Die Bedrohungslage im Gesundheitswesen

Cyberangriffe auf UnitedHealth, den britischen National Health Service (NHS) und die Assistance Publique – Hôpitaux de Paris (AP-HP) verdeutlichen, wie verwundbar Gesundheitseinrichtungen gegenüber Cyberbedrohungen sind. Mit der fortschreitenden Digitalisierung steigen nicht nur die Anforderungen an die Patientenversorgung, sondern auch die Herausforderungen für IT- und Sicherheitsteams beim Schutz sensibler Daten und kritischer Systeme.

Der ForgeRock Breach Report 2024 zeigt, dass das Gesundheitswesen bereits im fünften Jahr in Folge zu den am häufigsten von Datenschutzverletzungen betroffenen Branchen zählt. Besonders eindrücklich machte dies der Ransomware-Angriff auf Change Healthcare deutlich. Der Vorfall legte zentrale Gesundheitsdienste lahm und beeinträchtigte die Patientenversorgung sowie den Betrieb zahlreicher Gesundheitseinrichtungen in den USA.

Identitäten als zentraler Sicherheitsfaktor

Identitäts- und Zugriffsmanagement (IAM) sowie Privileged Access Management (PAM) gehören deshalb heute zu den zentralen Bausteinen einer wirksamen Cybersicherheitsstrategie im Gesundheitswesen. Dafür gibt es mehrere Gründe:

• Komplexe Zugriffsanforderungen: Ärztliches Personal, Pflegekräfte, Verwaltung, externe Dienstleister und Patienten benötigen jeweils unterschiedliche Zugriffsrechte.
• Besonders schützenswerte Daten: Patientenakten enthalten hochsensible Informationen und zählen zu den wertvollsten Datensätzen für Cyberkriminelle.
• Hybride IT-Landschaften: Moderne Anwendungen arbeiten häufig mit älteren Systemen zusammen und schaffen dadurch zusätzliche Sicherheitsrisiken.
• Kritische Versorgungsprozesse: Sicherheitsmaßnahmen müssen wirksam sein, dürfen aber die medizinische Versorgung nicht beeinträchtigen.

Die meisten erfolgreichen Angriffe auf Gesundheitseinrichtungen nutzen Schwachstellen im Identitäts- und Zugriffsmanagement aus – etwa durch kompromittierte Zugangsdaten, den Missbrauch privilegierter Berechtigungen oder Social-Engineering-Angriffe. Ein ganzheitlicher Ansatz aus IAM und PAM trägt dazu bei, diese zentralen Angriffsvektoren wirksam zu reduzieren.

Zentrale Bausteine einer sicheren Identitätsstrategie

• Single Sign-on (SSO) für klinische Arbeitsabläufe: Ermöglicht eine sichere Anmeldung an verschiedenen klinischen und administrativen Anwendungen, ohne die Arbeitsabläufe des medizinischen Personals unnötig zu unterbrechen.
• Rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC): Berechtigungen werden konsequent an Aufgaben, Verantwortlichkeiten und klinischen Prozessen ausgerichtet.
• Automatisierte Benutzerverwaltung: Benutzerkonten und Berechtigungen werden automatisch erstellt, angepasst oder entzogen, wenn Mitarbeitende eintreten, ihre Rolle wechseln oder das Unternehmen verlassen.
• Regelmäßige Überprüfung von Zugriffsrechten: Wiederkehrende Rezertifizierungen stellen sicher, dass Berechtigungen jederzeit dem tatsächlichen Aufgabenbereich entsprechen.

Gesundheitseinrichtungen benötigen darüber hinaus spezielle IAM-Funktionen, etwa für Notfallzugriffe, gemeinsam genutzte Arbeitsplätze oder die Integration in klinische Arbeitsabläufe. Ziel ist es, Sicherheitsanforderungen und eine unterbrechungsfreie Patientenversorgung miteinander in Einklang zu bringen.

PAM schützt privilegierte Zugriffe auf kritische Systeme

• Sichere Verwaltung privilegierter Zugangsdaten: Privilegierte Anmeldedaten werden in einem geschützten Passwort-Tresor gespeichert und regelmäßig automatisch erneuert.
• Überwachung privilegierter Sitzungen: Administrative Aktivitäten werden lückenlos aufgezeichnet und dokumentiert, um Compliance-Anforderungen zu erfüllen und forensische Analysen zu unterstützen.
• Just-in-Time-Zugriffe: Erweiterte Berechtigungen werden ausschließlich bei Bedarf und zeitlich begrenzt vergeben.
• Least-Privilege-Prinzip: Benutzer erhalten nur die Zugriffsrechte, die sie für ihre jeweilige Aufgabe tatsächlich benötigen.

