IT-Sicherheit im Gesundheitswesen

Wie gefährdet die IT-Sicherheit im Gesundheitswesen ist, wissen wir nicht erst seit Februar 2016: Damals wurden die IT-Infrastrukturen vieler Kliniken durch einen einfachen Virenangriff stillgelegt. Daher achten die Behörden strenger darauf, dass nicht nur Kliniken, sondern auch Hersteller die IT-Sicherheit ihrer (Medizin-)Produkte gewährleisten.

In diesem Artikel erhalten Sie einen Überblick darüber, was die IT-Sicherheit im Gesundheitswesen gefährdet und was Sie dagegen tun können und müssen. Damit wird es Ihnen gelingen, regulatorischen Ärger zu vermeiden und Produkte sicher zu entwickeln und zu betreiben.

Update: Im Kapitel 3. a) die aktuellen Veröffentlichungen des BSI eingefügt. Das verschafft Ihnen einen schnellen Überblick über 120 Seiten.

1. Was die IT-Sicherheit im Gesundheitswesen besonders macht

Die Bedrohung der IT-Sicherheit beschränkt sich nicht auf das Gesundheitswesen. Dennoch gibt es einige Besonderheiten zu beachten:

• Menschenleben werden bedroht
  Im Gegensatz zu Angriffen auf die Infrastrukturen von Privatpersonen oder Unternehmen stellen Angriffe auf IT-Infrastrukturen im Gesundheitswesen (z. B. in Kliniken) eine Bedrohung von Menschen, konkret von Patientinnen und Patienten dar. Wenn, wie jetzt geschehen, die IT einer Klinik ausfällt, kann sie keine Patienten mehr aufnehmen und muss OPs verschieben. Wenn der Angriff die Beatmungsgeräte einer Intensivstation trifft, können Patienten innerhalb von Minuten versterben.
• Spezifische Regularien sind einzuhalten
  Die Bedrohung der IT-Sicherheit im Gesundheitswesen ist auch eine Bedrohung des Schutzes höchst vertraulicher Gesundheitsdaten. Auch, aber nicht nur deshalb gibt es spezifische Regularien für die Betreiber von Gesundheitseinrichtungen und die Hersteller von Medizinprodukten. Diese werden Sie im folgenden Abschnitt finden.
• Einige Kliniken agieren amateurhaft
  In nur wenigen Branchen wird so wenig Geld in die IT investiert wie in Gesundheitseinrichtungen. Gemäß dem Motto „you get what you pay for“ arbeitet in vielen Kliniken zu wenig und zu schlecht ausgebildetes Personal in der IT. Zudem schwächen abenteuerliche IT-Infrastrukturen und ein hohes Maß an – teilweise unkoordiniertem – Outsourcing an verschiedene Akteure (z. B. Dienstleister für Drucker, Firewalls, PCs, Hersteller von IT-Systemen und Medizingeräten) die IT-Sicherheit.
• Hersteller handeln unverantwortlich
  Auch die Hersteller sind für die mangelnde IT-Sicherheit verantwortlich. Zu den Defiziten zählen:
  • „Historisch gewachsene“ System- und Software-Architekturen
  • Ein mangelndes Verständnis für die Bedrohung der IT-Sicherheit durch die völlige Vernetzung von IT und Medizintechnik
  • Ein mangelnder Wille, im Risikomanagement die IT-Security systematisch zu analysieren und zu beherrschen
  • Fehlende Bereitschaft, Verantwortung nicht nur für das eigene Produkt zu übernehmen, sondern auch für das Produkt im Kontext eines Kliniknetzes

2. Regulatorische Anforderungen an die IT-Sicherheit im Gesundheitswesen

a) Anforderungen an die Hersteller

Im europäischen Rechtsraum gibt es im Gegensatz zu den USA nur wenige konkrete Vorgaben, wie IT-Security bei Medizinprodukten zu adressieren ist.

