Drei Möglichkeiten, wie sich Organisationen im Gesundheitswesen auf neue Cybersicherheitsanforderungen vorbereiten können

Strategien zur Bekämpfung der zunehmenden Cyberbedrohungen im Gesundheitswesen

Anmerkung der Redaktion: Dieser Artikel wurde ursprünglich im Jahr 2024 veröffentlicht und aktualisiert, um Informationen zum EU-Aktionsplan aufzunehmen.

Organisationen im Gesundheitswesen sind sehr anfällig für Cyberangriffe: Im Jahr 2022 gab es durchschnittlich 1.463 Cyberangriffe pro Woche, was einem Anstieg von 74 % im Vergleich zum Vorjahr ^{entspricht [i]}. Die Gesundheitsbranche hat auch zwölf Jahre in Folge den höchsten Rang bei den Kosten für Datenschutzverletzungen innegehabt ^[ii]. Die potenziellen Auswirkungen eines Cybervorfalls sind nicht nur finanzieller Natur – die Folgen können tödlich sein ^[iii].

Krankenhäuser und Gesundheitsdienstleister sind aus mehreren Gründen ins Visier genommen. Erstens sind sie verwundbare Ziele, da Angreifer versuchen, sie auszunutzen, um zu behaupten, dass sie solche kritischen Einrichtungen erfolgreich abgeschaltet haben. Auch im Dark Web sind Gesundheitsdaten sehr gefragt und können Angreifern eine saftige Summe einbringen.

Ein weiterer wichtiger Grund, warum Krankenhäuser ins Visier genommen werden, ist, dass sie über große OT-Umgebungen (Operational Technology) mit Tausenden von Einstiegspunkten verfügen. Auf der medizinischen Seite umfasst dies eine breite Palette von Geräten, von MRT-Geräten bis hin zu Beatmungsgeräten. Auf der Gebäudeseite umfasst es Vermögenswerte wie Brand- und Lebensschutzsysteme, HLK und Zugangskontrolle. Die schiere Menge an Assets bietet eine Angriffsfläche, die weitaus größer ist als in fast jeder anderen Branche. Darüber hinaus arbeiten viele dieser Systeme mit Legacy-Frameworks, was sie anfälliger für Ausnutzung macht.

EU-Aktionsplan zur Cybersicherheit von Krankenhäusern und Gesundheitsdienstleistern

Im Jahr 2023 meldeten die EU-Länder 309 signifikante Cybersicherheitsvorfälle im Gesundheitswesen, mehr als in jedem anderen kritischen Sektor. Diese Cyberangriffe können medizinische Eingriffe verzögern und lebenswichtige Dienstleistungen unterbrechen. Als Reaktion darauf stellte die Europäische Kommission einen neuen EU-Aktionsplan vor , der sich auf folgende Themen konzentriert:

1. Verbesserung der Prävention von Cyberbedrohungen durch verstärkte Bereitschaftsmaßnahmen

2. Bessere Erkennung und Identifizierung dieser Bedrohungen durch Warnungen nahezu in Echtzeit

3. Minimierung der Auswirkungen von Cyberangriffen, um zusätzlichen Schaden zu minimieren

4. Abschreckung von Cyber-Bedrohungsakteuren durch den Einsatz von Instrumenten wie der Cyber Diplomacy Toolbox

Außerdem wird die Einrichtung eines europaweiten Unterstützungszentrums für Cybersicherheit vorgeschlagen, das Krankenhäusern und Gesundheitsdienstleistern maßgeschneiderte Anleitungen, Instrumente, Dienstleistungen und Schulungen zur Verfügung stellen soll. Diese Maßnahmen zielen darauf ab, die Widerstandsfähigkeit und Sicherheit der Gesundheitssysteme in ganz Europa zu gewährleisten, die Patientenversorgung zu gewährleisten und die Integrität kritischer Gesundheitsinfrastrukturen zu wahren. Durch die Umsetzung dieser umfassenden Strategien will die EU eine robuste Abwehr gegen Cyberbedrohungen schaffen und sicherstellen, dass die Gesundheitsversorgung ununterbrochen und sicher bleibt.

