Die Gesundheitsbranche war schon immer und überall ein beliebtes Ziel für Cyberkriminelle. Bei Erfolg können sie auf wichtige Patientendaten zugreifen und diese missbrauchen, um Behandlungsabläufe von Patienten zu stören und Ausfälle kritischer Systeme zu verursachen. Das wirkt sich auf Patienten, Ärzte, Krankenhäuser und alles andere aus, was mit dem Gesundheitswesen zu tun hat.
- Bis Ende 2020 verursachten Sicherheitsverletzungen im Gesundheitswesen weltweite Schäden in Höhe von 6 Billionen US-Dollar.
- Im Februar 2020 kam es im Rahmen von 39 Datenschutzangriffen im Gesundheitswesen zu einem Diebstahl von mehr als einer Million Datensätzen.
Zwei Dinge sind ziemlich klar:
- Die Gesundheitsversorgung stellt ein Grundbedürfnis der Bevölkerung dar und macht in den Industrieländern etwa 10% des BIP aus. Daher muss sie vor Cyberangriffen geschützt werden.
- Aufgrund der zunehmenden technologischen Erfindungen und Entwicklungen sind die Herausforderungen der Cybersicherheit anspruchsvoller und schwieriger zu bewältigen geworden.
In diesem Szenario ist es von größter Bedeutung, sich die Herausforderungen durch Cyberkriminalität im Gesundheitswesen bewusst zu machen. Dieser Blog erläutert die wichtigsten Herausforderungen für die Cybersicherheit, die IT-Experten im Gesundheitswesen kennen sollten. Fangen wir also an.
Die größten Herausforderungen für die Cybersicherheit im Gesundheitswesen
1. Datenschutzverstöße
Die durchschnittlichen Kosten durch Datenschutzverstöße im Gesundheitswesen beliefen sich im Jahr 2021 auf 9,6 Millionen US-Dollar. Damit sind Datenschutzverstöße eine der größten Herausforderungen für den Gesundheitssektor. Der Schwerpunkt liegt dabei auf einer ordnungsgemäßen Geräteverwaltung sowie auf der Überwachung und Verschlüsselung sensibler Patienten- und Medikamentendaten. Darüber hinaus müssen sich Anbieter und Organisationen im Gesundheitswesen an die Vorgaben des HIPAA (Health Insurance Portability and Accountability Act) halten. Das unterstützt sie beim Schutz ihrer vertraulichen Informationen. Allerdings halten sich nur wenige dieser Betroffenen strikt an diese Vorgaben – wodurch Angreifer Zugriff auf die Daten erhalten können.
2. Ransomware und Malware
Source: McAfee
Ransomware ist eine Untergruppe von Malware, also Schadsoftware, bei der Angreifer mithilfe von Verschlüsselung an die Daten auf dem Computer eines Opfers gelangen und für die Entschlüsselung und Wiederherstellung des Zugriffs eine Lösegeldzahlung verlangen. Von allen Arten von Cyberangriffen der modernen Zeit, denen medizinische Einrichtungen ausgesetzt sind, ist Ransomware die gefährlichste. Weltweit ist mit 304,7 Millionen Angriffen durch Ransomware im ersten Halbjahr 2021 ein Anstieg von 151% seit 2020 zu verzeichnen. Cyberkriminelle greifen mithilfe von Trojanern an, die den Computer infizieren, oder mit Phishing-Mails, in denen die Benutzer auf einen Link klicken, um einen schädlichen Anhang herunterzuladen.
3. Anfälligkeit von älteren Systemen
Das Ersetzen von älteren Systemen durch modernisierte Systeme ist das Gebot der Stunde. Viele Einrichtungen im Gesundheitswesen sind jedoch angesichts der Veränderungen besorgt und möchten von ihrem herkömmlichen System nicht abrücken. Dadurch erhöht sich die Gefahr massiver Cyberangriffe, da veraltete Systeme keinen Schutz vor moderner Schadsoftware und Viren bieten können. Knappe Budgets, Kosten für Weiterbildung, Compliance-Garantien und auch Selbstgefälligkeit sind Gründe, warum die IT-Infrastruktur oft nicht aktualisiert wird. Dadurch können Hintertürchen entstehen, die von Cyberkriminellen gerne ausgenutzt werden.
