Analytischer Überblick über Cybersecurity-Bedrohungen für medizinische Informationssysteme von 2007 bis 2017.

– Wie verbreitet sind medizinische Informationssysteme in Deutschland?
– Können Sie mehr über das einheitliche Informationssystem des Gesundheitswesens (EISG) erzählen?
– Können Sie mehr über die technischen Besonderheiten einheimischer medizinischer Informationssysteme sagen?
– Wie steht es um die Cybersecurity der heimischen EMIAS-Systeme?
– Wie sieht die Situation mit der Cybersecurity medizinischer Informationssysteme in Zahlen aus?
– Können Computerviren medizinische Geräte infizieren?
– Wie gefährlich sind Ransomware-Viren für den medizinischen Bereich?
– Wenn Cybervorfälle so gefährlich sind, warum digitalisieren Hersteller medizinische Geräte?
– Warum haben Cyberkriminelle den Fokus von der Finanzbranche und Einzelhandelsgeschäften auf medizinische Zentren verlagert?
– Warum haben die Infektionsfälle durch Ransomware im medizinischen Sektor zugenommen und nehmen weiter zu?
– Ärzte, Pflegepersonal und Patienten, die von WannaCry betroffen sind – welche Folgen hat das für sie?
– Wie kann Cyberkriminalität einer Klinik für Plastische Chirurgie schaden?
– Ein Cyberkrimineller hat eine Gesundheitskarte gestohlen – welche Risiken birgt das für den rechtmäßigen Besitzer?
– Warum ist der Diebstahl von Gesundheitskarten so stark im Steigen?
– Wie hängen Diebstähle von Sozialversicherungsnummern mit der kriminellen Fälscherindustrie zusammen?
– Es wird viel über die Perspektiven und die Sicherheit von Künstlicher Intelligenz gesprochen. Wie sieht es im Gesundheitssektor aus?
– Hat der Gesundheitssektor aus der WannaCry-Situation gelernt?
– Wie können medizinische Zentren ihre Cybersicherheit gewährleisten?

Diese Übersicht enthält ein Dankschreiben des Gesundheitsministeriums der Russischen Föderation (siehe Screenshot unter dem Spoiler).

Wie verbreitet sind medizinische Informationssysteme in Russland?

Im Jahr 2006 berichtete die IT-Firma „Informática Sibir“ (spezialisiert auf die Entwicklung medizinischer Informationssysteme) [38]: „Die MIT Technology Review veröffentlicht regelmäßig eine Liste der zehn vielversprechendsten Informations- und Kommunikationstechnologien, die in naher Zukunft den größten Einfluss auf die menschliche Gesellschaft haben werden. Im Jahr 2006 machten 6 von 10 Technologien auf dieser Liste solche, die in irgendeiner Form mit medizinischen Fragestellungen verbunden sind. Das Jahr 2007 wurde in Russland zum ‚Jahr der Informatisierung des Gesundheitswesens‘ erklärt. Von 2007 bis 2017 nahm die Abhängigkeit des Gesundheitswesens von Informations- und Kommunikationstechnologien stetig zu.
Am 10. September 2012 berichtete das Informations- und Analysezentrum "Offene Systeme" [41], dass im Jahr 2012 bereits 350 Polikliniken Moskaus an das EMIAS (Einheitliches Medizinisches Informations- und Analysesystem) angeschlossen waren. Wenig später, am 24. Oktober 2012, meldete dieselbe Quelle [42], dass mittlerweile 3.800 Ärzte über automatisierte Arbeitsplätze verfügen und 1,8 Millionen Bürger den EMIAS-Service bereits getestet haben. Am 12. Mai 2015 informierte dieselbe Quelle [40], dass EMIAS in allen 660 staatlichen Polikliniken Moskaus aktiv ist und Daten von über 7 Millionen Patienten enthält.
Am 25. Juni 2016 veröffentlichte das Magazin „Profil“ [43] ein Expertenurteil des internationalen Analysezentrums PwC: „Moskau ist die einzige Metropole, in der ein einheitliches Managementsystem für städtische Kliniken vollständig implementiert wurde, während ähnliche Lösungen in anderen Städten der Welt, einschließlich New York und London, noch in der Diskussionsphase sind.“ „Profil“ berichtete auch, dass zum 25. Juli 2016 75% der Moskauer (rund 9 Millionen Menschen) im EMIAS registriert sind; mehr als 20.000 Ärzte sind im System aktiv; seit der Einführung des Systems wurden über 240 Millionen Arzttermine vereinbart; täglich werden im System mehr als 500.000 verschiedene Vorgänge durchgeführt. Am 10. Februar 2017 berichtete „Echo Moskwy“ [39], dass mittlerweile über 97% der medizinischen Termine in Moskau nach vorheriger Anmeldung über EMIAS stattfinden.
Am 19. Juli 2016 erklärte Veronika Skvortsova, die Ministerin für Gesundheit der Russischen Föderation, dass bis Ende 2018 95 % der medizinischen Zentren des Landes an das einheitliche staatliche Informationssystem im Gesundheitswesen (EGISZ) angeschlossen sein werden. Dies geschieht durch die Einführung einer einheitlichen elektronischen Patientenakte (EMK). Das entsprechende Gesetz, das die russischen Regionen verpflichtet, sich an das System anzuschließen, hat bereits eine öffentliche Diskussion durchlaufen und wurde mit allen interessierten Bundesbehörden abgestimmt. Es wird in Kürze der Regierung vorgelegt. Veronika Skvortsova berichtete, dass in 83 Regionen eine elektronische Terminvereinbarung für Arztbesuche organisiert wurde; in 66 Gebietseinheiten wurde ein einheitliches regionales System für die Notarztvermittlung eingeführt; in 81 Regionen des Landes funktionieren medizinische Informationssysteme, zu denen 57 % der Ärzte an automatisierte Arbeitsplätze angeschlossen sind.

Könnten Sie mehr über das einheitliche staatliche Informationssystem im Gesundheitswesen (EGSIZ) erzählen?

EGSIS ist das Fundament aller nationalen medizinischen Informationssysteme (MIS). Es besteht aus regionalen Fragmenten – RISUZ (regionale Informationssystem für das Gesundheitsmanagement). EMIAS, das bereits erwähnt wurde, ist eines der Abbildungen von RISUZ (das bekannteste und vielversprechendste). [51] Wie die Redaktion der Zeitschrift 'Direktor der Informationsdienste' erläutert, ist EGSIS eine cloud-basierte IT-Infrastruktur, deren regionale Segmente von Forschungszentren in Kaliningrad, Kostroma, Nowosibirsk, Orjol, Saratow, Tomsk und anderen Städten der Russischen Föderation entwickelt werden.
Die Aufgabe von EGSIS besteht darin, die "Flicken-IT" im Gesundheitswesen zu beseitigen; durch die Interoperabilität von MIS verschiedener Ämter, von denen jedes vor der Einführung von EGSIS seine eigene, individuell angefertigte Software ohne zentrale Standards verwendete. [54] Seit 2008 basiert der einheitliche Informationsraum des Gesundheitswesens der Russischen Föderation auf 26 branchenspezifischen IT-Standards [50]. 20 davon sind international.
Die Funktionsweise von medizinischen Zentren hängt stark von Informationssystemen wie OpenEMR oder EMIAS ab. Diese Systeme gewährleisten die Speicherung von Patientendaten, einschließlich Diagnosenergebnissen, Informationen über verschriebene Medikamente, Krankengeschichte usw. Die am weitesten verbreiteten Komponenten von Informationssystemen (Stand 30. März 2017) sind: EHR (Electronic Health Records) – ein System zur Verwaltung elektronischer Patientenakten, das die Patientendaten strukturiert speichert und die Krankengeschichte führt. NAS (Network Attached Storage) – ein Netzwerkdatenspeicher. DICOM (Digital Imaging and Communications in Medicine) – ein Standard zur Erstellung und zum Austausch digitaler Bilder in der Medizin. PACS (Picture Archiving and Communication System) – ein System zur Speicherung und zum Austausch von Bildern, das dem DICOM-Standard entspricht. Es erstellt, speichert und visualisiert medizinische Bilder und Dokumente von Patientenuntersuchungen. Das häufigste DICOM-System. [3] All diese Informationssysteme sind anfällig für umfassend entwickelte Cyberangriffe, deren Einzelheiten öffentlich zugänglich sind.
Im Jahr 2015 berichteten die technischen Experten P.S. Zhilayev, T.I. Goryunova und K.I. Volodin von der "Penzenskij Staatlichen Technologischen Universität" in ihrem Artikel über Cybersicherheit im medizinischen Sektor, dass das EMMIS Folgendes umfasst: 1) IMEC (integrierte medizinische elektronische Karte); 2) städtisches Patientenregister; 3) System zur Patientenströmeverwaltung; 4) System für integrierte medizinische Informationen; 5) System für konsolidierte Managementbuchhaltung; 6) System für die personalisierte medizinische Hilfe; 7) System zur Verwaltung medizinischer Register. Was IMEC betrifft, so wurde laut einem Bericht von [39] Radio "Echo Moskau" (10. Februar 2017) dieses Teilsystem auf der Grundlage der fortschrittlichen Erfahrungen des Standards OpenEHR entwickelt, der die fortschrittlichste Technologie darstellt, auf die technologisch entwickelte Länder schrittweise umsteigen.
Die Redaktion des Magazins „Computerworld Russland“ erklärte zudem [41], dass neben der Integration all dieser Dienste untereinander und mit den Informationssystemen der Gesundheitseinrichtungen, das E-MIAS auch mit der Software des föderalen Teils „EGIS-Gesund“ (EGIS – einheitliches staatliches Informationssystem) und den Systemen der elektronischen Regierung, einschließlich der Portale für staatliche Dienstleistungen, interagiert. Wenig später, am 25. Juli 2016, präzisierte die Redaktion des Magazins „Profil“ [43], dass E-MIAS derzeit mehrere Dienste vereint: ein Situationszentrum, eine elektronische Registrierung, EMK, elektronische Rezepte, Krankenscheine, einen Labordienst und die individualisierte Dokumentation.
Am 7. April 2016 berichtete die Redaktion des Magazins „Direktor des Informationsdienstes“ [59], dass E-MIAS in die Apotheken eingeführt wurde. In allen Moskauer Apotheken, die Medikamente auf Rezept abgeben, wurde ein „automatisiertes System zur Verwaltung der Arzneimittelversorgung der Bevölkerung“ – M-Apotheke – implementiert.
Am 19. Januar 2017 berichtete dieselbe Quelle, dass seit 2015 in Moskau die Einführung eines einheitlichen radiologischen Informationsdienstes (ERIS) begonnen hat, der mit dem EMIAS integriert ist. Für Ärzte, die Patienten Überweisungen für diagnostische Untersuchungen ausstellen, wurden technische Karten für radiologische Studien, Ultraschall, CT und MRT entwickelt, die ebenfalls mit dem EMIAS integriert sind. Im Zuge der Projektvergrößerung ist geplant, auch stationäre Einrichtungen mit ihrem umfangreichen Equipment an den Dienst anzuschließen. Viele Krankenhäuser verfügen über eigene Managementinformationssysteme, mit denen ebenfalls eine Integration erfolgen muss. Die Redaktion von „Profil“ stellt ebenfalls fest, dass die positiven Erfahrungen in der Hauptstadt auch in den Regionen Interesse an der Einführung des EMIAS wecken.

