Digital-Health-Podcast: Von Cyberrisiken bei Krankenhäusern und Medizinprodukten

Ein offenes drahtloses Netzwerk in einem deutschen Krankenhaus ermöglichte unbefugten Zugriff auf kritische Infrastrukturen, einschließlich Türen, die zu Operationssälen und Notaufnahmen führten. Ein Whistleblower warnte die Medien heise online vor der Schwachstelle, die anschließend vor Ort überprüft wurde. Das System stützte sich auf standardmäßige Anmeldeinformationen, wobei sowohl der Benutzername als auch das Passwort auf admin, eingestellt waren, eine Konfiguration, die ausdrücklich im Gerätemanual dokumentiert war. Obwohl das Krankenhaus schon früher über den Fehler informiert worden war, ignorierten die Mitarbeiter die Warnung zunächst. Erst nach einer Medienuntersuchung wurden Maßnahmen ergriffen, obwohl die Urlaubszeiten die sofortige Schließung der Sicherheitslücke verzögerten.

Eine Erklärung des Krankenhauses bezüglich des Vorfalls wurde noch nicht veröffentlicht. Martin Tettke, ehemaliger Leiter der Zertifizierung für Medizinprodukte bei der Berlin Cert GmbH, der derzeit in der Abteilung Netzwerk und Sicherheit des Bundesinstituts für Risikobewertung arbeitet, diskutierte den Fall in einem Podcast über digitale Gesundheit. Er beschrieb die Situation als ein Versagen auf mehreren Ebenen der Verantwortung. Dienstleister sollten niemals Systeme mit intakten Standardzugriffsdaten übergeben. Die Krankenhäuser wiederum müssen überprüfen, ob die grundlegenden Sicherheitsanforderungen während der Aufnahmeprüfungen erfüllt sind. Tettke bezeichnete diesen speziellen Fall als klaren organisatorischen Fehler.

Er stellte fest, dass Netzwerke für Verwaltung, medizinische Technologie und Zugangskontrolle eine strikte Trennung erfordern. Die Krankenhausleitung trägt in solchen Fällen die Haftung. Zusätzliche Risiken entstehen durch Schatten-IT, bei der Mitarbeiter persönliche drahtlose Zugangspunkte mit institutionellen Netzwerken verbinden. Vertreter des Verbands der Krankenhaus-IT beschwerten sich im Frühjahr, dass viele Kliniken nicht über die Mittel und das Personal verfügen, um diese Risiken wirksam zu priorisieren. Kliniken müssen verstehen, welche operativen Prozesse von spezifischen Systemen abhängen. Zum Beispiel hat der Ausfall eines E-Mail-Servers andere Folgen als der Ausfall eines angeschlossenen Herz-Lungen-Geräts.

Hersteller und Dienstleister müssen die Bedürfnisse der Anwender berücksichtigen und möglicherweise Software-Billings von Materialien verwenden, die denen in der Entwicklung medizinischer Produkte ähneln. Berichte weisen darauf hin, dass die Komplexität der Einhaltung der IT-Vorschriften für Krankenhäuser zunimmt. Die Informationstechnologie-Teams sollten frühzeitig in den Beschaffungsprozess für neue Geräte einbezogen werden. Laut Tettke hat sich die Bedrohungslandschaft erheblich verändert. Zuvor war genügend Zeit vorhanden, um Schwachstellen nach der Offenlegung zu beheben. Heute müssen Organisationen sofort beurteilen, ob sie bereits kompromittiert wurden. Zwei oder drei Tage später ist es wahrscheinlich zu spät.

Während Künstliche Intelligenz-Modelle Angreifer unterstützen, können sie auch verwendet werden, um interne Netzwerke zu auditieren. Eine kürzlich von Fraunhofer-Forscher*innen durchgeführte Krisensimulation zeigte die unvorhersehbare Dynamik von Cyberangriffen auf Krankenhäuser. Eine schnelle Reaktion erfordert geschultes Personal. Tettke argumentierte, dass die hohen Kosten und der Mangel an qualifizierten Arbeitskräften schwache Rechtfertigungen für die Vernachlässigung der Sicherheit seien, und stellte fest, dass ein einziger Sicherheitsvorfall vielfache Kosten verursache als die Einstellung von ein bis drei neuen Mitarbeitern. Er erinnerte sich an eine Erfahrung, bei der der Radiologie-Service in einem Krankenhaus aufgrund eines technischen Problems eine Woche lang nicht funktionierte.