Auf der einen Seite sind im Gesundheitswesen noch viele Faxgeräte im Einsatz - weil es auch im Jahre 2021 noch keinen allgemein verbreiteten, sicheren Weg gibt, Gesundheitsdaten digital, z. B. zwischen einweisendem Arzt und Krankenhaus, zu übertragen. Auf der anderen Seite sind deutsche Krankenhäuser aber bereits so vernetzt, dass sich die Meldungen über erfolgreiche Cyber-Angriffe, die sich diese Vernetzung zu Nutze machen, sowie damit verbundene IT-Ausfälle und Störungen der klinischen Abläufe häufen. Das verdeutlicht sich in der vermehrten Behandlung des Themas in den Medien, wie z. B. auch folgende Presseartikel zeigen (die Quellen finden Sie am Ende des Artikels):
Und dies, obwohl die Digitalisierungswelle in der Gesundheitsbranche in Deutschland ja erst noch bevorsteht. So steht es zumindest im Krankenhauszukunftsgesetz (KHZG), das über den Krankenhauszukunftsfonds (KHZF) mehrere Milliarden Euro bereit stellt, um „[...] eine bessere digitale Infrastruktur, z. B. Patientenportale, elektronische Dokumentation von Pflege- und Behandlungsleistungen, digitales Medikationsmanagement, Maßnahmen zur IT-Sicherheit sowie sektorenübergreifende telemedizinische Netzwerkstrukturen [...]“ zu fördern.
Werden Einrichtungen des Gesundheitswesens also verstärkt angegriffen?
Selbst die schon erwähnten Faxgeräte können eine Gefahr sein, zumindest in der Variante der Multifunktionsgeräte („Faxploit" 2018). Mangels Alternativen nutzen viele Krankenhäuser für die selbstgebaute Vernetzung mit anderen Leistungserbringern das öffentliche Internet, haben dort also zwangsläufig erreichbare Schnittstellen. Diese müssen abgesichert werden, denn auch bei solchen marktüblichen Produkten kommen Sicherheitslücken vor („Shitrix" 2020). Es ist eine große Herausforderung für die IT-Mitarbeiter in den Häusern, die Netze der Krankenhäuser gegen Gefahren aus dem Internet abzusichern.
Im Zuge der Corona-Pandemie und dem Arbeiten von zu Hause, das zumindest z. B. Teile der Verwaltung betrifft, mussten die internen Ressourcen auch von den Heimbüros der Mitarbeiter erreichbar gemacht werden. Falls dazu auch die Groupware zählte, war das ggf. ein weiteres Einfallstor („Proxylogon" 2021). Diese exemplarische Liste ist bei weitem nicht repräsentativ und stellt außerdem keinerlei Wertung dar.
Auch Wartungszugänge zu medizinischen Systemen können Angriffspunkte sein, es reicht aber auch – wie obige Beispiele zeigen – gewöhnliche Ransomware, um in einem nicht optimal segmentierten Netzwerk großflächig Systeme im Krankenhaus lahmzulegen. Mit zunehmender Vernetzung steigt hier das Schadenspotential weiter an. Der Gesetzgeber sieht aber trotz des Gefahrenpotenzials die Notwendigkeit zu mehr Digitalisierung – und dies zu Recht.
Was also tun – gibt es eine Alternative zur Digitalisierung im Gesundheitswesen?
Angesichts eines steigenden Kostendrucks und knapper Personalressourcen ist die Unterstützung der klinischen Prozesse durch digitale Infrastrukturen und Systeme ein Mittel zur Entlastung von Personal und Budget. Dies gilt zumindest bei einer langfristigen Betrachtung, denn selbstverständlich kostet die Etablierung von digitalen Systemen im Krankenhaus erst einmal Geld.