Könnte man detaillierter über die technischen Besonderheiten einheimischer medizinischer Informationssysteme informieren?

Die Informationen zu diesem Absatz stammen aus der analytischen Übersicht [49] «Informatiсhki Sibir». Ungefähr 70 % der medizinischen Informationssysteme basieren auf relationalen Datenbanken. Im Jahr 1999 verwendeten 47 % der medizinischen Informationssysteme lokale (Desktop-)Datenbanken, wobei in den meisten Fällen Tabellen von dBase verwendet wurden. Dieser Ansatz ist typisch für die Anfangsphase der Softwareentwicklung im medizinischen Bereich und die Erstellung von spezialisierten Produkten.
Mit jedem Jahr nimmt die Anzahl der inländischen Systeme auf Basis von Desktop-Datenbanken ab. Im Jahr 2003 lag dieser Wert bereits nur noch bei 4 %. Heutzutage verwendet praktisch niemand unter den Entwicklern mehr dBase-Tabellen. Einige Softwareprodukte nutzen ihr eigenes Datenbankformat; oft kommen sie in elektronischen pharmakologischen Nachschlagewerken zum Einsatz. Derzeit gibt es auf dem heimischen Markt ein medizinisches Informationssystem, das sogar auf einer eigenen DBMS-Architektur „Client-Server“ basiert: e-Hospital. Es ist schwer, objektive Gründe für solche Entscheidungen vorzustellen.
Bei der Entwicklung heimischer medizinischer Informationssysteme kommen hauptsächlich folgende Datenbanksysteme zum Einsatz: Microsoft SQL Server (52,18 %), Cache (17,4 %), Oracle (13 %), Borland Interbase Server (13 %) und Lotus Notes/Domino (13 %). Zum Vergleich: Wenn man alle medizinischen Softwarelösungen analysiert, die die Client-Server-Architektur nutzen, beträgt der Anteil des Microsoft SQL Server 64 %. Viele Entwickler (17,4 %) verwenden mehrere Datenbanksysteme, häufig handelt es sich um eine Kombination aus Microsoft SQL Server und Oracle. Zwei Systeme (IS Kondopoga [44] und Paracelsus-A [45]) nutzen gleichzeitig mehrere Datenbanksysteme. Alle verwendeten Datenbanksysteme lassen sich in zwei grundlegend verschiedene Typen unterteilen: relationale und postrelationale (objektorientierte) Systeme. Heute basieren 70 % der heimischen medizinischen Informationssysteme auf relationalen Datenbanksystemen, während 30 % auf postrelationalen basieren.
Bei der Entwicklung von medizinischen Informationssystemen kommen unterschiedlichste Programmierwerkzeuge zum Einsatz. So wurde zum Beispiel ДОКА+ [47] in PHP und JavaScript geschrieben. "E-Hospital" [48] wurde in der Microsoft Visual C++-Umgebung entwickelt. Amulet läuft in Microsoft Visual.NET. "Инфомед" [46] ist unter Windows (98/Me/NT/2000/XP) mit einer client-server Architektur konzipiert; die Client-Seite ist in der Programmiersprache Delphi implementiert, während die Server-Seite von einer Oracle-Datenbankverwaltungssoftware gesteuert wird.
Etwa 40 % der Entwickler verwenden integrierte Tools in der Datenbankverwaltung. Rund 42 % nutzen eigene Entwicklungen als Berichtseditor; 23 % setzen auf die in die Datenbank integrierten Mittel. Zur Automatisierung der Gestaltung und Prüfung des Quellcodes verwenden 50 % der Entwickler Visual Source Safe. Als Software zur Dokumentationserstellung nutzen 85 % der Entwickler Produkte von Microsoft – entweder den Textverarbeiter Word oder, wie beispielsweise die Entwickler von e-Hospital, Microsoft Help Workshop.
Im Jahr 2015 veröffentlichten die technischen Experten T.J. Ageenko und A.V. Andrianov vom Moskauer Technologischen Institut einen Artikel [55], in dem sie die technischen Einzelheiten des automatisierten Informationssystems für Krankenhäuser (GAIS) im Detail beschrieben, einschließlich der typischen Netzwerk-Infrastruktur medizinischer Einrichtungen und der dringlichen Herausforderungen bei der Gewährleistung ihrer Cybersicherheit. GAIS ist ein sicheres Netzwerk, über das das E-MIAS funktioniert, das vielversprechendste medizinische Informationssystem in Russland.
Das Unternehmen «Informatik Sibirien» behauptet [53], dass die beiden renommiertesten Forschungszentren, die sich mit der Entwicklung von medizinischen Informationssystemen (MIS) beschäftigen, das Institut für Software-Systeme der Russischen Akademie der Wissenschaften (in der alten Stadt Pereslawl-Salesski gelegen) und die gemeinnützige Organisation «Stiftung für Entwicklung und Bereitstellung von spezialisierter medizinischer Hilfe Medsancharst-168» (in Akademgorodok, Stadt Nowosibirsk, ansässig) sind. Auch «Informatik Sibirien», das ebenfalls in diese Liste aufgenommen werden könnte, hat seinen Sitz in der Stadt Omsk.

Wie steht es um die Cybersicherheit des heimischen Systems E-MIAS?

Am 10. Februar 2017 teilte Wladimir Makarow, der Kurator des EMIAS-Projekts, in einem Interview für den Radiosender «Echo Moskwy» seine Gedanken [39] darüber, dass absolute Cybersecurity nicht existiert: „Es besteht immer das Risiko eines Datenlecks. Man muss sich daran gewöhnen, dass die Nutzung moderner Technologien bedeutet, dass alles über Sie bekannt werden kann. Selbst die E-Mail-Postfächer hochrangiger Staatsvertreter werden gehackt.“ In diesem Zusammenhang kann auf einen kürzlichen Vorfall verwiesen werden, bei dem die E-Mail-Konten von rund 90 Mitgliedern des britischen Parlaments kompromittiert wurden.
Am 12. Mai 2015 berichtete die Abteilung für Informationstechnologie Moskaus [40] über vier zentrale Aspekte des KISB (Integriertes Informationssicherheitssystem) für das E-MIAS: 1) Physische Sicherheit – die Daten werden auf modernen Servern gespeichert, die sich in unterirdischen Räumlichkeiten befinden, deren Zugang streng geregelt ist; 2) Software-Sicherheit – die Daten werden verschlüsselt über sichere Kommunikationskanäle übertragen; zudem kann zeitgleich nur für einen Patienten Informationen abgerufen werden; 3) Autorisierter Datenzugang – der Arzt wird über eine persönliche Smartcard identifiziert; für den Patienten ist eine Zwei-Faktor-Authentifizierung über die gesetzliche Krankenversicherungskarte und das Geburtsdatum vorgesehen.
4) Medizinische und persönliche Daten werden getrennt in zwei verschiedenen Datenbanken gespeichert, was zusätzlich deren Sicherheit gewährleistet. Die EMIAS-Server speichern medizinische Informationen anonymisiert: Arztbesuche, Verordnungen, Krankenscheine, Überweisungen, Rezepte und weitere Details. Die persönlichen Daten, wie die Nummer der gesetzlichen Krankenversicherung, Nachname, Vorname, Geburtsname, Geschlecht und Geburtsdatum, werden in den Datenbanken des Moskauer Stadtfonds für obligatorische Krankenversicherung aufbewahrt. Die Daten dieser beiden Datenbanken werden visuell nur auf dem Monitor des Arztes zusammengeführt, nachdem er sich identifiziert hat.
Trotz der vermeintlichen Unüberwindbarkeit des Schutzes durch EMIAS ermöglichen moderne Cyberangriffstechnologien – deren Details öffentlich zugänglich sind – das Knacken selbst solch starker Sicherheiten. Siehe zum Beispiel die Beschreibung eines Angriffs auf den neuen Microsoft Edge-Browser – unter der Voraussetzung, dass keine Softwarefehler vorliegen und alle verfügbaren Sicherheitsmaßnahmen aktiv sind. [62] Darüber hinaus ist das Fehlen von Fehlern im Programmcode schon an sich eine Utopie. Weitere Informationen dazu finden Sie in der Präsentation «Schmutzige Geheimnisse von Cyber-Schützern». [63]
Am 27. Juni 2017 stellte die Klinik „Invitro“ aufgrund eines großangelegten Cyberangriffs die Probenentnahme und die Ausgabe von Testergebnissen in Russland, Weißrussland und Kasachstan vorübergehend ein. [64]
Am 12. Mai 2017 registrierte das „Labor von Kaspeski“ [60] 45.000 erfolgreiche Cyberangriffe des Ransomware-Virus WannaCry in 74 Ländern; die meisten dieser Angriffe fanden in Russland statt. Drei Tage später (am 15. Mai 2017) verzeichnete das Antivirenunternehmen Avast [61] bereits 200.000 Cyberangriffe des Ransomware-Virus WannaCry und berichtete, dass mehr als die Hälfte dieser Angriffe in Russland stattfanden. Die Nachrichtenagentur BBC berichtete (am 13. Mai 2017), dass unter den Opfern des Virus auch das Gesundheitsministerium, das Innenministerium, die Zentralbank und der Untersuchungsausschuss in Russland waren. [61]
Die Pressezentren dieser und anderer russischer Behörden behaupten jedoch einstimmig, dass die Cyberangriffe des WannaCry-Virus zwar stattfanden, aber nicht erfolgreich waren. Die meisten russischsprachigen Berichte über die bedauerlichen Vorfälle mit WannaCry fügen, wenn sie ein bestimmtes russisches Amt erwähnen, hastig hinzu: „Aber offiziellen Angaben zufolge gab es keinen verursachten Schaden.“ Auf der anderen Seite ist die westliche Presse überzeugt, dass die Folgen des Cyberangriffs des WannaCry-Virus spürbarer sind, als es in den russischsprachigen Medien dargestellt wird. Die westliche Presse ist so sicher, dass sogar der Verdacht auf Russlands Beteiligung an diesem Cyberangriff ausgeräumt wurde. Wem mehr zu vertrauen ist – westlichen oder heimischen Medien – bleibt jedem selbst überlassen. Dabei sollte man bedenken, dass sowohl die eine als auch die andere Seite ihre eigenen Motive hat, um Fakten zu über- oder untertreiben.

Wie steht es um die Cyber-Sicherheitslage in medizinischen Informationssystemen – in Zahlen?

