Herr Fröhlich, wie ist die IT-Sicherheitslage der Krankenhäuser aktuell?

Das IT-Sicherheitsrisiko für Krankenhäuser ist nach wie vor sehr hoch. Erpressung mit Ransomware hat sich in den vergangenen Jahren zu einem kriminellen Geschäftsmodell entwickelt. Die Hacker sitzen nicht mehr im Keller und greifen aus Ehrgeiz Firmen an, sondern sie verschlüsseln gezielt Daten und fordern Lösegeld. Momentan gibt es circa alle zwei bis drei Wochen einen erfolgreichen Cyberangriff auf Krankenhäuser –manche größer, manche kleiner und manche auch mit dramatischen Folgen bis hin zur Einstellung von Operationen oder Schließung der Notaufnahme. Ein weiterer gravierender Aspekt: Es wurden bereits gestohlene Patientendaten im Darknet zum Verkauf angeboten. Kliniken sind nicht nur von krimineller Seite als potentielles Opfer im Visier, sondern auch von staatlichen Akteuren. Dahinter stecken dann auch politische Ziele wie etwa Unsicherheit in der Bevölkerung schaffen zu wollen.

Was sind die größten Einfallstore in die IT-Infrastruktur?

Einerseits die Medizintechnik, die teilweise immer noch über völlig veraltete Updatemöglichkeiten und Betriebssysteme verfügt. Zumal zum Teil die Authentifizierungsmöglichkeiten der Medtech-Hersteller, die nicht zu analysierbaren Log-Daten oder fehlende Transportverschlüsselungen definitiv zu hinterfragen sind. Dabei ist auch zu berücksichtigen, dass Medizintechnik oft für einen langen Zeitraum angeschafft wird. Andererseits ist ein Krankenhaus ein quasi öffentliches Gebäude, sodass im Prinzip so gut wie alle Bereiche zugänglich sind. Offene Netzwerkdosen oder ein unbeaufsichtigter und nicht gesperrter Computer sind potenzielle Schwachstellen.

Bedeutet der zunehmende Einsatz von künstlicher Intelligenz (KI) ein zusätzliches Risiko für Cyberattacken?

KI ist sowohl Chance als auch Risiko. Auf der einen Seite hilft sie Kriminellen, Hackattacken professioneller vorzubereiten, sodass etwa Phishingmails kaum mehr von echten Mails zu unterscheiden sind. Auf der anderen Seite kann KI für die Verteidigung helfen, Anomalien in der IT-Infrastruktur frühzeitig zu erkennen. Wir haben bei Sana eine XDR-Lösung im Einsatz, die mithilfe von KI erkennt, ob das Verhalten eines Programms beziehungsweise eines Mitarbeiters normal ist oder nicht. Schlägt die KI Alarm, wird die weitere Ausführung der Anwendung verhindert.

Was ist der Worst Case im Falle eines Hackerangriffs?

Wird ein Krankenhaus angegriffen, dann sind Menschenleben gefährdet. Das haben wir 2020 im Fall einer Uniklinik im Rheinland gesehen: Infolge einer Cyberattacke auf die Uniklinik kam es zur Schließung der Notaufnahme, sodass ein Rettungswagen nicht direkt in die nahegelegene Notaufnahme fahren konnte. Die Patientin musste in ein entfernteres Krankenhaus umgeleitet werden, sodass der Fahrtweg länger gedauert hat und sie in Folge dessen verstorben ist. Wenn nach einem Hackerangriff ein vollbelegtes Krankenhaus bestimmte Operationen absagen muss, die Notfallversorgung eingestellt wird oder Ärzte und Pflege keine Patienteninformationen mehr erhalten, dann hat das zwar keine direkten Auswirkungen auf Leib und Leben, aber indirekt schon. Damit schüren die Cyberkriminellen Angst.

Die NIS-2-Richtlinie soll die Sicherheitsvorkehrungen nun verschärfen. Bis wann könnte sie in Deutschland umgesetzt sein?

Im Jahr 2022 hat die Europäische Union (EU) die NIS-2-Richtlinie in Kraft gesetzt, die alle EU-Mitgliedsstaaten dazu verpflichtet, sie innerhalb von 20 Monaten in nationales Recht als Gesetz umzusetzen. Die Frist war der 14. Oktober 2024. Bisher hat es die Bundesregierung aber nicht geschafft, sie umzusetzen. Vermutlich wird dies im Jahr 2025 geschehen.

Wen betrifft die NIS-2-Richtlinie?

Das sind Unternehmen aus 18 festgelegten Sektoren – darunter auch Gesundheit –, die als wichtige oder besonders wichtige Einrichtungen eingestuft werden. Diese Einstufung basiert auf der Unternehmensgröße und dem Jahresumsatz. Konkret gilt die Richtlinie für Unternehmen mit mehr als 50 Mitarbeitenden und einem Umsatz von über 10 Millionen Euro.

Somit ist fast jedes Krankenhaus davon betroffen. Welche Vorgaben müssen die Kliniken erfüllen?

