Während der „ Oktober 2020“ spielte sich im ganzen Land eine erschütternde Szene ab: Ärzte und Pflegekräfte, die Patienten versorgten, hatten keinen Zugriff auf Krankenakten, Röntgenbilder oder CT-Aufnahmen. Krankenhäuser in Kalifornien, Oregon sowie Vermont gehörten zu den vielen Einrichtungen, die den Zugriff auf ihre kritischen Systeme verloren hatten – und angaben, dass der Zugriff auch Tage und Wochen später noch nicht vollständig wiederhergestellt sei.
Der Auslöser: Eine Reihe von Ransomware-Angriffen, die die Cybersecurity and Infrastructure Security Agency (CISA) des US-Heimatschutzministeriums ( ) dazu veranlasste, die US-Gesundheitsbehörde ( ) vor „einer unmittelbaren und zunehmenden Bedrohung durch Cyberkriminalität für US-Krankenhäuser und Gesundheitsdienstleister“ zu warnen.
Zwar lösten die Anschläge einen Schock aus, doch die Tatsache, dass sie stattfanden, hätte niemanden überraschen dürfen. Hacker haben es schon seit langem auf Einrichtungen des Gesundheitswesens abgesehen, da diese bekanntermaßen auf oft anfällige veraltete IT-Systeme angewiesen sind. Tatsächlich stieg die Zahl der Datenschutzverletzungen in US-amerikanischen Gesundheitseinrichtungen laut einem Bericht des HIPAA Journal stark von 2010 auf 2019 an, wobei allein zwischen 2018 und 2019 ein Anstieg von 197 % zu verzeichnen war. Insgesamt, so heißt es in dem Bericht, könnten im vergangenen Jahr 12,6 % aller privaten Gesundheitsdaten der Amerikaner offengelegt worden sein.
Der Angriff im September ist insofern bemerkenswert, als Hacker den Gesundheitssektor heute als noch leichteres Ziel betrachten als noch vor einem Jahr. Das liegt an der anhaltenden Pandemie. Die Gesundheitszentren wurden von Patienten überrannt, die wegen COVID-19–related verschiedener Beschwerden eine Behandlung suchten, und haben sich mehr darauf konzentriert als auf ihre IT-Vorbereitung. Zudem nehmen aufgrund der Abstandsregeln mehr Menschen denn je medizinische Versorgung aus der Ferne in Anspruch. Laut dem Ministerium für Gesundheit und Soziales (HHS) stiegen die Telemedizin-Termine bei Ärzten zwischen März und Juni 2020 um das 350-Fache . Da so viele Menschen persönliche Daten online und über Apps weitergeben, haben Hacker eine wesentlich größere Angriffsfläche.
“„Da die Telemedizin noch relativ neu ist, entdecken wir nach wie vor neue Arten von Betrug und die Ausnutzung von Sicherheitslücken“, sagt Michael Levin , und Vizepräsident für Unternehmensinformationssicherheit bei Optum, einem Unternehmen für Gesundheitsinformationstechnologie und -dienstleistungen, das zur UnitedHealth Group gehört. „Wir haben die Probleme erkannt, aber sie wurden noch nicht alle behoben.“
Hacker stürzen sich auf die Verwundeten
Die ersten Wochen der Pandemie in den USA versetzten die Nation in Panik, da die Gesundheitseinrichtungen Mühe hatten, auf die sich rasch ausbreitende Krise zu reagieren. Für CISOs und Cybersicherheitsexperten war es eine angespannte Zeit, geprägt von Chaos und Verwirrung. Im März untersagte das HHS in allen 50 Bundesstaaten Besuche in Gesundheitseinrichtungen, die nicht im Zusammenhang mit COVID standen. Infolgedessen fanden Arzt-Patienten-Gespräche virtuell über Videoanwendungen wie Zoom und FaceTime statt, da das HHS die Beschränkungen des HIPAA- s hinsichtlich der verfügbaren Telemedizin-Kanäle lockerte.
„CISOs waren abgelenkt, sodass sie sich nicht mit Sicherheitsfragen befassen konnten, auf die sie sich normalerweise konzentrieren würden.“Drex DeFord, ehemaliger CIO bei Steward Health Care und Scripps Health
Der Preis für diese Zweckmäßigkeit war eine ganze Reihe neuer Sicherheitslücken. Hacker hatten es auf Telemedizin-Sitzungen abgesehen, die über Zoom durchgeführt wurden, wie aus einer Studie der Forschungsabteilung des Software-Sicherheitsanbieters Check Point hervorgeht. (Zoom hat seine Verschlüsselungsprotokolle inzwischen verbessert.)