Am 1. Juni 2017 veröffentlichten Rebecca Waintraub (Chefarzt des Brigham and Women's Hospital mit einem Doktortitel) und Joram Borenstein (Cybersecurity-Ingenieur) in einem gemeinsamen Artikel in der Harvard Business Review, dass die digitale Ära die Sammlung und den Austausch medizinischer Daten zwischen verschiedenen medizinischen Einrichtungen erheblich erleichtert hat: Heute sind die Patientenakten mobil und tragbar. Für diesen digitalen Komfort müssen die medizinischen Einrichtungen jedoch ernsthafte Cybersecurity-Risiken in Kauf nehmen.
Am 3. März 2017 berichtete die Nachrichtenagentur SmartBrief, dass es in den ersten zwei Monaten des Jahres 2017 etwa 250 Cybersecurity-Vorfälle gab, bei denen über eine Million vertraulicher Datensätze gestohlen wurden. 50% dieser Vorfälle betrafen kleine und mittelständische Unternehmen (ohne den Gesundheitssektor). Etwa 30% entfallen auf den Gesundheitssektor. Einige Tage später, am 16. März, berichtete dasselbe Unternehmen, dass der Gesundheitssektor im laufenden Jahr 2017 der größte Hotspot für Cybersecurity-Vorfälle war.
Am 17. Januar 2013 berichtete Michael Gregg, der Leiter der Beratungsfirma "Thoughtful Solutions", die auf Cyber-Sicherheit spezialisiert ist, [21], dass im Jahr 2012 94 % der medizinischen Einrichtungen Opfer von Datenlecks vertraulicher Informationen wurden. Das ist ein Anstieg von 65 % im Vergleich zu den Jahren 2010-2011. Zudem gaben 45 % der medizinischen Einrichtungen an, dass das Ausmaß der Datenlecks im Laufe der Zeit ernsthafter wird; sie räumten ein, dass sie im Zeitraum 2012-2013 mehr als fünf solcher schweren Lecks hatten. Weniger als die Hälfte der medizinischen Einrichtungen ist sich sicher, dass solche Lecks verhindert werden können oder zumindest erkannt werden können.
Michael Gregg berichtete ebenfalls [21], dass zwischen 2010 und 2012 über 20 Millionen Patienten Opfer von Diebstählen elektronischer medizinischer Kunstakten (EMK) wurden, die sensible persönliche Informationen wie Diagnosen, Behandlungsverfahren, Zahlungsinformationen, Versicherungsdetails, Sozialversicherungsnummern und vieles mehr enthalten. Cyberkriminelle, die EMK stehlen, können die daraus gewonnenen Informationen auf vielfältige Weise ausnutzen (siehe Abschnitt „Wie hängen die Diebstähle von Sozialversicherungsnummern mit der kriminellen Dokumentenfälschungsindustrie zusammen?“). Trotz alledem ist der Schutz von EMK in medizinischen Einrichtungen oft weitaus weniger robust als der Schutz persönlicher E-Mails.
Am 2. September 2014 erklärte Mike Orkutt, ein technischer Experte des MIT, dass die Vorfälle von Ransomware-Virusinfektionen jedes Jahr zunehmen. Im Jahr 2014 gab es 600% mehr Vorfälle als 2013. Das FBI berichtete außerdem, dass im Jahr 2016 täglich mehr als 4.000 Fälle von digitaler Erpressung auftraten – viermal so viele wie im Jahr 2015. Besorgniserregend ist nicht nur der Anstieg der Vorfälle mit Ransomware-Viren, sondern auch die zunehmende Anzahl gezielter Angriffe. Die häufigsten Ziele solcher Angriffe sind: Finanzinstitute, Einzelhandel und medizinische Einrichtungen.
Am 19. Mai 2017 veröffentlichte die Nachrichtenagentur „BBC“ den Bericht von Verizon für das Jahr 2017, demzufolge 72% der Vorfälle mit Ransomware im Gesundheitssektor auftreten. Zudem ist die Anzahl solcher Vorfälle im letzten Jahr um 50% gestiegen.
Am 1. Juni 2017 veröffentlichte das „Harvard Business Review“ einen Bericht, der vom US-Gesundheits- und Sozialministerium bereitgestellt wurde. Darin wird berichtet, dass im Jahr 2015 mehr als 113 Millionen elektronische Gesundheitsakten (EHA) gestohlen wurden. Im Jahr 2016 waren es über 16 Millionen. Obwohl im Vergleich zu 2016 ein deutlicher Rückgang der Vorfälle zu verzeichnen ist, zeigt die allgemeine Tendenz dennoch eine steigende Dynamik. Zu Beginn des Jahres 2017 erklärte das Analysezentrum Experian, dass das Gesundheitswesen derzeit das am meisten ins Visier genommene Ziel von Cyberkriminellen ist.
Datenlecks von Patientendaten in medizinischen Systemen zählen zunehmend zu den dringendsten Herausforderungen im Gesundheitswesen. Laut der Firma InfoWatch haben in den letzten zwei Jahren (2005-2006) jede zweite medizinische Einrichtung Informationen über Patienten verloren. Dabei erfolgen 60 % der Datenlecks nicht über Kommunikationskanäle, sondern durch spezifische Personen, die vertrauliche Informationen aus der Organisation weitergeben. Lediglich 40 % der Datenlecks sind auf technische Gründe zurückzuführen. Das schwächste Glied in der Cybersicherheit medizinischer Informationssysteme sind die Menschen. Man kann enorme Mittel in den Aufbau von Schutzsystemen investieren, aber ein niedrig bezahlter Mitarbeiter verkauft Informationen für einen Bruchteil dieser Kosten.

Können Computer-Viren medizinische Geräte infizieren?

Am 17. Oktober 2012 berichtete David Talbot, technischen Experten des MIT, dass medizinische Geräte in Kliniken zunehmend computerisiert, „intelligenter“ und flexibler in der Programmierung werden. Zudem verfügen sie immer häufiger über Netzwerkunterstützung. Dadurch werden medizinische Geräte anfälliger für Cyberangriffe und Virusinfektionen. Das Problem wird dadurch verschärft, dass Hersteller in der Regel keine Modifikationen an ihren Geräten zulassen – selbst nicht zur Verbesserung der Cybersicherheit.
So wurde beispielsweise im Jahr 2009 der Netzwerkwurm Conficker in das medizinische Zentrum „Beth Israel“ eingeschleust und infizierte dort Teile der medizinischen Ausrüstung, darunter einen Arbeitsstation für Geburtshilfe (von Philips) und eine Röntgenarbeitsstation (von General Electric). Um ähnliche Vorfälle in der Zukunft zu verhindern, entschloss sich John Halmak, der IT-Direktor dieses medizinischen Zentrums und gleichzeitig Professor an der Harvard Medical School mit Doktortitel, die Netzwerkunterstützung für diese Geräte zu deaktivieren. Er stieß jedoch auf das Problem, dass die Geräte „aufgrund regulatorischer Einschränkungen nicht aktualisiert werden können“. Es erforderte erhebliche Anstrengungen, um mit den Herstellern eine Deaktivierung der Netzwerkmöglichkeiten zu vereinbaren. Doch die Trennung vom Netzwerk ist bei weitem keine ideale Lösung, insbesondere angesichts der zunehmenden Integration und Abhängigkeit medizinischer Geräte. [1]
Dies betrifft das "intelligente" Equipment, das in medizinischen Einrichtungen eingesetzt wird. Darüber hinaus gibt es tragbare medizinische Geräte, wozu Insulinpumpen und implantierte Herzschrittmacher gehören. Diese sehen sich immer häufiger Cyberangriffen und Computer-Viren ausgesetzt. [1] Als Anmerkung sei erwähnt, dass am 12. Mai 2017 (am Tag des Triumphs des Ransomware-Virus WannaCry) ein Kardiologe [28] berichtete, dass während einer Herzoperation mehrere Computer massive Ausfälle erlitten haben. Glücklicherweise gelang es ihm jedoch, die Operation erfolgreich abzuschließen.

Wie gefährlich sind Ransomware-Viren für den medizinischen Sektor?

Am 3. Oktober 2016 erklärte Muhammad Ali, Geschäftsführer der Firma „Carbonite“, die sich auf Cybersecurity-Lösungen spezialisiert hat, [19] in den Seiten der „Harvard Business Review“, dass ein Ransomware-Virus eine Art Computer-Virus ist, der den Zugriff des Nutzers auf sein System blockiert; bis ein Lösegeld bezahlt wird. Der Ransomware-Virus verschlüsselt die Festplatte, wodurch der Nutzer den Zugriff auf die Informationen auf seinem Computer verliert, und verlangt im Gegenzug eine Zahlung für den Entschlüsselungsschlüssel. Um sich einem Treffen mit den Strafverfolgungsbehörden zu entziehen, nutzen die Kriminellen anonyme Zahlungsmethoden wie Bitcoin. [19]
Muhammad Ali berichtete außerdem, [19] dass die Verbreiter von Ransomware herausgefunden haben, dass der optimale Lösegeldbetrag bei Angriffen auf gewöhnliche Bürger und Kleinunternehmer zwischen 300 und 500 Dollar liegt. Dies ist ein Betrag, von dem viele bereit sind, sich zu trennen – angesichts der Aussicht, all ihre digitalen Ersparnisse zu verlieren. [19]
Am 16. Februar 2016 berichtete die Nachrichtenagentur „Guardian“, dass das medizinische Personal des „Hollywood Presbyterian Medical Center“ aufgrund eines Ransomware-Angriffs den Zugriff auf ihre Computersysteme verloren hatte. In der Folge waren die Ärzte gezwungen, per Fax zu kommunizieren, die Schwestern mussten Krankheitsgeschichten in altmodischen Papierakten dokumentieren, und die Patienten mussten in das Krankenhaus fahren, um die Ergebnisse ihrer Tests persönlich abzuholen.
Am 17. Februar 2016 veröffentlichte die Leitung des Hollywood Presbyterian Medical Center [30] folgende Erklärung: "Am Abend des 5. Februars verloren unsere Mitarbeiter den Zugang zum Krankenhausnetzwerk. Eine Schadsoftware blockierte unsere Computer und verschlüsselte alle unsere Dateien. Die Strafverfolgungsbehörden wurden umgehend informiert. Cybersicherheitsexperten halfen uns, den Zugang zu unseren Computern wiederherzustellen. Die geforderte Lösegeldsumme betrug 40 Bitcoin (17.000 $). Der schnellste und effektivste Weg, unsere Systeme und administrativen Funktionen wiederherzustellen, bestand darin, das Lösegeld zu zahlen und so den Entschlüsselungsschlüssel zu erhalten. Um die Funktionsfähigkeit der Krankenhaus Systeme wiederherzustellen, waren wir gezwungen, dies zu tun."
Am 12. Mai 2017 berichtete die Nachrichtenagentur „New York Times“, dass durch den Vorfall mit WannaCry einige Krankenhäuser so stark lahmgelegt waren, dass sie nicht einmal Namensschilder für Neugeborene drucken konnten. In den Krankenhäusern sagten sie zu den Patienten: „Wir können Sie nicht behandeln, weil unsere Computer ausgefallen sind.“ Es ist ziemlich ungewöhnlich, solch etwas in so großen Städten wie London zu hören.

Wenn Cybervorfälle so gefährlich sind, warum digitalisieren Hersteller von medizinischen Geräten dann ihre Produkte?

