Cyberkriminelle nehmen das Gesundheitswesen ins Visier (Doch wir können uns wehren)

Eine Version dieses Artikels erschien im Cyber Defense Magazine. Er wurde für die hiesige Veröffentlichung aktualisiert.

Cyberangriffe gehören heutzutage zum Alltag. Man rechnet fast schon mit Nachrichten über neue Sicherheitslücken oder Datenlecks, die alles betreffen – vom Bankwesen bis zur Luftfahrt oder Geräte wie Smartphones und Ampelanlagen. Selbst unsere Privathaushalte sind nicht mehr völlig sicher. Ganze Städte und Gemeinden werden fast täglich von Kriminellen angegriffen, die Millionen an Lösegeld fordern, um kompromittierte kritische Dienste wiederherzustellen.

Doch ein Ort, an dem wir uns hoffentlich noch sicher fühlen konnten, war die Arztpraxis oder das Krankenhaus. Menschen sind am verletzlichsten, wenn sie medizinische Hilfe suchen. Menschlicher Anstand würde eigentlich gebieten, dass das medizinische Personal seine noble Arbeit in Frieden verrichten kann. Leider ist das nicht der Fall. Es scheint wenig Ehre – oder vielleicht schiere Verzweiflung – unter den heutigen Cyberkriminellen zu geben. Tatsächlich könnte das Gesundheitswesen zum nächsten „großen“ Schlachtfeld der Cybersicherheit werden, auf dem Kriminelle genau die Geräte angreifen, die medizinische Probleme diagnostizieren, Behandlungen ermöglichen und Leben erhalten. Angesichts der anhaltenden globalen Gesundheitskrise ist dies ein Thema, das aus verschiedenen Blickwinkeln dringend angegangen werden muss.

Die Bedrohungen werden persönlicher als je zuvor.

Angriffe auf das Gesundheitswesen sind nichts Neues. Cyberkriminelle kennen bereits den Wert von Patienteninformationen, persönlichen Daten und Finanzunterlagen in der Unterwelt und im Darknet. Diese Informationen können genutzt werden, um Patienten direkt zu bestehlen oder als Ausgangspunkt für weitere Angriffe wie Phishing und andere Betrügereien zu dienen. Es ist daher kein Wunder, dass viele der verheerendsten Angriffe der letzten Zeit auf das Gesundheitswesen abzielten. Anthem Healthcare verlor 80 Millionen Patientendatensätze. Premera verlor 11 Millionen persönliche Dateien. CareFirst verzeichnete 1,1 Millionen kompromittierte Datensätze, und die Liste ließe sich endlos fortsetzen.

Derzeit scheinen direkte Angriffe auf medizinische Geräte noch selten zu sein. Ein Bericht deutet jedoch darauf hin, dass das Problem weitaus verbreiteter sein könnte, da Krankenhäuser die Eindringversuche nicht melden oder Mitarbeiter ohne Cybersicherheits-Schulung gar nicht erkennen, dass direkt vor ihren Augen ein Angriff stattfindet. Die Möglichkeit, medizinische Geräte auf erschreckende Weise zu manipulieren – etwa durch Malware, um gefälschte Tumore in CT-Scans und MRT-Ergebnisse einzufügen –, wurde von Sicherheitsforschern bereits schlüssig nachgewiesen. Es ist nicht weit hergeholt anzunehmen, dass Angreifer in der realen Welt bereits Ähnliches mit medizinischen Geräten tun.

Das Gesundheitswesen ist zudem aufgrund seiner zunehmenden Abhängigkeit vom Internet der Dinge (IoT) besonders anfällig für Cyberangriffe. Dabei handelt es sich um winzige Sensoren, die mit dem Internet verbunden sind und enorme Datenmengen erzeugen. Die Absicherung der von diesen Sensoren produzierten Informationen, der Kommunikationskanäle und sogar der Sensoren selbst wurde bisher meist nur stiefmütterlich behandelt. Die Anzahl potenzieller Schwachstellen, die ein Angreifer in diesen IoT-dominierten Netzwerken ausnutzen könnte, ist nahezu unbegrenzt.

IoT im Gesundheitswesen birgt ernsthafte Risiken.

Dienste, die für die Patientenversorgung entscheidend sind – und die man sich vor 20 Jahren teilweise noch gar nicht vorstellen konnte –, sind ein Nährboden für IoT-basierte sowie traditionellere Schwachstellen. Elektronische Patientenakten, Telemedizin und mobile Gesundheitsdienste warteten nur darauf, durch die Datenflut des IoT einen Schub zu erhalten. Es ist daher nicht verwunderlich, dass das Engagement für IoT im Gesundheitssektor atemberaubend ist. MarketResearch.com prognostiziert, dass der IoT-Markt im Gesundheitswesen bis nächstes Jahr 117 Milliarden US-Dollar erreichen und danach jährlich um 15 % weiter wachsen wird.

