Resilienz gegen IT-Angriffe an Kliniken

Der unmittelbarste Schaden durch die meisten Cyberangriffe weltweit betrifft immer noch Unternehmensgewinne oder die Daten von Privatpersonen, die Hacker stehlen. Die Bundesregierung hat mit dem 2. ITSiG und der BSI-KritisV eine Liste mit 9 Sektoren „Kritischer Infrastrukturen“ definiert, darunter das Gesundheitswesen, in dem ein Cyberangriff zu erheblichen Störungen und zur Schädigung der Zivilgesellschaft führen könnte [3]. Auch ohne genaue Zahlen in der Literatur zu Angaben bezüglich möglicher Todesfälle, die auf IT-Angriffe zurückzuführen sind, zeigt sich, dass Angriffe auf Krankenhäuser die Versorgung auf immer gefährlicherem Niveau stören [10]. Im Jahr 2022 wurden bei einem Angriff auf das CommonSpirit Health in den USA, dem zweitgrößten gemeinnützigen Gesundheitssystem des Landes, die persönlichen Daten von über 600.000 Patienten entwendet, einschließlich elektronischer Krankenakten. Dies führte angeblich dazu, dass einem Kind versehentlich die 5fache Dosis an Medikamenten verabreicht wurde [11]. Ein Angriff auf 3 Krankenhäuser in New York im November 2022 zwang Ärzte dazu, auf Papierlösungen umzusteigen; dies verzögerte die Patientenversorgung [12]. Erst kürzlich erfolgte ein Cyberangriff auf die „Hospital Clínic i Provincial de Barcelona“: „Wegen der Attacke habe man am Montag [06.03.2023] 150 Operationen und rund 3000 Patiententermine absagen müssen, teilten die Klinikleitung und Sprecher der katalanischen Regionalregierung …mit. Zudem seien u. a. auch die Strahlenbehandlungen von Krebskranken alle ausgefallen“ [13]. Nach Angaben des CyberPeace Institute, USA, führt ein durchschnittlicher Cyberangriff auf ein Gesundheitssystem dazu, dass Patienten 19 Tage lang keine adäquate Form der Versorgung erhalten. In einem Fall führte ein Cyberangriff zu einer rund 4‑monatigen Unterbrechung der medizinischen Versorgung [14]. Von 2016 bis 2021 hatte sich die Zahl der Ransomware-Angriffe auf das amerikanische Gesundheitssystem mehr als verdoppelt [15].

In britischen National-Health-Service-Krankenhäusern mussten nach dem globalen WannaCry-Angriff im Mai 2017 oder nach dem Angriff auf das Hollywood Presbyterian Medical Center im Februar 2016 Operationen verschoben und Patienten in nahe gelegene Krankenhäuser umgeleitet werden [16]. In Deutschland erfolgte der erste in der weiteren Öffentlichkeit bekannte Cyberangriff auf ein Großklinikum im Jahr 2020. Das Universitätsklinikum Düsseldorf war mit Ransomware angegriffen worden und musste sich für mehrere Wochen von der Notfallversorgung abmelden [8]. Zudem verstarb eine Patientin, die nicht aufgenommen werden konnte und deshalb auf erheblichem Umweg in eine andere Klinik verbracht werden musste [9]. Der russische Einmarsch in die Ukraine im Februar 2022 weckte die Sorge, dass Russland möglicherweise verheerende Cyberangriffe gegen die Ukraine, die auf benachbarte NATO-Staaten übergreifen könnten, starten würde. Ende Januar 2023 warnte das Lagezentrum der Cybersicherheitsagentur Baden-Württemberg in einer Eilmeldung die Kliniken vor möglichen russischen Angriffen auf medizinische Einrichtungen [17].