Besonders geschützt werden sollten privilegierte Konten von Systemadministratoren, Datenbankverantwortlichen und Anwendungsverantwortlichen, da diese häufig Zugriff auf besonders schützenswerte Patientendaten oder geschäftskritische Systeme besitzen.

Multi-Faktor-Authentifizierung für den Klinikalltag

Die Multi-Faktor-Authentifizierung (MFA) erhöht die Sicherheit erheblich, indem sie neben dem Passwort mindestens einen weiteren Authentifizierungsfaktor verlangt. Im Gesundheitswesen muss sie dabei die besonderen Anforderungen klinischer Arbeitsabläufe berücksichtigen. Dazu gehören unter anderem:

• Praxisgerechte Authentifizierungsmethoden: Beispielsweise Mitarbeiterausweise mit Näherungstechnologie, biometrische Verfahren oder Push-Benachrichtigungen, die den Klinikbetrieb möglichst wenig beeinträchtigen.
• Risikobasierte Authentifizierung: Die erforderlichen Sicherheitsmaßnahmen werden dynamisch an Faktoren wie Standort, Endgerät oder Schutzbedarf der aufgerufenen Anwendung angepasst.
• Notfallzugriffe: Spezielle Verfahren ermöglichen auch in zeitkritischen Behandlungssituationen einen schnellen Systemzugriff, ohne dabei auf geeignete Sicherheits- und Kontrollmechanismen zu verzichten.

Practical Implementation Approach

Eine erfolgreiche Identity-Security-Strategie im Gesundheitswesen sollte schrittweise eingeführt werden. Ein strukturiertes Vorgehen hilft dabei, Risiken gezielt zu reduzieren und gleichzeitig den Klinikbetrieb nicht zu beeinträchtigen.

1. Ausgangssituation analysieren: Zu Beginn steht eine Bestandsaufnahme der bestehenden IT-Umgebung. Dazu gehört die Identifikation von Systemen mit sensiblen Daten, die Analyse bestehender Zugriffs- und Berechtigungskonzepte sowie die Ermittlung besonders kritischer privilegierter Konten. Ebenso wichtig ist es, klinische Arbeitsabläufe zu verstehen, die besondere Anforderungen an Sicherheit und Verfügbarkeit stellen.
2. Kritische Bereiche zuerst absichern: Anschließend sollten die größten Risiken priorisiert werden. Dazu zählen insbesondere die Absicherung von Fernzugriffen durch Multi-Faktor-Authentifizierung, der Schutz administrativer Konten durch eine sichere Verwaltung privilegierter Zugangsdaten sowie die Einrichtung klar definierter Notfallzugriffsverfahren. Gleichzeitig empfiehlt sich eine Überprüfung der Berechtigungen für besonders kritische Systeme.
3. Zentrale Sicherheitsfunktionen etablieren: Im nächsten Schritt können grundlegende IAM- und PAM-Funktionen eingeführt werden. Dazu gehören Single Sign-on (SSO), um Anmeldeprozesse zu vereinfachen, die Anbindung an HR-Systeme für eine automatisierte Benutzerverwaltung sowie die Überwachung privilegierter Sitzungen auf besonders schützenswerten Systemen. Ergänzend sollten Rollen- und Berechtigungskonzepte entwickelt werden, die den tatsächlichen Aufgaben im klinischen Alltag entsprechen.
4. Sicherheitsniveau kontinuierlich weiterentwickeln: Mit zunehmendem Reifegrad lassen sich weitergehende Sicherheitsmaßnahmen implementieren. Dazu gehören beispielsweise Just-in-Time-Zugriffe für privilegierte Konten, risikobasierte Authentifizierungsverfahren sowie eine weitgehend automatisierte Unterstützung von Compliance- und Auditprozessen. Regelmäßige Sicherheitstests und Sensibilisierungsmaßnahmen für Mitarbeitende tragen zusätzlich dazu bei, das Sicherheitsniveau dauerhaft aufrechtzuerhalten.

