Analytische Übersicht über Cybersecurity-Bedrohungen für medizinische Informationssysteme, die im Zeitraum von 2007 bis 2017 relevant waren.

– Wie verbreitet sind medizinische Informationssysteme in Russland?
– Können Sie mehr über das einheitliche staatliche Informationssystem im Gesundheitswesen (EGSI) erzählen?
– Können Sie mehr über die technischen Besonderheiten russischer medizinischer Informationssysteme erläutern?
– Wie steht es um die Cybersecurity der nationalen EMIAS-Systeme?
– Wie sieht die Cybersecurity-Situation bei medizinischen Informationssystemen in Zahlen aus?
– Können Computerviren medizinische Geräte infizieren?
– Wie gefährlich sind Ransomware-Viren für den medizinischen Sektor?
– Wenn Cybervorfälle so gefährlich sind, warum digitalisieren Hersteller medizinische Geräte?
– Warum haben Cyberkriminelle vom Finanzsektor und Einzelhandel auf medizinische Einrichtungen umgeschwenkt?
– Warum sind Fälle von Ransomware-Infektionen im medizinischen Sektor angestiegen und nehmen weiter zu?
– Ärzte, Krankenschwestern und Patienten, die unter WannaCry gelitten haben – welche Folgen hatte das für sie?
– Wie können Cyberkriminelle einer Klinik für plastische Chirurgie schaden?
– Ein Cyberkrimineller hat eine Patientenakte gestohlen – welche Risiken birgt das für ihren rechtmäßigen Eigentümer?
– Warum ist der Diebstahl von Patientenakten so stark nachgefragt?
– Wie hängen die Diebstähle von Sozialversicherungsnummern mit der kriminellen Dokumentenfälschungsindustrie zusammen?
– Heute gibt es viele Diskussionen über die Perspektiven und die Sicherheit von KI-Systemen. Wie steht es damit im medizinischen Sektor?
– Hat der medizinische Sektor aus der WannaCry-Situation gelernt?
– Wie können medizinische Einrichtungen Cybersecurity gewährleisten?

Dieser Bericht wurde mit einem Dankesschreiben des Gesundheitsministeriums der Russischen Föderation ausgezeichnet (siehe Screenshot unter dem Spoiler).

Wie verbreitet sind medizinische Informationssysteme in Russland?

Im Jahr 2006 berichtete "Informatik Sibir" (ein IT-Unternehmen, das auf die Entwicklung medizinischer Informationssysteme spezialisiert ist) [38]: "MIT Technology Review veröffentlicht regelmäßig eine traditionelle Liste von zehn vielversprechenden Informations- und Kommunikationstechnologien, die in naher Zukunft den größten Einfluss auf die Gesellschaft haben werden. Im Jahr 2006 belegten 6 von 10 Positionen auf dieser Liste Technologien, die in irgendeiner Weise mit medizinischen Fragen verbunden sind. Das Jahr 2007 wurde in Russland zum 'Jahr der Informatik im Gesundheitswesen' erklärt. Von 2007 bis 2017 nimmt die Abhängigkeit des Gesundheitswesens von Informations- und Kommunikationstechnologien ständig zu."
Am 10. September 2012 berichtete das Informations- und Analysezentrum "Offene Systeme" [41], dass im Jahr 2012 350 Kliniken Moskaus an die EMIAS (einheitliches medizinisches Informations- und Analysesystem) angeschlossen wurden. Kurz darauf, am 24. Oktober 2012, berichtete dieselbe Quelle [42], dass zu diesem Zeitpunkt 3,8 Tausend Ärzte automatisierte Arbeitsplätze haben und 1,8 Millionen Bürger bereits den EMIAS-Service genutzt haben. Am 12. Mai 2015 berichtete dieselbe Quelle [40], dass EMIAS in allen 660 staatlichen Kliniken Moskaus funktioniert und Daten von mehr als 7 Millionen Patienten enthält.
Am 25. Juni 2016 veröffentlichte die Zeitschrift "Profil" [43] ein Expertengutachten des internationalen Analysezentrums PwC: "Moskau ist die einzige Megastadt, in der ein einheitliches System zur Verwaltung der städtischen Kliniken vollständig implementiert ist, während ähnliche Lösungen in anderen Städten der Welt, einschließlich New York und London, nur in der Diskussionsphase sind." "Profil" berichtete ebenfalls, dass zum 25. Juli 2016 in EMIAS 75 % der Moskauer (ca. 9 Millionen Menschen) registriert sind, mehr als 20 Tausend Ärzte im System arbeiten; seit der Einführung des Systems wurden mehr als 240 Millionen Arzttermine vereinbart; täglich werden mehr als 500 Tausend verschiedene Operationen im System durchgeführt. Am 10. Februar 2017 berichtete "Echo Moskaus" [39], dass inzwischen mehr als 97 % der medizinischen Termine in Moskau nach vorheriger Vereinbarung über EMIAS erfolgen.
Am 19. Juli 2016 erklärte Veronika Skvortsova, die Ministerin für Gesundheit der Russischen Föderation, [11], dass bis Ende 2018 95 % der medizinischen Zentren des Landes an das einheitliche staatliche Informationssystem im Gesundheitswesen (EGISZ) angeschlossen sein werden – durch die Einführung einer einheitlichen elektronischen Patientenakte (EMK). Das entsprechende Gesetz, das die russischen Regionen verpflichtet, sich an das System anzuschließen, hat die öffentliche Diskussion durchlaufen, wurde mit allen betroffenen Bundesbehörden abgestimmt und wird in naher Zukunft der Regierung vorgelegt. Veronika Skvortsova berichtete, dass in 83 Regionen die elektronische Terminvergabe bei Ärzten organisiert wurde; in 66 Subjekten wurde ein einheitliches regionales Notfalldispatch-System eingeführt; in 81 Regionen des Landes arbeiten medizinische Informationssysteme, zu denen 57 % der Ärzte automatisierte Arbeitsplätze zugeordnet haben. [11]

Kann man genauer über das einheitliche staatliche Informationssystem im Gesundheitswesen (EGSIZ) sprechen?

EGSIZ ist die Grundlage aller heimischen MIS (medizinischen Informationssysteme). Es besteht aus regionalen Fragmenten – RISUZ (regionale Informationssysteme für das Gesundheitsmanagement). EMIAS, das bereits oben erwähnt wurde, ist ein Beispiel für RISUZ (das bekannteste und vielversprechendste). [51] Wie die Redaktion der Zeitschrift „Direktor des Informationsdienstes“ erklärt, ist EGSIZ eine cloudbasierte IT-Infrastruktur, deren regionale Segmente von Forschungszentren in Kaliningrad, Kostroma, Nowosibirsk, Orel, Saratow, Tomsk und anderen Städten der Russischen Föderation entwickelt werden.
Die Aufgabe von EGSIZ ist es, die „patchworkhafte Digitalisierung“ des Gesundheitswesens zu beseitigen; durch die Zusammenführung von MIS verschiedener Behörden, die bis zur Einführung von EGSIZ eigene, speziell angefertigte Software ohne einheitliche zentralisierte Standards verwendet haben. [54] Seit 2008 basieren die einheitlichen Informationsräume des Gesundheitswesens der Russischen Föderation auf 26 branchenspezifischen IT-Standards [50]. 20 davon sind international.
Die Arbeit medizinischer Zentren hängt stark von Informationssystemen (MIS) wie OpenEMR oder EMIAS ab. MIS gewährleisten die Speicherung von Patienteninformationen: Diagnoseresultate, Informationen über verschriebene Medikamente, Krankengeschichte usw. Die häufigsten Komponenten von MIS (Stand 30. März 2017): EHR (Electronic Health Records) – ein System zur Führung elektronischer Patientenakten, das die Daten des Patienten strukturiert speichert und seine Krankengeschichte verwaltet. NAS (Network Attached Storage) – ein Netzwerk-Datenspeicher. DICOM (Digital Imaging and Communications in Medicine) – ein Standard zur Erstellung und zum Austausch digitaler Bilder in der Medizin. PACS (Picture Archiving and Communication System) – ein System zur Speicherung und zum Austausch von Bildern, das gemäß dem DICOM-Standard arbeitet. Es erstellt, speichert und visualisiert medizinische Bilder und Dokumente von untersuchten Patienten. Das am weitesten verbreitete DICOM-System. [3] All diese MIS sind anfällig für umfassend entwickelte Cyberangriffe, deren Details öffentlich zugänglich sind.
Im Jahr 2015 berichteten Schiljajew P.S., Gorjunowa T.I. und Wolodin K.I., technische Experten der "Penzenschen Staatlichen Technologischen Universität", in ihrem Artikel über Cybersicherheit im Gesundheitssektor, dass die EMIAS Folgendes umfasst: 1) IMEK (integrierte medizinische elektronische Karte); 2) städtisches Patientenregister; 3) Patientendatenflussmanagementsystem; 4) System für integrierte medizinische Informationen; 5) System für konsolidierte Managementbuchhaltung; 6) System zur personalisierten Erfassung medizinischer Hilfe; 7) System für das Management medizinischer Register. Was die IMEK betrifft, so wurde laut [39] Radio "Echo Moskaus" (10. Februar 2017) dieses Untersystem auf der Grundlage der fortschrittlichen Erfahrungen des Standards OpenEHR entwickelt, der die fortschrittlichste Technologie darstellt, auf die technologisch entwickelte Länder allmählich umsteigen.
Die Redaktion des Magazins „Computerworld Russland“ erklärte ebenfalls [41], dass neben der Integration aller dieser Dienste untereinander und mit dem Informationsmanagementsystem (MIS) der medizinischen Einrichtungen, das EMIAS auch mit der Software des föderalen Teils „EGIS-Gesundheit“ (EGIS – einheitliches staatliches Informationssystem) und den Systemen der elektronischen Regierung, einschließlich der Portale für staatliche Dienstleistungen, integriert ist. Kurz darauf, am 25. Juli 2016, präzisierte die Redaktion des Magazins „Profil“ [43], dass EMIAS derzeit mehrere Dienste vereint: ein Situationszentrum, eine elektronische Patientenregistratur, die elektronische Patientenakte (EMK), das elektronische Rezept, Krankschreibungen, einen Labordienst und die persönliche Abrechnung.
Am 7. April 2016 berichtete die Redaktion des Magazins „Direktor des Informationsdienstes“ [59], dass EMIAS in die Apotheken eingezogen ist. In allen Moskauer Apotheken, die Medikamente nach ermäßigten Rezepten ausgeben, wurde ein „automatisiertes System zur Verwaltung der Arzneimittelversorgung der Bevölkerung“ – M-Apotheke – eingeführt.
Am 19. Januar 2017 berichtete dieselbe Quelle [58], dass seit 2015 in Moskau mit der Einführung eines einheitlichen radiologischen Informationsdienstes (ERIS), der mit EMIAS integriert ist, begonnen wurde. Für Ärzte, die Patienten zur Diagnostik überweisen, wurden technologische Karten für Röntgenuntersuchungen, Ultraschall, CT und MRT entwickelt, die ebenfalls mit EMIAS integriert sind. Mit der Ausweitung des Projekts ist geplant, auch Kliniken mit ihrer umfangreichen Ausstattung an den Dienst anzuschließen. In vielen Krankenhäusern gibt es eigene MIS, mit denen ebenso integriert werden muss. Die Redaktion von „Profil“ stellt ebenfalls fest, dass andere Regionen, die das positive städtische Beispiel sehen, ebenfalls Interesse an der Einführung von EMIAS zeigen.