4. Unsichere medizinische Geräte und Ausrüstung
Source: Embedded Computing Design
Moderne Krankenhäuser sind ein riesiges Sammelbecken für gesundheitsbezogene Daten. Überall im Gesundheitswesen werden zur Behandlung von Patienten vernetzte medizinische Geräte eingesetzt. Diese medizinischen Geräte und Ausrüstungen sind naturgemäß häufig im Einsatz, daher ist der sichere Zugriff darauf von größter Bedeutung. Leider messen die meisten Krankenhäuser diesem Aspekt keine große Bedeutung bei, was größere Cyberangriffe ermöglichen kann. Im Jahr 2020 waren rund fünf Millionen ungesicherte medizinische Geräte über IoT und IoMT im Einsatz. Sie bieten Angreifern die Möglichkeit, auf unsichere Geräte zuzugreifen und die vollständige Kontrolle darüber zu übernehmen.
5. Bedrohungen von Insidern
Nicht alle Angriffe auf die Cybersicherheit erfolgen von Außenstehenden; auch Insider tragen maßgeblich zu ihnen bei. Beispielsweise könnten unzufriedene Mitarbeiter von Unternehmen absichtlich vertrauliche Informationen stehlen oder das Netzwerk stören, um dessen Verfügbarkeit zu beeinträchtigen. Solche Angriffe werden als Insider-Bedrohungen bezeichnet, und sie haben in den letzten Jahren um 47% zugenommen. Viele Organisationen gehen davon aus, dass Insider-Bedrohungen vor allem von Benutzern mit privilegierten Berechtigungen ausgelöst werden. Daher müssen diese ständig im Blick behalten werden.
6. Distributed Denial of Service (DDoS) attack
Source: ResearchGate
Angriffe vom Typ Distributed Denial of Service (DDoS) sind Versuche, Websites oder Netzwerke so mit Internetverkehr zu überfluten, dass deren Leistung und Verfügbarkeit beeinträchtigt werden. Dabei nutzen Cyberkriminelle Bots, um eine unüberschaubare Anzahl von Anfragen an den Server zu senden und ihn so zum Absturz zu bringen. Viele Angreifer verwenden DDoS-Angriffe zusammen mit Ransomware-Angriffen, da dies eine der Angriffskombinationen mit der größten Zerstörungskraft ist. So können Angreifer auch Websites des Gesundheitswesens über einen längeren Zeitraum hinweg lahmlegen und für große Panik sorgen, da sich Gesundheitsdienstleister eine längere Nichtverfügbarkeit nicht leisten können.
7. Fehlende dokumentierte Richtlinien zu Cybersicherheit und Governance
Quelle: LinkedIn
Jede Gesundheitseinrichtung muss über dokumentierte Regeln zur Cybersicherheit verfügen und Governance-Mechanismen einrichten. Darüber hinaus sollte jeder Gesundheitsdienstleister die Dokumentation zu Sicherheitsrichtlinien, erforderlichen Maßnahmen, abgeschlossenen Aktivitäten und Sicherheitstests der letzten sechs Jahre aufbewahren. Leider investieren Unternehmen im Gesundheitswesen nicht genügend Zeit in die Einrichtung dieser Verfahren und die Erstellung einer soliden Dokumentation. Sie halten es für eine Verschwendung wertvoller Zeit und Verringerung der Produktivität. In der Realität sind das jedoch die Grundlagen eines robusten Ökosystems.