In diesem Umfeld finden geschickte Angreifer zahlreiche Schwachstellen, um medizinische Geräte zu kompromittieren. In medizinische Geräte eingebettete IoT-Sensoren kommunizieren und übertragen ihre Daten meist auf zwei Wegen. Einige sammeln Daten und senden alle Ergebnisse direkt zur Analyse ins Internet. Andere nutzen eine Form der verteilten Vernetzung, das sogenannte Fog Computing, bei dem die Sensoren selbst ein Mini-Netzwerk bilden und gemeinsam entscheiden, welche Daten an ein zentrales Repository oder eine Plattform weitergegeben werden. Diese Daten können dann weiterverarbeitet oder direkt von medizinischem Personal abgerufen werden.

Erschwerend kommt im Gesundheitswesen hinzu, dass die Branche nie einheitliche Standards, Methoden oder Schutzmaßnahmen für den Umgang mit Daten eingeführt oder vereinbart hat. Historisch gesehen wurde die Gesundheitsbranche von Herstellern bedient, die ihre eigenen proprietären Technologien für medizinische Geräte anboten. Heute umfasst dies die eingebetteten IoT-Sensoren, die Kommunikationskanäle der Geräte und die Plattform zur Datenanalyse. Das macht die meisten Krankenhausnetzwerke zum Traum eines Hackers oder zumindest zu einem idealen Testgelände, auf dem sie alles ausnutzen können – von Fehlkonfigurationen der Sicherheit bis hin zu unzureichendem Schutz der Transportschicht. Sie können alles versuchen, von Cross-Site Request Forgery bis hin zu den klassischen XML-Injection-Angriffen.

Die Antwort, die wir brauchen, liegt direkt vor uns.

Trotz der potenziell katastrophalen Folgen, wenn diese Schwachstellen ausgenutzt werden, gibt es Grund zum Optimismus: Diese Sicherheitslücken sind keine neuen, mächtigen Hintertüren, die von kriminellen Superhirnen geöffnet wurden. Sie sind so verbreitet, dass es frustrierend ist, sie immer wieder zu sehen. Ein Grund für ihr Auftreten ist die Verwendung veralteter Systeme, die trotz verfügbarer Patches nicht aktualisiert wurden, aber der andere liegt erneut beim Faktor Mensch. Entwickler schreiben Code in einem rasanten Tempo und konzentrieren sich auf ein schickes, funktionales Endprodukt – nicht auf bewährte Sicherheitspraktiken.

Es wird schlichtweg zu viel Software entwickelt, als dass AppSec-Spezialisten Schritt halten könnten, und wir können nicht erwarten, dass sie bei diesen wiederkehrenden Schwachstellen ständig die Welt retten. Es ist kostengünstiger, effizienter und eindeutig viel sicherer, wenn diese Schwachstellen gar nicht erst entstehen. Das bedeutet, dass Sicherheitsteams und Entwickler gemeinsam eine robuste, durchgängige Sicherheitskultur etablieren müssen.

Wie sieht eine großartige Sicherheitskultur genau aus? Hier sind einige Schlüsselelemente:

• Entwickler erhalten die Werkzeuge und Schulungen, die sie benötigen, um häufige Fehler zu beheben (und zu verstehen, warum dies so wichtig ist)
• Die Schulungen sind umfassend, leicht verständlich und fördern die Stärken der Entwickler
• Die Ergebnisse der Schulungen werden ordnungsgemäß gemessen, mit Kennzahlen und Berichten (keine bloße „Abhaken und weiter“-Übung)
• AppSec und Entwickler sprechen dieselbe Sprache: Schließlich arbeiten sie in einer positiven Sicherheitskultur auf ähnliche Ziele hin.

Das Katastrophenpotenzial ist nach wie vor enorm und geht weit über den Diebstahl von Patientenakten hinaus. Das Einfügen gefälschter Tumore in einen Scan könnte einen Menschen, der ängstlich auf eine Krebsdiagnose wartet, psychisch zerstören. Und der Austausch von Medikamenten oder die Änderung von Behandlungsplänen könnte sogar tödlich enden. Es braucht nur einen Cyberkriminellen, der bereit ist, diese Grenze für Profit zu überschreiten, und man kann sicher sein, dass es passieren wird. Vielleicht wird der nächste Ransomware-Angriff nicht die Daten eines Krankenhauses verschlüsseln, sondern die Diagnosen tausender Patienten ruinieren. Oder vielleicht droht ein Angreifer damit, Medikamente zu manipulieren, sofern er nicht bezahlt wird – und hält damit buchstäblich Menschenleben als Geisel.

Es ist offensichtlich, dass wir im Bereich der Cybersicherheit im Gesundheitswesen nicht länger nach dem Prinzip „Weiter so“ verfahren können. Wir können uns nicht darauf verlassen, dass ein oder zwei Spezialisten in Gesundheitseinrichtungen jedes Problem lösen. Stattdessen brauchen wir sicherheitsbewusste Entwickler, die Gesundheits-Apps und -Geräte so gestalten, dass potenzielle Probleme erkannt und behoben werden, bevor sie in Betrieb genommen werden. Auch das medizinische Personal sollte grundlegend in Cybersicherheit geschult werden.

Nichts ist wichtiger als die Gesundheit. Damit die Cybersicherheit im Gesundheitswesen zukunftsfähig bleibt, müssen wir heute ein besseres Sicherheitsbewusstsein schaffen. Ohne konsequente Maßnahmen wird sich dieses Problem nur weiter verschärfen.