{"id":5420,"date":"2023-10-26T10:01:27","date_gmt":"2023-10-26T08:01:27","guid":{"rendered":"https:\/\/www.wirmachendigitalisierungeinfach.de\/gesundheit\/?page_id=5420"},"modified":"2023-10-30T09:41:19","modified_gmt":"2023-10-30T08:41:19","slug":"interview-cybersecurity","status":"publish","type":"page","link":"https:\/\/www.wirmachendigitalisierungeinfach.de\/gesundheit\/security\/interview-cybersecurity\/","title":{"rendered":"Interview mit Cybersecurity Expertin"},"content":{"rendered":"\t\t
Wir haben Sarah Lisa Wambach, Cybersecurity Spezialistin f\u00fcr den Bereich Healthcare bei Cisco Systems, zum Thema Cyberattacken auf das Gesundheitswesen befragt:<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t
\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\tEin ganz klares JA, wie man auch in allen einschl\u00e4gigen Fachzeitschriften lesen kann. Warum? Aus dem logischen Grund: Unser Gesundheitswesen wird zunehmend digitalisiert. Das hei\u00dft, wir haben digitale Dienste wie Patientenportale und sehr viel mehr Ger\u00e4te, u.A. Medizinger\u00e4te, die innerhalb und au\u00dferhalb unserer eigenen Netzwerke kommunizieren. Es gibt Patientenvisiten, die bereits digital ablaufen \u2013 also \u00c4rzt:innen und Krankenpfleger:innen, die nicht nur ein Stationstelefon haben, sondern auch ein Mobilger\u00e4t oder ein Tablet, mit dem sie Patientendaten abrufen, Diagnosen aufnehmen, die Behandlung begleiten. Kurz: Cyberangriffe sind auch schon vor Jahren zum Normalzustand geworden, aber die potenzielle Angriffsfl\u00e4che in Krankenh\u00e4usern<\/strong> sowie die Abh\u00e4ngigkeit von der IT-Infrastruktur<\/strong> und das Ausma\u00df der Sch\u00e4den<\/strong> bei einem erfolgreichen Angriff, haben sich massiv vergr\u00f6\u00dfert<\/strong>.<\/p> Die Cisco Talos Organisation hat ausgewertet, dass im ersten und zweiten Quartal diesen Jahres die meisten unserer Incident-Response-Service Eins\u00e4tze<\/strong>, also die Hilfe im Notfall, mit einem Anteil von rund 22% im Healthcare-Sektor<\/strong> stattgefunden haben \u2013 gefolgt von Finance. Daran sieht man, dass es nicht nur eine allgemeine Aussage ist, sondern wir k\u00f6nnen diese Entwicklung tats\u00e4chlich mit unseren Daten untermauern. (Report von Cisco Talos Q1\/2023<\/a> sowie Q2\/2023<\/a>)<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Die Antwort darauf ist vielschichtig: Auf der einen Seite sind Krankenh\u00e4user, befeuert durch die globale und wirtschaftliche Situation, ein beliebtes Ziel, um die Gesellschaft strategisch zu schw\u00e4chen<\/strong>. Wenn man essenzielle Bereiche st\u00f6rt, wie die Versorgung mit Gas, Wasser, Strom oder den Gesundheitssektor, dann hat dies Auswirkungen auf einen Teil oder sogar die gesamte Bev\u00f6lkerung eines Landes.<\/p> Auf der anderen Seite arbeiten Krankenh\u00e4user mit sensiblen Daten<\/strong>, die auf einschl\u00e4gigen Verkaufsplattformen viel mehr wert<\/strong> sind, als beispielsweise ein Bankaccount \u2013 das sollten wir nicht untersch\u00e4tzen. Unsere Banken haben oft Automatismen, um die Schadenssummen zu begrenzen und versichern diesen Fall sogar, sodass ich als Kunde meist einen \u00fcberschaubaren Schaden zu bef\u00fcrchten habe. Und der dritte Grund ist, und das ist meiner Meinung nach der Schlimmste: Wenn ein Krankenhaus angegriffen wird, dann werden Menschenleben gef\u00e4hrdet<\/strong>. Wenn durch einen