8. Cloud-basierte Bedrohungen
Die meisten Einrichtungen im Gesundheitswesen nutzen die Cloud, um Petabytes an sensiblen Daten zu speichern und zu verwalten. Allerdings haben 94% der Organisationen Bedenken hinsichtlich der Cloud-Sicherheit. Der Grund für diese Bedenken ist, dass das Cloud-Modell dem Prinzip des Zugriffs von überall und jederzeit folgt. Das bedeutet, dass Millionen von Benutzern mit einem zentralen Server interagieren. Je mehr Benutzer also auf Ihre Websites zugreifen, desto größer ist die Wahrscheinlichkeit eines Angriffs auf Ihre Cybersicherheit. Außerdem halten sich große Akteure wie AWS und Dropbox nicht an alle HIPAA-Regeln. Wie kann man also von einem normalen Unternehmen erwarten, dass es sich an diese Regeln hält?
9. Phishing-Angriffe
Quelle: Simplilearn
Mit einem Phishing-Angriff wird versucht, Benutzer dazu zu verleiten, ihr Passwort oder andere persönliche Daten preiszugeben, die Angreifer dann zu ihrem Vorteil nutzen können. Die meisten dieser Phishing-Angriffe werden mittels Social Engineering durchgeführt und erfolgen über eine Textnachricht oder E-Mail. Der Cyberkriminelle sendet beispielsweise eine Benachrichtigung mit dem Hinweis, dass ein Passwort ungültig ist, und stellt einen Link zum Zurücksetzen bereit. Ein normaler Benutzer kann kaum erkennen, dass es sich bei der Seite nicht um eine Originalseite handelt, sondern um eine Manipulation. Daher wird er sein Passwort zurücksetzen, das dann an den Angreifer gesendet wird. Angreifer können dadurch problemlos auf dieses Konto zugreifen und wichtige Daten stehlen.
10. Mangelndes Bewusstsein für Cyberbedrohungen
Jede Gesundheitseinrichtung sollte sich darüber im Klaren sein, wie sie vertrauliche Informationen, Regeln und Vorschriften schützen, Governance-Richtlinien einrichten und das Ökosystem sichern kann. Leider mangelt es den meisten Menschen an Bewusstsein für Cyberbedrohungen, und daher verstehen sie wichtige Aspekte der Sicherheit und Datenverwaltung nicht. Dies sind einige Probleme im Zusammenhang mit der Sensibilisierung für Cyberbedrohungen im Gesundheitswesen:
- Unfähigkeit, den Unterschied zwischen einer gefälschten und einer legitimen Website zu erkennen
- Herunterladen von E-Mail-Anhängen ohne Virenscan
- Erstellen schwacher Benutzer-IDs und Passwörter
- Fehlende Kenntnisse über Phishing-Mails
- Erste Anzeichen einer Malware-Infektion werden nicht erkannt
- Unbedachtes Klicken auf beliebige Links, ohne die Quelle zu überprüfen
- Kein Wissen über Zwei-Faktor- oder Multi-Faktor-Authentifizierung
Fazit
Cybersicherheit ist ein Thema, das Website-Administratoren schlaflose Nächte bereitet. Im Gesundheitswesen ist das Problem besonders groß, da es sich um sensible Daten und kritische Informationen handelt. Keine Gesundheitseinrichtung hat hundertprozentige Kontrolle über ihre digitalen Vermögenswerte. Der Grund hierfür liegt in der jährlichen Zunahme neuer Angriffe auf die Cybersicherheit. Wer relevant und nachhaltig bleiben will, muss sich der Herausforderungen im Gesundheitswesen bewusst sein.
Gesundheitsdienstleister müssen sich der kritischen Cybersicherheitslage stärker bewusst werden und sich entsprechend vorbereiten. Nur durch Bewusstsein, Wachsamkeit, Vorbereitung und schnelle Reaktion können die Sicherheitsrisiken und Bedrohungen gemindert werden. Das ist zwar nicht einfach, aber wenn Sie bereit sind, sich längerfristig für dieses Thema einzusetzen, werden Sie mit einem robusten Ökosystem im Gesundheitswesen belohnt.