Da ist es ein gutes Signal, dass mit dem KHZF und der Verlängerung des Krankenhausstrukturfonds II Geld bereitgestellt wird, um die Krankenhäuser bei diesen Vorhaben zu unterstützen. Durch solche Vorhaben sollen z. B. manuelle Arbeiten, wie das Übertragen von Werten zwischen Systemen, automatisiert, Schnittstellen zur einfachen Leistungs- und Versorgungsgüteranforderung implementiert, eine sichere Identifikation von Medikationen gewährleistet oder ein schneller und mobiler Zugriff auf die elektronische Patientenakte ermöglicht werden. Weniger Fehlerpotential bedeutet mehr Patientensicherheit, mehr Automatisierung bedeutet mehr Zeit für die Patienten!
Gemessen wird die Digitalisierung im Krankenhaus oft mit dem sog. „Electronic Medical Records Adoption Model“ der „Healthcare Information and Management Systems Society“ in den Stufen 0-7. In Deutschland gibt es bisher nur wenige Häuser auf den Stufen 6 oder 7. Auch wenn es Kritikpunkte am EMRAM-Modell gibt (z. B. schwierige Vergleichbarkeit nationaler Reglementierungen im Gesundheitswesen), ist dieses Modell weit verbreitet.
Aber wird der Betrieb mit all den Schnittstellen und Zugriffsmöglichkeiten dann nicht automatisch anfälliger und angreifbarer?
Nicht unbedingt. Falsch ist es, Informationssicherheit ganz am Ende, wenn alles fertig ist, als Zusatz „anzuflanschen“ und „künstliche Beschränkungen“ auf Grund von Sicherheitsanforderungen aufzuerlegen. Ziel muss sein, IT-Sicherheit in allen Aspekten von der Planungsphase an zu berücksichtigen („Security by default" und „Security by design"). Dies gibt auch das KHZG vor, denn in jeder geförderten Maßnahme müssen mindestens 15 % der Fördersumme zur Verbesserung der Informationssicherheit aufgewendet werden. „IT-Sicherheit" ist zudem als eigener Fördertatbestand aufgenommen, s. auch folgendes Zitat: „Ziel dessen ist es, dass alle geförderten Maßnahmen bereits zu Beginn den Anforderungen und Standards der IT- und Cybersicherheit entsprechen.“ (Förderrichtlinie nach § 21 Abs. 2 Krankenhausstrukturfonds-Verordnung (KHSFV), S. 39 f. der aktualisierten Version vom 03.05.2021)
Ein moderner Klinikbetrieb ist ohne eine gut funktionierende IT aber nicht mehr vorstellbar
Daher fordert § 75c SGB V unter der Überschrift „IT-Sicherheit in Krankenhäusern“, „[...] nach dem Stand der Technik angemessene organisatorische und technische Vorkehrungen zur Vermeidung von Störungen der Verfügbarkeit, Integrität und Vertraulichkeit [...]“ zu treffen. Explizit gilt das für alle Krankenhäuser, nicht mehr nur für die, die zur kritischen Infrastruktur gezählt werden.
Die Häuser, die auf Grund ihrer Fallzahlen der KRITIS-Verordnung unterliegen, kennen diese Anforderungen schon länger. Eine wertvolle Hilfestellung zur Erfüllung dieser Anforderungen gibt hier der branchenspezifische Sicherheitsstandard (B3S) für die informationstechnische Sicherheit der Gesundheitsversorgung im Krankenhaus. Die Dokumentation dazu ist abrufbar bei der Deutschen Krankenhaus Gesellschaft e. V. unter: Informationssicherheit im Krankenhaus. Auch dort ist die Feststellung zu finden, dass IT eine Grundvoraussetzung für einen optimalen Krankenhausbetrieb ist.
Der B3S-Standard fordert u. a. den Aufbau eines Informationssicherheitsmanagementsystems (ISMS). Hierzu wird auf die ISO 27001 und insbesondere die ISO 27799 (Medizinische Informatik – Sicherheitsmanagement im Gesundheitswesen bei Verwendung der ISO/IEC 27002) verwiesen. Die Umsetzung des B3S wird vom Gesetzgeber als Maßnahme nach Stand der Technik und damit als Erfüllung der Vorgaben angesehen.