Am 9. Juli 2008 stellte Christina Griffantini, technische Expertin am MIT, in ihrem Artikel „Medizinische Zentren: Die Ära von Plug and Play“ fest: Die erschreckende Vielfalt neuer „intelligenter“ medizinischer Geräte in Krankenhäusern verspricht eine bessere Patientenversorgung. Doch das Problem ist, dass diese Geräte in der Regel nicht miteinander kompatibel sind, selbst wenn sie vom selben Hersteller stammen. Daher besteht ein dringender Bedarf für Ärzte, alle medizinischen Geräte in ein einziges computerbasiertes Netzwerk zu integrieren.
Am 9. Juli 2009 stellte Douglas Rosendale, IT-Spezialist im "Veterans Health Administration" und zugleich Professor an der Harvard Medical School mit einem Doktortitel, die [2] dringende Notwendigkeit einer computerisierten Integration medizinischer Geräte mit den Worten fest: „Es gibt heute viele patentierte Systeme mit geschlossener Architektur von verschiedenen Anbietern, aber das Problem ist, dass sie nicht miteinander kommunizieren können. Das führt zu Herausforderungen in der Patientenversorgung.“
Wenn medizinische Geräte unabhängig messen und keine Daten untereinander austauschen, können sie den Zustand des Patienten nicht umfassend bewerten und schlagen bei den kleinsten Abweichungen von den Normwerten Alarm, oft ohne Grund. Das bereitet dem Pflegepersonal, insbesondere auf der Intensivstation, erhebliche Schwierigkeiten, da dort viele solcher unabhängigen Geräte im Einsatz sind. Ohne die Integration und Unterstützung eines Netzwerks würde auf der Intensivstation ein regelrechtes Chaos herrschen. Die Integration und Unterstützung eines lokalen Netzwerks ermöglichen es, die Arbeit medizinischer Geräte und medizinischer Informationssysteme zu koordinieren (insbesondere die Interaktion dieser Geräte mit den Patientenakten), was zu einer erheblichen Reduzierung der Fehlalarme führt. [2]
In Krankenhäusern gibt es eine Vielzahl von veralteten, kostspieligen Geräten, die nicht netzwerkfähig sind. Die Dringlichkeit einer Integration führt dazu, dass Krankenhäuser entweder schrittweise ihre Geräte durch neue ersetzen oder bestehende aufrüsten, um die Anbindung an das Netzwerk zu gewährleisten. Selbst bei neuen Geräten, die mit dem Augenmerk auf Integrationsfähigkeit entwickelt wurden, bleibt das Problem oftmals bestehen. Jeder Hersteller medizinischer Geräte, motiviert von dem ständigen Wettbewerb, strebt danach, dass seine Geräte ausschließlich mit anderen Produkten desselben Herstellers kompatibel sind. Viele Notaufteilungen hingegen benötigen jedoch eine spezifische Kombination verschiedenster Geräte, die kein Hersteller allein bereitstellen kann. Daher wird die Wahl eines einzigen Herstellers das Kompatibilitätsproblem nicht lösen. Dies stellt ein weiteres Hindernis auf dem Weg zur umfassenden Integration dar, und Krankenhäuser investieren erhebliche Mittel in dessen Lösung. Ansonsten verwandelt inkompatible Ausrüstung – durch falsche Alarme – das Krankenhaus in ein Chaos. [2]
Am 13. Juni 2017 teilte Peter Pronovost, Arzt mit Doktortitel und stellvertretender Direktor für Patientensicherheit eines großen medizinischen Zentrums, «Johns Hopkins Medicine», in einem Beitrag [17] für die «Harvard Business Review» seine Überlegungen zur Notwendigkeit der Computerisierung medizinischer Geräte mit: «Nehmen wir als Beispiel ein Beatmungsgerät. Der optimale Beatmungsmodus der Lunge eines Patienten hängt direkt von dessen Körpergröße ab. Die Körpergröße des Patienten wird in der elektronischen Patientenakte (EPA) gespeichert. In der Regel interagiert das Beatmungsgerät nicht mit der EPA, weshalb die Ärzte diese Informationen manuell abrufen, einige Berechnungen auf Papier durchführen und die Parameter des Beatmungsgeräts manuell einstellen müssen. Wenn das Beatmungsgerät und die EPA über ein computerized Netzwerk verbunden wären, könnte dieser Prozess automatisiert werden. Eine ähnliche Routine im Umgang mit medizinischen Geräten gibt es auch zwischen vielen anderen medizinischen Geräten. Daher müssen Ärzte täglich Hunderte von Routineaufgaben erledigen, was mit Fehlern – wenn auch selten, so doch unvermeidlich – einhergeht.»
Neue computerisierte Krankenhausbetten sind mit einer Reihe hochentwickelter Sensoren ausgestattet, die eine Vielzahl von Parametern der darauf liegenden Patienten überwachen können. Zum Beispiel können diese Betten, indem sie die Bewegungsdynamik des Patienten auf dem Bett verfolgen, feststellen, ob das Risiko für Druckgeschwüre besteht. Diese hochmodernen Sensoren machen 30 % der Gesamtkosten des Bettes aus. Doch ohne computerisierte Integration ist von diesem "intelligenten Bett" wenig Nutzen – denn es kann nicht mit anderen medizinischen Geräten kommunizieren. Eine ähnliche Situation gibt es mit "intelligenten kabellosen Monitoren", die Herzfrequenz, Atemfrequenz, Blutdruck usw. messen. Ohne die Integration dieser gesamten Geräte in ein einheitliches computerisiertes Netzwerk – insbesondere die direkte Verbindung zu den elektronischen Patientenakten – ist ihr Nutzen begrenzt. [17]

Warum haben Cyberkriminelle ihr Augenmerk von der Finanzbranche und Einzelhandelsgeschäften auf medizinische Einrichtungen gerichtet?

Am 16. Februar 2016 teilte Julia Cherry, Sonderkorrespondentin des «Guardian», ihre Beobachtungen über die besondere Anziehungskraft medizinischer Zentren für Cyberkriminelle mit. Dies liegt vor allem daran, dass deren Informationssysteme, bedingt durch das nationale Bestreben, medizinische Akten zu digitalisieren, eine Fülle an sensiblen Daten enthalten. Dazu gehören Kreditkartennummern, persönliche Informationen über Patienten sowie vertrauliche medizinische Daten. [13]
Am 23. April 2014 erklärte Jim Finkle, Cybersecurity-Analyst der Nachrichtenagentur «Reuters», [12], dass Cyberkriminelle bestrebt sind, den Weg des geringsten Widerstandes zu wählen. Die Cybersicherheitssysteme medizinischer Einrichtungen sind weit weniger robust im Vergleich zu anderen Sektoren, die dieses Problem bereits erkannt und wirksame Gegenmaßnahmen ergriffen haben. Daher sind Cyberkriminelle von diesen Einrichtungen angezogen.
Am 18. Februar 2016 berichtete Mike Orkut, technischer Experte des MIT, dass das Interesse von Cyberkriminellen am Gesundheitssektor aus fünf Hauptgründen resultiert: 1) Die meisten medizinischen Einrichtungen haben bereits alle ihre Dokumente und Patientenakten digitalisiert; die restlichen befinden sich im Prozess dieser Umstellung. Die Daten dieser Akten enthalten persönliche Informationen, die auf dem Schwarzmarkt des Darknets stark gefragt sind. 2) Cybersicherheit hat in medizinischen Einrichtungen keinen hohen Stellenwert; sie verwenden häufig veraltete Systeme und pflegen diese nicht angemessen. 3) Der Bedarf an schnellem Zugang zu Daten in Notfallsituationen überwiegt oft die Notwendigkeit, Sicherheit zu gewährleisten, was dazu führt, dass Krankenhäuser die Cybersicherheit vernachlässigen, obwohl sie sich der möglichen Folgen bewusst sind. 4) Krankenhäuser schließen immer mehr Geräte an ihr Netzwerk an, wodurch es für Angreifer einfacher wird, in das Krankenhausnetz einzudringen. 5) Der Trend zu einer personalisierten Medizin – insbesondere der Wunsch der Patienten nach umfassendem Zugang zu ihren elektronischen Patientenakten (EPA) – macht medizinische Informationssysteme (MIS) zu einem noch attraktiveren Ziel. [14]
Der Einzelhandel und der Finanzsektor sind seit langem beliebte Ziele für Cyberkriminelle. Während die aus diesen Einrichtungen gestohlenen Daten den Schwarzmarkt im Darknet überschwemmen, sinkt ihr Preis stetig, wodurch es für die Kriminellen unattraktiv wird, sie zu stehlen und zu verkaufen. Daher erschließen die Betrüger jetzt einen neuen, profitableren Sektor. [12]
Auf dem Schwarzmarkt im Darknet sind medizinische Datensätze viel wertvoller als Kreditkartennummern. Erstens, weil sie für den Zugang zu Bankkonten und für die Beschaffung von verschreibungspflichtigen Medikamenten verwendet werden können. Zweitens, weil der Diebstahl einer medizinischen ID und ihre illegale Nutzung viel schwieriger aufzudecken sind, und es viel mehr Zeit in Anspruch nimmt, bis Missbräuche entdeckt werden, als im Fall von Kreditkartenmissbrauch. [12]
Wie Fachleute von Dell berichteten, kombinieren einige besonders einfallsreiche Cyberkriminelle Informationen über die Gesundheit, die aus gestohlenen medizinischen Unterlagen stammen, mit anderen sensiblen Daten und erstellen so ein Paket gefälschter Dokumente. Solche Pakete werden im Darknet-Jargon als „fullz“ und „kitz“ bezeichnet. Der Preis für jedes dieser Pakete liegt über 1000 $. [12]
Am 1. April 2016 erklärte Tom Simonite, ein technischer Experte des MIT, [4], dass ein wesentlicher Unterschied bei Cyberbedrohungen im Gesundheitssektor in der Schwere der Folgen liegt, die sie nach sich ziehen. Wenn Sie beispielsweise den Zugriff auf Ihre berufliche E-Mail verlieren, sind Sie natürlich verärgert; jedoch den Zugriff auf medizinische Akten zu verlieren, die Informationen für die Behandlung von Patienten enthalten, ist eine ganz andere Angelegenheit.
Für Cyberkriminelle ist der Medizinsektor ein äußerst attraktives Ziel. Diese Branche ist besonders wertvoll, da sie Informationen enthält, die für medizinisches Fachpersonal von großer Bedeutung sind. Die Kriminellen scheuen sich nicht, beträchtliche Mittel zu investieren, um ihre Ransomware weiter zu perfektionieren und in ihrem ständigen Wettlauf gegen Antivirenlösungen immer einen Schritt voraus zu sein. Die beeindruckenden Summen, die sie durch Ransomware generieren, ermöglichen es ihnen, diese Investitionen zu tätigen, und die Ausgaben amortisieren sich schnell. [4]

Warum nehmen Fälle von Ransomware-Infektionen im Gesundheitssektor zu und bleiben weiterhin auf einem hohen Niveau?

