Als im Jahr 2020 in Deutschland eine Patientin starb, nachdem Ransomware-Hacker das Krankenhaus, in dem die Ärzte sie behandeln wollten, praktisch lahmgelegt hatten, schlugen in der gesamten globalen Gesundheitsgemeinschaft die Alarmglocken.
Der Angriff war der erste dokumentierte Fall, in dem Cyberkriminelle direkt den Tod einer Person verursacht hatten. Doch diese Tragödie war keineswegs ein Zufall. Die Zahl der Cyberangriffe auf Gesundheitsdienstleister stieg im Jahr 2020 sprunghaft an, was zum Teil auf das erstaunliche Wachstum der Telemedizin im Zeitalter von COVID-19 zurückzuführen war ( ), was wiederum dazu führte, dass immer mehr Hacker versuchten, diesen Trend zu ihrem eigenen Vorteil auszunutzen. So haben sich beispielsweise die weltweiten Ransomware-Angriffe auf den Gesundheitssektor im Laufe des Jahres 2020 verdoppelt, wie der Softwareanbieter Check Point mitteilt.
Hacker betrachten Einrichtungen des Gesundheitswesens seit langem als leichte Ziele, da diese auf veraltete Systeme angewiesen sind – und als lohnende Ziele, da sie in ihren Archiven wahre Informationsschätze hüten. Aus diesem Grund veranlasste der massive Anstieg der Angriffe im vergangenen Jahr die CIOs und CISOs im Gesundheitswesen dazu, ihre Herangehensweise an IT-Hygiene und -Sicherheit zu überdenken. Ein Bereich, auf den diese Führungskräfte ihr Augenmerk richten, ist die Gefahr in alltäglichen Bereichen wie der Automatisierung im Gesundheitswesen.
[Lesen Sie auch: Was ist Sicherheitsautomatisierung?]
Der Vorstoß zur Automatisierung der IT im Gesundheitswesen
Einrichtungen des Gesundheitswesens haben in großem Umfang in Automatisierung und künstliche Intelligenz (KI) investiert, um die Effizienz zu steigern und Kosten zu senken. Diese Instrumente können in den Bereichen Chirurgie, Radiologie, Pflege, Verwaltungsabläufe, elektronische Patientenakten, Betrugsaufdeckung und Reduzierung von Dosierungsfehlern von Nutzen sein; laut Accenture werden die Ausgaben hierfür im Jahr 2021 voraussichtlich 6,6 Milliarden US-Dollar erreichen.
Künstliche Intelligenz ist besonders nützlich, um Menschen dabei zu unterstützen, die Pflege intelligenter und effizienter zu gestalten. So setzen beispielsweise Einrichtungen des Gesundheitswesens KI und Automatisierung ein, um Leistungserbringern und Mitarbeitern dabei zu helfen, Medikamente zu verabreichen, Beatmungsgeräte zu bedienen, den Personalbestand zu verwalten und sich mit Vorabgenehmigungen von Versicherungsgesellschaften sowie Entscheidungen über Leistungsansprüche auseinanderzusetzen, die die angemessene Versorgung der Patienten verzögern oder sogar behindern können.
„Durch die Automatisierung und die Entlastung von Ärzten, Mitarbeitern und Patienten [bei routinemäßigen Aufgaben im Zusammenhang mit Vorabgenehmigungen] kann KI wesentlich schneller auf sich ändernde Vorschriften der Kostenträger reagieren“, sagt Jody Ranck, Senior-Analystin und Autorin des Berichts „ “ von Chilmark Research. Künstliche Intelligenz und Automatisierung können Versicherungsprozesse wie die Schadenbearbeitung beschleunigen: „Früher dauerte das 20 Tage“, sagt Ranck. „Nun geht es um Millisekunden.“
Durch Automatisierung lassen sich Milliarden Dollar einsparen. Accenture schätzt, dass die drei Anwendungsbereiche, die den größten kurzfristigen Nutzen bieten, die robotergestützte Chirurgie (Einsparungen in Höhe von 40 Milliarden US-Dollar), virtuelle Pflegeassistenten (20 Milliarden US-Dollar) und die Unterstützung bei Verwaltungsabläufen (18 Milliarden US-Dollar) sind.