Kann man mehr über die technischen Besonderheiten der einheimischen medizinischen Informationssysteme erfahren?

Die Informationen für diesen Abschnitt stammen aus der analytischen Übersicht [49] „Informatik Sibirien“. Etwa 70 % der medizinischen Informationssysteme basieren auf relationalen Datenbanken. Im Jahr 1999 verwendeten 47 % der medizinischen Informationssysteme lokale (Desktop-)Datenbanken, wobei in den meisten Fällen Tabellen von dBase verwendet wurden. Dieser Ansatz ist charakteristisch für die Anfangszeit der Softwareentwicklung im Gesundheitswesen und die Schaffung von spezialisierten Produkten.
Mit jedem Jahr nimmt die Anzahl der heimischen Systeme auf Basis von Desktop-Datenbanken ab. Im Jahr 2003 betrug dieser Anteil bereits nur noch 4 %. Heutzutage verwendet nahezu niemand aus der Entwicklergemeinschaft mehr dBase-Tabellen. Einige Softwareprodukte nutzen eigene Datenbankformate; oft kommen sie in elektronischen pharmazeutischen Nachschlagewerken zum Einsatz. Derzeit gibt es auf dem heimischen Markt ein medizinisches Informationssystem, das sogar auf einer eigenen DBMS-Architektur „Client-Server“ basiert: e-Hospital. Es ist schwer, objektive Gründe für solche Entscheidungen vorzustellen.
Bei der Entwicklung heimischer medizinischer Informationssysteme kommen hauptsächlich folgende DBMS zum Einsatz: Microsoft SQL Server (52,18 %), Cache (17,4 %), Oracle (13 %), Borland Interbase Server (13 %), Lotus Notes/Domino (13 %). Zum Vergleich: Wenn man die gesamte medizinische Software analysiert, die die Architektur „Client-Server“ verwendet, beträgt der Anteil des DBMS Microsoft SQL Server 64 %. Viele Entwickler (17,4 %) erlauben die Nutzung mehrerer DBMS, meist ist dies eine Kombination aus Microsoft SQL Server und Oracle. Zwei Systeme (IS Kondopoga [44] und Paracelsus-A [45]) verwenden mehrere DBMS gleichzeitig. Alle verwendeten DBMS lassen sich in zwei grundlegend verschiedene Arten unterteilen: relationale und postrelationale (objektorientierte). Heutzutage sind 70 % der heimischen medizinischen Informationssysteme auf relationalen DBMS aufgebaut, während 30 % auf postrelationalen basieren.
Bei der Entwicklung medizinischer Informationssysteme kommen die unterschiedlichsten Programmierwerkzeuge zum Einsatz. So ist zum Beispiel DOKA+ [47] in PHP und JavaScript geschrieben. „E-Hospital“ [48] wurde in der Umgebung von Microsoft Visual C++ entwickelt. Amulet – in der Umgebung von Microsoft Visual.NET. „Infomed“ [46], das unter Windows (98/Me/NT/2000/XP) läuft, hat eine zweistufige Client-Server-Architektur; der Client-Teil ist in der Programmiersprache Delphi implementiert; der Server-Teil wird von dem DBMS Oracle verwaltet.
Etwa 40 % der Entwickler verwenden die integrierten Werkzeuge des DBMS. Von diesen verwenden 42 % eigene Entwicklungen als Berichterstellungseditor, während 23 % die in das DBMS integrierten Mittel nutzen. Zur Automatisierung der Programmcode-Entwicklung und -Tests nutzen 50 % der Entwickler Visual Source Safe. Für die Erstellung von Dokumentationen verwenden 85 % der Entwickler Produkte von Microsoft – den Textverarbeitungseditor Word oder, wie zum Beispiel die Entwickler von e-Hospital, Microsoft Help Workshop.
Im Jahr 2015 veröffentlichten die technischen Experten T. Yu. Ageenko und A. V. Andrianov vom Moskauer Technologischen Institut einen Artikel [55], in dem sie alle technischen Details des automatisierten Krankenhausinformationssystems (GAIS) im Detail beschrieben, einschließlich der typischen Netzwerkstruktur medizinischer Einrichtungen und der drängenden Probleme bei der Gewährleistung ihrer Cybersicherheit. GAIS ist ein sicheres Netzwerk, über das das E-MIAS, das vielversprechendste der russischen MIS, funktioniert.
„Informatik Sibirien“ behauptet [53], dass die zwei angesehensten Forschungszentren, die an der Entwicklung der MIS arbeiten, das Institut für Softwaresysteme der RAN (in der alten russischen Stadt Pereslawl-Salesski gelegen) und die gemeinnützige Organisation „Fond zur Entwicklung und Bereitstellung spezialisierter medizinischer Hilfe Medsancharst-168“ (in Akademgorodok in der Stadt Nowosibirsk gelegen) sind. Die selbst „Informatik Sibirien“, die ebenfalls in diese Liste aufgenommen werden kann, befindet sich in der Stadt Omsk.

Wie steht es um die Cybersicherheit des inländischen Systems E-MIAS?

Am 10. Februar 2017 teilte Wladimir Makarov, der Projektkurator von E-MIAS, in einem Interview für den Radiosender „Echo Moskau“ seine Gedanken [39] darüber mit, dass es keine absolute Cybersicherheit gibt: „Es gibt immer das Risiko eines Datenlecks. Man muss sich daran gewöhnen, dass die Nutzung moderner Technologien bedeutet, dass alles über Sie bekannt werden kann. Selbst die E-Mail-Konten der höchsten Staatsoberhäupter werden gehackt.“ In diesem Zusammenhang kann auf einen kürzlichen Vorfall verwiesen werden, bei dem die E-Mail von etwa 90 Mitgliedern des britischen Parlaments kompromittiert wurde.
Am 12. Mai 2015 erklärte das Amt für Informationstechnologien Moskaus [40] vier wesentliche Aspekte des KISB (Komplexes Informationssicherheitssystem) für EMIAS: 1) Physische Sicherheit – Daten werden auf modernen Servern gespeichert, die sich in unterirdischen Räumlichkeiten befinden, deren Zugang streng reglementiert ist; 2) Software-Schutz – Daten werden in verschlüsselter Form über gesicherte Kommunikationskanäle übertragen; außerdem kann Informationen zu einem Zeitpunkt nur für einen Patienten abgerufen werden; 3) Autorisierter Datenzugriff – Der Arzt wird über eine persönliche Smartcard identifiziert; für den Patienten hingegen ist eine Zwei-Faktor-Authentifizierung über die OMC-Police und das Geburtsdatum vorgesehen.
4) Medizinische und persönliche Daten werden getrennt in zwei verschiedenen Datenbanken gespeichert, was ihre Sicherheit zusätzlich gewährleistet; die Server von EMIAS sammeln medizinische Informationen anonymisiert: Arztbesuche, Verschreibungen, Arbeitsunfähigkeitsbescheinigungen, Überweisungen, Rezepte und andere Details; persönliche Daten – die Nummer der OMC-Police, Nachname, Vorname, Vatersname, Geschlecht und Geburtsdatum – sind in den Datenbanken des Moskauer Stadtfonds für die obligatorische Krankenversicherung enthalten; die Daten beider Datenbanken werden visuell nur auf dem Monitor des Arztes, nach dessen Identifikation, miteinander verbunden.
Trotz der scheinbaren Unverwundbarkeit dieses Schutzes von EMIAS ermöglichen moderne Cyberangriffstechnologien – deren Details öffentlich zugänglich sind – das Hacken selbst eines solchen Schutzes. Siehe beispielsweise die Beschreibung eines Angriffs auf den neuen Microsoft Edge-Browser – unter Bedingungen ohne Softwarefehler und bei aktivem Zustand aller verfügbaren Schutzmaßnahmen. [62] Darüber hinaus ist die Fehlerfreiheit im Programmcode bereits eine Utopie für sich. Näheres dazu in der Präsentation „Die schmutzigen Geheimnisse der Cyberbeschützer“. [63]
Am 27. Juni 2017 stellte die Klinik „Invitro“ aufgrund eines großangelegten Cyberangriffs die Sammlung von Biomaterial und die Ausstellung von Testergebnissen in Russland, Weißrussland und Kasachstan ein. [64]
Am 12. Mai 2017 registrierte das Unternehmen "Kaspersky Lab" [60] 45.000 erfolgreiche Cyberangriffe des Ransomware-Virus WannaCry in 74 Ländern weltweit; wobei die meisten dieser Angriffe auf dem Gebiet Russlands stattfanden. Drei Tage später (am 15. Mai 2017) berichtete das Antivirenunternehmen Avast von [61] bereits 200.000 Cyberangriffen des Ransomware-Virus WannaCry und teilte mit, dass mehr als die Hälfte dieser Angriffe auf dem Territorium Russlands stattfand. Die Nachrichtenagentur BBC berichtete (am 13. Mai 2017), dass in Russland unter anderem das Gesundheitsministerium, das Innenministerium, die Zentralbank und der Ermittlungsdienst Opfer des Virus wurden. [61]
Jedoch behaupten die Pressestellen dieser und anderer russischer Behörden im Chor, dass die Cyberangriffe des Virus WannaCry, obwohl sie stattgefunden haben, keinen Erfolg hatten. Die meisten russischsprachigen Publikationen über die bedauerlichen Vorfälle mit WannaCry fügen, wenn sie ein bestimmtes russisches Ministerium erwähnen, hastig etwas hinzu wie: "Aber laut offiziellen Daten wurde kein Schaden angerichtet." Auf der anderen Seite ist die westliche Presse überzeugt, dass die Folgen des Cyberangriffs mit WannaCry weitaus spürbarer sind, als es in der russischsprachigen Presse dargestellt wird. Die westliche Presse ist so überzeugt, dass sie Russland sogar von Verdächtigungen bezüglich einer Beteiligung an diesem Cyberangriff freigesprochen hat. Wem man mehr glauben schenken sollte – den westlichen oder einheimischen Medien – bleibt jedem selbst überlassen. Dabei ist zu bedenken, dass sowohl die eine als auch die andere Seite Motive hat, um wahrheitsgemäße Fakten zu übertreiben oder herunterzuspielen.

Wie ist die Situation mit der Cybersicherheit medizinischer Informationssysteme – in Zahlen?