Am 1. Juni 2017 veröffentlichten Dr. Rebecca Wintrab (Chefin der „Brigham and Women’s Hospital“) und Joram Borenstein (Cybersecurity-Engineer) [18] in der „Harvard Business Review“ die Ergebnisse ihrer gemeinsamen Forschung zur Cybersicherheit im Gesundheitssektor. Die zentralen Punkte ihrer Forschung sind unten aufgeführt.
Keine Organisation ist vor einem Hack geschützt. So ist die Realität, in der wir leben, und diese Realität wurde besonders deutlich, als Mitte Mai 2017 der berüchtigte WannaCry-Ransomware-Virus verbreitet wurde, der medizinische Zentren und andere Organisationen weltweit infizierte. [18]
Im Jahr 2016 entdeckten die Administratoren des großen Klinikums "Hollywood Presbyterian Medical Center" überraschend, dass sie den Zugang zu den Informationen auf ihren Computern verloren hatten. Ärzte konnten nicht auf die elektronischen Patientenakten zugreifen, und sogar auf ihre eigenen Berichte. Alle Informationen auf ihren Computern waren durch einen Ransomware-Virus verschlüsselt. Während alle Daten der Klinik in den Händen der Täter waren, waren die Ärzte gezwungen, ihre Patienten an andere Krankenhäuser zu verweisen. Zwei Wochen lang schrieben sie alles auf Papier, bis sie sich entschlossen, das geforderte Lösegeld von 17.000 $ (40 Bitcoin) zu zahlen. Die Zahlung war nicht nachverfolgbar, da das Lösegeld über ein anonymes Bitcoin-Zahlungssystem geleistet wurde. Vor ein paar Jahren hätten Cyber-Sicherheitsexperten nicht geglaubt, dass Entscheidungsträger damit beschäftigt sein würden, Geld in Kryptowährung umzuwandeln, um das Lösegeld an den Virusentwickler zu zahlen. Doch genau das ist heute geschehen. Ganz normale Menschen, kleine Geschäftsinhaber und große Konzerne – alle stehen sie im Fadenkreuz von Ransomware-Viren. [19]
In Bezug auf Social Engineering werden Phishing-E-Mails, die schadhafte Links und Anhänge enthalten, nicht mehr im Namen ausländischer Verwandter versendet, die Ihnen einen Teil ihres Reichtums vermachen wollen, im Austausch gegen vertrauliche Informationen. Heutzutage sind Phishing-E-Mails gut vorbereitete Nachrichten ohne Schreibfehler; sie sind häufig als offizielle Dokumente mit Logos und Unterschriften getarnt. Einige von ihnen sind von gewöhnlicher Geschäftskorrespondenz oder von legitimen Benachrichtigungen über Anwendungsaktualisierungen kaum zu unterscheiden. Manchmal erhalten Entscheidungsträger, die mit der Personalsuche beschäftigt sind, E-Mails von vielversprechenden Kandidaten – mit einem an die E-Mail angehängten Lebenslauf, in den ein Ransomware-Virus integriert ist. [19]
Fortgeschrittene Social Engineering ist jedoch nur die halbe Miete. Noch beunruhigender ist die Tatsache, dass ein Ransomware-Angriff auch ohne das direkte Zutun des Nutzers erfolgen kann. Ransomware kann durch Sicherheitslücken verbreitet werden; oder über ungesicherte, veraltete Anwendungen. Mindestens einmal pro Woche erscheint eine völlig neue Art von Ransomware; und die Anzahl der Möglichkeiten, wie Ransomware in Computersysteme eindringen kann, nimmt ständig zu. [19]
So stellte sich beispielsweise heraus, dass der Ransomware-Virus WannaCry... Ursprünglich (15. Mai 2017) kamen die Sicherheitsexperten zu dem Schluss [25], dass die Hauptursache für die Infektion des nationalen Gesundheitssystems des Vereinigten Königreichs darin lag, dass die Krankenhäuser eine veraltete Version des Betriebssystems Windows – XP verwendeten (die Krankenhäuser nutzen dieses System, weil viele kostspielige medizinische Geräte mit neueren Versionen von Windows nicht kompatibel sind). Später stellte sich jedoch heraus (22. Mai 2017) [29], dass der Versuch, WannaCry auf Windows XP auszuführen, häufig zu einem Computerabsturz führte, ohne dass eine Infektion stattfand; die Mehrheit der betroffenen Maschinen lief jedoch unter Windows 7. Außerdem wurde anfänglich angenommen, dass sich der Virus WannaCry durch Phishing verbreitete, doch später stellte sich heraus, dass dieser Virus sich selbst verbreitete – ähnlich wie ein Netzwerk-Wurm – ohne das Zutun des Nutzers.
Darüber hinaus gibt es spezialisierte Suchmaschinen, die nicht nach Webseiten suchen, sondern nach physischer Hardware. Durch diese kann man herausfinden, an welchem Ort, in welchem Krankenhaus, welche Geräte mit dem Netzwerk verbunden sind. [3]
Ein weiterer wesentlicher Faktor für die Verbreitung von Ransomware ist der Zugang zu Bitcoin. Die Leichtigkeit, anonyme Zahlungen aus der ganzen Welt zu sammeln, fördert das Wachstum von Cyberkriminalität. Darüber hinaus stimulieren Sie, indem Sie den Erpressern Geld überweisen, weitere Erpressungsversuche gegen sich selbst. [19]
Inzwischen haben Cyberkriminelle gelernt, selbst Systeme zu infiltrieren, die mit den modernsten Sicherheitslösungen und den neuesten Software-Updates ausgestattet sind; die Erkennungs- und Entschlüsselungswerkzeuge, auf die Sicherheitssysteme zurückgreifen, funktionieren nicht immer, insbesondere wenn der Angriff zielgerichtet und einzigartig ist. [19]
Dennoch gibt es eine effektive Gegenmaßnahme gegen Ransomware: Regelmäßige Backups kritischer Daten. So können Sie im Falle eines Problems die Daten leicht wiederherstellen. [19]

Wie hat sich WannaCry auf Ärzte, Pflegepersonal und Patienten ausgewirkt, die betroffen waren?

Am 13. Mai 2017 interviewte Sarah Marsh, Journalistin bei der «Guardian», mehrere Personen, die Opfer des WannaCry-Ransomware-Virus wurden, um zu verstehen, welche Auswirkungen [5] dieser Vorfall auf die Betroffenen hatte (Namen aus Datenschutzgründen geändert):
Sergej Petrowitsch, Arzt: Ich konnte meinen Patienten nicht die notwendige Betreuung bieten. So sehr die Führungskräfte auch die Öffentlichkeit davon überzeugen wollen, dass Cybervorfälle die Sicherheit der Endpatienten nicht beeinträchtigen – das ist nicht wahr. Wir konnten nicht einmal Röntgenaufnahmen machen, als unsere computergestützten Systeme ausfielen. Ohne diese Aufnahmen ist praktisch kein medizinisches Verfahren möglich. An jenem Unglückstag hatte ich einen Patienten, den ich zur Röntgenaufnahme überweisen musste, aber da unsere Computeranlage gelähmt war, konnte ich das nicht tun. [5]
Wera Michailowna, Patientin mit Brustkrebs: Nachdem ich eine Chemotherapie-Sitzung hinter mich gebracht hatte, war ich auf halbem Weg aus dem Krankenhaus, als eine Cyberattacke stattfand. Obwohl die Sitzung bereits abgeschlossen war, musste ich noch mehrere Stunden im Krankenhaus warten, bis ich endlich meine Medikamente erhielt. Die Verzögerung trat auf, weil das medizinische Personal die Medikamente vor der Ausgabe mit den Rezepten abgleicht, und diese Überprüfungen werden von computergestützten Systemen durchgeführt. Die Patienten, die nach mir an der Reihe waren, befanden sich bereits im Zimmer für die Chemotherapie; ihre Medikamente waren ebenfalls bereits geliefert worden. Doch da die Überprüfung ihrer Rezepte nicht möglich war, verzögerte sich die Prozedur. Die Behandlung der anderen Patienten wurde insgesamt auf den nächsten Tag verschoben. [5]
Tatjana Ivanovna, Krankenschwester: Am Montag konnten wir die elektronischen Gesundheitsakten der Patienten und die Liste der für heute geplanten Termine nicht einsehen. Ich war am Wochenende im Bereitschaftsdienst, daher musste ich am Montag, als unser Krankenhaus Opfer eines Cyberangriffs wurde, zurückdenken, wer genau zu den Terminen kommen sollte. Die Informationssysteme unseres Krankenhauses waren blockiert. Wir konnten die Krankengeschichte nicht einsehen, keine Rezepte für Medikamente abrufen; wir konnten die Adressen und Kontaktdaten der Patienten nicht einsehen; keine Dokumente ausfüllen; keine Untersuchungsergebnisse überprüfen. [5]
Evgeny Sergeevich, Systemadministrator: Normalerweise haben wir freitagnachmittags die meisten Besucher. So war es auch an diesem Freitag. Das Krankenhaus war voll, und im Telefonschichtdienst waren 5 Mitarbeiter des Krankenhauses im Einsatz, deren Telefone klingelten ununterbrochen. Alle unsere Computersysteme liefen problemlos, aber gegen 15:00 Uhr wurden alle Computerbildschirme schwarz. Unsere Ärzte und Krankenschwestern verloren den Zugang zu den elektronischen Gesundheitsakten der Patienten, und die Mitarbeiter im Telefonschichtdienst konnten keine Anfragen in den Computer eingeben. [5]

Wie Cyberkriminelle eine Klinik für plastische Chirurgie schädigen können?

Wie der «Guardian» berichtet [6], veröffentlichte die kriminelle Gruppe «Zarengarde» am 30. Mai 2017 die vertraulichen Daten von 25.000 Patienten der litauischen Klinik für plastische Chirurgie «Grozio Chirurgija». Dazu gehören private intime Fotos, die vor, während und nach den Operationen gemacht wurden (ihr Aufbewahrung ist aufgrund der spezifischen Arbeitsweise der Klinik notwendig); sowie Scans von Reisepässen und Sozialversicherungsnummern. Da die Klinik einen guten Ruf und demokratische Preise hat, nutzen Kunden aus 60 Ländern, darunter auch weltbekannte Prominente [7], ihre Dienste. Alle wurden Opfer dieses Cybervorfalls.
Mehrere Monate zuvor hatten die «Garde»-Mitglieder die Server der Klinik gehackt und Daten gestohlen, daraufhin forderten sie ein Lösegeld von 300 Bitcoins (ca. 800.000 $). Die Klinikleitung weigerte sich, mit den «Gardisten» zusammenzuarbeiten, und blieb auch unnachgiebig, als die «Gardisten» den Lösegeldbetrag auf 50 Bitcoins (ca. 120.000 $) reduzierten. [6]
Nachdem die "Wächter" die Hoffnung auf ein Lösegeld von der Klinik aufgegeben hatten, entschieden sie sich, den Fokus auf deren Kunden zu legen. Im März veröffentlichten sie im Darknet Fotos von 150 Patienten der Klinik [8], um andere einzuschüchtern und zur Zahlung zu bewegen. Die "Wächter" forderten Lösegelder zwischen 50 und 2000 Euro, zahlbar in Bitcoin – abhängig von der Bekanntheit des Opfers und der Sensibilität der gestohlenen Informationen. Die genaue Anzahl der erpressten Patienten ist unbekannt, aber mehrere Dutzend Betroffene haben sich bei der Polizei gemeldet. Jetzt, drei Monate später, haben die "Wächter" die vertraulichen Daten von weiteren 25.000 Kunden veröffentlicht. [6]

Ein Cyberkrimineller hat eine medizinische Akte gestohlen – welche Konsequenzen hat dies für den rechtmäßigen Eigentümer?