Neben einem ISMS auf administrativ-organisatorischer Ebene sind technische Systeme zur Erhöhung der IT-Sicherheit sinnvoll, hierzu zählen u. a.:
Ein allgemeiner Überblick über Schutzkonzepte auf verschiedenen Ebenen findet sich auch in unserem Blog „IT-Security im Wandel“. Diese Konzepte wirken auch im Krankenhaus.
Daher muss die IT-Security die geforderte Verfügbarkeit, Integrität und Vertraulichkeit bieten, die für einen effizienten und rechtssicheren Krankenhausbetrieb nötig sind. DOK SYSTEME kann Sie bei Ihren Vorhaben, Ihr Krankenhaus auf den Stand der Technik zu bringen, sowohl administrativ-organisatorisch (Antragsstellung nach KHZG für den KHZF, Bewertung der Vorhaben) als auch technisch (Beratung zu Infrastruktur- und IT-Sicherheitsmaßnahmen) unterstützen.
Unsere Berater verfügen über alle notwendigen Zertifizierungen und langjährige Erfahrung auch im operativen Krankenhausbetrieb. Wir unterstützen Sie z. B. bei
Weitere Informationen finden Sie auf unserer Webseite unter dem Technologiefeld „IT-Sicherheit“.
Es ist ein langer Weg bis zu EMRAM Stufe 7 – jetzt ist die Zeit, loszulaufen!
Jochen Kmietsch
Senior Consultant | CISSP
Quellen zu den Presseartikeln (Letzter Abruf 30. April 2021):
https://www.heise.de/newsticker/meldung/Trojaner-im-OP-wie-ein-Krankenhaus-mit-den-Folgen-lebt-3617880.html
https://www.spiegel.de/netzwelt/web/klinikum-fuerstenfeldbruck-computervirus-legt-krankenhaus-lahm-a-1238895.html
https://www.zeit.de/digital/datenschutz/2020-09/duesseldorf-uni-klinik-hacker-angriff-erpressung
Kaum hat sich Wi-Fi 6 im Markt etabliert, steht mit Wi-Fi 6E bereits die nächste Evolutionsstufe in den Startlöchern. Während die bisherigen WLAN-Standards das 2,4- und 5-GHz-Band nutzen, steht bei Wi-Fi 6E zusätzlich das 6-GHz-Frequenzband zur Verfügung. Wi-Fi-6E-Geräte können dementsprechend zusätzlich ein dediziertes 6E-Spektrum mit bis zu sieben weiteren 160-MHz-Kanälen nutzen.
Eine ganzheitlich erfolgreiche IT-Sicherheit kann nicht ausschließlich durch technische Maßnahmen erreicht werden. Neben der technischen Komponente ist auch die Rolle des Menschen, der das System bedient, ein elementarer Bestandteil. Viele Unternehmen und insbesondere die IT-Beschäftigten stellen sich an dieser Stelle zu Recht die Frage ...
Aufgrund ausgefallener Architekturen unter Einsatz innovativer Baustoffe stehen immer mehr Architekten, Gebäudeeigner oder -betreiber vor der Herausforderung, dass eine Freifeldversorgung des öffentlichen Mobilfunks für eine vollflächige Funkversorgung innerhalb von Gebäuden nicht ausreicht. In derartigen Aufgabenstellungen kommen ...
Wie das Gesundheitswesen werden auch andere öffentliche Einrichtungen, Verwaltungen und Ämter von Cyber-Angriffen nicht verschont; zumal die Anforderungen an die Digitalisierung der Städte und Gemeinden eher noch zunehmen werden. Mit fortschreitender Digitalisierung vergrößert sich zudem zwangsläufig die Angriffsfläche ...
Die Corona-Krise hat die Verbreitung von Videokonferenzen extrem beschleunigt. Platzhirsche wie die amerikanischen Plattformbetreiber Zoom, Microsoft und Cisco haben die Nase als Anbieter vorn. Wer als Kunde jedoch hohe Anforderungen an den Datenschutz nach europäischen Maßstäben hat, kann diese Plattformen nur mit bildlich gesprochenen „Bauchschmerzen“ ...