In der Literatur wird ein erfolgreiches Risikomanagement durch die Schritte „hazard identification“, „risk assessment“ und „risk mitigation in case of unacceptable risk level“ definiert [18]. Für einen IT-Ausfall bedeutet dies, dass die verschiedenen Gefährdungen von Patienten, Personal und Infrastruktur, die durch den IT-Ausfall verursacht werden, identifiziert und durch Weiterentwicklung der Planung minimiert werden. Die neu gefasste ISO-31000-Norm verlagert bei der Definition von Risiko den Schwerpunkt von der Möglichkeit eines potentiellen Ereignisses, auf die Möglichkeit einer Auswirkung und insbesondere einer Auswirkung auf bestimmte Ziele [19]. In Analogie dieser ISO-Definition wurde in der 8‑monatigen Planungsphase eruiert, welche Kliniken, Abteilungen und Bereiche IT-abhängige Strukturen und Prozesse, die bei einem Cybercrimeangriff ausfallen würden, nutzen. Hierbei zeigte sich, dass in den wenigsten Bereichen der Klinik spezifische, auf den IT-Ausfall zugeschnittene Notfallkonzepte vorlagen. Zwar finden sich im Krankenhausalarm und -einsatzplan (KAEP) allgemeine Vorgehensweisen, jedoch hat sich sehr schnell gezeigt, dass spezifische Lösungen in den meisten Bereichen notwendig sind, die durch den KAEP nicht abgedeckt werden können. Das Vorgehen auf einer Intensivstation mit ihren besonderen Anforderungen und Therapieplänen unterscheidet sich grundlegend von den Bedürfnissen einer Bettenstation, in der z. B. differenzierte Diätpläne notwendig sind. Hier gehen beim IT-Ausfall in der Klinikküche keine auf die Patientenbedürfnisse abgestimmten Online-Essensbestellungen mehr ein, sodass die Essensausgabe, aber auch die Komponentenbestellungen für die Essenszubereitung in der Küche, in einem spezifisch auf diesen Bereich adaptierten Notfallplan geregelt sein muss. Dies gilt ebenso für alle anderen Unterstützungsprozesse (Apotheke, Ver- und Entsorgung, Medizintechnik, Gebäudeleittechnik und Logistik), die nicht nur auf die logistischen Prozesse abgestimmte Notfallpläne erstellen müssen, sondern auch entsprechende Offline-Papierlösungen vorzubereiten haben [20]. Da in der mehrmonatigen Evaluierungsphase deutlich wurde, dass in den wenigsten dieser Bereichen Notfallkonzepte vorhanden waren, wurden diese sowie die entsprechenden papierbasierten Dokumente erstellt. Es ergab sich somit, dass diese Evaluierungsphase mit den erarbeiteten Lösungen die wichtigste Komponente der Resilienzsteigerung gegen einen IT-Ausfall darstellte und in ihrer Bedeutung für die IT-Sicherheit die eigentliche Übung sogar übertraf.