„Es herrschte große Verzweiflung“, sagt Drex DeFord, ehemaliger CIO bei Steward Health Care und Scripps Health, zwei der größten Gesundheitsnetzwerke in den USA, sowie Gründer der IT-Beratungsfirma für das Gesundheitswesen Drexio. „Wenn Ärzte Zoom oder FaceTime nutzen, wie lauten die entsprechenden Richtlinien?“ Gibt es hierfür ein Protokoll? „Unterdessen waren die CISOs abgelenkt – sie versuchten beispielsweise, Drive-Through-Testzentren einzurichten –, sodass sie sich nicht mit den Sicherheitsfragen befassen konnten, auf die sie sich normalerweise konzentrieren würden.“
Hacker zögerten nicht lange und starteten Malware-Angriffe. Von März bis April war ein Anstieg der Sicherheitswarnungen zur IP-Reputation um 117 % zu verzeichnen – ein Anzeichen für erhöhten Datenverkehr von dubiosen Websites – sowie ein Anstieg der Sicherheitsvorfälle im Bereich der Endpunkt-Sicherheit ( ) um 56 %, was bedeutet, dass mehr Hacker- und Malware-Angriffe ihr Ziel erreichten. Dies geht aus einer gemeinsamen Studie September 2020 des Sicherheitsbewertungsunternehmens SecurityScorecard und des Dark-Web-Forschungsunternehmens Dark Owl hervor. In dem Bericht wurde festgestellt, dass die zunehmende digitale Präsenz von Anbietern telemedizinischer Dienste die Angriffsfläche vergrößert habe.
Telemedizin wird zum Ziel von Phishing-Angriffen
Die weit verbreitete Verwirrung und Unsicherheit in den ersten Wochen der Pandemie machte Ärzte und Patienten zudem zu leichten Zielen für Phishing-Angriffe unter dem Motto „ “ (). Hacker versendeten an Patienten ausgeklügelte E-Mails, die mit gefälschten Links zu versprochenen „COVID-Impfstoffen“ und -Behandlungen lockten.
„Die Phishing-E-Mails waren brillant“, sagt DeFord. „Ein Arzt könnte eine Nachricht erhalten, in der es heißt: ‚Klicken Sie hier, um die aktuelle COVID-Infektionsrate für Ihre Region anzuzeigen.‘“ „Natürlich möchten Ärzte die neuesten Informationen erhalten, und so geraten sie in die Falle eines unseriösen Links.“
Das Ziel des Hackers besteht darin, die Benutzernamen und Passwörter des Opfers für Gesundheitsportale zu erfassen, auf denen wertvolle Daten gespeichert sind. Diese Datensätze können im Dark Web für bis zu 1 000 Dollar verkauft werden. Elektronische Patientenakten können dann von Kriminellen dazu missbraucht werden, Versicherungsgesellschaften durch betrügerische Forderungen um Zehntausende Dollar zu prellen. Dadurch sind sie weitaus wertvoller als gestohlene Kreditkartennummern (die für 100 Dollar gehandelt werden) und die nur bis zur Höhe ihres Kreditlimits gültig sind.
Das Phishing-Spiel wird jedoch gefährlich, sobald Hacker in das Netzwerk einer Einrichtung des Gesundheitswesens eindringen, wie dies bei den Angriffen im Oktober der Fall war. Dort können sie monatelang unentdeckt bleiben (von einem Medianwert von 54 Tagen bis zu 700 Tagen).
In dieser Zeit können Cyberkriminelle Daten entwenden, Schadsoftware installieren, die Rechte des Netzwerkadministrators an sich reißen und schließlich einen Ransomware-Angriff starten, wie er UHS lahmgelegt hat. Da das Leben ihrer Patienten auf dem Spiel steht, ist die Wahrscheinlichkeit groß, dass eine Einrichtung ein hohes Lösegeld zahlt. Tatsächlich haben seit dem Jahr 2016 insgesamt 172 Ransomware-Angriffe US-amerikanische Gesundheitsorganisationen mehr als 157 Millionen US-Dollar gekostet, wie aus einer Studie Februar 2020 von Comparitech, einer auf Verbraucher ausgerichteten Forschungswebsite für Technologiedienstleistungen, hervorgeht.
