Wenn man überprüfen will wie hoch das Cybersicherheitsrisiko für Patienten ist, muss man drei Komponenten berücksichtigen: medizinische Einrichtungen, Dienste und die Geräte selbst, denn sie sind der Verbindungspunkt zum Patienten. Alle drei sind unter dem Dach des Internet of Medical Things (IoMT) vereint. Versagt eine der Komponenten, ist der Patient einer Gefahr ausgesetzt, die erhebliche Auswirkungen haben kann – den Verlust personenbezogener Daten, körperliche Schäden oder sogar den Tod.
Wie geht ein solcher Cyberangriff vonstatten?
Medizinische Einrichtungen verwalten Hunderte, möglicherweise Tausende von Geräten in Krankenhäusern oder Kliniken. Das Arsenal reicht von Geräten zur bildgebenden Diagnostik wie dem MRT, über Infusionspumpen zur Medikamentengabe bis hin zu sehr viel persönlicheren, implantierten Geräten wie Herzschrittmachern oder implantierbaren Kardioverter-Defi brillatoren (ICDs). In einem Krankenhaus in den USA sind es durchschnittlich zwischen zehn und 15 vernetzte Geräte pro Bett.
Hacker bevorzugen natürlich ältere Geräte mit teilweise überholten Betriebssystemen, die längst nicht so gut geschützt sind wie neuere Medizintechnik, die mit aktuellen Sicherheitsfunktionen aufwartet. Dazu kommt, dass die Geräte einen vergleichsweise langen Lebenszyklus haben. Das macht Remote-Updates zu einem Problem und die Geräte zu einem bevorzugten Ziel für Hackerangriffe. Man kann jedes medizinische Gerät hacken, sei es am Krankenbett, in der Bildgebung oder in der Brust eines Patienten.
Zusätzlich kommuniziert jedes vernetzte Gerät entweder über das Netzwerk der Einrichtung oder über ein Gateway, das eine direkte Verbindung zur Cloud herstellt. Netzwerke und Gateways sind gleichermassen angreifbar. Das gefährdet Datenintegrität und Datenschutz. Auch telemedizinische Dienste, die vernetzte Geräte zur Fernüberwachung von Patienten oder Medikation benutzen, sind anfällig.
Worst-Case-Szenarien
Wie schwer ein Angriff letztlich ist hängt von der Absicht des Hackers ab. Personenbezogene Daten wie elektronisch geschützte Gesundheitsdaten (ePHI), personenbezogene Daten (PII) oder elektronische Patientenakten (EPAs) sind für Hacker ein lukratives Ziel. Datenschutzverletzungen bei Kreditkarten sind ziemlich kurzlebig, Kreditkartenunternehmen überwachen inzwischen engmaschig Schwachstellen und Anzeichen, die auf eine Datenschutzverletzung hindeuten.
In der Gesundheitsbranche dauert es aber oft Monate bis eine Datenschutzverletzung entdeckt wird. Hacker haben dann sehr viel länger die Gelegenheit ihr Ziel auszunutzen, bevor der Angriff offenkundig wird. Wenn es einem Angreifer darum geht, körperliche Schäden zu verursachen, reicht es, einige beliebigen Punkte in der IoMT-Kette zu infi ltrieren – dies können Geräte, Netzwerke oder Gateways sein. Alle sind geeignet genau dieses Ziel zu erreichen.
Filmreife Vorstellungen
Eine andere Form des Cyberangriffs besteht darin, ein medizinisches Gerät zu kapern (auch MEDJACK genannt) mit dem Ziel, eine Hintertür einzurichten. Wenn Hacker die Kontrolle über eine Infusionspumpe für Medikamente bekommen und gefährliche Medikamentendosen verabreichen, fügt das einem Patienten unter Umständen schweren Schaden zu. Erlangt jemand die Kontrolle über einen Herzschrittmacher, kann das tödlich enden. Ein Stoff für unzählige Filme und Dramaserien.
Auch die Geräte in der bildgebenden Diagnostik sind in letzter Zeit zu einem beliebten Angriffsziel geworden. Anfang dieses Jahres haben die Experten von Cylera, ein patientenorientiertes Unternehmen für Cybersicherheit im Gesundheitswesen, eine Schwachstelle im weltweit anerkannten DICOM-Bildformat aufgedeckt. Das ist ein Standard, der seit über 30 Jahren zur Speicherung von medizinischen Bildern verwendet wird. Dieser veraltete Standard erlaubt es Hackern, Malware direkt in CT- und MRT-Bilder einzubetten. Wenn Bilder weitergegeben werden, wird gleichzeitig die Malware verbreitet und verteilt sich auf den Workstations, wo die Bilder analysiert werden ebenso wie auf die Handys und Tablets, mit denen sie angesehen werden.