Der Gesetzgeber hat Kliniken darauf hingewiesen, dass sie sich der erhöhten Gefahr von Cyberangriffen bewusst sein müssen. Zu vermuten ist allerdings, dass nicht genügend Abwehrstrategien ergriffen werden [7]. Erschwerend kommt hinzu, dass Mediziner und IT-Spezialisten selten dieselbe Sprache sprechen, sodass Bedürfnis und „Awareness“ nicht immer in Einklang zu bringen sind. Hier wäre es geboten, zur Vorbereitung auf einen IT-Angriff mit nachfolgendem Ausfall der EDV gemeinsame Übungen durchzuführen. Ziel von Übungen ist u. a., „konfliktträchtige Naht- und Schnittstellen im Vorfeld zu identifizieren sowie diese zu entschärfen“ [21]. Auf europäischer Ebene führte die Agentur für Cybersicherheit der Europäischen Union (ENISA) 2022 eine Übung durch, bei der ein Angriff auf ein Gesundheitssystem simuliert wurde, um die Angriffsbereitschaft des EU-Gesundheitssektors zu bewerten [23, 24]. Eine ähnliche Übung führte die estnische Agentur für Cybersicherheit durch [25]. Insgesamt übten 918 Teilnehmer (Planer, Akteure und Beobachter) aus 27 EU-Mitgliedstaaten, 2 Ländern der Europäischen Freihandelsassoziation (EFTA) sowie mehreren EU-Institutionen und -Agenturen. Die Teilnehmer kamen aus einer Vielzahl von Sektoren; das öffentliche Gesundheitswesen stellte die meisten Teilnehmer [24]. „Die von der ENISA organisierte europaweite Übung umfasste eine Desinformationskampagne mit manipulierten Laborergebnissen und einem Cyberangriff auf europäische Krankenhausnetzwerke. Das Szenario sah vor, dass sich der Angriff zu einer EU-weiten Cyberkrise mit der unmittelbar drohenden Offenlegung personenbezogener medizinischer Daten und einer weiteren Kampagne entwickelt, die darauf abzielt, ein medizinisches, implantierbares Gerät mit der Behauptung einer Verwundbarkeit zu diskreditieren“ [22]. Allerdings sind bis jetzt (Stand Ende Februar 2023) weder Methodik noch Ergebnisse der Übung publiziert worden. Als „take away“ wurde festgehalten: „Eine Übung wie Cyber Europe wird als Trainings- und Testgrundlage benötigt, da sie erfolgreich Lücken und Entwicklungspunkte in allen Bereichen aufzeigt, um die Cybersicherheitslage aller teilnehmenden Akteure zu verbessern … Cyber Europe 2022 bestätigte die Bedeutung einer optimalen Vorbereitung auf eine solche groß angelegte Übung …. Die Übung hat bestätigt, dass häufige Tests auf lokaler Ebene notwendig sind, um die Widerstandsfähigkeit des Gesundheitssektors gegenüber Cybersicherheitsbedrohungen kontinuierlich zu verbessern und zu stärken“ [23].

Die Stabsrahmenübung hatte zum Ziel, dass nicht nur die KEL, wie meistens üblich, ein theoretisches Szenario durchspielen sollte, sondern 4 wesentliche Dienstleister des Klinikums sollten real den kompletten Ausfall des IT-Netzes mit allen Folgen beüben, nämlich das Rechenzentrum, die Radiologie, die Klinische Chemie und die Apotheke. Im täglichen klinischen Betrieb können nicht einfach ganze Abteilungen „abgeschaltet“ werden. In den direkt übenden Bereichen wurde der normale Betrieb aufrechterhalten, aber eine zweite personelle Schicht arbeitete parallel in einem Szenario, das vom Kliniknetz getrennte Geräte simulierte und die papierbasierten Ersatzlösungen benutzte. Deren Erfahrungen und Ergebnisse wurden in einem ausführlichen Report festgehalten; dieser fand Eingang sowohl in die Risikoanalyse als auch in die Festlegung kurz- und langfristig zu ergreifender Maßnahmen. Im Vorfeld der Übung hatte sich schon gezeigt, dass ein Betrieb bestimmter Geräte ohne Netz nur möglich ist, wenn zusätzliches Equipment vorgehalten wird. Zum Gerätebetrieb wurden externe Festplatten mit darauf gespeicherter Software angeschafft sowie netzwerkunabhängige Laptops mit Auswerte-Software zu Befundung und Ausgabe der Ergebnisse. Allerdings deckt das Krankenhausinformationssystem (KIS) nicht nur medizinische Prozesse wie Aufnahme und Entlassung, Diagnosen, Behandlung und Lebenserhaltungssysteme ab, sondern auch Verwaltungs‑, Finanz‑, Rechts‑, Aufzeichnungs- und alle anderen Aspekte der Informationsverarbeitung. Auch hierfür müssen entsprechende Vorhaltungen für einen längerfristigen EDV-Ausfall getroffen werden [26].