Bewährte Verfahren für die Telemedizin – und darüber hinaus
Die Gesundheitsbranche ist gestärkt aus den ersten Monaten der Pandemie hervorgegangen. Das Unternehmen hat durchgängig verbesserte Verschlüsselungs- und Sicherheitsprotokolle eingeführt. „Schon von Anfang an gab es mangelhafte Vorgehensweisen“, sagt Levin, der Vizepräsident für Unternehmensinformationssicherheit bei Optum. „Seitdem sind alle gereift.“
So sind beispielsweise die anfänglichen Telemedizin-Termine über Zoom mittlerweile sicheren und HIPAA-konformen Videokonferenzkanälen gewichen, die entweder intern von Gesundheitssystemen und Krankenhäusern entwickelt oder von externen Anbietern von Cloud-Sicherheitslösungen lizenziert wurden. Das Kernelement der HIPAA-Richtlinien ist der Schutz der Privatsphäre in Bezug auf Gesundheitsdaten von Patienten. In diesem Zeitraum waren CISOs, die eigene Telemedizin-Plattformen entwickelten, bestrebt, Verschlüsselungs- und Multi-Faktor-Authentifizierungsprotokolle gemäß den HIPAA-Standards zu integrieren und zu überprüfen.
Levin gibt CIOs und CTOs in der Gesundheitsbranche zudem folgende Empfehlungen, um die Gerätesicherheit und den Datenschutz zu gewährleisten:
Verwalten Sie Ihre Endgeräte: Legen Sie den Schwerpunkt auf die Absicherung der Endgeräte und die Verwaltung der Administratorrechte. Mit der EDR-Software (Endpoint Detection and Response) können Sie Versuche unbekannter Akteure, in Ihre Geräte einzudringen, erkennen. Levin empfiehlt zudem den Einsatz einer sogenannten „Whitelisting-Software“, die Anwendungen erst autorisiert, bevor diese auf Ihren Geräten ausgeführt werden können.
Schulen Sie Ihre Mitarbeiter: Raffinierte Phishing-Angriffe sowie „Spoofing“-Angriffe zielen darauf ab, vertrauensvolle oder unaufmerksame Mitarbeiter auszunutzen, um in gesicherte Netzwerke einzudringen. Laut einer Studie von Verizon sind Fehler von Mitarbeitern für bis zu 42 % der Datenschutzverletzungen im Gesundheitswesen verantwortlich. Einführungsschulungen sowie fortlaufende Weiterbildungs- und Entwicklungsmaßnahmen sollten diese Risiken hervorheben, doch Levin merkt an: „Man kann sich nicht zu 100 Prozent durch Schulungen aus dem Risiko herausbilden.“
Sicherheitsabläufe automatisieren: Für überlastete IT-Netzwerkadministratoren ist die KI von ihr bester Verbündeter in Sachen Cybersicherheit:. Dank der Fortschritte im Bereich des unüberwachten maschinellen Lernens ist es der KI möglich, Netzwerke kontinuierlich auf Anomalien bei Zugriffsversuchen zu überwachen und verdächtige Aktivitäten in Echtzeit zu melden.
Zero-Trust 7.12.: Das Zero-Trust-Betriebsmodell geht davon aus, dass jeder Akteur innerhalb eines Sicherheitsperimeters jederzeit authentifiziert werden muss. Es erfordert einen enormen Aufwand, jeden einzelnen Netzwerkzugriff von jedem Gerät aus zu identifizieren und zu überwachen sowie alle deren Verbindungspunkte zu erfassen. Dennoch sei dies der beste Ansatz, um die Sicherheit eines komplexen Gesundheitsnetzwerks zu stärken, so Levin.
Wenn uns die Pandemie eines gezeigt hat, dann ist es, dass das Gesundheitswesen, einschließlich der Telemedizin, stets mit einer gewissen Unsicherheit im Netzwerk zu kämpfen haben wird. Doch der radikale Stresstest, den COVID-19 may hervorrufen hat, hat tatsächlich dazu beigetragen, dies zu verbessern.
„Die Lage ist tatsächlich wesentlich sicherer als noch vor sechs Monaten“, stellt Levin fest. „COVID ist mittlerweile etwas, mit dem wir leben müssen. Wir sind uns bewusst, dass die Telemedizin nun schon seit geraumer Zeit ein fester Bestandteil unseres Lebens ist. „Das hat uns wirklich dazu bewegt, bessere Vorgehensweisen einzuführen.“
Illustration von Dan Bejar