EU-Recht und nationale Gesetze

1. Die MDR fordert im MDR Anhang I, 17.2. explizit eine „State-of-the-art“-Softwareentwicklung auch mit Bezug zur IT-Sicherheit. Die Hersteller müssen nun die Anforderungen an Maßnahmen der Betreiber mit Bezug zur IT-Sicherheit bestimmen. Selbst die Forderung nach Datenschutz macht sich die MDR zu eigen.
2. Die MDCG hat dazu den Leitfaden 2019-16 veröffentlicht, in dem die Medical Device Coordination Group noch genauer ausführt, wie sie die Anforderungen der MDR und IVDR an die IT-Sicherheit umgesetzt haben möchte.
3. Die DiGAV fordert die IT-Sicherheit und den Datenschutz. Der Artikel zur DiGAV adressiert auch, dass das BfArM dazu einen Leitfaden und FAQ veröffentlicht hat, das u. a. auf den Einsatz von US-Cloud-Anbietern eingeht.
4. Die EU hat die IT-Sicherheit in die Funkgeräterichtlinie (RED) aufgenommen. IT-Sicherheit ist damit eine verbindliche Anforderung für die CE-Kennzeichnung von Produkten mit Funkmodul. Allerdings sind Medizinprodukte nach MDR/IVDR von den entsprechenden Regelungen ausgenommen (Art. 2 Abs. 1 Delegierte Verordnung (EU) 2022/30). 
5. Der neue Cyber Resilience Act ist ebenfalls nicht auf Medizinprodukte nach MDR und IVDR anwendbar. Allerdings können Hersteller ihn als zusätzliche Richtschnur für den Stand der Technik betrachten.
6. Die EU hat Ende 2022 eine neue Richtlinie mit dem Namen „NIS2“ auf den Weg gebracht. Sie muss nun innerhalb von 21 Monaten in nationales Recht überführt werden.
   Unmittelbare Konsequenzen hat die neue Richtlinie für die Hersteller noch nicht. Das liegt auch daran, dass die Mitgliedsstaaten die Änderungen erst in nationale Gesetze überführen müssen. Aber es ist offensichtlich, dass Medizinproduktehersteller die IT-Sicherheit nicht nur ihrer Produkte, sondern auch ihrer Organisation gewährleisten müssen.

Vorgaben der nationalen Behörden und Benannten Stellen

1. Der Expertenkreis CyberMed erläutert im Leitfaden zur Nutzung des MDS2 aus 2019, der auf den Seiten des BSI (Bundesamt für Sicherheit in der Informationstechnik) verfügbar ist, wie Hersteller das „Manufacturer Disclosure Statement for Medical Device Security (MDS2)” ausfüllen sollen.
2. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat ein Dokument zu Cyber-Sicherheitsanforderungen an netzwerkfähige Medizinprodukte publiziert.
3. Ebenso vom BSI stammt die Technische Richtlinie BSI TR-03161: Sicherheitsanforderungen an digitale Gesundheitsanwendungen. Die BSI-Richtlinie verweist wiederum auf weitere Vorgaben, die allerdings nicht spezifisch für Medizinprodukte sind:
   1. BSI Standard 200-1, BSI Standard 200-2, BSI Standard 203
   2. BSI IT-Grundschutz-Kompendium
   3. BSI TR-02102-1: Kryptographische Verfahren: Empfehlungen und Schlüssellängen
   4. BSI TR-02102-2: Kryptographische Verfahren: Verwendung von TLS
   5. TR-03107-1: Elektronische Identitäten und Vertrauensdienste im E-Government Teil 1
4. Die Benannten Stellen haben basierende auf dem Leitfaden des Johner Instituts einen eigenen Leitfaden zur IT-Sicherheit entwickelt. Da dieser von den Benannten Stellen selbst herausgegeben und damit verwendet wird, ist er zumindest für deutsche Hersteller ein Must-Read.