Wie schon dargelegt, geht ein IT-Ausfall mit einer potenziellen Gefährdung der Patienten einher [10]. Ein kompletter Ausfall des IT-Netzes betrifft das KIS, das Laborinformationssystem (LIS), das Radiologie-Informationssystem (RIS), das Picture Archiving and Communication System (PACS), die Telekommunikation, die OP-Planung, die Sterilisation und die Transportlogistik von Patienten und Waren [20]. Bei der Übung erfolgte deshalb frühzeitig die simulierte Abmeldung der Klinik bei der Rettungsleitstelle. Die ZINA, Ambulanzen und Radiologie arbeiten die wartenden Patienten anhand der vorgehaltenen Papiervorlagen und -dokumentation ab. Soweit möglich werden terminierte Patienten anhand von Notfallhandys und privaten mobilen Telefonen ausbestellt. Der OP-Betrieb muss in den Notfallmodus versetzt werden; dies bedeutet kein Ansetzen neuer elektiver Patienten, sondern nur noch Notfalloperationen an sich bereits in der Klinik befindenden Patienten. Letzteres stellt an und für sich kein besonderes Problem dar, da ein solches Vorgehen weitgehend dem Ablauf in der Nacht sowie an Wochenenden und Feiertagen entspricht [20]. Das Personal ist mit einer solchen Umstellung vertraut. Allerdings bringt ein IT-Ausfall noch weitergehende Einschränkungen mit sich. Alle Prozeduren müssen ausschließlich auf Papierbasis festgehalten werden, Operationen müssen ohne PACS-Einspielungen vorgenommen werden und navigatorisches Vorgehen ist weitgehend unmöglich. Ein besonderes Problem stellt der völlige Ausfall der Sterilisationsanlage dar. Ohne genügend Sterilgut ist kein sicheres Operieren mehr möglich. Im Universitätsklinikum Ulm wurde dies in der Weise gelöst, dass ein Vertrag mit einer benachbarten Klinik geschlossen wurde, sodass die Sterilgut-Aufbereitung in einer solchen Situation von der jeweils nichtbetroffenen Klinik vorgenommen wird.

Schon im normalen Alltagsgeschehen und im Besonderen in Krisensituationen ist eine funktionierende Kommunikation innerhalb der Klinik und mit der Außenwelt unabdingbar. Beim IT-bedingten Ausfall der Telekommunikation müssen vordefinierte Handlungsanweisungen festgelegt werden; Ersatzlösungen müssen unverzüglich zum Einsatz kommen. Dies betrifft hardwaremäßig die Vorhaltung von ausreichenden Notfalltelefonen, die z. B. über das öffentliche Mobilfunknetz betrieben werden. Alle Mitarbeiter des Universitätsklinikum Ulm unterliegen der verpflichtenden Anweisung, diese Notfalltelefone regelmäßig auf ihren Ladezustand zu überprüfen, bei Ausfall der Kliniktelefone die Notfallhandys unverzüglich an sich zu nehmen und die Notfall-Telefonliste auch in ausgedruckter Form vorrätig zu halten. Bei der Übung zeigte sich jedoch, dass der Mobilfunkempfang in einzelnen Teilen der verzweigten Gebäudekomplexe unsicher war, sodass nachgerüstet werden musste. Die am Ende der Übung geplante Videokonferenz über eine Cloud-basierte und damit netzwerkunabhängige App kam nicht zustande, da zu viele der Notfalltelefone nicht internetfähig waren; auch hier wurden inzwischen neue internetfähige Geräte beschafft.