U.S. Department of Health and Human Services erwägt neue Anforderungen

Als Reaktion auf diese zunehmende Bedrohung veröffentlichte das US-Gesundheitsministerium (HHS)  im Jahr 2023 ein Konzeptpapier ^[iv], in dem  neue Maßnahmen zum Schutz des Sektors vor Cyberangriffen vorgestellt werden.

Zu diesen Maßnahmen gehören:

1. Festlegung freiwilliger Cybersicherheitsziele für das Gesundheitswesen, um Organisationen im Gesundheitswesen bei der Priorisierung von Cybersicherheitspraktiken zu unterstützen.

2. Bereitstellung von Ressourcen, um Anreize für Cybersicherheitspraktiken zu schaffen und diese umzusetzen, wie z. B. die Einrichtung eines Vorabinvestitionsprogramms, um Anbietern mit hohem Bedarf zu helfen.

3. Umsetzung einer HHS-weiten Strategie zur Unterstützung einer besseren Durchsetzung und Rechenschaftspflicht, die möglicherweise höhere Geldstrafen für HIPAA-Verstöße umfasst.

4. Ausbau und Reifung des One-Stop-Shops innerhalb des HHS für die Cybersicherheit im Gesundheitssektor, um die Incident-Response-Fähigkeiten des HHS zu erhöhen.

Ziel ist es, Krankenhäuser besser mit Cybersicherheitsschulungen und -ressourcen auszustatten und durch die Stärkung der Durchsetzungsbefugnisse des HHS von Verstößen abzuhalten.

Organisationen im Gesundheitswesen wissen nicht, was sie nicht wissen

Eine große Sicherheitslücke in vielen Krankenhäusern ist mangelndes Bewusstsein. Sie denken vielleicht, dass ihre OT-Systeme sicher sind, wenn sie es nicht sind. Zum Beispiel können die Systeme Air-Gapping sein, was bedeutet, dass sie nicht mit dem Internet verbunden sind, aber die meisten von ihnen müssen regelmäßig gepatcht oder aktualisiert werden. Dies kann bedeuten, dass die Systeme am Ersten eines jeden Monats mit dem Internet verbunden sind, um die Patches oder Updates herunterzuladen, und somit nicht wirklich Air-Gapping haben.

Selbst wenn das Patchen und Aktualisieren über USB erfolgt, sind diese OT-Systeme möglicherweise immer noch nicht sicher. Eine Honeywell-USB-Bedrohungsstudie aus dem Jahr 2024 ergab, dass 51 % der entdeckten Malware für USB-Sticks entwickelt wurden ^[v] . Ein weiteres Risiko besteht darin, dass viele Cyberangriffe auf OT-Systeme von Drittanbietern abzielen, deren Anbieter möglicherweise Zugriffsrechte für Wartungs- und Upgrades haben. Dies öffnet die Tür für eine weitere Bedrohung.

Drei Schritte, die Gesundheitsorganisationen jetzt unternehmen sollten

Organisationen im Gesundheitswesen stehen unter großem Druck, ihre Systeme gegen Cyberbedrohungen zu wappnen und die erforderlichen Kontrollen und Abwehrmaßnahmen zu ergreifen. Hier sind die drei wichtigsten Schritte, die sie unternehmen sollten, um loszulegen:

1. Erstellen Sie einen Incident-Response-Plan. Dies ist für Krankenhäuser unerlässlich, um sich schnell zu erholen, wenn sie von Ausfallzeiten betroffen sind oder wenn kritische Geräte wie Beatmungsgeräte oder HLK-Systeme Ziel eines Cyberangriffs sind. Ohne einen Plan kann ein Krankenhaus nicht schnell und effizient wieder in Betrieb gehen und sicherstellen, dass seine Patienten und Mitarbeiter sicher sind. Dies sollte mit Tabletop-Übungen getestet werden

