Safety und Security Kliniken im Fokus Organisierter Kriminalität

Dass Krankenhäuser von Organisierter Kriminalität (OK) als „Selbstbedienungsladen“ angesehen und so z.B. für das Waschen illegal erworbener Gelder genutzt werden, hat kaum jemand auf dem Schirm. Doch die Zeit des „Welpenschutzes“ ist vorbei.Tatort-Szenario aus dem Krankenhaus: Drucker aus der Geschäftsleitung und andere Geräte mit externen Festplatten mit Speichervolumen werden bei den Wartungsarbeiten oder der Entsorgung zum verhängnisvollen Datenleck. Geheime Daten geraten in die falschen Hände, die Konsequenzen sind mannigfältig und können destaströs sein. Abhilfe können z.B. sorgsam gestaltete Wartungsverträge sein, die Prozesse für die Entsorgung von Datenträgern aus PCs, Medizingeräten und Co. beinhalten. Die Schnipselgröße für das Schreddern der Speicher ist übrigens in DIN 66399 festgelegt. Kein Welpenschutz mehrDas Krankenhaus im Fokus organisierter Kriminalität und die Anforderungen an die IT-Sicherheit aus dem Patientendaten-Schutz-Gesetz (PDSG) und dem IT-SiG 2.0 waren die Themen einer digitalen Fortbildungsveranstaltung der FKT-Regionalgruppe Hessen. Hier erhielten Einrichtungen u.a. oben genannte Tipps für den Alltag. Wie perfide organisierte und branchenspezialisierte Banden den „Selbstbedienungsladen“ Krankenhaus nutzen und wie man sich schützen kann und muss, erörterte Thomas Schuy, Senior Consultant Security-IT bei der WISAG Sicherheit & Service Holding GmbH & Co. Im Zentrum seiner Ausführungen stand die Erkenntnis, dass es für Gesundheitseinrichtungen schon lange keinen „Welpenschutz“ mehr gibt. Häufiger hybride AngriffeGehackt werde alles, was zu hacken ist. Und sind die Cyberkriminellen erst mal eingedrungen, wird an Daten und mittels Lösegeldforderungen gut und oft mehrfach verdient. Zunehmend erfolgen diese Übergriffe nicht mehr nur virtuell. Hybride Angriffe, bei denen entsprechende IT-Tools physikalisch in die Krankenhausnetzwerke eingebracht werden und so direkt im System Daten abgreifen und/oder Ransomware aufspielen, nehmen zu. Mit dem Poloshirt eines vermeintlichen IT-Dienstleisters und ein bisschen Frechheit komme man im Krankenhaus immer noch schnell und problemlos in hochkritische Bereiche, warnte Schuy. Ebenso einfach sei es, unbehelligt medizintechnische Geräte von enormen Wert aus Krankenhäusern zu entwenden. In rund 20 Minuten – das ist die Zeit, bevor Securityprozesse greifen – entwenden Profis aus Krankenhäusern schnell mal Ultraschallgeräte, Endoskope und andere hochwertige Geräte. In Ländern mit Einfuhrbeschränkungen (UN-Sanktionsliste) können sie für ihre Beute oft sogar deutlich mehr als den Neugerätepreis erzielen. Dass über Privat Equity im Gesundheitswesen mit seinen immer diffuseren Besitzverhältnissen auch Geld gewaschen wird, scheint kurios, sei aber mittlerweile nicht mehr von der Hand zu weisen. Sicherheit managenKrankenhäuser bieten eine breite Angriffsfläche. Die „Security-Chain“ müsse entsprechend umfassend und stabil geschmiedet werden, betonte Schuy. Medizingeräte, die keine Updates ermöglichen, vom öffentlich zugänglichen Netz zu isolieren, eine strikte Netzwerksegmentierung, Passwort-Tresore (auch für die private Nutzung durch die Mitarbeitenden) und eine Incident-Hotline sind nur einige wenige Maßnahmen in Richtung der erforderlichen Sicherheit. Bei einem Vorfall sollten sich betroffene Häuser in jedem Fall professionelle Hilfe holen und kein Lösegeld bezahlen. Einen Fragebogen, der vor der Beschaffung von IoT-fähigen Geräten klärt, wie es um deren Cybersicherheit und Updatefähigkeit steht, legte Fridolin Leibetseder, Process & Quality Management x-tention Informationstechnologie GmbH, dar. Dass es für Krankenhausbetreiber Sinn machen kann, sich auch den B3S für den Bereich Energieversorgung anzusehen, war einer von zahlreichen praxisnahen Tipps aus seinem Vortrag. Die Präsentationen stehen auf der FKT-Website www.fkt.de zur Verfügung.Maria Thalmayr