Am 1. Juni 2017 erklärten Rebecca Weintrob (Chefarzt "Brigham and Women’s Hospital" mit Doktortitel) und Joram Borenstein (Cybersecurity-Ingenieur) in ihrem gemeinsamen Artikel, der in der "Harvard Business Review" veröffentlicht wurde [18], dass die digitale Ära die Erfassung medizinischer Daten und den Austausch medizinischer Akten zwischen verschiedenen medizinischen Zentren erheblich erleichtert hat: Heute sind die Patientendaten mobil und portabel geworden. Allerdings müssen die medizinischen Zentren für solch digitale Annehmlichkeiten schwere Risiken in der Cybersicherheit in Kauf nehmen.
Am 3. März 2017 berichtete die Nachrichtenagentur „SmartBrief“ [24], dass in den ersten zwei Monaten des Jahres 2017 etwa 250 Sicherheitsvorfälle auftraten, bei denen mehr als eine Million vertraulicher Aufzeichnungen gestohlen wurden. 50% dieser Vorfälle betrafen kleine und mittlere Unternehmen (ohne den Gesundheitssektor). Ungefähr 30% betrafen den Gesundheitssektor. Kurz darauf, am 16. März, berichtete dieselbe Agentur [22], dass der Gesundheitssektor zur Zeit im Jahr 2017 der führende Bereich in Sicherheitsvorfällen ist.
Am 17. Januar 2013 gab Michael Greg, Leiter der Beratungsfirma „Durchdachte Lösungen“, die sich auf Cybersicherheit spezialisiert hat, bekannt [21], dass im Jahr 2012 94% der medizinischen Einrichtungen Opfer von Datenschutzverletzungen wurden. Das ist ein Anstieg um 65% im Vergleich zu 2010-2011. Schlimmer noch, 45% der medizinischen Einrichtungen berichteten, dass der Umfang der Datenschutzverletzungen im Laufe der Zeit zunehmend gravierender wird; und gaben zu, dass es in der Zeit von 2012-2013 mehr als fünf solcher schweren Vorfälle gegeben hat. Weniger als die Hälfte der medizinischen Einrichtungen ist sich jedoch sicher, dass solche Vorfälle verhinderbar sind, oder zumindest, dass sie darüber informiert werden können.
Michael Greg berichtete auch [21], dass im Zeitraum von 2010-2012, also innerhalb von drei Jahren, mehr als 20 Millionen Patienten Opfer von Diebstahl elektronischer medizinischer Karten (EMK) wurden, die sensible vertrauliche Informationen enthalten: Diagnosen, Behandlungsverfahren, Zahlungsinformationen, Versicherungsdetails, Sozialversicherungsnummern und vieles mehr. Ein Cyberkrimineller, der EMK stiehlt, kann die darin enthaltenen Informationen auf vielfältige Weise ausnutzen (siehe Abschnitt „Wie hängen Diebstähle von Sozialversicherungsnummern mit der kriminellen Industrie der Dokumentenfälschung zusammen?“). Trotz alledem ist der Schutz der EMK in medizinischen Zentren oft deutlich schwächer als der Schutz persönlicher E-Mail-Konten.
Am 2. September 2014 erklärte Mike Orkut, ein technischer Experte des MIT [10], dass die Vorfälle von Ransomware-Infektionen jedes Jahr zunehmen. Im Jahr 2014 gab es 600 % mehr Vorfälle als im Jahr 2013. Das amerikanische FBI berichtete zusätzlich [26], dass im Jahr 2016 täglich mehr als 4000 Fälle von digitaler Erpressung stattfanden - viermal mehr als 2015. Besorgniserregend ist nicht nur der allgemeine Trend des Anstiegs der Ransomware-Infektionen, sondern auch das allmähliche Wachstum gezielter Angriffe. Die häufigsten Ziele solcher Angriffe sind Finanzinstitute, Einzelhandel und medizinische Zentren.
Am 19. Mai 2017 veröffentlichte die Nachrichtenagentur «BBC» [23] den Bericht von Verizon für das Jahr 2017, laut dem 72 % der Vorfälle mit Ransomware im Gesundheitswesen stattfinden. In den letzten 12 Monaten ist die Anzahl solcher Vorfälle um 50 % gestiegen.
Am 1. Juni 2017 wurde in der «Harvard Business Review» [18] ein Bericht veröffentlicht, der vom Ministerium für Gesundheit und soziale Dienste der USA bereitgestellt wurde. Darin wird berichtet, dass im Jahr 2015 über 113 Millionen Gesundheitsdaten gestohlen wurden. Im Jahr 2016 waren es über 16 Millionen. Trotz eines deutlichen Rückgangs der Vorfälle im Vergleich zum Jahr 2016 zeigt der allgemeine Trend jedoch eine wachsende Dynamik. Zu Beginn des Jahres 2017 erklärte das Analysezentrum Expirian [27], dass der Gesundheitssektor derzeit das gefragteste Ziel für Cyberkriminelle ist.
Datenlecks über Patienten in medizinischen Systemen entwickeln sich allmählich [37] zu einem der drängendsten Probleme im Gesundheitswesen. Laut Angaben der Firma InfoWatch hat in den letzten zwei Jahren (2005-2006) jede zweite medizinische Organisation ein Datenleck über Patienten zugelassen. Dabei geschehen 60 % der Datenlecks nicht über Kommunikationskanäle, sondern durch spezifische Personen, die vertrauliche Informationen aus der Organisation mitnehmen. Nur 40 % der Datenlecks erfolgen aus technischen Gründen. Das schwächste Glied [36] in der Cybersicherheit medizinischer Informationssysteme sind die Menschen. Man kann enorme Mittel in den Schutz investieren, aber ein schlecht bezahlter Mitarbeiter verkauft Informationen für einen Bruchteil des Wertes.

Können Computer-Viren medizinische Geräte infizieren?

Am 17. Oktober 2012 berichtete David Talbot, technischer Experte des MIT, dass medizinische Geräte in medizinischen Einrichtungen zunehmend computerisiert, immer "intelligenter" und flexibler für eine Neuprogrammierung werden; zudem verfügen sie immer häufiger über Funktionen zur Netzwerkunterstützung. Infolgedessen werden medizinische Geräte immer anfälliger für Cyberangriffe und Virusinfektionen. Das Problem wird durch die Tatsache verschärft, dass Hersteller in der Regel keine Modifikationen ihrer Geräte erlauben – selbst um deren Cybersicherheit zu gewährleisten.
So drang beispielsweise im Jahr 2009 der Netz-Wurm Conficker in das medizinische Zentrum "Beth Israel" ein und infizierte dort Teile der medizinischen Ausrüstung, darunter eine Workstation für die geburtshilfliche Versorgung (von Philips) und eine Röntgenstation (von General Electric). Um solche Vorfälle in Zukunft zu vermeiden, beschloss John Halmak, IT-Direktor dieses medizinischen Zentrums – und gleichzeitig Professor an der Harvard Medical School mit Doktortitel –, die Netzwerkunterstützung bei dieser Ausrüstung abzuschalten. Er stellte jedoch fest, dass die Ausrüstung "wegen regulatorischer Einschränkungen nicht aktualisiert werden kann". Es erforderte erhebliche Anstrengungen, um mit den Herstellern die Deaktivierung der Netzwerkfunktionen abzustimmen. Die Trennung vom Netzwerk ist jedoch keineswegs eine ideale Lösung, insbesondere im Kontext der wachsenden Integration und Abhängigkeit medizinischer Geräte.
Das gilt für die "intelligente" Ausrüstung, die in medizinischen Einrichtungen verwendet wird. Aber es gibt auch tragbare medizinische Geräte, zu denen Insulinpumpen und implantierte Herzschrittmacher gehören. Sie sind immer häufiger Cyberangriffen und Computer-Virusinfektionen ausgesetzt. Als Randbemerkung kann erwähnt werden, dass am 12. Mai 2017 (an dem Tag des Triumphs des Ransomware-Virus WannaCry) ein Herzchirurg berichtete, dass während einer Herzoperation mehrere Computer massiv ausfielen – glücklicherweise gelang es ihm jedoch, die Operation erfolgreich abzuschließen.

Wie gefährlich sind Ransomware-Viren für den medizinischen Sektor?

Am 3. Oktober 2016 erklärte Mohammed Ali, Geschäftsführer des Unternehmens „Carbonite“, das sich auf Cyber-Sicherheitslösungen spezialisiert hat, auf den Seiten des „Harvard Business Review“, dass ein Ransomware eine Art von Computer-Virus ist, der dem Benutzer den Zugriff auf sein System verwehrt, bis ein Lösegeld gezahlt wird. Der Ransomware verschlüsselt die Festplatte, wodurch der Benutzer den Zugriff auf die Informationen auf seinem Computer verliert, und verlangt zur Bereitstellung des Entschlüsselungsschlüssels ein Lösegeld. Um einer Begegnung mit den Strafverfolgungsbehörden zu entgehen, nutzen die Täter anonyme Zahlungsmethoden wie Bitcoin.
Mohammed Ali berichtete auch, dass die Verbreiter von Ransomware herausgefunden haben, dass der optimalste Lösegeldbetrag bei Angriffen auf normale Bürger und Kleinunternehmer zwischen 300 und 500 US-Dollar liegt. Dieser Betrag ist für viele akzeptabel, da sie der Aussicht gegenüberstehen, all ihre digitalen Ersparnisse zu verlieren.
Am 16. Februar 2016 berichtete die Nachrichtenagentur „Guardian“, dass das medizinische Personal des „Hollywood Presbyterian Medical Center“ infolge einer Ransomware-Infektion den Zugang zu seinen Computersystemen verlor. Die Ärzte waren gezwungen, per Fax zu kommunizieren, die Krankenschwestern mussten die Krankengeschichte auf altmodischen Papierakten festhalten, und die Patienten mussten ins Krankenhaus fahren, um ihre Testergebnisse persönlich abzuholen.
Am 17. Februar 2016 veröffentlichte die Leitung des „Hollywood Presbyterian Medical Center“ eine Erklärung mit folgendem Inhalt: „Am Abend des 5. Februar verloren unsere Mitarbeiter den Zugriff auf das Krankenhausnetzwerk. Malware sperrte unsere Computer und verschlüsselte alle unsere Dateien. Die Strafverfolgungsbehörden wurden sofort informiert. Cybersicherheitsexperten halfen dabei, den Zugriff auf unsere Computer wiederherzustellen. Die geforderte Lösegeldsumme betrug 40 Bitcoins (17.000 US-Dollar). Der schnellste und effektivste Weg, unsere Systeme und Verwaltungsfunktionen wiederherzustellen, bestand darin, das Lösegeld zu zahlen und so den Entschlüsselungsschlüssel zu erhalten. Um die Betriebsfähigkeit der Krankenhaus Systeme wiederherzustellen, waren wir gezwungen, dies zu tun.“
Am 12. Mai 2017 berichtete die Nachrichtenagentur „New York Times“ [28], dass einige Krankenhäuser infolge des WannaCry-Vorfalls so stark gelähmt wurden, dass sie nicht einmal Namensschilder für Neugeborene drucken konnten. In den Krankenhäusern wurde den Patienten gesagt: „Wir können Ihnen nicht helfen, da unsere Computer ausgefallen sind.“ Das ist ziemlich ungewöhnlich in so großen Städten wie London.

Wenn Cybervorfälle so gefährlich sind, warum rüsten die Hersteller medizinischer Geräte ihre Geräte dann mit Computern aus?

