IT-Sicherheit in Krankenhäusern | Überblick und Ausblick

Laut BSI Bericht Zur „Lage der IT-Sicherheit in Deutschland 2019“ liegen die Meldungszahlen im Berichtzeitraum 01.06.2018 bis 31.05.2019 für den KRITIS Sektor Gesundheit rein quantitativ auf dem dritten Platz mit 47 gemeldeten IT-Sicherheitsvorfällen. Die meisten gemeldeten Sicherheitsvorfälle stammen aus dem Sektor Finanzen (60 Fälle), gefolgt von IT+TK (59 Fälle).

Und dabei ist die Digitalisierung im Gesundheitswesen in Deutschland im Gesamtranking des „Digital Health Index“ der Bertelsmann Stiftung vergleichsweise abgeschlagen in Gruppe 4 von 4, auf Platz 16 von 17. Ein Grund hierfür mögen sicher die höheren datenschutzrechtlichen Bestimmungen hierzulande sein, zusätzlich gibt es hierzulande aber auch keinen bundesweit einheitlichen Standard, was zertifizierte IT-Sicherheitslösungen und Medizinprodukte beträfe. Es gibt in Deutschland eine Vielzahl.

Dennoch: Wir werden in Zukunft mit einer Vielzahl vernetzter Medizinprodukte zu tun haben. Beatmungsgeräte, Defibrillatoren und Herzschrittmacher sind schon heute „smart“ und in der Lage, Daten zu erheben und zu „kommunizieren“. Also auszutauschen. Dies erfolgt klassischerweise über Schnittstellen und für jede dieser Schnittstellen ist eine IT-Absicherung erforderlich. Die Anzahl dieser Schnittstellen im Gesundheitsbereich nimmt stetig zu.

Unternehmen der Gesundheitsbranche, die den KRITIS-Schwellenwert erreicht haben oder annähernd erreichen, ist zu empfehlen, die branchenspezifischen Sicherheitsstandards, auch bekannt als B3S, umzusetzen. Laut IT-Sicherheitsgesetzt sind jene Häuser, die als KRITIS gelten, zu besonderem Schutz verpflichtet. Von der Deutschen Krankenhausgesellschaft (DKG) wurde hierzu der B3S vorgelegt, der für Kliniken ab einer vollstationären Fallzahl von 30.000 pro Jahr gilt. Er zielt darauf ab, die medizinische Patientenversorgung zu gewährleisten, wozu IT als grundlegend zählt.

Wichtige Vorkehrungen, die Häuser im Bereich IT-Sicherheit – unabhängig von Bettengrößen und stationären Fallzahlen – treffen sollten:

Netzwerksicherheit

Firewalls im permanenten Einsatz, Sicherung drahtloser Netzwerke, Verschlüsselung der externen Kommunikation, Netzwerkzugangskontrollen, Port Management

Endgerätesicherheit

Programme zum Erkennen von Viren und Schadprogrammen sollten zur Basisausstattung gehören. Zusätzlich: Maßnahmen zur Identifikation nicht zugelassener Wechseldatenträger und Festplattenverschlüsselung

Absicherung von mobilen Endgeräten

Absicherung von WLAN-Verbindungen, professionelles Device-, Benutzer- und Passwort-Management

Websicherheit

Sicheres Surfen, Trennung Intranet und Internet, Schutz vor schädlichen Mail-Anhängen, Prüfung potentiell schädlicher Anhänge aus Office-Anwendungen

Datensicherheit

Verschlüsselung und dezentrale Sicherungen von Datenbanken

Absicherung von Daten und Systemen

Smartcards, Zwei-Faktor-Authentifizierung

Generelle IT-Sicherheitsempfehlungen für Krankenhäuser:

• Trennung medizinischer und nicht-medizinischer Netzwerke
• Schnittstellensicherheit erhöhen, insbesondere im KIS-Bereich
• Trennung Anwendungen vom restlichen System
• Sichere Verbindungen zu KIS und anderen Systemen
• Gesicherte, verschlüsselte Telematikinfrastruktur (gesicherte elektronische Signaturen, Authentifizierung, Vernetzung verschiedener Akteure) zur sicheren Übertragung von Patientendaten zwischen Krankenhäusern und niedergelassenen Ärzten und Therapeuten.

Ausblick

• Vernetzung – Krankenhäuser vernetzen sich über die Telematikinfrastruktur mit den anderen Sektoren. Sichere Kommunikation über Sektorgrenzen hinweg
• NFDM (Notfalldatenmanagement) und eMP (elektronischer Medikationsplan) – Medizinische Anwendungen der Telematik-Infrastruktur kommen in der Fläche an Notfalldaten (für Notfälle und unbekannte Patienten) und elektronischer Medikationsplan
• ePA (Elektronische Patientenakte) – Krankenkassen sind verpflichtet, ihren Versicherten ab dem 1.1.2021 eine elektronische Patientenakte anzubieten. Versicherte wiederum erteilen Leistungserbringern Zugriff auf ihre Daten – auch Krankenhausdaten
• DiGA (Digitale Gesundheitsanwendungen) – Könnten Patienten „verordnet“ werden

Legende

KRITIS Schwellenwerte Gesundheit

• 30.000 Patienten pro Jahr im Bereich der stationären medizinischen Versorgung
• 90,68 Mio. Euro Jahresumsatz für Produktionsstätten unmittelbar lebenserhaltender Medizinprodukte
• 4,65 Mio. Verpackungen pro Jahr für Produktionsstätten verschreibungspflichtiger Arzneimittel sowie Blut- und Plasmakonzentrate zur Anwendung im oder am menschlichen Körper
• 34.000 Produkte pro Jahr für Anlagen und Systeme zur Entnahme und Weiterverarbeitung von Blutspenden
• 1,5 Mio. übermittelte Aufträge/ Befunde pro Jahr in der Laboratoriums-D