Am 19. Oktober 2016 bemerkte Adam Levin, ein Experte für Cybersicherheit und Leiter des Forschungszentrums „CyberScout“, dass wir in einer Zeit leben, in der medizinische Karten eine besorgniserregende Menge an übermäßig intimen Informationen enthalten: über Krankheiten, Diagnosen, Behandlungen und Gesundheitsprobleme. In die falschen Hände geraten, kann diese Information für Profit auf dem Schwarzmarkt des Darknets genutzt werden, weshalb Cyberkriminelle häufig medizinische Einrichtungen als Ziel wählen.
Am 2. September 2014 erklärte Mike Orkut, ein technischer Experte vom MIT: „Während gestohlene Kreditkartennummern und Sozialversicherungsnummern auf dem Schwarzmarkt des Darknets immer weniger gefragt sind, erzielen medizinische Karten, die eine Fülle persönlicher Informationen enthalten, dort sehr gute Preise. Dies liegt auch daran, dass sie unversicherten Personen Zugang zu medizinischer Versorgung bieten, die sie sich sonst nicht leisten könnten.“
Ein gestohlenes medizinisches Karten kann verwendet werden, um medizinische Leistungen im Namen des rechtmäßigen Eigentümers zu erhalten. Dadurch werden die medizinischen Daten des rechtmäßigen Eigentümers und die medizinischen Daten des Diebs vermischt. Zudem kann die Karte noch stärker kompromittiert werden, wenn der Dieb die gestohlenen medizinischen Karten an Dritte verkauft. Daher läuft der rechtmäßige Eigentümer, wenn er ins Krankenhaus kommt, Gefahr, medizinische Hilfe zu erhalten, die auf einer falschen Blutgruppe, einer anderen Krankengeschichte, einer anderen Liste von Allergien usw. basiert. [9]
Darüber hinaus kann der Dieb das Versicherungslimit des rechtmäßigen Inhabers der medizinischen Karte aufbrauchen, was den Letzteren daran hindert, die erforderliche medizinische Hilfe zu erhalten, wenn sie benötigt wird. Genau dann, wenn es am ungünstigsten ist. Viele Versicherungspläne haben jährliche Obergrenzen für bestimmte Arten von Verfahren und Behandlungen. Und keine Versicherungsgesellschaft wird Ihnen definitiv für zwei Blinddarmoperationen zahlen. [9]
Wenn ein Dieb mit einer gestohlenen Krankenakte arbeitet, kann er Rezepte für Medikamente missbrauchen. Dabei wird der rechtmäßige Eigentümer daran gehindert, die benötigten Medikamente rechtzeitig zu erhalten, da Rezepte in der Regel begrenzt sind. [9]
Das Abwehren massiver Cyberangriffe auf Kredit- und Debitkarten ist nicht so problematisch. Der Schutz vor gezielten Phishing-Angriffen ist etwas komplizierter. Doch wenn es um den Diebstahl von Krankenakten und deren Missbrauch geht, kann das Verbrechen fast unsichtbar sein. Auch wenn die Straftat entdeckt wird, geschieht dies meist nur in dringenden Fällen, wenn die Folgen buchstäblich lebensbedrohlich sein können. [9]

Warum ist der Diebstahl von Krankenakten so stark nachgefragt?

Im März 2017 berichtete das „Zentrum für die Bekämpfung von Identitätsdiebstahl“, dass über 25 % der Datenlecks aus medizinischen Einrichtungen stammen. Diese Lecks kosten die medizinischen Einrichtungen jährlich 5,6 Milliarden Dollar. Nachfolgend sind einige Gründe aufgeführt, warum der Diebstahl von Krankenakten so stark nachgefragt wird. [18]
Medizinische Karten sind die gefragtesten Artikel auf dem schwarzen Markt des Darknets. Dort werden medizinische Karten für 50 $ das Stück verkauft. Zum Vergleich: Kreditkartennummern kosten im Darknet nur 1 $ pro Stück – also 50 Mal günstiger als medizinische Karten. Die Nachfrage nach medizinischen Karten liegt auch daran, dass sie Verbrauchsmaterial in einem umfassenden kriminellen Dienstleistungsangebot zur Fälschung von Dokumenten sind. [18]
Falls kein Käufer für medizinische Karten gefunden wird, kann der Täter die medizinische Karte selbst nutzen und einen traditionellen Diebstahl begehen: Medizinische Karten enthalten genug Informationen, um im Namen des Opfers eine Kreditkarte zu eröffnen, ein Bankkonto zu eröffnen oder einen Kredit aufzunehmen. [18]
Mit einer gestohlenen Krankenakte kann ein Cyberkrimineller beispielsweise einen komplexen, gezielten Phishing-Angriff durchführen (umgangssprachlich gesagt, ein Phishing-Speer werfen), indem er sich als Bank ausgibt: „Guten Tag, wir wissen, dass Sie sich für eine Operation anmelden möchten. Vergessen Sie nicht, die begleitenden Dienstleistungen zu bezahlen, indem Sie auf diesen Link klicken.“ In diesem Moment denken Sie: „Gut, da sie wissen, dass ich morgen eine Operation habe, ist das Schreiben sicherlich wirklich von der Bank.“ Sollte es dem Täter auch hier nicht gelingen, das Potenzial der gestohlenen Krankenakten auszuschöpfen, könnte er einen Ransomware-Virus einsetzen, um von dem Gesundheitszentrum Geld zu erpressen – für die Wiederherstellung des Zugangs zu gesperrten Systemen und Daten. [18]
Medizinische Einrichtungen setzen Cybersecurity-Methoden sehr langsam um, obwohl diese in anderen Branchen bereits erprobt sind. Dies ist besonders ironisch, da es die Aufgabe der medizinischen Einrichtungen ist, die ärztliche Vertraulichkeit zu wahren. Darüber hinaus haben medizinische Einrichtungen in der Regel deutlich kleinere Budgets für Cybersecurity und wesentlich weniger qualifizierte Cybersecurity-Experten im Vergleich zu beispielsweise Finanzinstitutionen. [18]
Medizinische IT-Systeme sind eng mit Finanzdienstleistungen verknüpft. So können medizinische Einrichtungen flexible Sparpläne für unerwartete Ausgaben haben, einschließlich eigener Zahlungskarten oder Sparkonten, auf denen beträchtliche Beträge im sechsstelligen Bereich verwaltet werden. [18]
Viele Organisationen arbeiten mit medizinischen Zentren zusammen und bieten ihren Mitarbeitern ein individuelles Gesundheitssystem an. Dies ermöglicht es Angreifern, durch das Hacken von medizinischen Einrichtungen Zugang zu sensiblen Informationen über Unternehmensklienten zu erhalten. Ganz zu schweigen davon, dass der Arbeitgeber selbst als Angreifer auftreten kann, indem er heimlich die medizinischen Daten seiner Mitarbeiter an Dritte verkauft. [18]
Medizinische Zentren verfügen über komplexe Lieferketten und umfangreiche Listen von Lieferanten, mit denen sie digital vernetzt sind. Durch das Hacken von IT-Systemen eines medizinischen Zentrums kann der Angreifer auch die Systeme der Lieferanten übernehmen. Zudem stellen die digital vernetzten Lieferanten selbst einen attraktiven Einstiegspunkt für Angreifer in die IT-Systeme des medizinischen Zentrums dar. [18]
In anderen Bereichen ist der Schutz sehr raffiniert geworden, weshalb die Angreifer einen neuen Sektor erschließen mussten, in dem Transaktionen über verwundbare Hardware und Software erfolgen. [18]

Wie hängen Diebstähle von Sozialversicherungsnummern mit der kriminellen Industrie der Dokumentenfälschung zusammen?

Am 30. Januar 2015 erklärte die Nachrichtenagentur "Tom's Guide" [31], was der Unterschied zwischen einer einfachen und einer kombinierten Dokumentenfälschung ist. Im einfachsten Fall besteht eine Dokumentenfälschung darin, dass der Betrüger sich einfach als eine andere Person ausgibt, indem er deren Namen, Sozialversicherungsnummer (SSN) und andere persönliche Informationen nutzt. Solch ein Betrugsfall wird recht schnell und einfach erkannt. Bei einem kombinierten Ansatz schaffen die bösen Jungs eine völlig neue Identität. Indem sie ein Dokument fälschen, verwenden sie eine echte SSN und fügen Fragmente persönlicher Informationen mehrerer verschiedener Personen hinzu. Dieses Frankenstein-Monster, zusammengenäht aus persönlichen Informationen verschiedener Menschen, ist viel schwieriger zu entdecken als eine einfache Dokumentenfälschung. Da der Betrüger nur einige Informationen jeder seiner Opfer verwendet, werden seine betrügerischen Machenschaften nicht mit den rechtmäßigen Eigentümern dieser Informationsfragmente in Verbindung gebracht. Zum Beispiel wird der rechtmäßige Besitzer seiner SSN bei der Überprüfung seiner Aktivitäten nichts Verdächtiges entdecken.
Schlechte Akteure könnten ihr Frankenstein-Monster nutzen, um einen Job zu finden oder einen Kredit zu erhalten [31], aber auch, um Scheinfirmen zu gründen [32]; zum Kauf von Waren oder zur Erlangung von Führerscheinen und Pässen [34]. Selbst im Fall eines Kredits ist es sehr schwierig, einen Dokumentenfälschungsfall nachzuverfolgen. Wenn Banken also eine Untersuchung einleiten, wird wahrscheinlich der rechtmäßige Inhaber der persönlichen Daten zur Verantwortung gezogen, anstatt der Schöpfer des Frankenstein-Monsters.
Unehrliche Unternehmer könnten Dokumentenfälschungen nutzen, um Gläubiger zu betrügen – durch die Schaffung eines sogenannten Business-Sandwichs. Das Konzept des Business-Sandwichs besteht darin, dass unehrliche Unternehmer mehrere falsche Identitäten formen und diese als Kunden ihres Unternehmens präsentieren – und damit den Anschein von Geschäftserfolg erwecken. Auf diese Weise werden sie für ihre Gläubiger attraktiver und erhalten die Möglichkeit, von besseren Kreditkonditionen zu profitieren. [33]
Der Diebstahl und Missbrauch persönlicher Informationen bleibt oft lange Zeit unbemerkt von ihrem rechtmäßigen Eigentümer, kann jedoch erhebliche Unannehmlichkeiten verursachen, besonders in ungünstigen Momenten. Zum Beispiel könnte der rechtmäßige Eigentümer einer SSN einen Antrag auf soziale Dienste stellen und abgelehnt werden, da ein übermäßiges Einkommen durch eine gefälschte Scheinfirma entstanden ist, die seine SSN verwendet hat. [33]
Seit 2007 erlebt das milliardenschwere kriminelle Geschäft mit SSN-Fälschungen einen immer größeren Aufschwung [34]. Betrüger ziehen dabei bevorzugt solche SSNs vor, die von ihren rechtmäßigen Eigentümern nicht aktiv genutzt werden – dazu zählen die SSNs von Kindern und Verstorbenen. Laut dem Informationsdienst „CBS“ beliefen sich die monatlichen Vorfälle 2014 auf mehrere Tausend, während es 2009 nicht mehr als 100 pro Monat waren. Das exponentielle Wachstum dieser Art von Betrug – insbesondere deren Einfluss auf die persönlichen Daten von Kindern – wird in Zukunft für junge Menschen traurige Konsequenzen haben. [34]
Säuglings-SSNs werden in diesem Betrugsschema 50 Mal häufiger verwendet als die SSNs von Erwachsenen. Das Interesse an den SSNs von Kindern ergibt sich aus der Tatsache, dass diese in der Regel bis zur Volljährigkeit von 18 Jahren nicht aktiv sind. Wenn daher Eltern minderjähriger Kinder nicht auf die SSNs ihrer Kinder achten, könnte es in Zukunft Schwierigkeiten geben, wenn es um die Ausstellung eines Führerscheins oder eines Studierendenkredits geht. Dies könnte auch die Jobsuche erschweren, falls Informationen über fragwürdige SSN-Aktivitäten einem potenziellen Arbeitgeber zugänglich werden. [34]

