ELGA: „Achillesferse“ sind die Systeme der Krankenhäuser

Das Unternehmen RadarServices sieht in den Systemen von Krankenhäuser und Einrichtungen des Gesundheitswesens "Einfallstore" für Angriffe auf ELGA. [...]

Der Einsatz der elektronischen Gesundheitsakte (ELGA) ist weltweit auf dem Vormarsch. Ein Beispiel in der EU ist ihre Einführung in Österreich zum 1.1.2014. Im Vorfeld wurde hier viel getan, um die zugrundliegende IT beim nationalen Anbieter bestmöglich zu sichern und damit den Datenschutz zu gewährleisten. „Maßnahmen wie eine dezentrale Datenspeicherung oder Verschlüsselung sind gute Schutzmechanismen. Schwerer kontrollierbar sind jedoch die Einfallstore für Angriffe bei den Institutionen, die täglich mit der elektronischen Gesundheitsakte arbeiten: Krankenhäuser und Einrichtungen des Gesundheitswesens”, so Christian Polster, Chief Strategy Officer bei RadarServices. Das österreichische Unternehmen ist auf die laufende Überwachung der IT-Sicherheit von komplexen Infrastrukturen spezialisiert.

Schneller Informationszugriff im Notfall kann das Leben von Patienten retten. Weiterhin werden Abläufe in medizinischen Einrichtungen effizienter und bieten dem Patienten selbst Transparenz über seine Behandlungen. So lassen sich die Vorteile der elektronischen Gesundheitsakte kurz charakterisieren. Viel diskutiert wird hingegen über die Sicherheit der besonders schützenswerten Daten wie den Gesundheitszustand und die Behandlungshistorie von Patienten.

Ein reales Gefahrenbeispiel wurde 2013 öffentlich bekannt: Ein Server des Österreichischen Apotheken-Verlags wurde attackiert, 27 Millionen Datensätze mit rund 2.000 Patientennamen und 14.000 Verkaufsdaten unbemerkt entwendet.

„Aus den Erfahrungen beim Österreichischen Apotheken-Verlag konnte man für die Einführung der elektronischen Gesundheitsakte sicherlich lernen und mögliche Einfallstore für unautorisierte Datenzugriffe schließen. Angreifer konzentrieren sich aber gerade auf das Auffinden von neuen Sicherheitslücken. Die ‚Achillesferse‘ für die IT-Sicherheit sehen wir vor allem bei den Institutionen, die täglich mit der elektronischen Gesundheitsakte arbeiten: Krankenhäuser und Einrichtungen des Gesundheitswesens bis hin zur Arztpraxis”, so Polster.

Ärzte sowie Pflege- und Verwaltungspersonal werden dort bei all ihren Aufgaben durch PC, Tablets oder Smartphones mit darauf verfügbaren Patientendaten unterstützt. Besonders in großen Krankenhäusern ist „Bring-your-own-device (BYOD)”, der Einsatz von privaten, mobilen Endgeräten für berufliche Aufgaben, zudem keine Seltenheit mehr. Und das „Internet der Dinge” in Form von intelligenter Medizintechnik mit automatisiertem Datentransfer in das Netzwerk eines Krankenhauses ist bereits wichtige und gängige Praxis.

Durch die umfassende Vernetzung der IT-Systeme entstehen zahlreiche Einfallstore für Angriffe von außen. Besonders bei professionellen Angreifern ist die Masse an verwertbaren Daten ein weiteres entscheidendes Kriterium bei der Wahl eines Angriffsziels. Einrichtungen mit großen Datenbeständen stehen eher im Fokus. Sie müssen sicherstellen, dass ihre IT-Infrastruktur permanent und zielgerichtet auf Schwachstellen und Anomalien hin analysiert wird. „Wir beobachten aber ein im Vergleich zu anderen Branchen geringes Schutzniveau der IT-Systeme in diesen Einrichtungen. Sind die Systeme nicht sicher, bedeutet das eine Gefahr für dezentral gespeicherte Daten aus der elektronischen Gesundheitsakte. Für einen tatsächlichen Schutz dieser Daten ist es den dafür verantwortlichen Unternehmen daher zu empfehlen, den Blick auch über die Grenzen der eigenen IT hinaus zu richten und dort lauernde Gefahren ebenso zu begegnen“, so Polster.

RadarServices bietet den mit der elektronischen Gesundheitsakte arbeitenden Organisationen Unterstützung in Form einer unverbindlichen, 30-tägigen Testphase ihrer Leistungen zur IT-Sicherheitsüberwachung und IT-Risikoerkennung an. Mit diesem Angebot sollen IT-Sicherheitsbeauftragte in die Lage versetzt werden, sich einen schnellen und umfassenden Überblick über die aktuelle IT-Risikosituation zu verschaffen. Durch die inkludierten Empfehlungen zur Risikobehebung können sich die Verantwortlichen bereits in einer Testphase einer Behebung von Sicherheitslücken widmen. (pi)