Mehr IT-Sicherheit – oder allgemeiner Informationssicherheit – zum Schutz vor Cyber-Angriffen wird von Jahr zu Jahr relevanter. Um verfügbare Mittel effektiv einsetzen zu können, müssen aber die Bereiche, in denen Schutzmaßnahmen besonders dringend sind, erst einmal gefunden, erfasst und dokumentiert werden. Hier kommt das ISMS ins Spiel ...
Viele Unternehmen stehen aktuell vor der Herausforderung, technologische Weichen für die funkbasierende Unternehmensvernetzung zu stellen. Insbesondere mit 5G-Campus und Wi-Fi 6 stehen hierfür zwei wesentliche Technologieansätze zur Verfügung. Steht Wi-Fi 6 dabei in harter Konkurrenz zu 5G oder ist es eine sinnvolle Ergänzung?
Wie wird bestmöglich entschieden, ob eine Veranstaltung im Online-, Hybrid- oder Präsenz-Format durchgeführt wird? Nach langer Zeit reiner Online-Veranstaltungen und der Erkenntnis, dass diese viel Potential haben, jedoch auch einige Nachteile mit sich bringen, sollte nun ein Veranstaltungskonzept für die Zukunft gefunden werden.
Seit den 90ern begleitet uns der Windows Desktop als zentraler Zugangspunkt zu IT-Anwendungen im geschäftlichen Umfeld. Nun macht sich der Digital Workplace als Client-unabhängige Web-Anwendung auf, dieses Feld zu erobern und die Bereitstellung von Applikationen grundlegend zu verändern. Doch wohin führt die Entwicklung aus aktueller Sicht und was ist für die eigene IT-Infrastruktur zu beachten?
Auf der einen Seite sind im Gesundheitswesen noch viele Faxgeräte im Einsatz, auf der anderen sind deutsche Krankenhäuser bereits so vernetzt, dass sich die Meldungen über erfolgreiche Cyber-Angriffe auf diesem Wege und damit verbundene IT-Ausfälle sowie Störungen der klinischen Abläufe häufen. Wie kann also der Weg ins digitale Zeitalter sicher beschritten werden?
In der digitalen Arbeitswelt entstehen Bedarfe virtuelle Teamräume zu nutzen, mit dessen Hilfe die Kompensation der Nachteile der zunehmenden virtualisierten Arbeitsweisen gelingen kann. Dabei ist eine Projekt- und Teamkollaborationssoftware der zentrale Anlaufpunkt für die tägliche Projektarbeit. Doch welche Anforderungen stellt die Einführung eines virtuellen Teamraums an eine solche Software?
Die Stadtwerke Greifswald GmbH (SWG) haben in einem deutschlandweit einmaligen Projekt ein digitales Funkkommunikationssystem mit Schwerpunkt auf der IP-basierten Datenübertragung und Integration in die vorhandene IT-Systemlandschaft errichtet. Dabei wurde die SWG über den gesamten Projektzyklus von DOK SYSTEME begleitet.
Viele Organisationen befinden sich mitten in der digitalen Transformation. Besonders betroffen sind dabei die Unternehmensnetzwerke durch die vielen neuen Anforderungen von Cloud und Co. Sie müssen flexibel sein und agiler werden. SD-WAN gilt bei vielen als die künftige Lösung, aber wie sieht es aktuell in der Praxis aus?
