Cybersecurity im Gesundheitsbereich: Die Gebäude nicht vergessen!

Wie viele andere Unternehmen sind auch die Einrichtungen des Gesundheitswesens zunehmend vernetzt. Heutzutage wird bei fast jedem Schritt der Patientenversorgung auf digitalisierte Kontrollsysteme zurückgegriffen. Von elektronischen Gesundheitsakten über Patientenarchivierungs- und Kommunikationssysteme bis hin zu den sich schnell verbreitenden Telegesundheitssystemen und vernetzten medizinischen Geräten werden immer mehr Geräte und Systeme mit dem Internet verbunden. Damit steigen jedoch auch die Anforderungen an die Cybersecurity. Der Sicherheit von vernetzten medizinischen Geräten wird immer mehr Aufmerksamkeit geschenkt. Doch Gebäudemanagementsysteme (GMS) kommen in der Diskussion über Cybersicherheit im Gesundheitswesen häufig zu kurz. Obwohl dieser Bereich essenziell für die Patientenversorgung ist, wird er kaum bei der Entwicklung einer umfassenden Cybersicherheitsstrategie einbezogen.

Störungen der Gebäudetechnik können die Patientensicherheit ernsthaft gefährden

Unter Cyber-Patientensicherheit wird häufig der Schutz von Patientendaten und Gesundheitssystemen vor Cyberangriffen verstanden. Mit der zunehmenden Vernetzung des Internets der medizinischen Dinge (Internet of Medical Things, IoMT) und der Tatsache, dass Daten und Systeme des Gesundheitswesens zu einem wertvollen Ziel für Cyberkriminelle werden, wird dies immer wichtiger. Zumal die Folgen von Angriffen erheblich sein können: Neben dem Diebstahl von Patientendaten birgt die Unterbrechung von Behandlungen enorme Risiken für das Patientenwohl. Dies gilt jedoch auch insbesondere für die Gebäudetechnik. Diese Systeme sind für die Aufrechterhaltung eines effizienten und sicheren Betriebs von Krankenhäusern und Gesundheitseinrichtungen von entscheidender Bedeutung. Längst bilden riesige Netze cyber-physischer Systeme (CPS) das Rückgrat der Gesundheitsversorgung: Sicherheitskameras und physische Zugangskontrollen, HLK-Systeme, Beleuchtung, Feueralarmsysteme, Stromversorgung, Aufzüge und andere wichtige mechanische oder elektrische Geräte sorgen im Hintergrund für einen meist reibungslosen Ablauf. Kommt es hier zu Störungen, können die Auswirkungen gravierend sein:

• Die Fehlfunktion einer Kühltruhe in einem kalifornischen Krankenhaus führte dazu, dass die richtige Temperatur nicht aufrechterhalten werden konnte. Dadurch wurden spezielle Stammzellen-Immuntherapieprodukte zerstört. Das Krankenhaus wurde zivilrechtlich haftbar gemacht. Aber das schlimmste Ergebnis war, dass die Behandlung Dutzender krebskranker Kinder dadurch ernsthaft beeinträchtigt wurde.
• Der Ausfall der Luftfiltersysteme eines Krankenhauses im Bundesstaat Washington zur Beseitigung von Schimmelpilzsporen in den vermeintlich sterilen Operationssälen führte zu mehreren Todesfällen bei Patienten.
• Eine Störung des HLK-Systems in einem kalifornischen Krankenhaus führte zum Ausfall der elektronischen Patientendatenbank. Da beeinträchtigte die Patientenversorgung erheblich.
• Es wurden mehrere Vorfälle mit Aufzugsstörungen in Krankenhäusern dokumentiert. Diese führten dazu, dass Patienten und Personal stecken blieben, schwer verletzt oder sogar getötet wurden. Die Fähigkeit, bestimmte Indikatoren zu überwachen, um sicherzustellen, dass die Aufzüge sicher und zuverlässig funktionieren, ist daher entscheidend für das Risikomanagement in medizinischen Einrichtungen.

Angreifer können Gebäudemanagementsysteme als Einstiegspunkt in die IT-Netzwerke nutzen

Nicht zuletzt aufgrund knapper Ressourcen konzentrieren sich die meisten Sicherheitsteams auf traditionelle Angriffsvektoren und übersehen dabei Gebäudemanagementsysteme als potenziellen Schwachpunkt im Verteidigungssystem. Angreifer wissen jedoch längst, dass Gebäudemanagementsysteme nicht nur für den Betrieb entscheidend sind, sondern auch als Zugang zu anderen gesicherten Infrastrukturen dienen können und daher für ihre Zwecke äußerst nützlich sind.