Bei einem IT-Ausfall ist die Klinik von außen nicht mehr erreichbar, sei es für Besucher, Presse oder externe Dienstleister. Hier empfiehlt es sich, ankommende Besucher an einem Sammelpunkt durch kompetentes Personal zu informieren und ggf. zu führen. Über den örtlichen Rundfunk oder Fernsehsender sollte die Bevölkerung informiert werden, und eine zentrale Informationsstelle soll die Presse mit gezielten, von der KEL autorisierten Informationen versorgen. Ansonsten besteht die Gefahr, dass zu viele falsche oder missverständliche Informationen von Mitarbeitenden oder Dritten über die sozialen Medien verbreitet werden. Vonseiten der KEL sollte nicht nur eine Abmeldung der Klinik bei der Rettungsleitstelle erfolgen, sondern auch umliegende Kliniken sollten hierüber und über die evtl. Notwendigkeit, Patienten zu verlegen, informiert werden [20].

Die Resilienzmatrix (Abb. 4) zeigte die Bereiche Blutbank, Gebäudeleittechnik und KEL am besten gerüstet für einen IT-Ausfall. Dies ist nicht verwunderlich, da diese Bereiche den Rückfall auf papierbasierte Anforderungen noch im Rahmen von Störungen des Routinebetriebs kennen und des Weiteren die Gebäudeleittechnik eine vom IT-Netzwerk unabhängige Steuerung besitzt. Bei einer Integration in das bestehende Kliniknetz ist zu fordern, dass diese, wie die schon bestehende digitale Telekomunikation, im IT-Netzt so „gekapselt“ werden, sodass sie von Hackerangriffen nicht tangiert werden können. Genauso muss über eine weitere Kapselung oder zu schaffende „Insellösungen“ in den Bereichen, die essenzielle Dienstleitungen für Patienten und Personal bereitstellen, nachgedacht werden. Naturgemäß erzielt die IT selbst in den ersten Tagen die schlechteste Bewertung bezüglich ihrer Resilienz, da sie für die Klinik nicht mehr zur Verfügung steht.

Die Postexercise-Befragung des übenden Personals ergab eine sehr hohe Zufriedenheit mit dem Ablauf der durchgeführten Übung. Dagegen wurde das Vertrauen sowohl in die eigene Resilienz und insbesondere in die der IT-Struktur unter dem Durchschnitt bewertet. Zum Teil verständlich wird dies, da mit der zunehmenden Digitalisierung und Vernetzung im Gesundheitswesen auch die Gefahr von IT-Schwachstellen steigt; Hacker könnten diese als Einfallstor nutzen [5]. Nicht nur die papierlose Dokumentation, die Online-Speicherung von Vitalparametern in Anästhesie und Intensivmedizin, sondern auch die Steuerung aller technischen Einrichtungen ist teilweise schon in Kliniken installiert oder wird in naher Zukunft verwirklicht werden. Zudem können sich heutzutage schon Patienten und Besucher per WLAN in das Kliniknetz einwählen; hier ist darauf zu achten, dass eine konsequente Trennung und Kapselung des „Gastzugangs“ vorgenommen wird. Die Telekommunikation unter den Mitarbeitern oder nach außen wird mehr und mehr von analog auf digital umgestellt. Zudem werden zunehmend Schnittstellen nach extern geschaffen, sei es das Einlesen der elektronischen Gesundheitskarte oder Schnittstellen zu anderen Kliniken oder Praxen zur Datenübermittlung im Rahmen der Telemedizin. Für Hacker und Cyberangreifer ist es recht einfach, Schwachpunkte zu finden und Kliniksysteme anzugreifen. Auch wenn Krankenhäuser nicht direktes Ziel eines Angriffs sind, könnten sie indirekt von einem Cybervorfall betroffen sein [7]. Das IT-Sicherheitsmanagement eines Krankenhauses muss auch darauf ausgerichtet sein, dass Produkte oder externe Dienste, die das Krankenhaus im Rahmen der Behandlung nutzt, ausfallen können. Andererseits können aber auch Lieferketten Einfallstore für einen Virenangriff darstellen. Das Risiko bezüglich der Lieferketten eines Krankenhauses kann von zahlreichen potenziellen Eintrittspunkten wie Medikamenten- und Medizinproduktlieferanten ausgehen, von installierter Software oder von Fremdpersonal, die/das sich Zugang zum IT-System verschaffen kann. Um dem zumindest teilweise vorzubeugen, müssen Betreiber Kritischer Infrastruktur seit dem 01.05.2023 nach § 8a des BSI-Gesetzes angemessene organisatorische und technische Vorkehrungen treffen, um IT-Angriffe zu erkennen [7]. Außerdem regelt § 8a, Abs. 3 BSI-Gesetz die Pflicht, alle 2 Jahre ein KRITIS-Audit durchzuführen. Das Audit soll den Nachweis erbringen, dass die IT-Sicherheit dem Stand der Technik entspricht [7]. Aber auch der Faktor Mensch in der Klinik selbst stellt einen Risikofaktor dar. Nach einer amerikanischen Studie scheinen Beschäftigte im Gesundheitswesen für Cyberangriffe anfälliger zu sein als andere Personen. Die Studie ergab, dass Beschäftigte im Gesundheitswesen auf jede siebte simulierte Phishing-E-Mail klickten [28]. Deshalb sollten auch dienstliche E‑Mails grundsätzlich nicht auf private Mobilgeräte versandt werden. Schärfung der Awareness, Schulung und die Wiederholungen von Übungen sind geboten.