Patientendaten sind gefährdet
Cylera berichtet, dass die Malware «Patientendaten und Malware effektiv miteinander verschmilzt». Das erschwert es, die Schadsoftware zu entfernen, weil man dabei möglicherweise Patientendaten zerstören oder löschen würde. Patientendaten unterliegen was ihre Gefährdung oder Vernichtung anbelangt strengen HIPAA-Vorschriften. Die Verantwortlichen befi nden sich in einer Zwickmühle.
Das Ergebnis: Patientendaten und Datenpfl ege sind potenziell gefährdet. Durch die Verbreitung der Malware werden wahrscheinlich personenbezogene Daten aus den Kliniken herausgeschleust. Wenn man infi zierte Bilddateien bemerkt, kann man sie in Quarantäne verschieben, löschen oder dafür sorgen, dass sie nicht mehr verfügbar gemacht werden. Das verhindert, dass sich die Malware im gesamten HDO-System verbreitet. Schliesslich ist auch noch Ransomware in der Lage, einen Host selbst zu infi zieren und vollständig zu deaktivieren. Handelt es sich dabei um ein kritisches, lebensrettendes Gerät, hat das für einen Patienten katastrophale Folgen.
Cyberangriffe verhindern, Patientenversorgung absichern
Patienten sind einzigartig und werden individuell behandelt, um bestmögliche Ergebnisse innerhalb der Gesundheitsversorgung zu gewährleisten. Einen Ansatz, den man auch bei HDO-Geräten, Netzwerken, Gateways und Einrichtungen beherzigen sollte. Es geht um Identität, Authentifi zierung, Autorisierung und Datenschutz. Integriert man eine Sicherheitsebene wie PKI, verringert man insgesamt die Angriffsfl äche, schreckt Angreifer ab und schützt die Verbindung des Patienten zu lebensrettenden Geräten, Diensten und die Datenkommunikation, die für eine optimale Pfl ege erforderlich ist. Eine empfohlene Vorgehensweise sieht wie folgt aus:
■ Identität, Authentifi zierung, Autorisierung und Datenschutz werden über eine verschlüsselte Public-Key-Infrastruktur (PKI) mit eindeutig identifi zierbaren Geräteidentitäten bereitgestellt. Eine PKI-Infrastruktur verwendet Verschlüsselung, um Daten (im gespeicherten Zustand oder während der Übertragung) zu schützen, Geräteidentitäten zu verwalten und Datenschutz zu gewährleisten. Und das für Geräte, Netzwerke und Gateways oder für extern bereitgestellte Dienste.
■ Die Bereitstellung einer Geräteidentität bietet die Möglichkeit, jedes Gerät durch Binden eines digitalen Zertifi kats mit einer starken, eindeutigen Kennung eindeutig zu identifi zieren.
■ Mit «Gerät» ist hier jeder vernetzte Endpunkt gemeint. Das kann eine Infusionspumpe für Medikamente sein ebenso wie ein CT. Es kann sich auch um einzelne Komponenten eines Geräts oder sogar eine integrierte Schaltung innerhalb einer verbauten Komponente handeln. Gleiches gilt für Gateways und Netzwerkverbindungen. Eindeutige Geräteidentitäten bieten die zur Authentifi zierung und Autorisierung erforderliche Identifi kation.
■ Eine PKI überprüft den Status grosser elektronischer Geräte mit langer Lebensdauer wie CT-Scanner und MRTs. Sie aktualisiert das Betriebssystem auf die aktuellste und sicherste Version und sie fordert beim Update der Betriebssystemsoftware einen signierten Code. Die Codesignatur verifi ziert, dass das Update nicht von Dritten kompromittiert wurde. Das wiederum schützt Benutzer vor dem Herunterladen kompromittierter Software, verhindert Manipulationen und bietet vertrauenswürdige Sicherheit durch Authentifi zierung.
■ Wenn man die Verwaltung von Geräten, Netzwerken und Gateways vereinfachen will bietet sich eine Kombination aus einer Informationsplattform für medizinische Geräte – wie etwa von CapsuleTech – und einer integrierten PKI-basierten Geräteidentitätsinfrastruktur an.
Jeder einzelne Schritt erhöht den Patientenschutz
Es ist nicht ganz trivial für Ärzte, Krankhäuser und andere Einrichtungen im Gesundheitswesen mit den Entwicklungen im IoMT und den wachsenden Compliance-Anforderungen gleichermassen Schritt zu halten. Die FDA hat dazu beispielsweise Materialien rund um das Management der Cybersicherheit bei Medizinprodukten zusammengestellt. Jeder Schritt zur Verbesserung der Sicherheit bei Geräten, Gateways und Netzwerken ist ein Schritt für eine sicherere physische Versorgung der Patienten. Letztendlich sind eine qualitativ bessere Patientenversorgung und entsprechende Behandlungsergebnisse das Ziel von IoMT, HDO, Ärzten, Gesundheitsdienstleistern und Pfl egepersonal.
Infoservice
GlobalSign Deutschland
Tel. 0049 800 723 79 80
verkauf@globalsign.com, www.globalsign.de