Im letzten News-Blog, dem ersten Teil zu diesem Thema, lasen Sie, warum ein SOC eine sinnvolle Lösung ist und welche Vorteile diese IT-Sicherheitszentrale hat. Im aktuellen Artikel erfahren Sie mehr Details rund um das SOC. Welche Rollen und Modelle gibt es? Was sind die Aufgaben und die Werkzeuge eines SOC und wie gelingt eine kontinuierliche […]
Berichte über Sicherheitsprobleme mit IT-Systemen gehören mittlerweile zum festen Bestandteil der Nachrichten. Angesichts der aktuellen Lage der IT-Sicherheit geht es bei der Frage nach IT-Sicherheitsvorfällen nicht mehr um das „ob“, sondern nur noch um das „wann“ (Expect the breach); und dann vor allem um das „wie schnell“. Wie schnell werden die Vorfälle entdeckt und Gegenmaßnahmen […]
Städte und Gemeinden stehen vor der Herausforderung, branchenübergreifende digitale Strategien für das Leben der Zukunft zu entwickeln und umzusetzen. Die Nutzung fortschrittlicher Informations- und Kommunikationstechnologien soll dazu beitragen, unsere Lebensqualität zu verbessern. Aber wie wollen wir in Zukunft leben und welche Umsetzung bietet einen Mehrwert?
Die letzten Monate waren ohne Zweifel geprägt von großen Veränderungen für alle von uns. Wie viele davon werden jedoch dauerhaft bleiben? Wie gehen wir mit diesen Veränderungen um? Im konkreten Fall: Welche Herausforderungen gibt es im Bereich der IT-Sicherheit, welche IT-Werkzeuge werden plötzlich in einem verstärkten Umfang genutzt und welche Auswirkungen hat dies technisch und […]
Seit 2018 ist DOK SYSTEME ein klimaneutrales Unternehmen. Wir gleichen die CO2-Emissionen unserer Geschäftsaktivitäten vollständig über renommierte Klimaschutzprojekte aus. Unsere Maßnahmen erstrecken sich weiterhin vom Einsatz kollaborativer Lösungen über die Reduktion von Geschäftsreisen bis hin zum Bezug von nachhaltiger Energie an unseren Bürostandorten. Und ...
Der Wandel von der Industrie- zur Wissensgesellschaft beschäftigt viele Unternehmen intensiv. Der Digital Workplace als zentraler endgeräteunabhängiger Zugangspunkt zur Unternehmens-IT gewinnt an Bedeutung für die Flexibilität und Kreativität am Arbeitsplatz – aber auch durch die aktuelle Corona-Krise. Dennoch bedeutet New Work vielmehr als die Bereitstellung eines IT-Tools.
Kennen Sie das? Sie haben Ihre Mitarbeiter ins Homeoffice geschickt, die Büros sind leer und das Unternehmen ist telefonisch nicht mehr erreichbar. Dieser Effekt tritt bei massenhafter Aktivierung der Rufumleitung zu Anschlüssen außerhalb der eigenen Telefonanlage auf. Doch es gibt auch eine Lösung für das Problem.
Der Einsatz von IT-Services aus der Cloud bietet umfangreiche Möglichkeiten zur Gestaltung der eigenen IT-Architektur. Individuelle Anforderungen ergeben sich aus den Wertschöpfungsprozessen und erfordern eine differenzierte IT-Strategie. Für die IT bedeutet dies eine Abwägung verschiedener …
110 und 112 sind Rufnummern, die jedem geläufig sind und hoffentlich nur selten gewählt werden müssen. Falls es doch einmal dazu kommt, dann müssen Nummer und Rufaufbau funktionieren und am besten schnell. Doch, dass dies keine Selbstverständlichkeit ist und sich hinter so einem Rufaufbau eine komplexe technische Umsetzung befindet, ist …
Warum wird die IT oftmals unterschätzt? Welche Faktoren tragen dazu bei, dass die IT-Abteilung längst noch nicht als strategischer Partner mit Bedeutung für die Wettbewerbsfähigkeit gesehen wird, sondern mit der Rolle des als strategisch unbedeutenden Dienstleisters zu kämpfen hat?