Normen

1. Die ISO 13485:2016 hat in ihrer aktuellen Ausgabe den Schutz vertraulicher Daten sowie die Festlegung und Überprüfung der Anforderung an verbundene Medizinprodukte als neue Forderungen ergänzt.
2. Die IEC 60601-1 fordert, dass Risiken aufgrund „fehlender Datensicherheit, insbesondere Anfälligkeit für Verfälschung, unerwünschte Wechselwirkung mit anderen Programmen und Viren“ beherrscht sein müssen.
3. Die IEC/TR 60601-4-5 ist ebenfalls spezifisch für Medizinprodukte. Sie referenziert normativ die IEC 62443, wodurch ihr Anforderungskatalog sehr umfangreich ist.
4. Mit dem Amendment I (2016) der IEC 62304 fordert die Norm, dass die Software-Anforderungen Anforderungen an die IT-Sicherheit beinhalten müssen.
5. Im Risikomanagement (z.B. konform mit ISO 14971) mussten schon immer alle Risiken adressiert werden, somit auch Risiken, die durch mangelnde IT-Sicherheit verursacht werden. Dies schließt Cyber-Angriffe mit ein.
6. Die Cybersecurity-Norm IEC 81001-5-1 befasst sich damit, wie IT-Sicherheit im Software-Lebenszyklus berücksichtigt werden muss.
7. Die ISO 27002 beschreibt fast 100 „Controls“ (Sicherheitsmaßnahmen). Sie wurde 2022 deutlich überarbeitet. Für das Jahresende erwartet man auch eine Neuauflage der ISO 27001, die bereits als FDIS vorliegt.

Regulatorische Anforderungen in den USA und anderen Ländern

1. In den USA müssen die Betreiber die Anforderungen des HIPAA erfüllen.
2. Die FDA stellt konkrete Anforderungen, die sie in vier(!) Guidance-Dokumenten zum Thema Cybersecurity veröffentlicht hat.
3. Die FDA referenziert dabei auch den AAMI 57 zum IT-Security-Risk-Management nach ISO 14971.
4. Sie erkennt auch den UL 2900-2-1 als Standard zur IT-Sicherheit an.
5. Health Canada hat im Dezember 2019 nachgezogen und ebenfalls einen Draft Guidance „Pre-market Requirements for Medical Device Cybersecurity„ publiziert.
6. Im April 2020 hat das IMDRF ebenfalls eine Leitlinie zur Cybersecurity veröffentlicht.
7. Im April 2022 hat die FDA einen Entwurf für eine Leitlinie Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions Draft Guidance for Industry and Food and Drug Administration Staff veröffentlicht.
8. Die FDA hat MITRE (eine gemeinnützige Organisation) beauftragt, ein „Playbook“ zu entwickeln. Dieses „Medical Device Cybersecurity Regional Incident Preparedness and Response Playbook“ steht nun bereit.

b) Anforderungen an die Betreiber

EU-Verordnungen, EU-Richtlinien, nationale Gesetze

Vielen unbekannt ist die EU-Richtlinie 2016/1148 „über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union“. Sie ist auch als NIS Directive bekannt (The Directive on security of network and information systems).

Diese Richtlinie nennt im Anhang II explizit „Einrichtungen der medizinischen Versorgung (einschließlich Krankenhäuser und Privatkliniken)„. Sie wurde als BSI-Gesetz (s.o.) in nationales Recht überführt.

Weiter müssen die Betreiber den Datenschutz gewährleisten. Die IT-Sicherheit ist eine notwendige, aber keine hinreichende Voraussetzung dafür. Die Datenschutzgrundverordnung bildet die Grundlage.

Nationale Gesetze und Verordnungen

Daneben gibt es nationale Vorschriften wie beispielsweise das BSI-Gesetz sowie weitere Anforderungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) speziell an das Gesundheitswesen. Im Zuge der Nationalen Strategie zum Schutz kritischer Infrastrukturen (KRITIS-Strategie) wurde auch das IT-Sicherheitsgesetz in Kraft gesetzt, das das Gesundheitswesen explizit einschließt.

Durch die stärkere Vernetzung werden Hersteller von Medizinprodukten zunehmend auch zum Betreiber, sodass die MPBetreibV zum Tragen kommt, die den sicheren Betrieb fordert.

Normen

Die IEC 80001 ist eine Norm, die das Risikomanagement beim Betrieb von IT-Systemen im Gesundheitswesen beschreibt. Die Daten- und Systemsicherheit (IT-Security) ist eines der drei expliziten Schutzziele. Relevant ist in diesem Kontext insbesondere die IEC 80001-2-8 (Application guidance — Guidance on standards for establishing the security capabilities identified in IEC 80001-2-2).