Cyberangriff Dienste ausfallen \u2013 wenn ein Arzt nicht mehr auf die Akte zugreifen kann; nicht mehr einsehbar ist, wie die Operation ablaufen soll; wie sehen die R\u00f6ntgenbilder der Voruntersuchung aus; welche Medikamente m\u00fcssen verabreicht werden \u2013, dann hat das einen direkten Impact auf das Leben eines Menschen. Das Bundeslagebild Cybercrime 2022 des BKA<\/a> beschreibt auch eine Professionalisierung im Bereich Ransomware<\/strong>: \u201eAls finanziell besonders lukratives Modell entwickelte sich im Bereich Ransomware bereits in den vergangenen Jahren das sogenannte \u201eRansomware-as-a-Service\u201c (RaaS)-Gesch\u00e4ftsmodell. Hierbei vermieten Ransomware-Entwickler den Einsatz ihrer Schadsoftware an sogenannte \u201eAffiliates\u201c, die Ransomware-Angriffe durchfu<\/em>\u0308<\/em>hren und Anteile des erpressten L\u00f6segelds erhalten. Diese Form der \u201eDienstleistung\u201c versetzt potenzielle Cyberkriminelle in die Lage, auch ohne eigene umfangreiche technische Fertigkeiten, Ransomware-Angriffe durchzufu<\/em>\u0308<\/em>hren.<\/em>\u201c \u2013 und das vergr\u00f6\u00dfert die Zielgruppe an m\u00f6glichen Opfern.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Wenn man auf die Gesetzgebung guckt, die wir bisher hatten, dann wurde im Zusammenhang mit IT-Sicherheitsrichtlinien immer das Schlagwort „KRITIS“ in den Raum geworfen. Also gr\u00f6\u00dfere Krankenh\u00e4user, die \u00fcber 30.000 station\u00e4re F\u00e4lle pro Jahr haben, wurden bislang in puncto IT-Sicherheit reguliert und m\u00fcssen auch Meldepflichten, Audits, etc. einhalten. Das Ganze wird jetzt aber in Form von NIS2 auch f\u00fcr die kleineren H\u00e4user relevant.<\/p> Die NIS2-Richtlinie<\/strong> (NIS 2 Directive<\/a>) schreibt vor, dass nicht nur in Deutschland, sondern wirklich EU-weit, Mindeststandards f\u00fcr Cybersecurity<\/strong> etabliert werden m\u00fcssen – besonders der Gesundheitssektor wird nun in dieser Richtlinie eingeschlossen. Das hei\u00dft sp\u00e4testens, wenn die 2023 in Kraft getretene EU-Richtlinie im deutschen Recht umgesetzt ist, werden sich auch die kleineren H\u00e4user<\/strong> mit dem Punkt IT-Sicherheit st\u00e4rker besch\u00e4ftigen m\u00fcssen.<\/p> Es macht f\u00fcr mich als Patientin auch keinen Unterschied, ob ich in einem riesigen oder einem kleinen Haus behandelt werde; meine Patientendaten haben egal an welchem Standort die gleiche Wertigkeit und bed\u00fcrfen \u00fcberall gesch\u00fctzt zu werden. Ebenso kann ein Ausfall in jedem Krankenhaus zu St\u00f6rungen in der Patientenversorgung f\u00fchren. Bereits jetzt muss sich jedes Krankenhaus um die IT-Sicherheit k\u00fcmmern, auch wenn die gesetzlichen Regularien unterschiedlich \u201estreng\u201c aussehen.<\/p> Was wir nicht vergessen d\u00fcrfen ist, dass es sich f\u00fcr Angreifer:innen manchmal gar nicht lohnt gezielt vorzugehen, sondern dass oft Massenangriffe durchgef\u00fchrt werden. Gerade Phishing-Mails sind typische Attacken, die ohne viele Ressourcen auf Masse gefahren werden k\u00f6nnen. Das Risiko ist definitiv f\u00fcr jede Krankenhausgr\u00f6\u00dfe gegeben \u2013 nur die Art und Weise, wie Cyberkriminelle vorgehen, mag unter Umst\u00e4nden nicht ganz so gezielt sein, was aber nicht bedeutet, dass der Schaden dann geringer ist.