„How I hacked my hospital“: Verwundbare Krankenhaus-IT

Ein Experiment von Kaspersky Lab mit dem Titel "How I hacked my hospital" zeigt: Cybererpressung über Ransomware ist nicht der einzige wunde Punkt innerhalb der Krankenaus-IT. Auch Patientendaten und Geräte sind angreifbar. [...]

Vor einigen Tagen wurde bekannt, dass deutsche Krankenhäuser mit Ransomware-Vorfällen zu kämpfen hatten. Die Folge: zeitweise mussten Befunde per Telefon oder Fax anstatt digitalisiert übermittelt werden. Während ein Krankenhaus in den USA das geforderte Lösegeld bezahlte, um die vom Erpressertrojaner verschlüsselten Dateien wieder freizubekommen, rät das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) Betroffenen von Lösegeldzahlungen ab.

Cyberangriffsszenarien auf Krankenhäuser gehen allerdings über Ransomware-Angriffe hinaus. Über IT-Sicherheitslücken können Patientendaten manipuliert oder entwendet werden. „Hinzu kommt, dass in Krankenhäusern modernste medizinische, mit Computertechnologie ausgestatte Geräte zum Einsatz kommen. Dabei werden oftmals erforderliche IT-Schutzvorkehrungen vernachlässigt“, erklärt Holger Suhl, General Manager DACH bei Kaspersky Lab. „Dadurch könnten Cyberkriminelle Zugriff auf solche Geräte und beispielsweise auch auf sensible Patientendaten erhalten. Im schlimmsten Fall wäre auch eine Neukonfiguration der Geräte und somit Sabotage oder gefälschte Diagnosen denkbar.“

Kaspersky-Experte Sergey Lozhkin konnte in einem Experiment aufzeigen, dass Krankenhäuser über ihre IT-Infrastruktur angreifbar sind. Über Shodan — eine Suchmaschine für das Internet der Dinge (IoT) — stieß der Sicherheitsforscher auf medizinische Geräte, die sich in einem Krankenhaus befinden. Der Geschäftsführer des Krankenhauses ist mit Lozhkin befreundet.

Lozhkin und eben jener Geschäftsführer des Krankenhauses beschlossen, einen Sicherheitstest durchzuführen, um herauszufinden, ob ein Cyberangriff auf ein Krankenhausnetzwerk grundsätzlich möglich ist. Der Test fand unter strengsten Rahmenbedingungen statt. Patienten sowie deren sensible Daten wurden hermetisch abgeschirmt und somit vor dem künstlichen Cyberangriff geschützt. Für den Test wurden speziell Daten geschaffen – die Patienteninformationen imitieren – und im Netzwerk platziert.  Somit wurde sichergestellt, dass keine realen Patientendaten betroffen waren.

Sie sehen gerade einen Platzhalterinhalt von YouTube. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.

Mehr Informationen

Der erste Versuch scheiterte: Lozhkin war es nicht gelungen, das Krankenhaus von außerhalb zu kompromittieren, da die Systemadministratoren der Klinik bei dem Fernangriffsversuch die richtigen Sicherheitsmaßnahmen trafen. Allerdings konnte der Kaspersky-Sicherheitsforscher über ein nicht sicher eingerichtetes lokales WLAN-Netz in die Infrastruktur des Krankenhauses eindringen. Indem er den Netzwerkschlüssel knackte, war er in der Lage, auf beinahe das komplette Kliniknetzwerk zuzugreifen, einschließlich einiger Geräte zur Datenspeicherung und -analyse. Über eine Applikationsschwachstelle konnte er zudem auf einen tomographischen Scanner zugreifen. Die Folgen eines möglichen Cyberangriffs wären fatal: Neben der Manipulation von Patientendaten hätte auch der Scanner direkt attackiert werden können.

SICHERHEITSMASSNAHMEN FÜR KRANKENHÄUSER

Kaspersky Lab rät Organisationen, die sensible Infrastruktursysteme unterhalten, neben allgemeingültigen Sicherheitsmaßnahmen im Netzwerk auf folgende Security-Aspekte zu achten:

  • Sensible Geräte und Systeme wie zum Beispiel medizintechnische Geräte müssen vom regulären IT-Netzwerk getrennt sein. Über eine Segmentierung von kritischen Systemen innerhalb des Internets der Dinge wird mehr Sicherheit geschaffen.
  • Entwickler medizinischer Geräte sowie die Krankenhausleitung und -verwaltung sollten sich mit dem Thema Cybersicherheit verstärkt auseinander setzen, zum Beispiel über IT-Sicherheitsschulungen. Zudem müssen regelmäßig IT-Sicherheitstests und -revisionen durchgeführt werden.
  • Auf Security-Schwachstellen achten: Entwickler von IoT-fähigen Geräten sollten mehr in die IT-Sicherheit ihrer Produkte investieren. Bei der Anschaffung entsprechender Geräte sollte auf den Aspekt „Security-by-Design“ geachtet werden. (pi)

Mehr Artikel

News

Jahrelanges Katz-und-Maus-Spiel zwischen Hackern und Verteidigern

Sophos hat den umfangreichen Forschungsbericht „Pacific Rim“ veröffentlicht, der detailliert ein jahrelanges Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit mehreren staatlich unterstützten Cybercrime-Gruppierungen aus China beschreibt. Im Lauf der Auseinandersetzung entdeckte Sophos ein riesiges, gegnerisches Cybercrime-Ökosystem. […]

News

Salesforce kündigt autonome KI-Agenten an

Agentforce soll es Unternehmen ermöglichen, autonome KI-Agenten für zahlreiche Unternehmensfunktionen zu entwickeln und einzusetzen. So bearbeitet Agentforce beispielsweise selbstständig Kundenanliegen, qualifiziert Vertriebsleads und optimiert Marketingkampagnen. […]

News

Startschuss für neues Studium „Softwaretechnik & Digitaler Systembau“ am Biotech Campus Tulln

Mit einem fortschrittlichen Konzept und praxisnaher Ausrichtung ist der neue Bachelor-Studiengang „Softwaretechnik & Digitaler Systembau“ am Biotech Campus Tulln der Fachhochschule Wiener Neustadt erfolgreich gestartet. Unter der Leitung von Dominik Hölbling erwartet die Studierenden eine Ausbildung mit Schwerpunkt auf moderne Softwaretechnologien und innovative Digitalisierungslösungen. […]

News

Von Views zu Likes: Tipps, um die Zuschauer-Interaktion auf YouTube zu steigern

Bei YouTube ist die Zuschauerinteraktion ein entscheidendes Element für den Erfolg eines Kanals. Besonders im Jahr 2024 wird deutlich, dass Likes, Kommentare und Shares nicht nur für die Sichtbarkeit wichtig sind, sondern auch eine Schlüsselrolle im Algorithmus von YouTube spielen. Eine hohe Zuschauerbindung ist für Kanäle essenziell, um deren Inhalte optimal zu promoten. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*