Sonstiges

Die Deutsche Krankenhausgesellschaft hat einen Leitfaden mit dem Titel „Branchenspezifischer Sicherheitsstandard für die Gesundheitsversorgung im Krankenhaus“ herausgegeben.

c) Branchenunspezifische Anforderungen

Auch die folgenden Gesetze haben einen direkten Bezug zur IT-Sicherheit:

• KontraG
• StGB: § 202b Abfangen von Daten, § 263a Computerbetrug, § 303a Datenveränderung und § 303b Computersabotage

Dieser Beitrag verschafft Ihnen einen Überblick über die relevanten Datenschutz-Vorschriften.

3. Beispiele für die Verletzung von IT-Security

Eine Übersicht über IT-Sicherheitsprobleme im Gesundheitswesen liefert ein Beitrag von Doccheck. Die AAMI berichtet, dass auch für die FDA die Ransomware-Angriffe im Mai 2017 (Wanna Cry) ein Weckruf seien, der auf die Verletzlichkeit der IT-Systeme im Gesundheitswesen aufmerksam mache.

Cave: IT-Sicherheit ist das Ausmaß, in dem die Verfügbarkeit, Integrität und Vertraulichkeit von Informationen geschützt ist. IT-Sicherheit ist mehr als der Schutz vor Cyberangriffen.

a) Medizintechnikhersteller

Es finden sich ständig neue Bedrohungen durch Medizinprodukte, die offensichtlich die Forderungen nach Risikomanagement sowie die FDA Cybersecurity Guidance und damit elementare Sicherheitsstandards ignorieren.

• Die Hospira Infusionspumpen weisen eine fatale Telnet-Lücke auf, wie heise.de mehrfach und auch hextech.com berichten [1], [2].
• Tausende Medizingeräte sind aus dem Internet angreifbar, wie heise.de und golem.de übereinstimmend berichten [3], [4].
• Zunehmend werden Schlampereien von Herstellern beim Schreiben und Updaten von Firmware zum Problem.
• Mehrfach warnt die FDA vor aktiven Implantaten von Medtronic, bei denen die Kommunikation unverschlüsselt geschieht und/oder keine Autorisierung erfolgt.

BSI: Cyber-Sicherheitsbetrachtung vernetzter Medizinprodukte

Interessant ist auch die systematische Auswertung des BSI mit dem Titel Cyber-Sicherheitsbetrachtung vernetzter Medizinprodukte. Die Behörde untersuchte dabei die folgenden Produktklassen:

• Implantierbare Herzschrittmacher und Defibrillatoren sowie deren Equipment
• Insulinpumpen
• Beatmungsgeräte
• Infusionspumpen
• Patientenmonitore

Als Ergebnis schlussfolgert das BSI:

Insgesamt wurden den Herstellern im Rahmen des Projekts mehr als 150 Schwachstellen gemeldet. Bei der Prüfung stellte sich heraus, dass die Schwachstellen häufig in der begleitenden Infrastruktur, selten jedoch in Medizinprodukten zu finden waren. […] Es wird darauf hingewiesen, dass die Ergebnisse der IT-Sicherheitsprüfungen möglicherweise verzerrt, beziehungsweise beeinflusst wurden. Da die Teilnahme der Hersteller am Projekt freiwillig war, wurde erwartet, dass diejenigen Hersteller am ehesten kooperieren würden, die bereits einen gewissen Reifegrad
in ihren IT-Sicherheitsprozessen aufweisen.
Die Sicherheitsbewertungen haben auch gezeigt, dass die IT-Sicherheitslage von Hersteller zu Hersteller sehr unterschiedlich ist und stark vom Reifegrad des einzelnen Herstellers abhängt.