Heute wird viel über die Perspektiven und die Sicherheit von Künstlicher-Intelligenz-Systemen diskutiert. Wie sieht es in diesem Bereich im Gesundheitssektor aus?

Im Juni 2017 veröffentlichte der Chefredakteur des «MIT Technology Review», einer Fachzeitschrift für Künstliche Intelligenz, seinen Artikel „Die dunkle Seite der Künstlichen Intelligenz“, in dem er diese Frage ausführlich beantwortet. Wichtige Punkte seines Artikels [35]:
Moderne Systeme der künstlichen Intelligenz (KI) sind so komplex, dass selbst die Ingenieure, die sie entwickeln, nicht erklären können, wie die KI ihre Entscheidungen trifft. Bislang und in absehbarer Zukunft ist es nicht möglich, ein KI-System zu entwickeln, das immer in der Lage ist, seine Handlungen zu erklären. Die Technologie des "Deep Learning" hat sich als sehr effizient bei der Lösung drängender Probleme der letzten Jahre erwiesen: Bild- und Sprachverarbeitung, Übersetzungen und medizinische Anwendungen. [35]
Es wird große Hoffnung auf KI gesetzt, um tödliche Krankheiten zu diagnostizieren und komplexe wirtschaftliche Entscheidungen zu treffen; außerdem wird erwartet, dass KI ein zentrales Element in vielen anderen Branchen wird. Doch dies wird nicht passieren – oder zumindest nicht geschehen sollten – bis wir einen Weg finden, ein solches Deep-Learning-System zu schaffen, das die Entscheidungen, die es trifft, erklären kann. Andernfalls werden wir nicht vorhersagen können, wann dieses System versagen wird – und das wird früher oder später definitiv der Fall sein. [35]
Dieses Problem ist bereits jetzt drängend, und in Zukunft wird es nur schlimmer werden. Sei es in wirtschaftlichen, militärischen oder medizinischen Entscheidungen. Die Computer, auf denen die entsprechenden KI-Systeme laufen, haben sich selbst programmiert, und zwar in einer Weise, dass wir nicht mehr verstehen können, "was sie denken". Was soll man von den Endbenutzern halten, wenn selbst die Ingenieure, die diese Systeme entwerfen, deren Verhalten nicht begreifen oder erklären können? Mit der Weiterentwicklung der KI-Systeme können wir bald an einen Punkt gelangen – wenn wir ihn nicht bereits überschritten haben –, an dem wir, wenn wir uns auf KI verlassen, einen "Sprung des Glaubens" machen müssen. Sicher, als Menschen können wir auch nicht immer unsere Überlegungen erklären und verlassen uns oft auf Intuition. Aber können wir Maschinen erlauben, auf die gleiche unvorhersehbare und unerklärliche Weise zu denken? [35]
Im Jahr 2015 ließ sich das Mount Sinai-Krankenhaus in New York von der Idee inspirieren, Konzepte des Deep Learning auf seine umfangreiche Datenbank mit Krankengeschichten anzuwenden. Die Datenstruktur, die für das Training des KI-Systems verwendet wurde, umfasste Hunderte von Parametern, die auf Basis von Testergebnissen, Diagnosen, Untersuchungen und Arztberichten festgelegt wurden. Das Programm, das diese Aufzeichnungen verarbeitete, wurde „Deep Patient“ genannt. Es wurde mit Aufzeichnungen von 700.000 Patienten trainiert. In Tests mit neuen Aufzeichnungen erwies es sich als äußerst nützlich zur Vorhersage von Krankheiten. Ohne jegliches Expertenintervention identifizierte „Deep Patient“ Symptome, die in den Krankengeschichten verborgen waren und von der KI als Hinweise gedeutet wurden, dass der Patient an der Schwelle zu schwerwiegenden Komplikationen steht, einschließlich Leberkrebs. Zuvor hatten wir mit verschiedenen Prognosemethoden experimentiert, die als Ausgangsdaten die Krankengeschichten vieler Patienten verwendeten, aber die Ergebnisse von „Deep Patient“ sind mit diesen nicht vergleichbar. Darüber hinaus gibt es völlig unerwartete Erfolge: „Deep Patient“ sagt das Auftreten von psychischen Erkrankungen wie Schizophrenie sehr gut voraus. Da die moderne Medizin jedoch keine Instrumente zur Vorhersage dieser Erkrankungen hat, stellt sich die Frage, wie es der KI gelungen ist, dies zu tun. Allerdings ist „Deep Patient“ nicht in der Lage zu erklären, wie es funktioniert. [35]
Idealerweise sollten solche Werkzeuge den Ärzten erklären, wie sie zu ihren jeweiligen Schlussfolgerungen gekommen sind, um beispielsweise den Einsatz bestimmter Medikamente zu rechtfertigen. Leider sind moderne KI-Systeme dazu nicht in der Lage. Wir können solche Programme erstellen, wissen aber nicht, wie sie tatsächlich funktionieren. Das tiefgehende Lernen hat KI-Systeme zu einem explosiven Erfolg verholfen. Derzeit werden solche KI-Systeme angewendet, um entscheidende Entscheidungen in Branchen wie der Medizin, Finanzen, Fertigung und mehr zu treffen. Vielleicht ist es die Natur des Intellekts selbst, dass nur ein Teil davon rational erklärt werden kann, während der Großteil spontane Entscheidungen trifft. Doch wohin wird das führen, wenn wir diesen Systemen erlauben, Krebs zu diagnostizieren und militärische Manöver durchzuführen? [35]

Hat der Medizinsektor aus der WannaCry-Situation Lehren gezogen?

Am 25. Mai 2017 berichtete die Nachrichtenagentur „BBC“, [16] dass eine der Hauptursachen für die Vernachlässigung der Cybersicherheit in tragbaren medizinischen Geräten deren geringe Rechenleistung ist, die durch strenge Größenvorgaben bedingt ist. Zwei weitere ebenso bedeutende Gründe sind: ein Mangel an Wissen über das Schreiben sicherer Codes und der Druck, Produktversionen schnell auf den Markt zu bringen.
In derselben Mitteilung stellte die „BBC“ fest [16], dass bei der Untersuchung des Quellcodes eines Herzschrittmachers mehr als 8000 Schwachstellen entdeckt wurden; und dass trotz der großen Aufmerksamkeit für Cybersicherheitsprobleme, die infolge des WannaCry-Vorfalls auftraten, lediglich 17 % der Hersteller medizinischer Geräte konkrete Maßnahmen zur Sicherstellung der Cybersicherheit ihrer Geräte ergriffen. Was die medizinischen Einrichtungen betrifft, die einen Kontakt mit WannaCry vermeiden konnten, so haben sich nur 5 % von ihnen mit der Cybersicherheitsdiagnose ihrer Ausrüstung beschäftigt. Diese Berichte wurden kurz nach dem Zeitpunkt erstellt, als mehr als 60 Gesundheitseinrichtungen im Vereinigten Königreich Opfer eines Cyberangriffs wurden.
Am 13. Juni 2017, einen Monat nach dem WannaCry-Vorfall, sprach Peter Pronovost, Arzt mit Doktortitel und stellvertretender Direktor für Patientensicherheit eines großen medizinischen Zentrums „Johns Hopkins Medicine“, über [17] in den Seiten der „Harvard Business Review“ über die dringenden Herausforderungen der computerisierten Integration medizinischer Geräte – ohne ein Wort über Cybersicherheit zu verlieren.
Am 15. Juni 2017, einen Monat nach dem WannaCry-Vorfall, erwähnte Robert Pearl, Arzt mit Doktortitel und Leiter zweier medizinischer Zentren, in einem Artikel [15] in der „Harvard Business Review“ die modernen Herausforderungen, mit denen sich Entwickler und Nutzer von EMR-Systemen auseinandersetzen – wobei er kein Wort über Cybersicherheit sagte.
Am 20. Juni 2017, einen Monat nach dem WannaCry-Vorfall, veröffentlichten eine Gruppe von Wissenschaftlern mit Doktortiteln der Harvard Medical School – die zugleich die leitenden Abteilungen des Brigham and Women’s Hospital leiten – [20] in den Seiten der Harvard Business Review die Ergebnisse einer Diskussionstafel, die der Notwendigkeit der Modernisierung medizinischer Geräte gewidmet war, um die Qualität der Patientenversorgung zu verbessern. Bei der Diskussionstafel wurden Perspektiven für die Entlastung der Ärzte und die Senkung der Kosten durch die Optimierung technologischer Prozesse und umfassende Automatisierung erörtert. Vertreter von 34 führenden medizinischen Zentren der USA nahmen an der Diskussion teil. Mit Blick auf die Modernisierung der medizinischen Geräte setzten die Teilnehmer große Hoffnungen auf Prognosetools und intelligente Geräte. Über Cybersicherheit wurde kein Wort verloren.

Wie können medizinische Zentren Cybersicherheit gewährleisten?