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Das ist eine Frage, die uns eigentlich t\u00e4glich gestellt wird. Wir sehen 7 dringende Handlungsfelder f\u00fcr einen effektiven Schutz vor Cyberattacken<\/strong> \u2013 ich werde ein paar Themen genauer erkl\u00e4ren:<\/p> Der erste Punkt sind Systeme zur Angriffserkennung<\/strong>. Diese stellen auch f\u00fcr KRITIS-H\u00e4user einen elementaren Punkt dar, denn sie sind seit Mai 2023 dazu verpflichtet. Diese Pflicht bedeutet, dass es heute nicht mehr reicht zu versuchen Angreifer mit einer Firewall abzuwehren, sondern ich muss mich als IT auch darum k\u00fcmmern, Angreifer so fr\u00fch wie m\u00f6glich in meinem Haus zu finden. Daf\u00fcr ben\u00f6tigt es Tools und Prozesse, mit denen wir schon das kleinste atypische Zeichen, also das Auftreten von Anomalien, in unseren Netzen sehen. Nicht jede Kommunikation von einem Client zu einem anderen Client, also beispielsweise von PC zum Drucker oder eben auch von Medizinger\u00e4ten zum Server, l\u00e4uft unbedingt \u00fcber eine Firewall. Das hei\u00dft, ich bekomme unter Umst\u00e4nden gar nicht mit, dass sich jemand im Netz bewegt und was er dort macht. Es gibt genug prominente Beispiele bei denen im Nachhinein festgestellt wurde, dass die Angreifer Monate oder teilweise wenige Jahre im Netz verharrt und ausgekundschaftet haben, bis sie schlussendlich zugeschlagen haben.<\/p> F\u00fcr diese Szenarien sind, wie erw\u00e4hnt, nicht nur Tools notwendig, um Angriffe zu erkennen, sondern besonders wichtig sind auch die Prozesse dahinter: Wer wird aktiv, wenn so ein Alarm tats\u00e4chlich ausgel\u00f6st wird? Wer darf welche Entscheidung treffen? Darf ich unsere Medizinger\u00e4te online lassen, obwohl sie kompromittiert sind? Wer ist in der Lage das Risiko f\u00fcr Patienten und Betrieb einzusch\u00e4tzen? Wie ist unser Business Continuity Management? Also wie kann ich den Krankenhausbetrieb fortf\u00fchren, obwohl ich gerade unter einer aktiven Attacke stehe, in der Incident Responder in mein Data Center rennen um zu versuchen die Daten zu sichern und den Schaden zu minimieren? Wer spricht wann mit den n\u00f6tigen Beh\u00f6ren\/Pressestellen? Ein weiterer Punkt f\u00fcr den Anfang oder besser gesagt, um das Sicherheitslevel eine Stufe nach oben zu heben, ist der Schutz von Admin-Accounts<\/strong>. Ein weiterer Punkt, welchen wir auch gerade als erfolgreiche Kampagne mit vielen Kliniken umgesetzt haben, ist das Thema DNS-Layer-Schutz<\/strong>. Bedeutet: Das DNS-Protokoll, welches unseren Ger\u00e4ten erm\u00f6glicht, die Verbindung ins Internet aufzubauen, kann, ausgestattet mit Bedrohungsintelligenz, f\u00fcr einen zus\u00e4tzlichen, h\u00f6heren Schutz sorgen. Statistisch gesehen kann eine von drei Attacken schon am DNS-Layer abgeblockt werden \u2013 einfach nur durch die Reputationsdaten, die wir \u00fcber diese Dom\u00e4nen wissen.<\/p> Die meisten Angriffe nutzen auch DNS. Warum? Weil es der einfachste, g\u00fcnstigste Weg ist, wie Angreifer mit ihrer eigenen Infrastruktur kommunizieren k\u00f6nnen. Warum machen sie das? Auf der einen Seite ist ein Ziel \u2013 ein (Cloud-)Server \u2013 notwendig, um Daten aus einem Krankenhaus heraus zu transferieren. Diese werden weiterverkauft oder f\u00fcr eine doppelte Erpressung \u201eDouble Extorsion\u201c genutzt. Auf der anderen Seite bedarf es, wenn wir \u00fcber Ransomware sprechen, auch einen Encryption Key. Das hei\u00dft, wenn die Angreifer schon in der Klinik angekommen sind, m\u00fcssen sie meist weitere Teile des Schadcode nachladen oder noch einmal mit ihrer Infrastruktur kommunizieren, um mitzuteilen, dass sie nun bereit sind den Encryption Key zu empfangen, um die Daten zu verschl\u00fcsseln.