BSI

Hersteller sollten diese Dokumente nutzen und

• überprüfen, ob die eigenen Produkte von dem gleichen Fehler betroffen sind;
• dieses Dokument in ihrer Post-Market Surveillance berücksichtigen;
• die empfohlenen Maßnahmen zum Vermeiden von Schwachstellen daraufhin überprüfen, ob sie im eigenen Unternehmen anwendbar sind („Preventive Action“);
• die verwendeten Methoden zum Aufspüren der Schwachstellen ggf. in das eigene Arsenal übernehmen. Das BSI listet sogar Methoden für die Überprüfung von Apps und Web-basierten Systemen, obwohl diese gar nicht Schwerpunkt der Studie waren.

BSI: eCare Digitalisierung in der Pflege

Die Auswertung des BSI liest sich spannend. Bereits die Marktübersicht ist hilfreich. Die vernetzten Systeme reichen von Hausnotrufsystemen über smarte Betten und die Schlafüberwachung bis zu vernetzten Wärmedecken.

Das Ergebnis ist ernüchternd:

Zusammenfassend lässt sich unter Berücksichtigung des besonders hohen Schutzbedarfs von Gesundheitsdaten das vorgefundene IT-Sicherheitsniveau mit schlecht bis sehr schlecht bewerten. Das kann u.a. damit begründet werden, dass bei allen untersuchten Geräten mittlere bis schwere Schwachstellen aufgedeckt worden sind. Zudem gilt es zu berücksichtigen, dass die Prüftiefe […] als niedrig zu bezeichnen ist und bei weitem keinen vollständigen Penetrationstests oder einer Sicherheitsevaluierung entspricht.

BSI: „„eCare – Digitalisierung in der Pflege. Aktuelle Marktanalyse und IT-Sicherheitsbetrachtung“

„Setzen, 6“ könnte man diese Schlussfolgerung zusammenfassen. Zumindest eignen sich die Produkte als schlechtes Vorbild und verschaffen Herstellern eine Vorstellung davon,

• wie das BSI prüft, wenn es nur oberflächlich prüft,
• welche Mindestanforderungen das BSI stellt,
• welche Fehler Herstellern auf keinen Fall unterlaufen dürfen.

b) Krankenkassen

In einigen Artikeln haben wir bereits der Sorge Ausdruck verliehen, dass es nur noch eine Frage der Zeit ist, bis auch Krankenhäuser und Klinikketten durch Datendiebe erpresst werden. Leider hatte ich einen wichtigen erpressbaren Teilnehmer des Gesundheitswesens übersehen: die Krankenkassen. Jetzt ist es passiert, wie die Süddeutsche und der Spiegel berichten [7].

c) Krankenhäuser

Cyberangriffe

Die IT-Sicherheit im Gesundheitswesen wird immer stärker bedroht, weil die Hacker den Wert der Daten erkannt haben [9].

Oft sind die Krankenhäuser nicht gezieltes Opfer von Cyberangriffen. Vielmehr steht deren unzureichend gewartete IT-Infrastruktur mit veralteten und nicht gepatchten Betriebssystemen wie offene Scheunentore den Angriffen hilflos gegenüber:

• Im Februar 2016 legt der Computervirus „Locky“ mehrere Kliniken in Nordrhein-Westfalen lahm. Dies berichten beispielsweise rp-online und heise.de. Ein Kommentator schreibt, dass nicht zwei, sondern 48(!) Kliniken betroffen sind. Ein Experte von Kaspersky bestätigt die Schwachstellen (Artikel im KH-IT-Journal).
• Diese Angriffe beschränken sich nicht auf Deutschland. Ein Krankenhaus in Kalifornien muss Millionen an Lösegeld bezahlen, wie Inquisitr berichtet.
• Im Mai 2017 trifft es erneut Krankenhäuser, insbesondere die des britischen Gesundheitssystems NHS [10, 11]. Dieses Mal heißt der Virus „Wanna Cry“.

Übersicht über Anzahl und Ursachen der Datenverluste

Das U.S. Department of Health and Human Services veröffentlicht und bewertet fortlaufend die „Security Breaches“ im Gesundheitswesen. Die Analysen zeigen, dass die Anzahl der Zwischenfälle kontinuierlich steigt.