Im Jahr 2006 erklärte der Leiter der Abteilung für Informationssysteme der Sonderkommunikation des FSO Russlands, Generalleutnant Nikolai Iljin [52]: „Das Thema Informationssicherheit ist heute aktueller denn je. Die Anzahl der eingesetzten Technologien steigt rapide an. Leider werden bei der Planung häufig die Aspekte der Informationssicherheit nicht ausreichend berücksichtigt. Es ist offensichtlich, dass die Kosten zur Lösung dieses Problems zwischen 10 und 20 Prozent der Gesamtkosten des Systems liegen, und der Kunde ist nicht immer bereit, zusätzliches Geld auszugeben. Dabei ist es wichtig zu verstehen, dass ein zuverlässiger Informationsschutz nur durch einen ganzheitlichen Ansatz realisiert werden kann, bei dem organisatorische Maßnahmen mit der Implementierung technischer Schutzmaßnahmen kombiniert werden.“
Am 3. Oktober 2016 teilte Mohammed Ali, ein ehemaliger Schlüsselmitarbeiter von IBM und Hewlett Packard und nun Geschäftsführer des Unternehmens "Carbonite", das sich auf Cybersecurity-Lösungen spezialisiert hat, seine Beobachtungen zur Cybersicherheit im Gesundheitssektor im "Harvard Business Review": "Da Ransomware so verbreitet ist und die Schäden enorm sein können, bin ich immer wieder erstaunt, wenn ich in Gesprächen mit CEOs höre, dass sie dies nicht ernst nehmen. Im besten Fall delegiert der CEO die Cybersecurity-Probleme an die IT-Abteilung. Doch das ist nicht ausreichend für einen effektiven Schutz. Daher appelliere ich immer an die CEOs: 1) Maßnahmen zur Prävention von Ransomware in die Prioritätenliste der organisatorischen Entwicklung aufzunehmen; 2) die entsprechende Cybersicherheitsstrategie mindestens einmal im Jahr zu überprüfen; 3) die gesamte Organisation in entsprechende Schulungen einzubeziehen."
Man kann bewährte Lösungen aus dem Finanzsektor übernehmen. Die wichtigste Erkenntnis [18], die der Finanzsektor aus dem Chaos der Cybersicherheit gezogen hat, lautet: „Der wirksamste Bestandteil der Cybersicherheit ist die Schulung des Personals. Denn heutzutage ist der menschliche Faktor, insbesondere die Anfälligkeit für Phishing-Angriffe, die Hauptursache für Cybersicherheitsvorfälle. Während starke Verschlüsselung, Cyber-Risikoversicherungen, Multi-Faktor-Authentifizierung, Tokenisierung, Chipkarten, Blockchain und Biometrie zwar nützlich sind, bleibt ihre Bedeutung in hohem Maße untergeordnet.“
Am 19. Mai 2017 berichtete die Nachrichtenagentur „BBC“ [23], dass nach dem WannaCry-Vorfall in Großbritannien die Verkaufszahlen von Sicherheitssoftware um 25 % gestiegen sind. Experten von Verizon sind jedoch der Meinung, dass der panische Kauf von Sicherheitssoftware nicht die richtige Lösung für Cybersicherheit ist; stattdessen sollte man proaktive Schutzmaßnahmen und nicht reaktive verfolgen.

P.S. Hat Ihnen der Artikel gefallen? Wenn ja, geben Sie bitte ein Like. Wenn wir die 70 Likes erreichen, werde ich sehen, dass die Leser von Habr Interesse an diesem Thema haben. In Zukunft bereite ich dann eine Fortsetzung mit einem Überblick über noch aktuellere Bedrohungen für medizinische Informationssysteme vor.

Bibliographie

David Talbot. Computer-Viren sind in medizinischen Geräten in Krankenhäusern «verbreitet» // MIT Technology Review (Digital). 2012.
Kristina Grifantini. «Plug and Play» Krankenhäuser // MIT Technology Review (Digital). 2008.
Denis Makrushin. Fehler in der «smart» Medizin // SecureList. 2017.
Tom Simonite. Mit Ransomware-Infektionen in Krankenhäusern sind die Patienten gefährdet // MIT Technology Review (Digital). 2016..
Sarah Marsh. NHS-Arbeiter und Patienten berichten, wie der Cyberangriff sie betroffen hat // The Guardian. 2017.
Alex Hern. Hacker veröffentlichen private Fotos aus einer Klinik für kosmetische Chirurgie // The Guardian. 2017.
Sarunas Cerniauskas. Litauen: Cyberkriminelle erpressen Klinik für plastische Chirurgie mit gestohlenen Fotos // OCCRP: Organized Crime and Corruption Reporting Progect. 2017.
Ray Walsh. Nackte Fotos von Patienten nach plastischen Operationen im Internet geleakt // BestVPN. 2017.
Adam Levin. Arzt, heil dich selbst: Sind Ihre medizinischen Unterlagen sicher? // HuffPost. 2016.
Mike Orcutt. Hacker konzentrieren sich zunehmend auf Krankenhäuser // MIT Technology Review (Digital). 2014.
Pjotr Sapozhnikov. Elektronische Gesundheitskarten werden 2017 in allen Polikliniken Moskaus eingeführt // АМИ: Российское агентство медико-социальной информации. 2016.
Jim Finkle. Exklusiv: FBI warnt den Gesundheitssektor vor Cyberangriffen // Reuters. 2014.
Julia Carrie Wong. Das Krankenhaus in Los Angeles kehrt nach einem Cyberangriff zu Faxen und Papierakten zurück // The Guardian. 2016.
Mike Orcutt. Der Zwischenfall des Hollywood-Krankenhauses mit Ransomware ist Teil eines alarmierenden Trends in der Cyberkriminalität // MIT Technology Review (Digital). 2016.
Robert M. Pearl, MD (Harvard). Was Gesundheitssysteme, Krankenhäuser und Ärzte über die Implementierung elektronischer Gesundheitsakten wissen müssen // Harvard Business Review (Digital). 2017.
Tausende bekannte Fehler im Code von Herzschrittmachern entdeckt // BBC. 2017.
Peter Pronovost, MD. Krankenhäuser überbezahlen drastisch für ihre Technologie // Harvard Business Review (Digital). 2017.
Rebecca Weintraub, MD (Harvard), Joram Borenstein. 11 Maßnahmen, die der Gesundheitssektor ergreifen muss, um die Cybersicherheit zu verbessern // Harvard Business Review (Digital). 2017.
Mohamad Ali. Ist Ihr Unternehmen auf einen Ransomware-Angriff vorbereitet? // Harvard Business Review (Digital). 2016.
Meetali Kakad, MD, David Westfall Bates, MD. Akzeptanz für prädiktive Analytik im Gesundheitswesen gewinnen // Harvard Business Review (Digital). 2017.
Michael Gregg. Warum Ihre Krankenakten nicht mehr sicher sind // HuffPost. 2013.
Bericht: Gesundheitswesen führt bei Datenverletzungen im Jahr 2017 // SmartBrief. 2017.
Matthew Wall, Mark Ward. WannaCry: Was können Sie tun, um Ihr Unternehmen zu schützen? // BBC. 2017.
Über 1 Million Akten bisher durch Datenverletzungen im Jahr 2017 kompromittiert // BBC. 2017.
Alex Hern. Wer ist verantwortlich für die Aussetzung des NHS gegenüber Cyberangriffen? // The Guardian. 2017.
So schützen Sie Ihre Netzwerke vor Ransomware // FBI. 2017.
Vorhersage zur Branche der Datenverletzungen // Rxperian. 2017.
Steven Erlanger, Dan Bilefsky, Sewell Chan. Britischer Gesundheitsdienst ignorierte monatelang Warnungen // The New York Times. 2017.
Windows 7 am stärksten von WannaCry-Wurm betroffen // BBC. 2017.
Allen Stefanek. Hollywood Presbyterian Medical Center.
Linda Rosencrance. Synthetischer Identitätsdiebstahl: Wie Betrüger eine neue Identität erschaffen // Tom’s Guide. 2015.
Was ist synthetischer Identitätsdiebstahl und wie kann man ihn verhindern?.
Synthetischer Identitätsdiebstahl.
Steven D’Alfonso. Synthetischer Identitätsdiebstahl: Drei Möglichkeiten, wie synthetische Identitäten entstehen // Security Intelligence. 2014.
Will Knight. Das dunkle Geheimnis im Herzen der KI // MIT Technology Review. 120(3), 2017.
Kuznetsov G.G. Das Problem der Auswahl eines Informationssystems für Gesundheitseinrichtungen // «Информатика Сибири».
Informationssysteme und das Problem des Datenschutzes // «Информатика Сибири».
IT im Gesundheitswesen in naher Zukunft // «Информатика Сибири».
Wladimir Makarow. Antworten auf Fragen zum EMIAS-System // Радио «Эхо Москвы».
Wie die medizinischen Daten der Moskauer geschützt werden // Открытые системы. 2015.
Irina Sheyan. In Moskau werden elektronische Krankenkarten eingeführt // Computerworld Россия. 2012.
Irina Sheyan. In einem Boot // Computerworld Россия. 2012.
Olga Smirnova. Die intelligenteste Stadt der Erde // Профиль. 2016.
Tseplova Anastasia. Das medizinische Informationssystem Kondopoga // 2012.
Medizinisches Informationssystem „Paracelsus-A“.
Kuznetsov G.G. Digitalisierung der kommunalen Gesundheitsversorgung mit dem medizinischen Informationssystem „INFOMED“ // «Информатика Сибири».
Medizinisches Informationssystem (MIS) DOKA+.
E-Hospital. Offizielle Webseite.
Technologien und Perspektiven // «Информатика Сибири».
Nach welchen IT-Standards funktioniert das Gesundheitswesen in Russland?
Regionale Teilsystem (RISUZ) // «Информатика Сибири».
Informationssysteme und das Problem des Datenschutzes // «Информатика Сибири».
Möglichkeiten von Medizin-Informationssystemen // «Информатика Сибири».
Einheitlicher Informationsraum im Gesundheitswesen // «Информатика Сибири».
Agejko T.J., Andrianov A.W. Erfahrungen zur Integration von EMIAS und dem automatisierten Informationssystem des Krankenhauses // IT-Стандарт. 3(4). 2015.
IT auf regionaler Ebene: Situationsangleichung und Gewährleistung von Transparenz // Leiter des Informationsdienstes. 2013.
Schiljajew P.S., Goryunova T.I., Wolodin K.I. Sicherung der Informationsressourcen und -dienste im Gesundheitswesen // Международный студенческий научный вестник. 2015.
Irina Sheyan. Bilder in der Cloud // Директор информационной службы. 2017.
Irina Sheyan. Effektivität der Digitalisierung im Gesundheitswesen – auf der „letzten Meile“ // Директор информационной службы. 2016.
„Kaspersky-Labor“: Russland leidet am stärksten unter Hackerangriffen des WannaCry-Virus // 2017.
Andrei Makonin. RŽD und die Zentralbank berichteten über Virusangriffe // БиБиСи. 2017.
Erik Bosman, Kaveh Razavi. Dedup Est Machina: Speicher-Deduplizierung als avancierter Exploitation-Vector // Proceedings des IEEE Symposiums über Sicherheit und Datenschutz. 2016. S. 987-1004.
Bruce Potter. Dirty Little Secrets of Information Security // DEFCON 15. 2007.
Ekaterina Kostina. «Invitro» gab bekannt, dass die Annahme von Proben aufgrund eines Cyberangriffs eingestellt wurde..

Quelle: habr.com

Umfassendes FAQ zu Cybersecurity in medizinischen Informationssystemen