit weniger Ressourcen. Zudem ist die Asimily-Lösung einfach zu implementieren, als Cloud-Service oder vor Ort im Krankenhaus, je nachdem, welchen Datenschutzregularien man entsprechen muss oder möchte. All das sind Möglichkeiten, die wir noch vor vier Jahren in Deutschland in dieser Form nicht hatten.

Ein nicht unwesentlicher Faktor zur Steigerung der Wirtschaftlichkeit eines Krankenhauses.

Durch die Datenerfassung können wir bei Bedarf auch Aussagen über die Nutzung von Geräten treffen, wie eine Auslastungsanalyse oder die Prozessoptimierung unterstützen. Die Mittel im Gesundheitswesen werden nicht mehr… Insofern sehen wir uns nicht nur als Ansprechpartner in Fragen der Sicherheit, sondern ebenso für die Medizintechnik oder den Einkauf.

*Bundesamt für Sicherheit und Informationstechnik