Am 9. Juli 2008 stellte Christina Grifantini, technische Expertin am MIT, in ihrem Artikel „Medizinische Zentren: Die Ära Plug and Play“ fest [2]: Die beängstigende Vielfalt neuer „intelligenter“ medizinischer Geräte in Krankenhäusern verspricht eine bessere Patientenversorgung. Das Problem ist jedoch, dass diese Geräte in der Regel nicht miteinander kompatibel sind, selbst wenn sie vom selben Hersteller stammen. Daher haben Ärzte einen dringenden Bedarf, alle medizinischen Geräte in ein einheitliches computerisiertes Netzwerk zu integrieren.
Am 9. Juli 2009 stellte Douglas Rosindale, IT-Spezialist des „Veterans Health Administration“ – und gleichzeitig Professor an der Harvard Medical School mit Doktortitel – die dringende Notwendigkeit einer computerisierten Integration medizinischer Geräte mit folgenden Worten fest [2]: „Heute gibt es viele patentierte Systeme mit geschlossener Architektur von verschiedenen Anbietern – aber das Problem ist, dass sie nicht miteinander interagieren können. Und das schafft Schwierigkeiten in der Patientenversorgung.“
Wenn medizinische Geräte unabhängige Messungen durchführen und diese nicht untereinander austauschen, können sie den Zustand des Patienten nicht umfassend bewerten, und schlagen daher beim geringsten Abweichen der Werte von der Norm Alarm – manchmal zu Recht, manchmal ohne Anlass. Dies verursacht erhebliche Unannehmlichkeiten für die Krankenschwestern, insbesondere auf der Intensivstation, wo es viele solcher unabhängiger Geräte gibt. Ohne Integration und Unterstützung des Netzwerks wird auf der Intensivstation das Chaos herrschen. Die Integration und Unterstützung des lokalen Netzwerks ermöglichen es, die Arbeit der medizinischen Geräte und medizinischen Informationssysteme (insbesondere die Interaktion dieser Geräte mit den Patientenakten) zu koordinieren, was zu einer wesentlichen Reduktion der Anzahl von Fehlalarmen führt. [2]
In Krankenhäusern gibt es eine große Menge veralteter, kostenintensiver Geräte, die nicht netzwerkfähig sind. Angesichts des dringenden Bedarfs an Integration ersetzen die Krankenhäuser entweder nach und nach dieses Equipment durch neue Geräte oder rüsten es nach, damit es in das gesamte Netzwerk integriert werden kann. Selbst mit neuen Geräten, die mit dem Fokus auf Integrationsfähigkeit entwickelt wurden, ist das Problem jedoch nicht vollständig gelöst. Denn jeder Hersteller von medizinischen Geräten, getrieben von dem ständigen Wettbewerb, strebt danach, dass seine Geräte sich nur untereinander integrieren lassen. Viele Notaufteilungen hingegen benötigen jedoch einen spezifischen Satz unterschiedlicher Geräte, den kein Hersteller alleine bereitstellen kann. Daher wird die Wahl eines einzigen Herstellers das Kompatibilitätsproblem nicht lösen. Dies ist ein weiteres Hindernis für eine umfassende Integration, und die Krankenhäuser investieren erhebliche Mittel in die Lösung dieses Problems. Andernfalls verwandelt inkompatibles Gerät, mit seinen Fehlalarmen, das Krankenhaus in einen Irrenanstalt. [2]
Am 13. Juni 2017 teilte Peter Pronovost, ein Arzt mit Doktortitel und stellvertretender Direktor für Patientensicherheit eines großen medizinischen Zentrums, «Johns Hopkins Medicine», seine Gedanken zur Notwendigkeit der Computerisierung medizinischer Geräte auf den Seiten der «Harvard Business Review»: «Nehmen wir das Beispiel eines Beatmungsgeräts. Der optimale Belüftungsmodus für die Lungen eines Patienten hängt direkt von der Größe des Patienten ab. Die Größe des Patienten wird in der elektronischen Patientenakte (EPA) gespeichert. In der Regel interagiert das Beatmungsgerät nicht mit der EPA, weshalb Ärzte diese Information manuell abrufen, einige Berechnungen auf Papier durchführen und die Parameter des Beatmungsgeräts manuell eingeben müssen. Wenn das Beatmungsgerät und die EPA über ein computergestütztes Netzwerk verbunden wären, könnte dieser Vorgang automatisiert werden. Eine ähnliche Routine in der Wartung medizinischer Geräte gibt es auch bei Dutzenden anderen medizinischen Geräten. Daher müssen Ärzte täglich Hunderte von Routinetätigkeiten durchführen, was mit Fehlern verbunden ist – auch wenn diese selten, aber unvermeidlich sind.»
Neue computerisierte Krankenhausbetten sind mit einer Reihe hochentwickelter Sensoren ausgestattet, die eine Vielzahl von Parametern des darin liegenden Patienten überwachen können. Zum Beispiel können diese Betten durch die Überwachung der Bewegungsdynamik des Patienten auf dem Bett feststellen, ob er Gefahr läuft, Druckgeschwüre zu bekommen. Diese hochmodernen Sensoren machen 30 % der Gesamtkosten des Bettes aus. Doch ohne eine computerisierte Integration ist von diesem „intelligenten Bett“ wenig zu erwarten – es kann nicht mit anderen medizinischen Geräten kommunizieren. Eine ähnliche Situation besteht bei „intelligenten drahtlosen Monitoren“, die Herzfrequenz, Lungenfunktion, Blutdruck usw. messen. Ohne die Integration all dieser Geräte in ein einziges computergestütztes Netzwerk – und vor allem die Gewährleistung einer direkten Interaktion mit den elektronischen Patientenakten der Patienten – ist es kaum von Nutzen. [17]

Warum haben Cyberkriminelle den Fokus vom Finanzsektor und Einzelhandel auf medizinische Zentren verlagert?

Am 16. Februar 2016 teilte Julia Cherry, Sonderkorrespondentin der „Guardian“, ihre Beobachtungen darüber mit, dass medizinische Zentren für Cyberkriminelle besonders attraktiv sind, da ihre Informationssysteme – dank des landesweiten Bestrebens der medizinischen Zentren, medizinische Akten zu digitalisieren – eine reichhaltige, vielfältige Datenbasis enthalten. Dies umfasst Kreditkartennummern, persönliche Informationen von Patienten und vertrauliche medizinische Daten. [13]
Am 23. April 2014 erklärte Jim Finkle, Cybersecurity-Analyst der Nachrichtenagentur „Reuters“, [12], dass Cyberkriminelle versuchen, den geringsten Widerstand zu wählen. Die Cybersecurity-Systeme in medizinischen Zentren sind im Vergleich zu anderen Sektoren, die sich dieses Problems bereits bewusst sind und effektive Gegenmaßnahmen ergriffen haben, deutlich schwächer. Daher werden sie von Cyberkriminellen angezogen.
Am 18. Februar 2016 berichtete Mike Orkut, technischer Experte des MIT, dass das Interesse der Cyberkriminellen am Gesundheitssektor auf fünf Faktoren zurückzuführen ist: 1) Die meisten medizinischen Zentren haben bereits alle ihre Dokumente und Akten digitalisiert; die übrigen sind dabei, dies zu tun. Die Daten dieser Akten enthalten persönliche Informationen, die auf dem Schwarzmarkt des Darknets sehr geschätzt werden. 2) Die Cybersecurity hat in medizinischen Zentren keine Priorität; sie verwenden oft veraltete Systeme und pflegen diese nicht ausreichend. 3) Die Notwendigkeit eines schnellen Zugriffs auf Daten in Notfällen geht oft der Notwendigkeit vor, Sicherheit zu gewährleisten, weshalb Krankenhäuser zu Lasten der Cybersecurity vernachlässigt werden, obwohl sie sich der möglichen Konsequenzen bewusst sind. 4) Krankenhäuser verbinden immer mehr Geräte mit ihrem Netzwerk, was den Bösewichten mehr Möglichkeiten gibt, in das Krankenhausnetzwerk einzudringen. 5) Der Trend zu einer personalisierteren Medizin – insbesondere das Bedürfnis der Patienten nach umfassendem Zugriff auf ihre elektronischen Patientenakten – macht die Managementinformationen noch anfälliger. [14]
Der Einzelhandel und der Finanzsektor sind schon lange ein beliebtes Ziel für Cyberkriminelle. Da die aus diesen Institutionen gestohlenen Informationen den Schwarzmarkt des Darknets überschwemmen, werden sie immer günstiger, und entsprechend ist es für die Bösewichte nicht profitabel, sie zu stehlen und zu verkaufen. Daher erschließen die Bösewichte nun einen neuen, rentableren Sektor. [12]
Auf dem Schwarzmarkt des Darknets sind medizinische Karten viel teurer als Kreditkartennummern. Erstens, weil sie verwendet werden können, um auf Bankkonten zuzugreifen und Rezepte für kontrollierte Medikamente zu erhalten. Zweitens, weil der Diebstahl einer medizinischen Karte und ihre illegale Verwendung viel schwieriger nachzuvollziehen sind, und es viel länger dauert, bis Missbrauch entdeckt wird, als im Fall von Kreditkartenmissbrauch. [12]
Wie von Experten von Dell berichtet, kombinieren einige besonders einfallsreiche Cyberkriminelle Informationen über Gesundheitsdaten aus gestohlenen medizinischen Karten mit anderen sensiblen Daten und erstellen so ein Paket gefälschter Dokumente. Solche Pakete werden im Jargon des Schwarzmarktes des Darknets als „fullz“ und „kitz“ bezeichnet. Der Preis für jedes dieser Pakete übersteigt 1000 $. [12]
Am 1. April 2016 erklärte Tom Simont, technischer Experte des MIT, [4], dass ein wesentlicher Unterschied zwischen Cyberbedrohungen im Gesundheitssektor - den Schwere der Konsequenzen, die sie versprechen. Wenn Sie beispielsweise den Zugang zu Ihrer geschäftlichen E-Mail verloren haben, sind Sie natürlich verärgert; den Zugang zu medizinischen Karten zu verlieren, die Informationen enthalten, die für die Behandlung von Patienten erforderlich sind, ist jedoch etwas ganz anderes.
Daher ist der medizinische Sektor für Cyberkriminelle, die wissen, dass diese Informationen für Ärzte äußerst wertvoll sind, ein sehr attraktives Ziel. So attraktiv, dass sie ständig erhebliche Mittel investieren, um ihre Ransomware-Varianten noch perfekter zu machen, damit sie in ihrem ewigen Kampf gegen Antiviren-Systeme immer einen Schritt voraus bleiben. Die beeindruckenden Summen, die sie durch Ransomware sammeln, ermöglichen es ihnen, in solche Investitionen nicht zu sparen, und diese Ausgaben zahlen sich mehr als aus. [4]

Warum sind die Fälle von Ransomware-Infektionen im medizinischen Sektor zugenommen und nehmen weiterhin zu?