Aktuelle Trends der Identity Security im Gesundheitswesen

KI-gestützter Schutz digitaler Identitäten

Künstliche Intelligenz und Machine Learning gewinnen auch im Gesundheitswesen zunehmend an Bedeutung. Sie unterstützen Sicherheitsteams dabei,

• ungewöhnliche Zugriffs- und Anmeldemuster frühzeitig zu erkennen,
• potenzielle Insider-Bedrohungen durch Verhaltensanalysen zu identifizieren,
• Zugriffsüberprüfungen durch intelligente Empfehlungen zu unterstützen und

• Anmeldeversuche in Echtzeit hinsichtlich ihres Risikos zu bewerten.

Zero Trust als neues Sicherheitsmodell

Immer mehr Gesundheitseinrichtungen ersetzen klassische Perimetersicherheit durch Zero-Trust-Konzepte. Grundlage dieses Ansatzes ist das Prinzip „Never trust, always verify“. Dazu gehören unter anderem:

• die kontinuierliche Überprüfung aller Benutzer und Endgeräte – unabhängig von ihrem Standort,
• die konsequente Segmentierung klinischer, administrativer und medizintechnischer Systeme,
• standardmäßig verweigerte Zugriffe mit gezielter Freigabe einzelner Berechtigungen sowie
• eine durchgängige Verschlüsselung sensibler Daten während ihres gesamten Lebenszyklus.

Maschinenidentitäten rücken in den Fokus

Mit der zunehmenden Vernetzung medizinischer Geräte und der wachsenden Automatisierung gewinnen auch nicht-menschliche Identitäten an Bedeutung. Zu den wichtigsten Maßnahmen gehören:

• sichere Authentifizierung medizinischer IoT-Geräte,
• konsequente Verwaltung und Überwachung von Servicekonten,
• abgesicherte Identitäten für API-basierte Systemkommunikation sowie
• die automatische Rotation von Zugangsdaten für Maschinenkonten.

Empfehlungen für Sicherheitsverantwortliche im Gesundheitswesen

1. Benutzerfreundlichkeit und Sicherheit gemeinsam denken: Sicherheitsmaßnahmen dürfen klinische Arbeitsabläufe nicht unnötig behindern. Lösungen sollten deshalb gemeinsam mit den späteren Anwendern entwickelt und eingeführt werden.
2. Branchenspezifische Sicherheitslösungen einsetzen: Gesundheitseinrichtungen stellen besondere Anforderungen an Sicherheit, Compliance und Verfügbarkeit, die Standardlösungen häufig nur eingeschränkt erfüllen.
3. Mehrschichtige Sicherheitskonzepte umsetzen: Mehrere aufeinander abgestimmte Schutzmaßnahmen erhöhen die Widerstandsfähigkeit gegenüber unterschiedlichen Angriffsszenarien.
4. Vorfälle mit Identitätsbezug gezielt vorbereiten: Notfallpläne sollten ausdrücklich Szenarien wie kompromittierte Zugangsdaten oder den Missbrauch privilegierter Berechtigungen berücksichtigen.
5. Mitarbeitende regelmäßig sensibilisieren: Praxisnahe Schulungen helfen dabei, Phishing, Social Engineering und andere identitätsbezogene Angriffe frühzeitig zu erkennen.

Fazit

Eine wirksame Cybersicherheitsstrategie im Gesundheitswesen beginnt mit dem Schutz digitaler Identitäten. Identity and Access Management (IAM) und Privileged Access Management (PAM) bilden die Grundlage, um privilegierte Zugriffe zu kontrollieren, sensible Patientendaten zu schützen und den sicheren Betrieb kritischer Systeme zu gewährleisten.

Besonders erfolgreich sind Sicherheitskonzepte, die technische Schutzmaßnahmen mit klaren Governance-Prozessen, regelmäßigen Schulungen und einer kontinuierlichen Überwachung verbinden.

Der sinnvollste Einstieg besteht darin, zunächst besonders kritische Systeme und privilegierte Konten abzusichern und den Schutz anschließend schrittweise auf weitere Bereiche auszuweiten.

So können Gesundheitseinrichtungen ihre Widerstandsfähigkeit gegenüber Cyberangriffen nachhaltig stärken, ohne die Qualität der Patientenversorgung oder die Effizienz klinischer Abläufe zu beeinträchtigen.