<\/p> Bei 96 Prozent der Angriffe sehen wir, dass DNS eine wirklich tragende Rolle gespielt hat. Das hei\u00dft, wenn man sich diesen Vektor anschaut und effektiv sch\u00fctzt, dann kann man das Risiko einer Cyberattacke enorm minimieren. Und noch ein wichtiger Punkt ist einen Notfallplan<\/strong> zu haben \u2013\u00a0also ein erprobtes Vorgehen, wie Sie und Ihre Kollegen im Fall der F\u00e4lle auf Cyberangriffe reagieren. Wir haben einen Notfallservice f\u00fcr Sie parat, den Sie anrufen k\u00f6nnen \u2013 auch wenn Sie heute noch kein Cisco Kunde sind. Es gibt keine Voraussetzung an Cisco Infrastrukturkomponenten oder \u00c4hnliches. Die Kolleg:innen bringen die Tools mit, die sie ben\u00f6tigen, um die Attacke sichtbar zu machen und beheben zu k\u00f6nnen. Ob DNS-Layer-Schutz oder Netzwerk-Anomalie-Erkennung \u2013 das Cisco Talos Team kommt mit einem Blumenstrau\u00df an Tools, etabliert diese und hilft Ihnen die Angreifer zu finden, einzud\u00e4mmen und wieder zum Normalzustand zur\u00fcckzukehren. Die Hotline der Cisco Talos Incident<\/em> Response (CTIR) lautet: +44 808 234 63 53<\/em><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Wir haben einige Themen besprochen haben, aber der wichtigste Schritt ist, dass sich jedes Krankenhaus zumindest mit den dringendsten Handlungsfeldern auseinandersetzt.<\/p> Wir haben daf\u00fcr einen kostenlosen Self-Check<\/strong> erstellt, der dabei hilft, die eigene Ist-Situation einzusch\u00e4tzen. Und wenn Sie Handlungsbedarf erkennen, k\u00f6nnen Sie uns gerne kontaktieren. Schreiben Sie mir dazu eine Mail an it.sicherheit@cisco.com<\/a> und ich melde mich zur Terminvereinbarung bei Ihnen. In dem Termin besprechen wir individuell, was die Kernthemen f\u00fcr Ihr Krankenhaus sind und helfen dann gemeinsam mit unseren Dienstleistern auch gerne bei der Umsetzung.Warum ist deiner Meinung nach dieser Sektor besonders betroffen?<\/h4>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
Wenn aber meine Patientendaten gestohlen werden, also meine gesamte Anamnese, dann geschieht vielleicht der Versuch einer gezielten Erpressung mit unangenehmen Diagnosen\/Befunden oder ein Identit\u00e4tsdiebstahl. Das hei\u00dft, es gibt Personen, die versuchen meine Identit\u00e4t anzunehmen, um sich Gesundheitsdienstleistungen zu erschleichen oder anderweitigen Betrug zu begehen. Es gibt vielf\u00e4ltige kriminelle Absichten, die hinter dem Diebstahl von Patientendaten stecken k\u00f6nnen.
Nat\u00fcrlich sind neben meinen Diagnosen auch meine komplette Anschrift und pers\u00f6nliche Informationen in den Patientendaten enthalten. Das heikle an diesen Daten ist, dass sie zumindest zum Teil ein Leben lang bestehen bleiben, sich also nicht einfach durch einen Kontowechsel ver\u00e4ndern bzw. bereinigen lassen.<\/p>
Die Angreifer erhoffen sich dadurch \u2013 gerade wenn wir \u00fcber das Thema Ransomware sprechen, also L\u00f6segelderpressung<\/strong> \u2013, dass Krankenh\u00e4user sehr gewillt sind, auch die geforderten L\u00f6segelder zu zahlen. Denn ein Krankenhaus steht unter enormen Druck, wenn es der ernsthaften Gefahr ausgesetzt ist, seine Patient:innen nicht mehr ad\u00e4quat versorgen zu k\u00f6nnen.