Am 1. Juni 2017 veröffentlichten Rebecca Weintrob (Chefarzt des „Brigham and Women’s Hospital“ mit Doktortitel) und Joram Borenstein (Cybersecurity-Ingenieur) [18] in der „Harvard Business Review“ die Ergebnisse ihrer gemeinsamen Forschung zur Cybersicherheit im medizinischen Sektor. Die wichtigsten Punkte ihrer Untersuchung sind unten aufgeführt.
Keine Organisation ist vor einem Hack geschützt. So ist die Realität, in der wir leben, und diese Realität wurde besonders offensichtlich, als Mitte Mai 2017 der in die Schlagzeilen geratene WannaCry-Ransomware-Virus verbreitet wurde, der Gesundheitszentren und andere Organisationen auf der ganzen Welt infizierte. [18]
Im Jahr 2016 entdeckten die Administratoren einer großen Klinik, dem „Hollywood Presbyterian Medical Center“, unerwartet, dass sie den Zugang zu den Informationen auf ihren Computern verloren hatten. Die Ärzte konnten nicht auf die elektronischen Patientenakten ihrer Patienten zugreifen; sogar auf ihre eigenen Berichte nicht. Alle Informationen auf ihren Computern waren durch einen Ransomware-Virus verschlüsselt. Während alle Informationen der Klinik in der Hand von Angreifern waren, mussten die Ärzte die Patienten in andere Krankenhäuser umleiten. Zwei Wochen lang schrieben sie alles auf Papier, bis sie sich entschlossen, das geforderte Lösegeld von 17.000 $ (40 Bitcoins) zu zahlen. Es war unmöglich, die Zahlung zu verfolgen, da das Lösegeld über ein anonymes Bitcoin-Zahlungssystem geleistet wurde. Hätte man Cybersicherheitsexperten vor ein paar Jahren erzählt, dass Entscheidungsträger mit der Umwandlung von Geld in Kryptowährung beschäftigt sein würden, um das Lösegeld an den Virusentwickler zu zahlen, hätten sie es nicht geglaubt. Doch genau das ist heute geschehen. Normale Menschen, Kleinunternehmer und große Unternehmen – sie alle sind Ziel von Ransomware-Viren. [19]
Was soziale Ingenieurskunst angeht, so werden Phishing-E-Mails, die schädliche Links und Anhänge enthalten, nicht mehr im Namen von entfernten Verwandten versendet, die Ihnen einen Teil ihres Vermögens vererben möchten, im Austausch gegen vertrauliche Informationen. Heute sind Phishing-E-Mails gut vorbereitete Anfragen, ohne Tippfehler; oft getarnt als offizielle Dokumente mit Logos und Unterschriften. Einige von ihnen sind nicht von gewöhnlicher geschäftlicher Korrespondenz oder rechtmäßigen Benachrichtigungen zu App-Updates zu unterscheiden. Manchmal erhalten Entscheidungsträger, die mit der Personalauswahl beschäftigt sind, E-Mails von einem vielversprechenden Kandidaten – mit einem angehängten Lebenslauf, in den ein Ransomware-Virus eingebaut ist. [19]
Fortgeschrittene soziale Ingenieurtechniken sind jedoch nur ein Teil des Problems. Noch besorgniserregender ist die Tatsache, dass die Aktivierung von Ransomware auch ohne direkte Benutzerinteraktion erfolgen kann. Ransomware kann durch Sicherheitslücken im System oder durch unsichere, veraltete Anwendungen verbreitet werden. Mindestens jede Woche taucht eine grundlegend neue Art von Ransomware auf, und die Anzahl der Methoden, wie Ransomware in Computersysteme eindringen kann, steigt ständig. [19]
Was beispielsweise den WannaCry-Ransomware-Virus betrifft... Zunächst kamen Sicherheitsexperten am 15. Mai 2017 zu dem Schluss [25], dass der Hauptgrund für die Infektion des nationalen Gesundheitssystems des Vereinigten Königreichs darin besteht, dass Krankenhäuser eine veraltete Version des Betriebssystems Windows – XP verwenden (Krankenhäuser nutzen dieses System, da viele teure medizinische Geräte mit neueren Windows-Versionen nicht kompatibel sind). Kurz darauf, am 22. Mai 2017, stellte sich heraus [29], dass ein Versuch, WannaCry auf Windows XP auszuführen, oft zu Systemabstürzen ohne Infektion führte; und der Großteil der infizierten Maschinen lief unter Windows 7. Außerdem wurde zunächst angenommen, dass der WannaCry-Virus durch Phishing verbreitet wurde, aber später stellte sich heraus, dass dieser Virus sich selbst verbreitete – ähnlich wie ein Computervirus – ohne Benutzermitwirkung.
Darüber hinaus gibt es spezialisierte Suchmaschinen, die nicht nach Websites im Netz suchen, sondern nach physischer Hardware. Über diese kann man herausfinden, wo, in welchem Krankenhaus, welche Hardware mit dem Netzwerk verbunden ist. [3]
Ein weiterer wesentlicher Faktor für die Verbreitung von Ransomware ist der Zugang zu Kryptowährung Bitcoin. Die Leichtigkeit der anonymen Zahlungsabwicklung aus aller Welt fördert das Wachstum von Cyberkriminalität. Darüber hinaus stimulieren Sie durch Überweisungen an Erpresser weitere Erpressungsversuche gegen sich selbst. [19]
Darüber hinaus haben Cyberkriminelle gelernt, sogar Systeme zu nehmen, die die modernste Sicherheit und die neuesten Software-Updates implementiert haben; und die Methoden zur Erkennung und Entschlüsselung, auf die Sicherheitssysteme zurückgreifen, funktionieren bei weitem nicht immer, insbesondere wenn der Angriff gezielt und einzigartig ist. [19]
Dennoch gibt es eine wirksame Maßnahme gegen Ransomware: kritische Daten sichern. Damit die Daten im Falle von Problemen leicht wiederhergestellt werden können. [19]

Ärzte, Krankenschwestern und Patienten, die von WannaCry betroffen sind – wie hat sich das für sie ausgewirkt?

Am 13. Mai 2017 interviewte Sarah Marsh, Journalistin bei der „Guardian“, mehrere Personen, die Opfer des Ransomware-Virus WannaCry geworden sind, um zu verstehen, was [5] dieser Vorfall für die Betroffenen bedeutet hat (Namen geändert aus Datenschutzgründen):
Sergej Petrowitsch, Arzt: Ich konnte den Patienten keine angemessene Versorgung bieten. So sehr die Führungskräfte auch die Öffentlichkeit davon überzeugen wollen, dass Cybervorfälle keine Auswirkungen auf die Sicherheit der Patienten haben – das ist falsch. Wir konnten nicht einmal Röntgenaufnahmen machen, als unsere computergestützten Systeme ausgefallen sind. Ohne diese Aufnahmen wird praktisch kein Behandlungsverfahren durchgeführt. Zum Beispiel hatte ich an diesem Unglückabend einen Patienten und musste ihn zur Röntgenaufnahme schicken, aber da unsere computergestützten Systeme lahmgelegt waren, konnte ich das nicht tun. [5]
Wera Michailowna, Patientin mit Brustkrebs: Nach einer Chemotherapie war ich auf dem Weg aus dem Krankenhaus, als zu diesem Zeitpunkt der Cyberangriff stattfand. Und obwohl die Chemotherapie bereits durchgeführt worden war, musste ich noch einige Stunden im Krankenhaus warten – bis ich endlich meine Medikamente bekam. Die Verzögerung trat auf, weil das Pflegepersonal vor der Ausgabe der Medikamente deren Übereinstimmung mit den Rezepten überprüft, und diese Überprüfungen erfolgen über computergestützte Systeme. Die Patienten, die nach mir dran waren, waren bereits im Zimmer für ihre Chemotherapie; ihre Medikamente waren ebenfalls schon geliefert worden. Aber da die Übereinstimmung mit den Rezepten nicht überprüft werden konnte, wurde das Verfahren verschoben. Die Behandlung der anderen Patienten wurde sogar auf den nächsten Tag verschoben. [5]
Tatjana Iwanowna, Krankenschwester: Am Montag konnten wir die Patientenakten und die Liste der für heute geplanten Termine nicht einsehen. Ich war am Wochenende für die Annahme der Anrufe zuständig, daher musste ich am Montag, als unser Krankenhaus Opfer eines Cyberangriffs wurde, daran denken, wer genau zum Termin kommen sollte. Die Informationssysteme unseres Krankenhauses waren blockiert. Wir konnten die Krankengeschichte nicht einsehen, konnten keine Rezepte für Medikamente einsehen; wir konnten weder Adressen noch Kontaktdaten der Patienten einsehen; keine Dokumente ausfüllen; die Ergebnisse von Tests überprüfen. [5]
Evgeny Sergeyevich, Systemadministrator: Normalerweise haben wir freitags nachmittags die meisten Besucher. So war es auch an diesem Freitag. Das Krankenhaus war voller Menschen, und für die Annahme der Telefonanrufe waren 5 Mitarbeiter des Krankenhauses im Einsatz, deren Telefone klingelten ununterbrochen. Alle unsere Computersysteme funktionierten einwandfrei, aber gegen 15:00 Uhr wurden alle Bildschirme schwarz. Unsere Ärzte und Krankenschwestern verloren den Zugang zu den Patientenakten, und die Mitarbeiter, die Anrufe entgegennahmen, konnten keine Anträge im Computer erfassen. [5]

Wie können Cyberkriminelle einer Klinik für plastische Chirurgie schaden?

Wie der „Guardian“ berichtet [6], veröffentlichte die kriminelle Gruppe „Zarische Garde“ am 30. Mai 2017 vertrauliche Daten von 25.000 Patienten der litauischen Klinik für plastische Chirurgie „Grozio Chirurgija“. Darunter private intime Fotos, die vor, während und nach den Operationen gemacht wurden (ihr Aufbewahrung ist aufgrund der spezifischen Arbeit der Klinik notwendig); sowie Scans von Ausweisen und Sozialversicherungsnummern. Aufgrund des guten Rufs der Klinik und der moderaten Preise nutzen Menschen aus 60 Ländern, darunter weltbekannte Persönlichkeiten [7], ihre Dienste. Alle wurden sie Opfern dieses Cybervorfalls.
Einige Monate zuvor hatten die „Garde“-Mitglieder die Server der Klinik gehackt und Daten entwendet, und verlangten ein Lösegeld in Höhe von 300 Bitcoin (etwa 800.000 $). Die Leitung der Klinik weigerte sich, mit der „Garde“ zusammenzuarbeiten, und blieb unnachgiebig, selbst als die „Garde“ den Lösegeldbetrag auf 50 Bitcoin (etwa 120.000 $) senkte. [6]
Nachdem sie die Hoffnung auf ein Lösegeld von der Klinik verloren hatten, entschieden sich die "Wächter", auf deren Kunden umzuschwenken. Im März veröffentlichten sie im Darknet Fotos von 150 Patienten der Klinik [8], um andere einzuschüchtern und sie zur Zahlung zu bewegen. Die "Wächter" forderten Lösegeld zwischen 50 und 2000 Euro, zahlbar in Bitcoin – je nach Bekanntheitsgrad des Opfers und der Intimität der entführten Informationen. Die genaue Anzahl der erpressten Patienten ist unbekannt, aber die Polizei erhielt mehrere Dutzend Meldungen von Betroffenen. Nun, drei Monate später, haben die "Wächter" vertrauliche Daten von weiteren 25.000 Kunden veröffentlicht. [6]

Ein Cyberkrimineller hat eine Gesundheitskarte gestohlen – welche Gefahren drohen deren rechtmäßigem Eigentümer?

