Datenschutz & Datensicherheit und Digitalisierung
Die IT-Sicherheit macht den EDV-Verantwortlichen im Gesundheitswesen zu schaffen. Mit zunehmender Digitalisierung mehren sich die Angriffe. Mittlerweile ist Healthcare die am dritthäufigsten angegriffene Branche. Es gilt also, die IT-Security-Vorkehrungen genau auf den Prüfstand zu stellen.
Eine 2022 von WatchGuard und Gartner Peer Insights durchgeführte Umfrage unter IT-Führungskräften von Unternehmen des Gesundheitswesens zeigt eine alarmierende Entwicklung: Bei fast der Hälfte der Einrichtungen ist es in den letzten zwei Jahren zu einer Datensicherheitsverletzung gekommen. Angesichts des erhöhten Risikos kein Wunder: Laut einschlägiger Betrachtung der Bedrohungslandschaft nahmen Cyberangriffe 2022 im Vergleich zum Vorjahr weltweit um 38 Prozent zu, wobei die Health-Branche besonders im Fokus stand. Organisationen des Gesundheitswesens reihen sich im Ranking der beliebtesten Ziele von Cyberkriminellen direkt hinter Behörden bzw. staatlichen Einrichtungen und Akteuren aus dem Umfeld von Bildung und Forschung ein. Mit einem Plus von 74 Prozent und bis zu 1.463 gemeldeten Vorfällen pro Woche ist der Bereich Healthcare mittlerweile die am dritthäufigsten angegriffene Branche.
Ursachen für Angreifbarkeit: ältere Technologien und Talentlücken
Die Gründe für diesen Trend sind vielfältig. Ein offensichtlicher Nährboden ist nicht zuletzt die steigende Zahl der vernetzten und nicht verwalteten Geräte in der Medizintechnik. Der zunehmende Einsatz von Internet-of-Things (IoT)-, Internet-of-Medical-Things (IoMT)- und Operational Technology (OT)-Geräten schafft ganz neue offene Flanken. Daneben sehen IT-Verantwortliche jedoch weitere Faktoren, die die Gesundheitsbranche besonders anfällig gegenüber Cyberangriffen machen: In der WatchGuard-Umfrage benennen 81 Prozent der Befragten als Top-Manko die Nutzung älterer Technologien und Systeme, gefolgt von Talentlücken mit 58 Prozent.
Es fällt immer schwerer, IT-Personal im Allgemeinen und IT-Security-Profis im Speziellen auf dem Arbeitsmarkt zu finden. Das eine Defizit bedingt dabei unmittelbar das andere: Denn veraltete Systeme für Netzwerkinfrastruktur sowie überholte Hard- und Software erfordern im Administrationsalltag für gewöhnlich deutlich mehr Zeit und Spezialkenntnisse als beispielsweise moderne cloudbasierte Lösungen.
Die Fortsetzung der Liste an Faktoren, die der IT-Sicherheit im Gesundheitssektor nicht zuträglich sind, untermauert den „Hamsterrad“-Eindruck. Denn auch veraltete Sicherheitsstandards (51 Prozent), Budgetbeschränkungen (43 Prozent), genereller Widerstand gegenüber notwendigen Veränderungen im Unternehmen (41 Prozent) oder Lieferschwierigkeiten bei der Beschaffung erforderlicher Hardware (24 Prozent) gehören zu den häufigsten Antworten auf die Frage, woran es in IT-Abteilungen im Gesundheitswesen „krankt“.
Größte Sorge bereiten Phishing und Ransomware
Eine äußerst realistische Einschätzung in den Reihen der IT-Zuständigen im Gesundheitswesen zeigt sich, wenn es darum geht, die Gefahren an der Angriffsfront, die derzeit am meisten Sorge bereiten, zu benennen: Hier sehen die Befragten Phishing, Ransomware und Sicherheitsverletzungen durch Insider weit vorne. Besonders besorgniserregend vor diesem Hintergrund ist, dass jede davon ausgehende Sicherheitsverletzung schwerwiegende Folgen für die Gesundheit von Patienten haben kann. Umso unerklärbarer scheint es, dass Gesundheitsorganisationen nicht alles daransetzen, allgegenwärtigen Gefahren wie Ransomware, Angriffen auf die Lieferkette, Cloud-Attacken oder Business E-Mail Compromise (BEC) mit adäquaten Sicherheitsvorkehrungen den Riegel vorzuschieben.
