Cyber-Attacken im Gesundheitswesen

Die zunehmende Digitalisierung macht auch vor dem Gesundheitssystem nicht Halt. Diagnosen und Therapieformen werden heute in Krankenhäusern digital gespeichert, Laborberichte über das Internet übertragen und Krankenhäuser und -kassen kommunizieren auf dem digitalen Weg miteinander. All das hat auch dazu geführt, dass die Gefahr eines Cyber-Angriffs und Diebstahls vertraulicher Informationen deutlich gestiegen ist.

Dass Institutionen im Gesundheitswesen dabei Standard-Sicherheitsvorkehrungen mit Firewall, Antivirenschutz oder Webfilter-Techniken treffen, sollte eine Selbstverständlichkeit sein. Doch dies ist keinesfalls ausreichend, wie die Vergangenheit gezeigt hat. Mit immer ausgefeilteren Methoden wie den aktuell anzutreffenden zielgerichteten Web-Attacken, den Advanced Persistent Threats (APTs), ist es heute relativ leicht möglich, den Schutzwall gegen Angriffe von außen zu überwinden. Nahezu immer wurden in solchen Fällen von Datensabotage oder -diebstahl privilegierte Benutzerkonten als Einfallstor genutzt. Mit ihren weitreichenden Rechten stellen sie prinzipiell für jedes Unternehmen, jede Behörde, aber auch jedes Krankenhaus eine Sicherheitsgefahr dar. Der Grund: Über sie wird die gesamte IT-Umgebung mit Servern, Datenbanken und Netzwerkgeräten gesteuert und verwaltet.

Es stellt sich folglich die Frage, wie die Sicherheit aufrechtzuerhalten ist, wenn der Angreifer den äußeren Schutzwall überwunden hat und sich bereits innerhalb des eigenen Netzwerkes befindet. Denn sobald er im Besitz von privilegierten Zugangsdaten ist, kann er problemlos Ressourcen kontrollieren, Krankenhausinformationssysteme (KIS) lahmlegen, Sicherheitssysteme ausschalten oder auf vertrauliche Daten zugreifen. Im Gesundheitswesen betrifft das Sicherheitsrisiko dabei keineswegs nur die reine IT, sondern auch medizinische Geräte, die in die IT-Systemlandschaft integriert sind. Beispiele sind Magnetresonanz- und Computertomographen, Ultraschall- und Röntgengeräte oder Dialysemaschinen. Früher wurden solche Systeme noch getrennt von der IT betrieben, heute sind sie aber in immer stärkerem Maße mit der IT-Welt verknüpft und damit auch – bedingt durch IT-Schwachstellen – leichter angreifbar.

Wenn aber die klassische Perimeter-Sicherheit prinzipbedingt keinen ausreichenden Schutz mehr vor externen Angriffen bietet, müssen die Systeme und Applikationen selbst in den Mittelpunkt der Sicherheitsstrategie rücken. Genau dies ist der Ansatz von Privileged-Account-Security-Lösungen, mit denen privilegierte Zugriffe auf beliebige Zielsysteme zentral berechtigt, jederzeit kontrolliert und revisionssicher auditiert werden können. Immer mehr Unternehmen erkennen auch die Notwendigkeit zur Implementierung einer solchen Lösung, wie das starke Wachstum dieses Marktsegmentes belegt.

Organisatorische Maßnahmen ergreifen

Vor der Implementierung einer Privileged-Account-Security-Lösung sind aber zunächst organisatorische Maßnahmen zu ergreifen, das betrifft vor allem das Rechte- und Rollenmanagement. Das heißt, in einem ersten Schritt muss – falls noch nicht geschehen – für privilegierte Administratoren-Accounts ein Berechtigungskonzept mit klar definierten Rollenmodellen erstellt werden. Durch das Rechtemanagement wird sichergestellt, dass die Administratoren nur Zugriff auf Daten inklusive Metadaten erhalten, die sie für die Durchführung ihrer Aufgaben benötigen. Dieses Rechtemanagement ist die Grundvoraussetzung für die Umsetzung einer rollenbasierten Zugriffskontrolle.

Die Realität sieht im Gesundheitswesen oft noch gänzlich anders aus. So ist es keine Seltenheit, dass in einem kleinen Krankenhaus jeder IT-Mitarbeiter mit Windows-Rechner gleichzeitig Domain-Administrator ist. Das ist allein schon unter datenschutzrechtlichen Aspekten extrem problematisch. So heißt es etwa in der Anlage zu §9 Satz 1 des Bundesdatenschutzgesetzes ganz klar: Es ist zu „gewährleisten, dass die zur Benutzung eines Datenverarbeitungssystems Berechtigten ausschließlich auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können, und dass personenbezogene Daten bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können (Zugriffskontrolle).“

Privilegierte Benutzerkonten identifizieren und zuverlässig sichern

Bevor privilegierte und administrative Benutzerkonten entsprechend gesichert werden, müssen sie zunächst identifiziert werden. Dies ist prinzipiell keine einfache Aufgabe, da eine typische IT-Umgebung in einem Krankenhaus aus einer Vielzahl von Servern, Datenbanken und Netzwerkgeräten besteht, die über persönliche, häufig aber auch über generische, manchmal sogar lokale Admin-Konten gesteuert und verwaltet werden. Eine Lösung im Bereich Privileged Account Security sollte somit zunächst einmal die Möglichkeit bieten, diese Konten automatisch zu erkennen und zu analysieren – mit einer detaillierten Auswertung hinsichtlich Anzahl, Ort und Status.