Die BNetzA hat das Frequenzband im Bereich 3,7 - 3,8 GHz technologie- und diensteneutral für lokale Anwendungen – die sogenannten Campuslösungen – zugeteilt. Diese 100 MHz sind nicht für BOS-Anwendungen vorgesehen. Vielmehr besteht das Ziel darin, …
Laut dem statistischen Bundesamt leben in Deutschland rund 8 Millionen Menschen mit einer Behinderung. Somit war es nur eine Frage der Zeit, bis weitere Anforderungen in Kraft treten, die den zahlreichen Menschen mit einer Behinderung Barrierefreiheit bieten und sie ihrer Unabhängigkeit einen Schritt näherbringen.
Der neue WLAN-Standard IEEE 802.11ax ermöglicht Anwendern eine hohe und leistungsfähige Verbindungsqualität; insbesondere in räumlich begrenzten Umgebungen. Wi-Fi 6 – nach neuem Namensschema der WiFi Alliance – zeichnet sich dabei im Wesentlichen …
Über 70 % der deutschen Unternehmen nutzen laut aktueller Studien bzw. Umfragen Cloud Computing oder setzen sich intensiv damit auseinander. „Das Internet wird das neue Corporate Network“ ist in diesem Zusammenhang eine gerne zitierte Aussage …
Um komplexe Veränderungen der IT-Landschaft erfolgreich in kurzer Zeit umzusetzen, empfiehlt DOK SYSTEME die Berücksichtigung der Besonderheiten des sogenannten VUCA-Umfeldes und insbesondere den Einsatz agiler Vorgehensweisen.
IT-Sicherheitsvorfälle sind zum alltäglichen Phänomen geworden. Regelmäßig berichtet die Presse über "Cyberangriffe" auf Hotel- oder Handelsketten, Regierungsstellen, öffentliche Infrastruktur und Unternehmensnetze aller Größen. Wenn die Angreifer erfolgreich sind, ist dies für die betroffenen Unternehmen nicht selten eine existentielle Bedrohung. Wieso …
Die Datenschutzgrundverordnung ist seit fast einem Jahr in Kraft und zunächst wurden die Verantwortlichen bzgl. Datenschutzverstößen mit Nachsicht behandelt. Doch mittlerweile führen Aufsichtsbehörden die ersten Bußgeldverfahren wegen Verstößen gegen die DSGVO durch. Immerhin drohen nach der DSGVO deutlich höhere Bußgelder als nach dem bisherigen Bundesdatenschutzgesetz.
Chat-Unterhaltungen, Web-Konferenzen, Application-Sharing – UCC-Technologien erobern den Unternehmensalltag. Fast täglich ist von WhatsApp-Gruppen oder agilen Projektmanagementmethoden zu lesen. Cloud-basierte Collaboration Tools sollen die Zusammenarbeit in Unternehmen einfacher, effizienter und sicherer machen. Doch halten die Tools, was sie versprechen?
Welche Collaboration-Tools bieten sich an, wenn Teams ihre Aktivitäten in einer einzigen, synchronisierten Arbeitsumgebung zusammenführen und vereinheitlichen wollen? Dieser Frage gehen wir in unserer Reihe "Collaboration Tools" nach und stellen heute die Lösung von Mitel vor: „MiTeam“.
Die bereits für Ende 2017 angekündigte Novellierung der Technischen Richtlinie Notrufverbindungen (TR Notruf 2.0) ist am 22.08.2018 im Amtsblatt der BNetzA veröffentlicht worden und löst die seit Juni 2011 gültige Fassung ab. Welche Änderungen ergeben sich hierdurch für die Netzbetreiber?
Am 26.07.2018 hat sich der Bundesgerichtshof (BGH) mit der Frage der Haftung für offene WLAN-Hotspots befasst. Bis zu der BGH-Entscheidung (Az. I ZR 64/17) war in Deutschland strittig, ob das seit 2017 geltende nationale Telemediengesetz überhaupt wirksam ist.
Zurzeit verändert sich die Nutzung von Wide-Area-Kommunikationsnetzen (WAN) grundlegend. Es stehen verschiedenste Medien wie MPLS, Ethernet, DSL und LTE zur Verfügung, und immer mehr Dienste wie z. B. Microsoft Office 365 werden aus der Cloud angeboten. Heute werden in der Regel …