Am 19. Oktober 2016 bemerkte Adam Levin, Cybersecurity-Experte und Leiter des Forschungszentrums "CyberScout" [9], dass wir in einer Zeit leben, in der Gesundheitskarten eine besorgniserregende Menge an übermäßig intimen Informationen enthalten: über Krankheiten, Diagnosen, Behandlungen und Gesundheitsprobleme. In den falschen Händen kann diese Information auf dem Schwarzmarkt im Darknet ausgebeutet werden, weshalb Cyberkriminelle häufig medizinische Einrichtungen als Ziel auswählen.
Am 2. September 2014 erklärte Mike Orkut, technischer Experte am MIT [10]: „Während gestohlene Kreditkartennummern und Sozialversicherungsnummern auf dem Schwarzmarkt im Darknet an Nachfrage verlieren – sind Gesundheitskarten, die einen reichen Satz persönlicher Informationen bieten, dort gut im Preis. Dies liegt unter anderem daran, dass sie unversicherten Personen die Möglichkeit bieten, medizinische Hilfe zu erhalten, die sie sich sonst nicht leisten könnten.“
Ein gestohlener medizinischer Ausweis kann verwendet werden, um im Namen des rechtmäßigen Besitzers medizinische Hilfe in Anspruch zu nehmen. Dadurch werden die medizinischen Daten des rechtmäßigen Besitzers des Ausweises und die des Diebes vermischt. Zudem kann, wenn der Dieb gestohlene medizinische Ausweise an Dritte verkauft, der Ausweis noch weiter belastet werden. Daher läuft der rechtmäßige Besitzer des Ausweises, wenn er ins Krankenhaus kommt, Gefahr, medizinische Hilfe zu erhalten, die auf einer fremden Blutgruppe, einer fremden Krankengeschichte, einer fremden Liste von Allergien usw. basiert. [9]
Darüber hinaus kann der Dieb das Versicherungsbudget des rechtmäßigen Besitzers des Ausweises erschöpfen, was letzteren in der kritischen Phase daran hindert, notwendige medizinische Hilfe zu erhalten. Zur ungünstigsten Zeit. Denn viele Versicherungspläne haben jährliche Grenzen für bestimmte Arten von Verfahren und Behandlungen. Und keine Versicherungsgesellschaft wird Ihnen sicherlich für zwei Blinddarmoperationen zahlen. [9]
Durch die Verwendung eines gestohlenen medizinischen Ausweises kann der Dieb Rezepte für Medikamente missbrauchen. Dabei wird der rechtmäßige Besitzer daran gehindert, das notwendige Medikament zu erhalten, wenn er es braucht. Denn Rezepte für Medikamente sind in der Regel begrenzt. [9]
Die Bekämpfung massiver Cyberangriffe auf Kredit- und Debitkarten ist nicht allzu problematisch. Der Schutz vor gezielten Phishing-Angriffen ist jedoch etwas schwieriger. Aber wenn es um den Diebstahl von EMKs und deren Missbrauch geht, kann das Verbrechen fast unsichtbar sein. Wenn das Verbrechen entdeckt wird, geschieht dies in der Regel nur in einem Notfall, wenn die Folgen buchstäblich lebensbedrohlich sein können. [9]

Warum erfreut sich der Diebstahl medizinischer Ausweise eines zunehmenden Interesses?

Im März 2017 berichtete das "Zentrum für den Schutz vor Identitätsdiebstahl", dass mehr als 25 % der Leckagen vertraulicher Daten auf medizinische Einrichtungen zurückzuführen sind. Diese Leckagen verursachen den medizinischen Einrichtungen jährlich Schäden in Höhe von 5,6 Milliarden Dollar. Im Folgenden sind einige Gründe aufgeführt, warum der Diebstahl medizinischer Ausweise zunehmend nachgefragt wird. [18]
Medizinische Karten sind das begehrteste Gut auf dem schwarzen Markt des Darknets. Sie werden dort für 50 $ pro Stück verkauft. Zum Vergleich: Kreditkartennummern kosten im Darknet 1 $ pro Stück – also 50 Mal günstiger als medizinische Karten. Die Nachfrage nach medizinischen Karten ist auch durch die Tatsache bedingt, dass sie als Verbrauchsmaterial in umfassenden kriminellen Dienstleistungen zur Fälschung von Dokumenten verwendet werden. [18]
Wenn kein Käufer für die medizinischen Karten gefunden wird, kann der Täter die medizinische Karte selbst nutzen und einen traditionellen Diebstahl begehen: Medizinische Karten enthalten genügend Informationen, um im Namen des Opfers eine Kreditkarte zu eröffnen, ein Bankkonto zu eröffnen oder einen Kredit aufzunehmen. [18]
Mit einer gestohlenen medizinischen Karte kann der Cyberkriminelle beispielsweise eine komplexe gezielte Phishing-Attacke durchführen (bildlich gesprochen, das Phishing-Speer verfeinern), indem er sich als Bank ausgibt: „Guten Tag, wir wissen, dass Sie sich für eine Operation anmelden möchten. Vergessen Sie nicht, die damit verbundenen Dienstleistungen zu bezahlen, indem Sie auf diesen Link klicken.“ Und dann denken Sie: „Okay, da sie wissen, dass ich morgen operiert werde – es muss sich wirklich um ein Schreiben der Bank handeln.“ Wenn es dem Täter auch hier nicht gelingt, das Potenzial der gestohlenen medizinischen Karten auszuschöpfen, kann er Ransomware verwenden, um Geld vom medizinischen Zentrum zu erpressen – für die Wiederherstellung des Zugriffs auf gesperrte Systeme und Daten. [18]
Medizinische Zentren implementieren Methoden der Cybersicherheit sehr langsam, die in anderen Branchen bereits etabliert sind, was recht ironisch ist, da es in der Verantwortung medizinischer Zentren liegt, die ärztliche Vertraulichkeit zu wahren. Darüber hinaus haben medizinische Zentren in der Regel deutlich kleinere Budgets für Cybersicherheit und wesentlich weniger qualifizierte Cybersicherheits-Mitarbeiter als beispielsweise Finanzinstitute. [18]
Medizinische IT-Systeme sind eng mit den Finanzdienstleistungen verbunden. Beispielsweise können medizinische Zentren flexible Sparpläne für unerwartete Ausgaben haben, mit eigenen Zahlungskarten oder Sparkonten, auf denen Beträge in sechsstelliger Höhe verwahrt werden. [18]
Viele Organisationen arbeiten mit medizinischen Zentren zusammen und bieten ihren Mitarbeitern ein individuelles Gesundheitssystem an. Dies gibt einem Angreifer die Möglichkeit, durch den Hack von medizinischen Zentren auf vertrauliche Informationen von Firmenkunden zuzugreifen. Ganz zu schweigen davon, dass der Arbeitgeber selbst als Angreifer auftreten könnte, indem er die medizinischen Daten seiner Mitarbeiter heimlich an Dritte verkauft. [18]
Medizinische Zentren verfügen über komplexe Lieferketten und umfangreiche Listen von Lieferanten, mit denen sie digitale Verbindungen haben. Durch den Hack der IT-Systeme eines medizinischen Zentrums kann ein Angreifer auch die Systeme der Lieferanten übernehmen. Darüber hinaus stellen die Lieferanten, die digital mit dem medizinischen Zentrum verbunden sind, für Angreifer bereits einen verlockenden Einstiegspunkt in die IT-Systeme des medizinischen Zentrums dar. [18]
In anderen Bereichen ist der Schutz ziemlich ausgeklügelt geworden, und daher mussten Angreifer einen neuen Sektor erschließen, in dem Transaktionen über verwundbare Hardware und verwundbare Software abgewickelt werden. [18]

Wie hängen Diebstähle von Sozialversicherungsnummern mit der kriminellen Dokumentenfälschungsindustrie zusammen?

Am 30. Januar 2015 erklärte die Nachrichtenagentur „Tom’s Guide“ [31], wobei sich gewöhnliche Dokumentenfälschungen von kombinierten Fälschungen unterscheiden. Im einfachsten Fall besteht eine Dokumentenfälschung darin, dass ein Betrüger sich als eine andere Person ausgibt und deren Namen, Sozialversicherungsnummer (SSN) und andere persönliche Informationen verwendet. Solche Betrugsfälle werden relativ schnell und einfach entdeckt. Bei einem kombinierten Ansatz erstellen die Unholde eine vollkommen neue Identität. Durch das Fälschen eines Dokuments verwenden sie eine echte SSN und fügen Fragmente persönlicher Informationen von verschiedenen Personen hinzu. Dieses Frankenstein-Monster, zusammengesetzt aus den persönlichen Informationen verschiedener Menschen, ist viel schwerer zu entdecken als eine einfache Dokumentenfälschung. Da der Betrüger nur einige Informationen jedes der Opfer nutzt, werden seine betrügerischen Machenschaften nicht mit den rechtmäßigen Besitzern dieser Informationsfragmente in Verbindung gebracht. So wird beispielsweise der rechtmäßige Eigentümer seiner SSN bei der Überwachung seiner Aktivität nichts Verdächtiges finden.
Die Übeltäter können ihr Frankenstein-Monster verwenden, um einen Job zu bekommen oder einen Kredit aufzunehmen [31], sowie um Scheinfirmen [32] zu gründen; zum Einkaufen, um Führerscheine und Pässe [34] zu erhalten. Selbst im Fall einer Kreditaufnahme ist es sehr schwierig, den Dokumentenbetrug nachzuverfolgen, und wenn Banker mit den Ermittlungen beginnen, wird wahrscheinlich der rechtmäßige Inhaber des einen oder anderen Informationsfragments zur Verantwortung gezogen, nicht der Schöpfer des Frankenstein-Monsters.
Unredliche Unternehmer können Dokumentenfälschungen verwenden, um Gläubiger zu betrügen, indem sie das sogenannte Business Sandwich schaffen. Die Idee des Business Sandwich besteht darin, dass unredliche Unternehmer mehrere gefälschte Identitäten erschaffen und diese als Kunden ihres Unternehmens präsentieren, wodurch sie den Anschein eines erfolgreichen Geschäfts erwecken. So werden sie für ihre Gläubiger attraktiver und erhalten die Möglichkeit, von günstigeren Kreditkonditionen zu profitieren. [33]
Der Diebstahl persönlicher Informationen und deren Missbrauch bleibt oft lange Zeit unbemerkt von dem rechtmäßigen Eigentümer, kann jedoch zu erheblichen Unannehmlichkeiten zur unpassendsten Zeit führen. Zum Beispiel kann der rechtmäßige Eigentümer einer SSN einen Antrag auf Sozialleistungen stellen und eine Ablehnung erhalten – aufgrund eines übermäßigen Einkommens, das aus einem fingierten Geschäftsmodell entstanden ist, in dem seine SSN verwendet wurde. [33]
Seit 2007 hat sich das milliardenschwere kriminelle Geschäft mit gefälschten Dokumenten basierend auf SSN immer größerer Beliebtheit erfreut [34]. Dabei bevorzugen Betrüger die SSN, die von ihren rechtmäßigen Besitzern aktiv nicht genutzt werden – dazu gehören die SSN von Kindern und Verstorbenen. Laut der Nachrichtenagentur „CBS“ belief sich die monatliche Anzahl der Vorfälle im Jahr 2014 auf Tausende, während es 2009 nicht mehr als 100 pro Monat waren. Das exponentielle Wachstum dieser Art von Betrug – insbesondere deren Einfluss auf persönliche Daten von Kindern – wird in Zukunft traurige Folgen für die jungen Menschen haben. [34]
SSN von Kindern werden in diesem Betrugsschema 50 Mal häufiger verwendet als die SSN von Erwachsenen. Dieses Interesse an den SSN von Kindern hängt damit zusammen, dass die SSN von Kindern in der Regel bis zum Alter von mindestens 18 Jahren nicht aktiv ist. Daher kann es für die Eltern minderjähriger Kinder problematisch sein, ihre Finger im Spiel zu haben, da ihren Kindern in Zukunft die Ausstellung eines Führerscheins oder eines Ausbildungsdarlehens verweigert werden kann. Auch die Arbeitsaufnahme könnte erschwert werden – wenn Informationen über fragwürdige SSN-Aktivitäten einem potenziellen Arbeitgeber zugänglich werden. [34]