Die Behörde hat auch die Arten der Angriffe untersucht:

Dabei haben die Datenabflüsse durch Hacking kontinuierlich zugenommen:

Trotzdem muss klar sein, dass ein großer Anteil der Probleme mit der IT-Sicherheit im Gesundheitswesen nicht auf böswillige Angriffe von außen zurückzuführen ist. Vielmehr ist die Nachlässigkeit der Krankenhäuser und Praxen Ursache von „geleakten“ Daten. So standen im September 2019 Millionen radiologische Bilddaten ungeschützt im Netz [Quelle].

Staatliche Stellen

Nicht nur Verschwörungstheoretiker lassen sich darüber aus, welche Möglichkeiten die NSA nutzt oder nutzen kann, weil die IT-Sicherheit im Gesundheitswesen so löchrig ist. Dazu finden Sie auch mehr in einem Artikel zur IT-Sicherheit (unabhängig vom Gesundheitswesen).

Auch für die Wanna-Cry-Angriffe gibt man der NSA eine Mitschuld: Sie hatte die Sicherheitslücke in Windows erkannt und für nachrichtendienstliche Aktivitäten ausgenutzt. Sie hatte die Lücke noch nicht einmal dann an Microsoft gemeldet, als ihr die Spionagewerkzeuge gemeldet wurden.

d) Bedrohungen

Das ECRI Institute hat die größten Gefährdungen für Patienten in dem Dokument Top 10 Health Technology Hazards for 2018 zusammengetragen. Darunter sind mehrere Gefährdungen, die die IT-Sicherheit betreffen (fett markiert).

1. Ransomware and Other Cybersecurity Threats to Healthcare Delivery Can Endanger Patients
2. Endoscope Reprocessing Failures Continue to Expose Patients to Infection Risk
3. Mattresses and Covers May Be Infected by Body Fluids and Microbiological Contaminants
4. Missed Alarms May Result from Inappropriately Configured Secondary Notification Devices and Systems
5. Improper Cleaning May Cause Device Malfunctions, Equipment Failures, and Potential for Patient Injury
6. Unholstered Electrosurgical Active Electrodes Can Lead to Patient Burns
7. Inadequate Use of Digital Imaging Tools May Lead to Unnecessary Radiation Exposure
8. Workarounds Can Negate the Safety Advantages of Bar-Coded Medication Administration Systems
9. Flaws in Medical Device Networking Can Lead to Delayed or Inappropriate Care
10. Slow Adoption of Safer Enteral Feeding Connectors Leaves Patients at Risk

4. Umsetzung der IT-Sicherheit

Bitte beachten Sie den Leitfaden zur IT-Sicherheit, den das Johner Institut gemeinsam mit dem TÜV Süd und weiteren Benannten Stellen herausgegeben hat. Er gibt eine Schritt-für-Schritt-Anleitung, um die IT-Sicherheit entlang des Produktlebenszyklusprozesses zu gewährleisten.

Das Team des Johner Institut begleitet Hersteller auch dabei, ISO 27001-konforme Informationssicherheitsmanagementsysteme (ISMS) schnell und wirksam einzuführen. Sind Sie interessiert? Dann nehmen Sie gleich Kontakt auf, z. B. über das Kontaktformular. In einem unverbindlichen Gespräch erfahren Sie, wie die Einführung eines ISMS abläuft, wie lange das dauert und welche Kosten dafür anfallen.

---

Aktualisierung

• 2023-02-17: Anforderungen des HIPAA verlinkt
• 2022-12: Neue rechtliche Vorgaben ergänzt
• 2022-09: Hinweise zum EU Cyber Resilience Act sowie zur ISO 27000er-Familie ergänzt
• 2022-06: Sektion mit rechtlichen Anforderungen um Entwurf des neuen FDA Guidance Documents und IEC 80001-5-1 ergänzt
• 2022-02: Hinweise zu Anforderungen an IT-Sicherheit in der Funkgeräterichtlinie (RED) ergänzt
• 2021-02: In Kapitel 3.a) die Veröffentlichungen des BSI ergänzt; in Kapitel 2.a) die Vielzahl der regulatorischen Vorgaben mit Zwischenüberschriften besser gegliedert