Es ist kaum verwunderlich, dass mehr als die Hälfte der von Gartner befragten CIOs von Gesundheitsdienstleistern im Bereich „ “ angaben, in den nächsten drei Jahren in KI-gestützte robotergestützte Prozessautomatisierung (RPA) investieren zu wollen – ein Anstieg gegenüber 5 % im Jahr 2020.
Die Schattenseiten der Automatisierung
Die Automatisierung im Gesundheitswesen bringt jedoch sicherheitstechnische Herausforderungen mit sich. In einer Umfrage des Ponemon Institute gaben 90 % der Befragten an, dass ihre Einrichtung im Gesundheitswesen im vergangenen Jahr mindestens einen Sicherheitsvorfall erlebt habe. Eine Analyse von SecurityScorecard und DarkOwl , bei der Terabytes an Daten von mehr als 30 000 Organisationen des Gesundheitswesens aus den Jahren 2019 bis 2020 ausgewertet wurden, ergab eine Zunahme von Schwachstellen und Angriffen, die in engem Zusammenhang mit der Reputation von IP-Adressen (einschließlich Malware aus Phishing-Versuchen), Endgeräten und Sicherheitspatches standen.
Die dramatischen „ “-Angriffe auf die Lieferkette von SolarWinds , die sich gegen wichtige Regierungsbehörden und Organisationen richteten, haben diese Schwachstellen deutlich ans Licht gebracht. Und sie haben den Wert gestohlener Gesundheitsdaten deutlich gemacht. Laut der Verbraucherkreditauskunftei Experian („“) kann jede gehackte Krankenakte im Dark Web bis zu 1 000 US-Dollar einbringen, da Patientenakten hochsensible Daten enthalten.
Endgeräte stellen ein besonders schwaches Glied in der Sicherheitskette dar. Für das Netzwerk aus Krankenhäusern und Kliniken von Sutter Health, das mehr als 3 Millionen Kalifornier versorgt, stellte ein entscheidendes Problem den Mangel an Transparenz hinsichtlich der Tausenden von Endgeräten in seinem Netzwerk dar . Um die Endgeräte zu sichern, mussten die IT-Teams manuell über Leihcomputer auf die Geräte zugreifen, was den Arbeitsablauf beeinträchtigte und die Kosten erhöhte.
KI selbst kann unsicher sein, da sie auf Algorithmen basiert, die anhand riesiger Datensätze trainiert wurden. Es ist bekannt, dass Hacker Algorithmen umtrainieren, um Systeme zu stören, Daten in ihre Richtung umzuleiten oder sogar Daten durch „-Poisoning“ zu verfälschen, indem sie Algorithmen dazu verleiten, bösartigen Code für sicher zu halten. KI-Bots sind oft nicht sicher, da ihre Programmierung eine Kombination aus Open-Source-Code und individuell angepasstem Code darstellt, der nicht von Sicherheitsspezialisten geschrieben wurde.
Weitere Sicherheitslücken ergeben sich aus den Systemen, auf die die Algorithmen zurückgreifen: Automatisierungstools können sich auf jedem Gerät befinden, das Teil eines vernetzten Netzwerks ist und über Zugriffsrechte auf das System verfügt, wodurch sich potenzielle Angriffspunkte für böswillige Akteure ergeben. Sobald sie drinnen sind, können die Übeltäter Unfug anrichten. Als besonders eklatantes Beispiel nennt Ranck von Chilmark Research Hacker, die gefälschte Röntgenbilder verwendeten, um sich unrechtmäßige Versicherungserstattungen auszuzahlen.