Doch von welchen Konten gehen überhaupt die größten Gefahren aus? Hier sind eindeutig die von mehreren Personen genutzten sogenannten Shared Accounts zu nennen, zum Beispiel Administratoren- und Dienste-Konten in Windows, Root-Konten in Unix/Linux oder Administrator-Konten für Datenbanksysteme. Bei ihnen kann nicht kontrolliert werden, welcher Mitarbeiter ein Konto wann und wozu verwendet hat, das heißt, eine revisionssichere Überprüfung der Verwendung eines generischen Kontos bis auf die Personenebene ist nicht möglich.

Zur Sicherung von Benutzerkonten mit erweiterten Rechten sind heute verschiedene Lösungen auf dem Markt verfügbar. Bei der Auswahl sollte auf jeden Fall darauf geachtet werden, dass die Applikation neben einer regelmäßigen, automatischen Änderung aller Passwörter auch die Möglichkeit einer vollständigen Nachvollziehbarkeit sämtlicher Aktivitäten bietet. Mittels solcher Session-Protokolle ist es dann möglich, nicht nur zu überprüfen, wer Zugang zu vertraulichen Informationen hat, sondern auch, auf welche er zugreift und was er mit diesen Informationen macht. Dieser Punkt ist vor allem auch deshalb von Bedeutung, da viele Krankenhäuser nur über kleinere IT-Abteilungen verfügen und auf die Unterstützung externer IT-Provider angewiesen sind. Und auch auf die einzelnen medizinischen Geräte erfolgt in der Regel ein Remote-Zugriff durch die jeweiligen Hersteller.

Konkret muss eine Sicherheitsapplikation drei Leistungsmerkmale bieten: Zugriffskontrolle, Überwachung und Reaktionsmöglichkeit. Grundvoraussetzung ist, dass sie eine Kontrollfunktion für die Verwendung von Passwörtern und den Zugriff auf Zielsysteme enthält. Zudem muss eine vollständige Überwachung der Nutzung privilegierter Konten gewährleistet sein. Nicht zuletzt sollte eine Privileged-Account-Security-Applikation natürlich auch eine sofortige Reaktion bei Sicherheitsvorfällen ermöglichen. Diese könnte auch den Entzug von privilegierten Zugriffsberechtigungen oder das Beenden einer aktiven Verbindung beinhalten.

Echtzeit-Analytik bietet Sicherheitsplus

Eine zukunftsweisende Lösung im Bereich Privileged Account Security bietet auch Echtzeit-Analytik und -Alarmierung bereits bei verdächtigen Aktivitäten im Zusammenhang mit privilegierten Konten; das betrifft zum Beispiel abweichende Zugriffszeiten oder die ungewöhnliche Häufung von Zugriffen.

Sicherheitsverantwortliche erhalten damit zielgerichtete Bedrohungsanalysen in Echtzeit, auf deren Basis sie auch auf laufende Angriffe reagieren können.
Alle Unternehmen, Behörden und Institutionen sind heute letztendlich den gleichen Cyber-Gefahren ausgesetzt. IT-Sicherheitslücken sollten deshalb mit State-of the-Art-Lösungen zuverlässig geschlossen werden. Und das betrifft nicht zuletzt auch Benutzerkonten mit erweiterten Rechten. An einer Lösung im Bereich Privileged Account Security, die einen gezielten Schutz dieser Konten bietet, führt deshalb auch im Gesundheitswesen kein Weg vorbei. Nur damit ist eine generellen Erhöhung der Sicherheit und zuverlässige Erfüllung von Compliance-Anforderungen gewährleistet.

Best-Practice-Leitfaden für das Management privilegierter Benutzerkonten

1. Ermittlung der wichtigsten Systeme, Anwendungen und Datenbanken und deren zugrunde liegenden privilegierten Konten.
2. Bestimmung der Personen, die Zugriff auf privilegierte Konten haben sollen.
3. Definition von Richtlinien und Workflows für einen privilegierten Zugang zu den wichtigsten Systemen.
4. Einrichtung von Prozessen, die automatisch die Security-Richtlinien umsetzen.
5. Sicherung von Passwörtern in einem virtuellen Tresor.
6. Überwachung der Accounts und privilegierten Aktivitäten mit Warnmeldungen, sobald die Richtlinien nicht eingehalten werden.

* Christian Götz ist Director of Presales and Professional Services DACH bei CyberArk

Bildquelle: Thinkstock/ iStock