„Liegt ein Cybervorfall vor, muss das Krankenhaus umgehend Maßnahmen einleiten, um eine mögliche Beeinträchtigung des Krankenhausbetriebs zu reduzieren und den reibungslosen Klinikbetrieb wiederherzustellen“ [29]. Dazu gehört auch, dass bei einem Cyberangriff im Krankenhaus verschiedene Rechtspflichten beachtet werden, die unterschiedliche Voraussetzungen und Adressaten haben [30]. Die Nichtbefolgung insbesondere der Meldepflichten nach dem BSI-Gesetz und der Datenschutz-Grundverordnung (DS-GVO) kann Strafmaßnahmen für die Klinik zur Folge haben, die den entstandenen finanziellen Schaden noch vergrößern könnten. Für die Meldung stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) ein Melde- und Informationsportal zur Verfügung [31]. Das BSI betont auch die Wichtigkeit, eine Strafanzeige zu erstatten. Die Cybercrime-Einheiten der Polizei ergreifen u. a. Maßnahmen zur Ermittlung der Angreifer und Art des Angriffs. Für diese Ermittlungen kann, nach bisherigen Erfahrungen an angegriffenen deutschen Kliniken, der Wiederaufbau der IT-Strukturen für Tage lahmgelegt sein. Im Verlauf der vorgestellten Stabsrahmenübung wurden auf Anordnung der KEL das Bundesamt für Sicherheit in der Informationstechnik (BSI), die Cybercrime Unit der Polizei und das Ministerium für Wissenschaft, Forschung und Kunst Baden-Württemberg in seiner Funktion als staatlicher Gewährträger informiert.

Forderungen nach Präventivmaßnahmen für einen IT-Angriff stehen und fallen mit der Frage nach der Finanzierung. Erst die Klärung der Finanzierungsfrage ebnet den Weg für ernsthafte Bedarfsplanungen und die Entwicklung konkret fassbarer Konzepte. Übungen sind kostenintensiv; sowohl Bund wie auch Länder stellen keine Finanzierung zur Verfügung. Damit bleibt nur ein denkbar schlechter Weg: Die Klinikbetreiber selbst müssen die aus ihrem Versorgungsauftrag ableitbaren Opportunitätskosten für die Vorsorge auf einen IT-Angriff tragen. Da dabei nahezu unvermeidbare Qualitätsdefizite auftreten, unterstreicht die Dringlichkeit einer zeitnahen Klärung der Finanzierungsfrage [27].