Immer wieder warnen Behörden und Sicherheitsforscher vor Schwachstellen und zeigen Techniken und Taktiken auf, die Angreifer verwenden, um den Betrieb zu stören und vertrauliche Daten über Gebäudemanagementsysteme zu stehlen. So gab beispielsweise im Oktober 2021 die US-amerikanische Cybersecurity and Infrastructure Agency (CISA) einen Hinweis auf eine Schwachstelle in einem weit verbreiteten Gebäudeautomatisierungssystem zur Koordinierung der HLK-Gebäudesteuerung heraus. Cyberkriminelle waren durch die Ausnutzung der Sicherheitslücke in der Lage, vertrauliche Informationen abzufangen, gezielte Phishing-Angriffe durchzuführen und auf Administrator-Anmeldeinformationen zuzugreifen, um die Einstellungen zu manipulieren. Eine mögliche Folge wäre die Abschaltung von Computersystemen, die für die Patientenversorgung von entscheidender Bedeutung sind.

Hinzu kommt, dass noch viele ältere Gebäudemanagementsysteme im Einsatz sind. Diese stammen zumeist noch aus der Zeit, als an Vernetzung nicht zu denken war. Sie wurden entsprechend nicht mit Blick auf die Cybersicherheit entwickelt. Die meisten empfohlenen Abhilfemaßnahmen zur Verbesserung der Cybersicherheit im Gesundheitswesen bestehen darin, aktualisierte Firmware zu installieren. Im Gegensatz zu Software-Patches sind die Aktualisierungszyklen für Firmware jedoch in der Regel viel länger, da das Risiko von Ausfallzeiten besteht und die Implementierung von Updates sehr komplex ist. So sind oft kompensierende Abhilfemaßnahmen die einzige Strategie, wenn es sich bei den mit dem Internet verbundenen Assets um Altsysteme handelt.

Das Gebäudemanagement muss in die Cybersecurity-Strategie einbezogen werden

Das Bewusstsein für die Sicherheitsherausforderungen im Bereich der Gebäudetechnik entwickelt sich erst langsam. So hat im Februar 2023 das Bundesamt für Sicherheit in der Informationstechnik (BSI) die beiden Bereiche technisches Gebäudemanagement und Gebäudeautomation neu in den IT-Grundschutz aufgenommen. Durch die zunehmende Konvergenz und Vernetzung muss Gebäudesicherheit Teil der Cybersicherheit und der Cybersecurity-Strategie werden. Dabei sind drei Punkte essenziell:

• Transparenz: Einrichtungen des Gesundheitswesens haben oft keinen Einblick in die verschiedenen Gebäudetechnik-Systeme, mit denen sie vernetzt sind. Nur wenn man weiß, welche Geräte in den eigenen Systemen vorhanden sind (inklusive Informationen wie Hersteller, Modell und Firmware-Version), kann man sie adäquat schützen. Somit ist ein automatisch aktualisiertes Asset-Inventar grundlegend.
• Effektives Schwachstellenmanagement: Die kritische Natur von Gebäudetechnik und die geringe Toleranz gegenüber Ausfallzeiten bedeutet oft, dass die Teams nur die Schwachstellen mit den größten Risiken adressieren können. Um Sicherheitslücken effektiv identifizieren, priorisieren und beseitigen zu können, muss deshalb jedes Asset fortlaufend mit unsicheren Protokollen, CVEs und anderen Schwachstellen abgeglichen werden.
• Netzwerksegmentierung: Die adäquate Zuweisung jedes Geräts zu einem geeigneten Netzwerksegment ist eine Grundvoraussetzung für effektive Cybersicherheit, reduziert die Risiken erheblich und erschwert die laterale Ausbreitung von Angriffen.

Die Vernetzung im Gesundheitswesen betrifft nicht nur das „prominente“ IoMT, sondern auch die bislang eher vernachlässigte Gebäudetechnik und -automation. Echte Cyber- und damit auch Patientensicherheit kann jedoch nur dann gewährleistet werden, wenn sämtliche vernetzte Geräte und Systeme einer Einrichtung Teil der Cybersecurity-Anstrengungen sind – von der Patientendatenbank über die medizinischen Geräte bis zu den Klimasystemen.

Der Autor: Max Rahner, Senior Regional Director DACH & Eastern Europe von Claroty