Heute wird viel über die Perspektiven und Sicherheitsaspekte von Künstlicher Intelligenz gesprochen. Wie steht es darum im medizinischen Sektor?

In der Juniausgabe 2017 des „MIT Technology Review“ veröffentlichte der Chefredakteur dieser Zeitschrift, der sich auf Künstliche Intelligenz spezialisiert hat, seinen Artikel „Die dunkle Seite der Künstlichen Intelligenz“, in dem er diese Frage ausführlich beantwortete. Die wichtigsten Punkte seines Artikels [35]:
Moderne Systeme der künstlichen Intelligenz (KI) sind so komplex, dass selbst die Ingenieure, die sie entwerfen, nicht erklären können, wie die KI bestimmte Entscheidungen trifft. Heutzutage und in der absehbaren Zukunft ist es nicht möglich, ein KI-System zu entwickeln, das immer seine Handlungen erklären kann. Die Technologie des "Deep Learning" hat sich als sehr effektiv bei der Lösung der dringenden Probleme der letzten Jahre erwiesen: Bilderkennung und Spracherkennung, Sprachübersetzung, medizinische Anwendungen. [35]
Die Erwartungen an die KI sind hoch, insbesondere bei der Diagnose lebensbedrohlicher Krankheiten und der Entscheidungsfindung in komplexen wirtschaftlichen Situationen; außerdem wird erwartet, dass KI ein zentrales Element in vielen anderen Bereichen wird. Das wird jedoch nicht geschehen – oder sollte zumindest nicht geschehen – bis wir einen Weg finden, ein solches Deep-Learning-System zu entwickeln, das die Entscheidungen, die es trifft, erklären kann. Andernfalls können wir nicht vorhersagen, wann genau dieses System fehlerhaft wird – und das wird es früher oder später auf jeden Fall tun. [35]
Dieses Problem ist bereits jetzt drängend, und in Zukunft wird es sich nur verschärfen. Sei es bei wirtschaftlichen, militärischen oder medizinischen Entscheidungen. Die Computer, auf denen die entsprechenden KI-Systeme laufen, haben sich selbst programmiert, und zwar so, dass wir nicht verstehen können, "was sie denken". Was ist da erst für die Endnutzer zu sagen, wenn selbst die Ingenieure, die diese Systeme entwickeln, nicht in der Lage sind, ihr Verhalten zu verstehen und zu erklären? Mit der Weiterentwicklung der KI-Systeme könnten wir bald an einen Punkt gelangen – wenn wir ihn nicht bereits erreicht haben – an dem wir, in Abhängigkeit von der KI, einen „Sprung des Glaubens“ wagen müssen. Natürlich können auch wir Menschen nicht immer unsere eigenen Überlegungen erklären und stützen uns oft auf Intuition. Aber können wir es den Maschinen erlauben, auf dieselbe unvorhersehbare und unerklärliche Weise zu denken? [35]
Im Jahr 2015 inspirierte das Mount Sinai Medical Center in New York die Anwendung des Deep Learning-Konzepts auf seine umfangreiche Datenbank von Krankengeschichten. Die für das Training des KI-Systems verwendete Datenstruktur umfasste Hunderte von Parametern, die basierend auf Testergebnissen, Diagnosen, Untersuchungen und ärztlichen Aufzeichnungen festgelegt wurden. Das Programm, das diese Aufzeichnungen verarbeitete, wurde "Deep Patient" genannt. Es wurde mit Aufzeichnungen von 700.000 Patienten trainiert. Bei der Testung neuer Aufzeichnungen erwies es sich als sehr nützlich zur Vorhersage von Krankheiten. Ohne jegliche Interaktion mit einem Experten fand "Deep Patient" Symptome, die in den Krankengeschichten verborgen waren – die, so die Auffassung der KI, darauf hinwiesen, dass der Patient kurz vor schweren Komplikationen steht, einschließlich Leberkrebs. Auch wenn wir zuvor mit verschiedenen Vorhersagemethoden experimentiert hatten, die als Ausgangsdaten Krankengeschichten vieler Patienten verwendeten, sind die Ergebnisse von "Deep Patient" damit nicht zu vergleichen. Darüber hinaus gibt es völlig unerwartete Erfolge: "Deep Patient" sagt sehr gut das Eintreten von psychischen Störungen wie Schizophrenie voraus. Da es jedoch in der modernen Medizin keine Werkzeuge zur Vorhersage dieser Störungen gibt, stellt sich die Frage, wie es der KI gelungen ist, dies zu tun. "Deep Patient" ist jedoch nicht in der Lage zu erklären, wie es das tut. [35]
Idealerweise sollten solche Werkzeuge den Ärzten erklären, wie sie zu einem bestimmten Schluss gekommen sind – um beispielsweise den Einsatz eines bestimmten Medikaments zu rechtfertigen. Leider können moderne KI-Systeme das nicht. Wir können solche Programme erstellen, aber wir wissen nicht, wie sie funktionieren. Deep Learning hat die KI-Systeme zu einem explosiven Erfolg geführt. Derzeit kommen solche KI-Systeme in entscheidenden Bereichen wie Medizin, Finanzen, Produktion usw. zum Einsatz. Möglicherweise ist es die Natur des Intellekts selbst, dass nur ein Teil davon rational erklärbar ist, während der Großteil spontane Entscheidungen trifft. Aber wohin führt das, wenn wir solchen Systemen erlauben, Krebs zu diagnostizieren und militärische Manöver durchzuführen? [35]

Hat der Gesundheitssektor aus der WannaCry-Situation gelernt?

Am 25. Mai 2017 berichtete die Nachrichtenagentur „BBC“, [16] dass eine der wesentlichen Ursachen für die Vernachlässigung der Cybersicherheit in tragbaren medizinischen Geräten deren geringe Rechenleistung ist, die durch strenge Anforderungen an ihre Größe bedingt ist. Zwei weitere ebenso bedeutende Gründe sind das mangelnde Wissen, wie man sicheren Code schreibt, und der Druck, Fristen für die Markteinführung des Endprodukts einzuhalten.
In demselben Bericht bemerkte die „BBC“ [16], dass bei der Untersuchung des Quellcodes eines Herzschrittmachers über 8000 Schwachstellen entdeckt wurden; und dass trotz der breiten Berichterstattung über Cybersicherheitsprobleme, die durch den WannaCry-Vorfall ans Licht kamen, nur 17 % der Hersteller medizinischer Geräte konkrete Maßnahmen zur Sicherstellung der Cybersicherheit ihrer Geräte ergriffen. Was die medizinischen Zentren betrifft, die dem WannaCry-Vorfall entkommen sind, so haben sich nur 5 % von ihnen mit der Überprüfung der Cybersicherheit ihrer Ausrüstung beschäftigt. Diese Berichte wurden kurz nach dem Vorfall veröffentlicht, bei dem über 60 Gesundheitsorganisationen im Vereinigten Königreich Opfer eines Cyberangriffs wurden.
Am 13. Juni 2017, einen Monat nach dem WannaCry-Vorfall, brachte Peter Pronovost, ein Arzt mit Doktortitel und stellvertretender Direktor für Patientensicherheit eines großen medizinischen Zentrums, während er [17] in den Seiten der „Harvard Business Review“ die dringlichen Aufgaben der computerisierten Integration medizinischer Geräte diskutierte, kein Wort zur Cybersicherheit erwähnen.
Am 15. Juni 2017, einen Monat nach dem WannaCry-Vorfall, äußerte Robert Pearl, ein Arzt mit Doktortitel und Leiter zweier medizinischer Einrichtungen, während er [15] in den Seiten der „Harvard Business Review“ über die modernen Herausforderungen sprach, mit denen sich Entwickler und Nutzer von EMR-Systemen konfrontiert sehen, kein Wort zur Cybersicherheit.
Am 20. Juni 2017, einen Monat nach dem WannaCry-Vorfall, veröffentlichten eine Gruppe von Wissenschaftlern mit Doktortitel aus der Harvard Medical School, die zugleich Leiter wichtiger Abteilungen des 'Brigham and Women's Hospital' sind, [20] in den Seiten des 'Harvard Business Review' die Ergebnisse einer Diskussionsrunde über die Notwendigkeit der Modernisierung medizinischer Geräte zur Verbesserung der Patientenversorgung. In der Diskussionsrunde wurden Möglichkeiten erörtert, die Belastung der Ärzte zu verringern und Kosten zu senken, indem die technologischen Prozesse optimiert und eine umfassende Automatisierung eingeführt wird. An der Diskussionsrunde nahmen Vertreter von 34 führenden medizinischen Zentren der USA teil. Bei der Diskussion über die Modernisierung medizinischer Geräte setzten die Teilnehmer große Hoffnungen auf Prognosetools und intelligente Geräte. Über Cybersecurity wurde kein Wort verloren.

Wie können medizinische Zentren Cybersecurity gewährleisten?