2. Pflegen Sie ein vollständiges Asset-Inventar mit Schwachstellenmanagement und Bedrohungserkennung. Die Realität ist, dass die meisten OT- und Steuerungssysteme über eine IP-Verbindung verfügen, z. B. HLK, Energiemanagement, Sicherheit, Zugangskontrolle, Video-/Videoüberwachung, Patientenüberwachung, Brandschutzsysteme, medizinische Geräte und andere IoT-Systeme. Die IT überwacht oder verwaltet diese Verbindungen jedoch oft nicht so genau auf Cyberbedrohungen wie ihre eigenen Systeme oder verwaltet sie. In den meisten Fällen kennen sie nicht alle Geräte im OT-Netzwerk. Es ist wichtig, dass Krankenhäuser genau wissen, was sie in ihrer Umgebung sowohl im IT-Netzwerk des Unternehmens als auch in ihrem OT-Netzwerk ausführen

3. Haben Sie einen vertrauenswürdigen Partner. Die Sicherung der Betriebstechnologie ist eine komplexe Aufgabe, die an der Schnittstelle zwischen Engineering und Cybersicherheit liegt. Es erfordert Kenntnisse über die zugrunde liegenden Geräte, Kontrollsysteme und proprietären Protokolle, die in der Umgebung vorhanden sind, kombiniert mit Cybersicherheitstechnologie und den Fähigkeiten, die erforderlich sind, um die notwendigen Kontrollen zur Risikominderung zu implementieren. Aus diesem Grund müssen Organisationen im Gesundheitswesen mit vertrauenswürdigen Partnern und Anbietern zusammenarbeiten, die Produkte entwickeln, die von vornherein sicher sind, die zugrunde liegende Technologie verstehen und sie mit Cybersicherheitserfahrung kombinieren, um ihre Ziele zur Risikominderung und Compliance zu erreichen.

Honeywell ist in einer einzigartigen Position, um Organisationen im Gesundheitswesen bei der Einhaltung neuer regulatorischer Anforderungen zu unterstützen und ihre Cybersicherheitsrisiken zu reduzieren. Mit 50+ Jahren Erfahrung in der Gebäudeautomation und Millionen von Einrichtungen weltweit, die Honeywell-Technologie nutzen, verstehen wir die Angriffsfläche, mit der Organisationen im Gesundheitswesen arbeiten, und welche Kontrollen erforderlich sind, um sie zu reduzieren. Wir haben 7.000+ Cyber-Projekte in 130+ Ländern weltweit durchgeführt, mit einem breiten Portfolio an Lösungen und Dienstleistungen von Cyber-Bewertungen, Incident Response, Patch-Management, Netzwerküberwachung, Endpunktsicherheit und mehr.

Sprechen Sie noch heute mit einem unserer Experten, um zu erfahren, wie Honeywell Ihnen helfen kann, die Cybersicherheit Ihrer Gesundheitsorganisation zu verbessern.
 

^[i] Check Point, Check Point Software veröffentlicht seinen Sicherheitsbericht 2023, der den Anstieg von Cyberangriffen und disruptiver Malware hervorhebt, 8. Februar 2023 [Zugriff am 1. März 2024]

^[ii] UpGuard, Wie hoch sind die Kosten einer Datenschutzverletzung im Jahr 2023?, 25. Oktober 2023 [Zugriff am 1. März 2024]

^[iii] WIRED, Die unerzählte Geschichte eines Cyberangriffs, eines Krankenhauses und einer sterbenden Frau, 11. November 2020 [Zugriff am 1. März 2024]

^[iv] US-Gesundheitsministerium, Cybersicherheit im Gesundheitssektor, Dezember 2023 [Zugriff am 1. März 2024]

^[v] Honeywell Forge, Honeywell Gard USB Threat Report 2024 [Zugriff am 1. Februar 2024]