Sicherheitsexperten sind besorgt, darunter auch Carlos Perez, der die Forschungsabteilung des Cybersicherheitsunternehmens TrustedSec leitet. „Der Trend, der mir Sorge bereitet, ist, dass im Gesundheitswesen zunehmend Kosten eingespart und Sicherheitsaufgaben immer häufiger ausgelagert werden“, sagt Perez. „Ich habe nicht beobachtet, dass das Gesundheitswesen Maßnahmen ergriffen hat, um die Informationssicherheit beim Einsatz von KI zu gewährleisten.“
Die institutionellen Schwachstellen im Gesundheitswesen
Stark regulierte Branchen wie das Gesundheitswesen sehen sich häufig mit einem Spannungsfeld zwischen geschäftlichen Anforderungen und der Einhaltung gesetzlicher Vorschriften konfrontiert. Krankenhäuser verwenden häufig ältere Softwareversionen, die möglicherweise Fehler und Sicherheitslücken aufweisen. Systemaktualisierungen können dazu führen, dass Unternehmen gegen Compliance-Vorschriften verstoßen.
„Krankenhäuser haben aufgrund der von ihnen betriebenen Systeme strengere Richtlinien hinsichtlich der Installation von Patches und der Aktualisierung von Computern und Servern“, sagt Marc Moring, Leiter des Bereichs Strategische Kunden bei Tanium. „Wenn sie ein Betriebssystem aktualisieren, könnten sie möglicherweise ein Beatmungsgerät, eine Infusionsanlage oder ein Medikamentenverabreichungssystem außer Betrieb setzen, was lebensbedrohlich sein könnte.“ „Krankenhäuser haben sich bei der Aktualisierung und der Installation von Patches zurückhaltend gezeigt, wodurch sie extrem anfällig für Angriffe sind.“ Aus diesem Grund sind (Patch-Management), sowie (Konfigurationsmanagement) wesentliche Bestandteile von IT- und Sicherheitsstrategien für Endgeräte.
Auch die Organisationsstrukturen sind für das schwache Sicherheitsprofil der IT im Gesundheitswesen verantwortlich. Forscher von „ “ und „Skybox Security“ stellten fest, dass eine kritische Schwachstelle darauf zurückzuführen war, dass die Cybersicherheitsteams und die für die Überwachung der Infrastruktur zuständigen Betriebsteams isoliert voneinander arbeiteten. „Der Abbau dieser Silos muss durch schrittweise Veränderungen erfolgen“, stellten die Autoren in ihrem 2020 -Bericht fest. „Die Teams, die für den Betrieb der Geräte zuständig sind, müssen sich grundlegende Kenntnisse aneignen, mit denen sich diese Netzwerkbereiche, die bekanntermaßen schwer zu patchen sind, schützen lassen.“
Die „IT Resilience Gap Study“ von Tanium hat mehrere Maßnahmen ermittelt, die zur Minderung dieser Risiken beitragen. Resiliente Organisationen tun Folgendes:
- Stellen Sie sicher, dass die Teams für IT-Sicherheit, IT-Betrieb und Risikomanagement zusammenarbeiten, um die IT-Umgebung zu vereinfachen und zu sichern.
- Beschaffen Sie zuverlässige Daten, um fundierte Entscheidungen zu treffen und angesichts ständiger Bedrohungen und Veränderungen eine vorausschauende und agile Haltung zu bewahren.
- Ergreifen Sie Maßnahmen, um die Infrastruktur zu straffen und die fragmentierte Landschaft der Endpunktmanagementsysteme und -prozesse zu beseitigen.
- Schaffen Sie eine einheitliche Grundlage auf der Basis gemeinsamer, verwertbarer Daten, um echte Transparenz und Kontrolle über alle Geräte in einem Netzwerk zu erlangen.
Letztendlich sind Automatisierung und KI nicht mehr wegzudenken. Jüngste Fortschritte erweitern das Potenzial dessen, was mit Hilfe von Medizintechnik erreicht werden kann. Gleichzeitig führen sie zu einem zusätzlichen Druck, die Sicherheitsvorkehrungen zu verschärfen.
„Vor drei Jahren herrschte unter Ärzten große Skepsis gegenüber der KI“, sagt Ranck. „Heutzutage ist in den Systemen so viel KI integriert.“ Er sagt, dass sich Organisationen bei ihrer Reaktion auf neue Bedrohungen in unterschiedlichen Phasen befinden, „doch erkennen Führungskräfte zunehmend die Notwendigkeit, sich darauf vorzubereiten.“