Zum einen muss sich das Unternehmen beim Bundesamt für Sicherheit in der Informationstechnik (BSI) registrieren und einen festen Ansprechpartner für das Krankenhaus benennen – in der Regel ein Informationssicherheitsbeauftragter bzw. Information Security Officer. Dieser kann auch für eine oder mehrere Einrichtungen zuständig sein und sollte über bestimmte Fachkenntnisse verfügen. Zudem muss die Kontaktstelle 24 Stunden am Tag, sieben Tage die Woche erreichbar sein.

Wie sieht das Vorgehen unter NIS-2 aus, wenn ein Krankenhaus von Cyberkriminellen attackiert wird?

Innerhalb von 24 Stunden muss dem BSI eine Erstmeldung über den Sicherheitsvorfall vorliegen. Zudem muss ein Information Security Management System (ISMS) in jedem Klinikum etabliert werden. Informationswerte, unterstützende Werte sowie Schutzbedarfe müssen definiert sein. Darüber hinaus müssen Themen wie Prozesse, Kryptografie, Authentifizierung, Backups, Tests, Notfallkonzepte, etc. angegangen werden.

Was steht in einem Risikoplan drin?

Je nach Art des Angriffs gibt es verschiedene Szenarien, wie die IT-Teams auf einen Hackerangriff reagieren. Wurden Daten entwendet, wurde etwas verschlüsselt oder müssen Daten wiedergeherstellt werden? Diese und ähnliche Fragen geben das weitere Vorgehen im Ernstfall vor.

Das ist eine Menge Arbeit. Ist das für kleinere Kliniken überhaupt stemmbar?

Das ist eine extreme Herausforderung für kleinere Einrichtungen. Zumal kleine Unternehmen tendenziell vom Stand der Technik her noch meilenweit davon entfernt sind, solche Vorgaben überhaupt erfüllen zu können.

Wie haben Sie sich bei Sana auf die neue Regelung vorbereitet?

Ich empfehle jedem Krankenhaus, nicht zu warten, bis das Gesetz da ist, sondern schon im Vorfeld sehr viel vorzubereiten. Bei Sana habe ich aktuell ein Team aus 14 Mitarbeitenden, welche nur für Informationssicherheit verantwortlich sind. Eine Ist-Analyse zeigte uns zuerst, welche Themen der Sicherheit in den Kliniken wir dezentral beziehungsweise zentral lösen. Im nächsten Schritt haben wir uns dazu entscheiden, die Führungsebene zentral zu schulen – es macht schließlich keinen Sinn, dass das rund 70 Einrichtungen im Alleingang machen. Inzwischen haben wir die alle Gesellschaften identifiziert, welche unter die NIS-2 fallen. Entsprechendes Personal für die dezentrale Umsetzung stellen wir seit Mai ein. Mein Ziel ist, bis Frühjahr 2025 für NIS-2 bereit zu sein.

Sind Fristen und Sanktionen bei Nichterfüllung zu erwarten?

Es wird Fristen geben, wobei jedoch nicht die gesamte Richtlinie von heute auf morgen umgesetzt sein muss. Das muss bis zur Wirksamkeit des Gesetzes noch geklärt werden. Bis dahin spielt das BSI eine entscheidende Rolle und ist für die Informationssicherheitsbeauftragten der erste Ansprechpartner.

Wer überprüft die Umsetzung in den Unternehmen?

Das ist ein zweiter Kritikpunkt: Es ist noch nicht ganz klar, ab wann – und das ist frühestens in drei bzw. fünf Jahren – die von NIS-2-betroffenen 30.000 Unternehmen tatsächlich auditiert werden. Falls das BSI das übernehmen soll, muss das Bundesamt erst einmal dazu befähigt und entsprechend ausgebaut werden. Aktuell ist das BSI dazu überhaupt nicht in der Lage.

Was wären die drei Top-Empfehlungen, die Sie anderen Krankenhäusern geben, um für die NIS-2-Richtlinie gewappnet zu sein?

Security Awareness ist definitiv ein Schlüssel für Sicherheit in Krankenhäusern. Das Haupteinfallstor für Hacker ist der Faktor Mensch. Das heißt, ich muss alle Mitarbeitenden entsprechend für Informationssicherheit sensibilisieren. Punkt zwei ist, auf moderne Technologien als Schutzschild zu setzen – beispielsweise eine XDR-Lösung, die wir auch bei Sana nutzen. Das ist mehr als es ein herkömmlicher Virenschutz. Ohne sie, da bin ich mir sicher, hätten wir erfolgreiche Angriffe bei Sana gehabt. Hinzu kommt ein Internet-Proxy, um den ein- und ausgehenden Datenverkehr zu überwachen und bei verdächtigen Anomalien die Datenflüsse zu blockieren. Auch Mail-Security ist wichtig, um schadhafte Mails im Vorfeld abzufangen. Der dritte Tipp: Incident Response. Ein Krankenhaus sollte jeden Tag auf den Worst Case vorbereitet sein und entsprechende Vorsorgemaßnahmen treffen.

Das Interview führte Anika Pfeiffer.

Sascha Fröhlich ist Chief Information Security Officer (CISO) der Sana Kliniken. 

Der Betrag ist zuerst erschienen im Fachmagazin “f&w - führen und wirtschaften im Krankenhaus”, Ausgabe Januar 2025