Sicherheitsstudie: Signifikante Schwachstellen im Herzstück der Krankenhaus-IT

Ein Forschungsteam des Fraunhofer-Instituts für Sichere Informationstechnologie SIT hat die IT-Sicherheit von Krankenhausinformationssystemen (KIS) untersucht und verschiedene Schwachstellen gefunden.

Krankenhausinformationssysteme (KIS) sind das Herzstück der Krankenhaus-IT: Hier laufen wichtige Informationen in unterschiedlichen Datenformaten zusammen – Diagnosen, Röntgenbilder, Medikationspläne, Labordaten usw. – und entsprechend viele unterschiedliche Schnittstellen (HL7, DICOM, FHIR etc.) müssen unterstützt werden. Ein Ausfall eines KIS bedeutet deshalb meist auch einen Ausfall der digitalen Behandlungsabläufe, womit die alltägliche Arbeit im Krankenhaus sowie die Versorgung der Patientinnen und Patienten extrem erschwert wird. Ein Angriff auf ein KIS, beispielsweise durch Ransomware, kann schwerwiegende Folgen haben, wie Aufnahmestopps von Patientinnen und Patienten, Abmeldung von der Notfallversorgung und Ausfälle von geplanten Operationen, erläutert das Fraunhofer SIT. Im Auftrag des Bundesamtes für Sicherheit in der Informationstechnik (BSI) habe man daherdie IT-Sicherheit von KIS untersucht und Handlungsempfehlungen für Kliniken und KIS-Hersteller entwickelt, um diese in die Lage zu versetzen, ihre IT besser gegen Angriffe abzusichern.

Mehr IT-Sicherheit in Krankenhäusern

Dafür haben die Fraunhofer-Forschenden zunächst evaluiert, welche KIS in Krankenhäusern am häufigsten eingesetzt werden und zwei Systeme identifiziert, die in zahlreichen klinischen Einrichtungen eingesetzt werden. Diese beiden Krankenhausinformationssysteme hat das Forschungsteam einem gründlichen Sicherheitstest (Penetrationstest) unterzogen und signifikante Schwachstellen gefunden, beispielsweise bei der Übertragung von Daten, der Speicherung und Verwaltung von Zugängen und Passwörtern sowie bei der Verteilung von Software-Updates.

In einem festgelegten Prozess wurden alle identifizierten Schwachstellen mit den betroffenen Herstellerfirmen betrachtet und evaluiert (Coordinated Vulnerability Disclosure). Die Herstellerfirmen zeigten sich dabei sehr kooperativ und konnten bis zum Zeitpunkt der Veröffentlichung der Studie schon die meisten Schwachstellen beheben oder ihre Wirkung begrenzen, sodas Fraunhofer SIT. Durch dieses Update hätten alle Krankenhäuser, die die beiden KIS nutzen und die Updates auch tatsächlich eingespielt haben, signifikant an IT-Sicherheit gewonnen.

Vorstellung der Ergebnisse auf der DMEA

Das Forschungsteam führt eine Fragerunde zu den Ergebnissen der Untersuchung auf der medizinischen IT-Fachmesse DMEA in Berlin durch, am 9. (14 bis 16 Uhr) und 10. April (10 bis 12 Uhr) am Stand des BSI in Halle 6.2 Stand B-110.