Im Jahr 2006 erklärte der Leiter der Abteilung für Informationssysteme der speziellen Kommunikation FSO Russland, Generalleutnant Nikolai Iljin [52]: „Die Frage der Informationssicherheit ist heute relevanter denn je. Die Anzahl der verwendeten Geräte nimmt drastisch zu. Leider werden Fragen der Informationssicherheit heutzutage nicht immer in der Planungsphase berücksichtigt. Es ist klar, dass die Kosten zur Lösung dieses Problems zwischen 10 und 20 Prozent der Kosten des Systems ausmachen, und der Auftraggeber möchte nicht immer zusätzliches Geld ausgeben. Man muss jedoch verstehen, dass ein zuverlässiger Schutz von Informationen nur bei einem umfassenden Ansatz realisiert werden kann, wenn organisatorische Maßnahmen mit der Implementierung technischer Schutzmittel kombiniert werden.“
Am 3. Oktober 2016 teilte Mohammed Ali, ehemaliger Schlüsselmitarbeiter von IBM und Hewlett Packard und nun CEO des Unternehmens „Carbonite“, das sich auf Lösungen für Cyber-Sicherheit spezialisiert hat, in den Seiten der „Harvard Business Review“ seine Beobachtungen zur Cyber-Sicherheitslage im Gesundheitssektor mit: „Da Ransomware so verbreitet ist und der Schaden so kostspielig sein kann, wundere ich mich immer, wenn ich in Gesprächen mit CEOs erfahre, dass sie dem keine Bedeutung beimessen. Im besten Fall delegiert der CEO die Cyber-Sicherheitsprobleme an die IT-Abteilung. Doch das reicht für einen effektiven Schutz nicht aus. Daher fordere ich die CEOs immer dazu auf: 1) Maßnahmen zur Verhinderung von Ransomware in die Liste der Prioritäten der organisatorischen Entwicklung aufzunehmen; 2) die entsprechende Cyber-Sicherheitsstrategie mindestens einmal im Jahr zu überprüfen; 3) die gesamte Organisation an entsprechender Bildung zu beteiligen.
Man kann bewährte Lösungen aus dem Finanzsektor übernehmen. Die wichtigste Erkenntnis [18], die der Finanzsektor aus dem Chaos der Cyber-Sicherheit gewonnen hat, lautet: „Das wirksamste Element der Cyber-Sicherheit ist die Schulung des Personals. Denn derzeit ist der menschliche Faktor, insbesondere die Anfälligkeit der Menschen für Phishing-Angriffe, die Hauptursache für Cyber-Sicherheitsvorfälle. Während starkes Verschlüsselung, Cyber-Risiko-Versicherung, Mehrfaktor-Authentifizierung, Lexemierung, Chipkarten, Blockchain und Biometrie zwar hilfreich, aber weitgehend sekundär sind.
Am 19. Mai 2017 berichtete die Nachrichtenagentur „BBC“ [23], dass nach dem Vorfall mit WannaCry in Großbritannien die Verkäufe von Sicherheitssoftware um 25 % gestiegen sind. Experten von Verizon glauben jedoch, dass panikartiger Kauf von Sicherheitssoftware nicht der richtige Weg zur Gewährleistung der Cyber-Sicherheit ist; um diese sicherzustellen, sollte man proaktive Schutzmaßnahmen statt reaktiver verfolgen.

P.S. Hat Ihnen der Artikel gefallen? Wenn ja, geben Sie ein Like. Wenn ich anhand der Anzahl der Likes (lassen Sie uns 70 erreichen) sehe, dass die Leser von Habr Interesse an diesem Thema haben, werde ich in naher Zukunft eine Fortsetzung mit einem Überblick über neuere Bedrohungen für medizinische Informationssysteme vorbereiten.

Bibliografie

David Talbot. Computer Viren sind in medizinischen Geräten in Krankenhäusern "verbreitet". // MIT Technology Review (Digital). 2012.
Kristina Grifantini. „Plug and Play“-Krankenhäuser // MIT Technology Review (Digital). 2008.
Denis Makrushin. Fehler der „schlauen“ Medizin // SecureList. 2017.
Tom Simonite. Mit Krankenhaus-Ransomware-Infektionen sind die Patienten in Gefahr // MIT Technology Review (Digital). 2016..
Sarah Marsh. NHS-Mitarbeiter und Patienten darüber, wie sich der Cyberangriff auf sie ausgewirkt hat // The Guardian. 2017.
Alex Hern. Hacker veröffentlichen private Fotos einer kosmetischen Chirurgie-Klinik // The Guardian. 2017.
Sarunas Cerniauskas. Litauen: Cyberkriminelle erpressen Klinik für plastische Chirurgie mit gestohlenen Fotos // OCCRP: Organized Crime and Corruption Reporting Progect. 2017.
Ray Walsh. Nackte Fotos von Patienten der plastischen Chirurgie im Internet geleakt // BestVPN. 2017.
Adam Levin. Arzt, heile dich selbst: Sind Ihre medizinischen Daten sicher? // HuffPost. 2016.
Mike Orcutt. Hacker haben es auf Krankenhäuser abgesehen // MIT Technology Review (Digital). 2014.
Pjotr Sapozhnikov. Elektronische Patientenakten sollen 2017 in allen Kliniken Moskaus verfügbar sein // АМИ: Российское агентство медико-социальной информации. 2016.
Jim Finkle. Exklusiv: FBI warnt den Gesundheitssektor vor Cyberangriffen // Reuters. 2014.
Julia Carrie Wong. K Krankenhaus in Los Angeles kehrt nach Cyberangriff zu Faxen und Papierakten zurück // The Guardian. 2016.
Mike Orcutt. Die Auseinandersetzung des Hollywood-Krankenhauses mit Ransomware ist Teil eines besorgniserregenden Trends in der Cyberkriminalität // MIT Technology Review (Digital). 2016.
Robert M. Pearl, MD (Harvard). Was Gesundheitssysteme, Krankenhäuser und Ärzte über die Implementierung elektronischer Gesundheitsakten wissen müssen // Harvard Business Review (Digital). 2017.
„Tausende“ bekannter Fehler im Code von Herzschrittmachern gefunden // BBC. 2017.
Peter Pronovost, MD. Krankenhäuser überbezahlen erheblich für ihre Technologie // Harvard Business Review (Digital). 2017.
Rebecca Weintraub, MD (Harvard), Joram Borenstein. 11 Dinge, die der Gesundheitssektor tun muss, um die Cybersicherheit zu verbessern // Harvard Business Review (Digital). 2017.
Mohamad Ali. Ist Ihr Unternehmen auf einen Ransomware-Angriff vorbereitet? // Harvard Business Review (Digital). 2016.
Meetali Kakad, MD, David Westfall Bates, MD. Einkauf von Predictive Analytics im Gesundheitswesen // Harvard Business Review (Digital). 2017.
Michael Gregg. Warum Ihre medizinischen Aufzeichnungen nicht mehr sicher sind // HuffPost. 2013.
Bericht: Gesundheitswesen führt bei Vorfällen von Datenverletzungen im Jahr 2017 // SmartBrief. 2017.
Matthew Wall, Mark Ward. WannaCry: Was können Sie tun, um Ihr Unternehmen zu schützen? // BBC. 2017.
Über 1 Million Aufzeichnungen bisher bei Datenverletzungen im Jahr 2017 offenbart // BBC. 2017.
Alex Hern. Wer ist schuld an der Exposition des NHS gegenüber Cyberangriffen? // The Guardian. 2017.
Wie Sie Ihre Netzwerke vor Ransomware schützen // FBI. 2017.
Ausblick auf die Datenverletzungsbranche // Rxperian. 2017.
Steven Erlanger, Dan Bilefsky, Sewell Chan. Der Gesundheitsdienst des Vereinigten Königreichs ignorierte monatelang Warnungen // The New York Times. 2017.
Windows 7 am stärksten vom WannaCry-Wurm betroffen // BBC. 2017.
Allen Stefanek. Hollywood Presbyterian Medical Center.
Linda Rosencrance. Synthetischer Identitätsdiebstahl: Wie Verbrecher ein neues Ich schaffen // Tom’s Guide. 2015.
Was ist synthetischer Identitätsdiebstahl und wie kann man ihn verhindern?.
Synthetischer Identitätsdiebstahl.
Steven D’Alfonso. Synthetischer Identitätsdiebstahl: Drei Wege, wie synthetische Identitäten geschaffen werden // Security Intelligence. 2014.
Will Knight. Das dunkle Geheimnis, das der KI zugrunde liegt // MIT Technology Review. 120(3), 2017.
Kuznetsov G.G. Das Problem der Auswahl eines Informationssystems für eine medizinische Einrichtung // «Информатика Сибири».
Informationssysteme und das Problem des Datenschutzes // «Информатика Сибири».
IT im Gesundheitswesen in naher Zukunft // «Информатика Сибири».
Wladimir Makarov. Antworten auf Fragen zum E-MIAS-System // Радио «Эхо Москвы».
Wie medizinische Daten der Moskowiter geschützt werden // Открытые системы. 2015.
Irina Sheyan. In Moskau werden elektronische Patientenakten eingeführt // Computerworld Россия. 2012.
Irina Sheyan. In einem Boot // Computerworld Россия. 2012.
Olga Smirnova. Die intelligenteste Stadt der Erde // Профиль. 2016.
Ceblyova Anastasia. Medizinisches Informationssystem Kondopoga // 2012.
Medizinisches Informationssystem „Paracelsus-A“.
Kuznetsov G.G. Informatisierung des kommunalen Gesundheitswesens unter Verwendung des medizinischen Informationssystems „INFOMED“ // «Информатика Сибири».
Medizinisches Informationssystem (MIS) DOKA+.
E-Hospital. Offizielle Webseite.
Technologien und Perspektiven // «Информатика Сибири».
Nach welchen IT-Standards funktioniert die Medizin in Russland?
Regionale Teilmenge (RISUZ) // «Информатика Сибири».
Informationssysteme und das Problem des Datenschutzes // «Информатика Сибири».
Möglichkeiten von Medinformatiksystemen // «Информатика Сибири».
Einheitlicher Informationsraum im Gesundheitswesen // «Информатика Сибири».
Agejenko T.J., Andrianov A.W. Erfahrungen mit der Integration von EMIAS und dem automatisierten Krankenhaus-Informationssystem // IT-Стандарт. 3(4). 2015.
IT auf regionaler Ebene: Angleichung der Situation und Gewährleistung von Transparenz // Direktor des Informationsdienstes. 2013.
Schiljajew P.S., Gorjunow T.I., Wolodin K.I. Sicherung von Informationsressourcen und -diensten im Gesundheitswesen // Международный студенческий научный вестник. 2015.
Irina Sheyan. Bilder in der Cloud // Директор информационной службы. 2017.
Irina Sheyan. Effektivität der Digitalisierung im Gesundheitswesen – auf der 'letzten Meile' // Директор информационной службы. 2016.
„Kaspersky-Labor”: Russland litt am meisten unter den Hackerangriffen des WannaCry-Virus // 2017.
Andrej Machonin. RЖD und CБ berichteten über Virusangriffe // БиБиСи. 2017.
Erik Bosman, Kaveh Razavi. Dedup Est Machina: Speicher-Deduplication als fortgeschrittener Ausbeutungsvektor // Proceedings of the IEEE Symposium on Security and Privacy. 2016. S. 987-1004.
Bruce Potter. Dirty Little Secrets der Informationssicherheit // DEFCON 15. 2007.
Ekaterina Kostina. „Invitro“ gab die vorübergehende Einstellung der Probenannahme aufgrund eines Cyberangriffs bekannt.

Quelle: habr.com

Großes FAQ zur Cybersicherheit von medizinischen Informationssystemen