Ein ungesichertes WLAN, voreingestellte Zugangsdaten und Türen zu Notaufnahme und OP, die sich darüber hätten öffnen lassen: Ein Fall aus einem Krankenhaus zeigt, wie folgenreich Versäumnisse bei der IT-Sicherheit sein können. Hierüber hat heise online im Digital-Health-Podcast mit Martin Tettke gesprochen. Der Medizintechniker leitete viele Jahre die Zertifizierstelle und Benannte Stelle der Berlin Cert GmbH. Dort beschäftigte er sich vor allem mit der IT-Sicherheit von Medizinprodukten. Heute arbeitet er beim Bundesinstitut für Risikobewertung (BfR) im Bereich Netzwerk und Sicherheit.

Auf die Schwachstelle hatte ein Hinweisgeber heise online aufmerksam gemacht. heise online konnte sie vor Ort verifizieren: Über ein offenes WLAN bestand Zugriff auf das Netzwerk der Klinik, darüber wären mehrere Türen zu öffnen gewesen. Benutzername und Passwort lauteten noch auf den Standardwert „admin“, der sogar in der Anleitung steht. Der Hinweisgeber hatte das Krankenhaus bereits informiert, dort wurden seine Hinweise aber zunächst ignoriert. Erst auf Anfrage von heise online kümmerte sich die Klinik um das Problem. Wegen Urlaubszeiten wurde die Lücke allerdings nicht sofort geschlossen. Eine Stellungnahme des Krankenhauses steht noch aus.

Für Tettke ist in diesem Fall auf mehreren Ebenen etwas schiefgelaufen. Ein Dienstleister dürfe ein System nie mit Standardzugangsdaten übergeben. Das Krankenhaus wiederum hätte bei der Abnahme prüfen müssen, ob grundlegende Sicherheitsanforderungen erfüllt sind. „Das ist aus meiner Sicht ganz klar ein Organisationsversagen“, sagt Tettke. Netze für Verwaltung, Medizintechnik und Zutrittssteuerung müssten sauber getrennt sein. In der Haftung sieht er auch die Klinikleitung. Ein weiteres Risiko sei Schatten-IT, etwa wenn Beschäftigte eigene WLAN-Zugangspunkte ans Netz anschließen. Verschärft wird die Lage dadurch, dass vielen Krankenhäusern ohnehin Geld und Personal für eine saubere Priorisierung solcher Risiken fehlen, wie Vertreter des Bundesverbands KH-IT im Frühjahr beklagten.

Kliniken sollten wissen, welche Abläufe von welchen Systemen abhängen: Der Ausfall des E-Mail-Systems hat andere Folgen als der einer vernetzten Herz-Lungen-Maschine. Auch Hersteller und Dienstleister müssten Betreiber im Blick haben, etwa mithilfe von Software-Stücklisten (SBOMs), wie sie auch in der Medizinprodukte-Entwicklung genutzt werden. Wie stark die Anforderungen steigen, zeigt ein Bericht zur wachsenden Komplexität der IT-Vorgaben für Kliniken. Bei neuen Geräten sollte die IT so früh wie möglich eingebunden werden.

Nach Tettkes Einschätzung hat sich die Bedrohungslage stark verändert. Früher blieb nach dem Bekanntwerden einer Schwachstelle genug Zeit zum Patchen. Heute müsse man sich sofort fragen, ob man schon angegriffen wurde. „Zwei, drei Tage später patchen war wahrscheinlich […] schon viel zu spät.“ KI-Modelle helfen zwar Angreifern, ließen sich aber auch nutzen, um eigene Netze zu prüfen. Wie unvorhersehbar Cyberangriffe auf Kliniken ablaufen können, zeigte kürzlich eine Krisensimulation von Fraunhofer-Forschern, bei der ein Experte eine bisher nicht gekannte Dynamik beobachtete.

Um schnell reagieren und die eigenen Netze prüfen zu können, braucht es geschultes Personal. Dass Fachkräfte schwer zu finden und teuer sind, lässt Tettke als Argument nur bedingt gelten: „Jeder Sicherheitsvorfall kostet ein Vielfaches von ein, zwei, drei neuen Mitarbeitern.“ Er selbst habe erlebt, wie in einem Krankenhaus eine Woche lang die Radiologie ausfiel.

(mack)