So gilt Multifaktor-Authentifizierung (MFA) – nicht nur unter Security-Experten – inzwischen beispielsweise als einer der wichtigsten Bausteine überhaupt, wenn es darum geht, den Zugriff auf IT-Strukturen abzusichern. Trotzdem geben nur 24 Prozent der Stichprobenteilnehmer an, MFA-Authentifizierungsrichtlinien zum Schutz von Patientendaten verankert zu haben. Bei 65 Prozent ist keinerlei Lösung zur Absicherung von Identitäten im Einsatz – was gerade im Zuge von Ransomware gefährlich werden kann. Laut Untersuchung von Comparitech haben allein solche Angriffe auf Organisationen im Gesundheitswesen die Weltwirtschaft seit 2018 rund 92 Milliarden US-Dollar an Ausfallzeiten gekostet.
Auf Basis der Umfrageergebnisse treten Versäumnisse offen zutage. Umso mehr gilt es für Unternehmen im Gesundheitswesen, das Thema IT-Security weit oben auf der Agenda zu verankern und bestehende IT-Sicherheitsstrukturen mit gegenwärtigen und künftigen Anforderungen im Alltag von Healthcare-Organisationen abzugleichen.
4 To-do’s zum Schutz vor Angriffen auf die EDV
- Sicheres WLAN zum Schutz intelligenter medizinischer Geräte: IoT-Devices im Gesundheitswesen sind oft mit demselben Netzwerk verbunden wie herkömmliche IT-Hardware. Das macht sie anfälliger für Angriffe. Über die Einrichtung sicherer WLAN-Hotspots können Organisationen im Gesundheitswesen wichtige Informationen visualisieren – wie die Signalstärken-Reichweite, den Bandbreitenverbrauch des WLAN-Clients oder die Hotspot-Nutzung. Über die Erkennung anormalen Datenverkehrs lassen sich potenzielle Bedrohungen und kompromittierte Geräte identifizieren.
- Advanced Persistent Threat (APT)-Blocker zur Bekämpfung von Ransomware: APT-Blocker analysieren Verhaltensweisen und können feststellen, ob eine Datei bösartig ist, indem sie verdächtige Dateien an eine cloudbasierte Sandbox senden. Dort wird der Programmcode emuliert, in sicherer Umgebung ausgeführt, analysiert und auf diese Weise das Bedrohungspotenzial ermittelt. Wenn eine verdächtige Datei als bösartig eingestuft wird, ergreift diese Lösung im nächsten Schritt Maßnahmen zum Schutz des Netzwerks und der digitalen Ressourcen.
- Sichere Telemedizin mit VPN-Tunneln: Die Erstellung von Drag-and-Drop-VPNs schützt den Weg von Patienten zur elektronischen Patientenakte, indem die Datenkommunikation mit Firewall-Appliances verschlüsselt wird.
- MFA zur Bekämpfung von Phishing: Menschliches Versagen stellt eine der größten Herausforderungen für die Cybersicherheit dar. Über die Implementierung einer MFA-Lösung kann die Gefahr von schwachen oder gestohlenen Anmeldeinformationen verringert werden.
Fazit
Organisationen im Gesundheitswesen sehen sich großen Herausforderungen gegenüber: Sie müssen ihre Schwachstellen erkennen und die Sicherheitslage von Grund auf verbessern. Denn nicht zuletzt steht das Vertrauen der Patientinnen und Patienten in die allgemeine Fähigkeit, eine qualitativ hochwertige Versorgung bei gleichzeitiger Sicherheit zu gewährleisten, auf dem Spiel. Ein Versagen einzelner Akteure kann dabei Auswirkungen auf die ganze Branche haben.
Mehr zum Thema Sicherheit im Gesundheitswesen
Um Unternehmen bei dieser Aufgabe zu unterstützen, hat WatchGuard eine spezielle Informationsseite zum Thema Sicherheit im Gesundheitswesen eingerichtet, die dazu beitragen soll, das Healthcare-Tagesgeschäft auf ein sicheres Fundament zu stellen.