Patient Krankenhaus

Die Gesundheitsbranche wird seit der Corona-Pandemie zunehmend von digitalen Angriffen bedroht. Im Gesundheitssektor sind auch IIoT-Plattformen und somit Geräte wie etwa Magnetresonanztomographen (MRT) und Computertomographen (CT) betroffen. Ebenso angreifbar sind tragbare, medizinische Devices zur Fernüberwachung von Patienten, wie etwa Messgeräte für Blutzucker oder Blutdruck, sofern diese an die Büroinfrastruktur angebunden sind. Mehr als die Hälfte (58,7 Prozent) der in Deutschland im Rahmen der neuen Kaspersky-Umfrage „Patient Krankenhaus – Kaspersky-Studie zur IT-Sicherheitslage im Gesundheitswesen in Deutschland, Österreich und der Schweiz“  befragten Entscheidungsträger stuft entsprechend die aktuelle Bedrohungssituation für die Cybersicherheit in ihrem Unternehmen als „hoch“ ein.

Das Internet of Things (IoT) bzw. Industrial-Internet of Things (IIoT) ist auch aus dem Gesundheitswesen nicht mehr wegzudenken: Laut der Kaspersky-Studie sind bei 98 Prozent der befragten IT-Entscheidungsträger in Deutschland bereits IIoT-Pattformen im Unternehmen implementiert. Derartige Plattformen bieten Cyberkriminellen eine weitere Angriffsfläche. Nachdem mit 21,3 Prozent knapp ein Viertel der deutschen Organisationen im Gesundheitswesen während der Covid-19-Pandemie einen Anstieg von Cyberangriffen auf ihre IIoT-Plattformen erlebt haben, gilt es vermehrt, diese kritischen Systeme, zu denen auch die Betriebstechnologie (Operational Technology – OT) gehört, entsprechend zu schützen.

In Deutschland gehen gemäß Kaspersky-Studie gegenwärtig lediglich 30,7 Prozent der Studienteilnehmer davon aus, die IIoT-Plattformen in ihrem Unternehmen seien ausreichend gesichert. Diese Meinung ist dabei länderübergreifend fast gleich (31 Prozent in der Schweiz und 30 Prozent in Österreich). Trotzdem werden aktuell nicht einmal bei einem Viertel der Unternehmen in Deutschland (23,3 Prozent) die vorhandenen Sicherheitslösungen evaluiert oder sich auf die Suche nach neuen Lösungen begeben.

Hinzu kommt: Das deutsche Gesundheitswesen schneidet im DACH-Vergleich bei der Segmentierung von Netzwerken schwächer ab. Die Entkoppelung kritischer Infrastrukturen vom Büronetzwerk gilt als adäquates Mittel, um beispielsweise Schadprogrammen keine Möglichkeit zu bieten, in die kritische Infrastruktur eines Krankenhauses zu gelangen. Im Vergleich zu den beiden Nachbarländern trennen in Deutschland nur 22 Prozent der Befragten kritische Systeme von der Büroinfrastruktur. Dieses IoT-Sicherheitsrisiko nimmt man in Österreich (32 Prozent) und der Schweiz (34 Prozent) offenbar ernster.

„Wir sehen enormen Nachholbedarf beim Thema Sicherheit für Betriebstechnologie. Dass nur etwas mehr als jeder Vierte der Befragten im Gesundheitsbereich in Deutschland kritische Systeme von der Büroinfrastruktur trennt, ist ein Alarmzeichen“, kommentiert Christian Milde, General Manager Central Europe bei Kaspersky. „77,1 Prozent der von uns in Deutschland Befragten haben bereits einen Sicherheitsvorfall im Zusammenhang mit der von ihnen eingesetzten OT-Plattform erlebt. Da oftmals kritische Geräte wie Röntgenapparate Teil der OT sind, sollte bei der Sicherheit von betriebskritischen und medizinischen Anlagen dringend nachgeschärft werden.“

Auf die offen gestellte Frage „Was ist Ihre größte Sorge in Bezug auf die IT-Sicherheit in Ihrem Unternehmen?“, antwortet ein Umfrageteilnehmer aus dem Bereich ‚Prävention, Gesundheitsförderung und pflegerische Versorgung‘: „Dass unsere Krankenakten per Ransomware verschlüsselt werden und wir keinen Zugriff mehr auf diese hätten. Dies würde im schlimmsten Fall zum Tod von Patienten führen.“

Um zu gewährleisten, dass derartige IT-Sicherheitsvorfälle nicht stattfinden und die digitale Sicherheit in Organisationen auch zukünftig gegeben ist, sollten folgende Punkte berücksichtigt und umgesetzt werden:

Sicherheits-Audits: Lediglich 34 Prozent der deutschen Unternehmen führen regelmäßige Sicherheits-Audits ihrer IIoT-Plattformen durch. Regelmäßige Überprüfungen sind jedoch essenziell für die Sicherheit von IIoT-Strukturen.

Regelmäßige Updates: Updates für IIoT-Plattformen scheinen hingegen als deutlich wichtiger wahrgenommen zu werden. Lediglich 12,7 Prozent gaben an, keine regelmäßigen Aktualisierungen durchzuführen. In Österreich sagten dies 17 Prozent, in der Schweiz Prozent. 23 Prozent. Updates sind der Schlüssel, um bestehende Lücken zu schließen.

Netzwerksegmentierung: Die Trennung von wichtigen Systemen führt in Deutschland mit nur 22 Prozent nicht einmal ein Viertel der befragten Gesundheitsunternehmen und -organisationen durch. In der Schweiz (34 Prozent) und Österreich (32 Prozent) sind IIoT-Plattformen und Büronetzwerk öfter voneinander getrennt. Hier besteht allgemein, aber vor allem in der Bundesrepublik definitiv Nachholbedarf.

Die komplette Studie „Patient Krankenhaus – Kaspersky-Studie zur IT-Sicherheitslage im Gesundheitswesen in Deutschland, Österreich und der Schweiz“ inklusive der DACH-übergreifenden Zahlen und der Aufschlüsselung nach den einzelnen Ländern kann via nachfolgenden Link nach einer E-Mail-Akkreditierung  heruntergeladen werden: https://go.kaspersky.com/healthcare-report.html?utm_medium=PR

Die Umfrage wurde von Arlington Research im Auftrag von Kaspersky im Mai 2021 durchgeführt. Dabei wurden 150 IT-Entscheidungsträger aus der Gesundheitsbranche in Deutschland sowie jeweils 100 in Österreich und in der Schweiz befragt – insgesamt also 350 Befragte in der Region DACH. Die Umfrageteilnehmer repräsentieren das gesamte Gesundheitswesen: von Versorgung (medizinisch und in der Pflege) über Versicherer und Kostenträger bis hin zum Arzneimittelbereich, medizinische Versorgung, Forschung und Ausbildung sowie Information, Beratung, Gesetzgebung und Umsetzung. 61,4 Prozent der Befragten sind in Unternehmen und Organisationen mit einer Größe von 50 bis 1.000 Mitarbeitern und 38,6 Prozent mit mehr als 1.000 Mitarbeitern beschäftigt.