IT-Sicherheit in Krankenhäusern ist ein wichtiger Aspekt, der oft übersehen wird. Ein ungesicherter WLAN und voreingestellte Zugangsdaten in einem Krankenhaus haben zu schwerwiegenden Problemen geführt. Ein Hinweisgeber hatte bereits auf die Schwachstelle aufmerksam gemacht, jedoch wurden die Änderungen erst nach Anfrage von heise online durchgeführt. Hier sind einige wichtige Punkte und Empfehlungen für Krankenhäuser und IT-Betreiber:
1. Sicherheitsstandards
Ein Krankenhaus sollte sicherstellen, dass alle IT-Systeme mit sicherheitskompetenten Dienstleistern entwickelt und installiert werden. Es ist wichtig, dass die Sicherheitsanforderungen von Anfang an berücksichtigt werden. Ein Dienstleister darf keine Systeme mit Standardzugangsdaten übergeben. Die Klinikleitung ist verantwortlich für die prüfende Abnahme der grundlegenden Sicherheitsanforderungen.
2. Netzwerkstruktur
Netze für Verwaltung, Medizintechnik und Zutrittssteuerung sollten sauber getrennt sein. Ein weiteres Risiko ist die Schatten-IT, bei der Beschäftigte eigene WLAN-Zugangspunkte ans Netz anschließen. Ein Beispiel dafür war ein ungesicherter WLAN, das zu schwerwiegenden Problemen geführt hat.
3. Praxisprinzipien
Kliniken sollten wissen, welche Abläufe von welchen Systemen abhängen. Ein Ausfall des E-Mail-Systems hat andere Folgen als der einer vernetzten Herz-Lungen-Maschine. Auch Hersteller und Dienstleister müssen Betreiber im Blick haben. Ein Beispiel dafür waren SBOMs (Software-Build-Operational-Model), die auch in der Medizinprodukte-Entwicklung genutzt werden.
4. Reagieren und Prüfen
Die Lage hat sich stark verändert. Heute muss man sich sofort fragen, ob man schon angegriffen wurde. „Zwei, drei Tage später patchen war wahrscheinlich schon viel zu spät“. KI-Modelle helfen zwar Angreifern, ließen sich aber auch nutzen, um eigene Netze zu prüfen. Ein Beispiel dafür war eine Krisensimulation von Fraunhofer-Forschern, bei der ein Experte eine bisher nicht gekannte Dynamik beobachtete.
5. Empfehlungen
- Sicherheitsstandards: Ein Krankenhaus sollte sicherstellen, dass alle IT-Systeme mit sicherheitskompetenten Dienstleistern entwickelt und installiert werden.
- Netzwerkstruktur: Netze für Verwaltung, Medizintechnik und Zutrittssteuerung sollten sauber getrennt sein.
- Praxisprinzipien: Kliniken sollten wissen, welche Abläufe von welchen Systemen abhängen.
- Reagieren und Prüfen: Man muss sich sofort fragen, ob man schon angegriffen wurde und eigene Netze prüfen zu können.
Krisensimulation
Krisensimulationen wie die von Fraunhofer-Forschern helfen, mögliche Cyberangriffe zu simulieren und effektiv zu reagieren. Sie zeigen, wie unvorhersehbar Cyberangriffe auf Kliniken ablaufen können und wie man schnell reagieren und eigene Netze prüfen zu können. Ein Beispiel dafür war eine Krisensimulation, bei der ein Experte eine bisher nicht gekannte Dynamik beobachtete.
Kurze Zusammenfassung
Ein ungesicherter WLAN und voreingestellte Zugangsdaten in einem Krankenhaus haben zu schwerwiegenden Problemen geführt. Es ist wichtig, dass alle IT-Systeme mit sicherheitskompetenten Dienstleistern entwickelt und installiert werden. Ein Krankenhaus sollte sicherstellen, dass alle IT-Systeme mit sicherheitskompetenten Dienstleistern entwickelt und installiert werden. Die Klinikleitung ist verantwortlich für die prüfende Abnahme der grundlegenden Sicherheitsanforderungen. Netze für Verwaltung, Medizintechnik und Zutrittssteuerung sollten sauber getrennt sein. Ein Beispiel dafür war ein ungesicherter WLAN, das zu schwerwiegenden Problemen geführt hat. Auch Hersteller und Dienstleister müssen Betreiber im Blick haben. Ein Beispiel dafür waren SBOMs (Software-Build-Operational-Model), die auch in der Medizinprodukte-Entwicklung genutzt werden. Ein Krankenhaus sollte sicherstellen,