Wenn man Privatkliniken betrachtet, hat dies f\u00fcr Angreifer noch einen anderen Charme. Hier kann ein weiterer Grund sein, dass Patient:innen mit viel Kapital oder gar Personen des \u00f6ffentlichen Lebens in den Patientenakten stehen. Dann riskiert eine Privatklinik vielleicht noch weniger, dass diese sensiblen Daten abwandern und die hochrenommierte Privatklinik wegen Datenverlust einen schlechten Ruf bekommt. Au\u00dferdem haben Krankenh\u00e4user, die nicht zu KRITIS z\u00e4hlen, \u2013 Stand heute, Oktober 2023 \u2013, noch keine umfassende Meldepflicht hinsichtlich Cyberattacken. Daher sind wirkliche alle Arten von Krankenh\u00e4usern und Kliniken attraktive Ziele f\u00fcr Angreifer.<\/p>Ist wirklich jedes Krankenhaus gef\u00e4hrdet oder k\u00f6nnen sich die kleineren H\u00e4user entspannen? <\/h4>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
Und was kann ich als Krankenhaus tun, um mich davor zu sch\u00fctzen?<\/h4>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
Auch schon unsere kleineren Krankenh\u00e4user m\u00fcssen sich diese Prozesse \u00fcberlegen, denn am Ende des Tages sind sie f\u00fcr alle die gleichen \u2013 ob bereits reguliert oder nicht.<\/p>
Denn wenn Angreifer Usernamen und Passw\u00f6rter haben, kommen sie unter Umst\u00e4nden relativ weit in einem Netz. Das hei\u00dft, \u00e4hnlich wie man es heute auch schon von seinem Online-Bankaccount kennt, wo ein zweiter Faktor beispielsweise als SMS-Code eingegeben werden muss. Gerade bei den privilegierten Admin-Accounts \u2013 also den Accounts, die Zugang zur Infrastruktur, auf relevante Daten oder eben auch die Verwaltung, Zahlungen oder Forschung haben \u2013 ist es wichtig, die Sicherheit zu evaluieren und ggf. zu verst\u00e4rken. NIS2 sieht hier vor, eine Multifaktor-L\u00f6sung einzuf\u00fchren. In der IT benutzen wir gerne Biometrie, weil es effektiv und gleichzeitig nutzerfreundlich ist. Das hei\u00dft, man misst mit Venenscannern, verwendet den Fingerabdruck oder blickt in eine Kamera, sodass man nichts bei sich hat, was man verlieren oder vergessen k\u00f6nnte. Kein Verfahren ist unhackable, aber die notwendigen Anstrengungen von Angreifern werden dadurch enorm erh\u00f6ht.<\/p>
Dies ist der Grund, warum wir die Kampagne mit Zielgruppe der kleineren Kliniken durchgef\u00fchrt haben. Denn um den DNS-Schutz zu etablieren, bedarf es keinerlei Cisco Infrastruktur, sondern nur einer Eintragung auf Ihrer Firewall. Wir greifen also weder ins Netz ein, noch ben\u00f6tigen wir ein Wartungsfenster oder eine Downtime. Wir heften uns an den \u00e4u\u00dfersten Punkt und ver\u00e4ndern nur die Art und Weise, wie der DNS fortan aufgel\u00f6st wird. Alle Webseiten Aufrufe, die nach au\u00dfen gehen, werden dann einfach bei Cisco Umbrella in Frankfurt aufgel\u00f6st und nicht mehr beim vermutlich lokalen IT-Provider oder bei Google. So konnten wir in den vergangenen Monaten sehr schnell und unaufw\u00e4ndig mehr Sicherheit f\u00fcr unser deutsches Gesundheitssystem erzielen.<\/p>Vielen Dank, liebe Sarah! Das war sehr viel aufschlussreicher Inhalt zum Thema Cyberattacken im Gesundheitswesen \u2013 was m\u00f6chtest du abschlie\u00dfend mitgeben?<\/h4>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
Wenn Sie einen Cyber-Notfall haben, dann z\u00f6gern Sie bitte nicht, direkt unsere Notfallhotline, den Cisco Talos Incident<\/em> Response (CTIR) unter +44 808 234 63 53 <\/em>anzurufen!<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t