Net.Law.S 2018
20.02.18 - 21.02.18
In Nürnberg, Messezentrum

CESIS 2018
20.02.18 - 21.02.18
In München

DSAG-Technologietage 2018
20.02.18 - 21.02.18
In Stuttgart

Sourcing von Application Management Services
21.02.18 - 21.02.18
In Frankfurt

Next Generation SharePoint
22.02.18 - 22.02.18
In München

KrankenhausSind unsere Spitäler gegen Angriffe von Ha­ckern geschützt? Der Elektroingenieur Martin Darms ist dieser Frage wissenschaftlich nachgegangen und hat Erstaunliches zu Tage gebracht. Die Auswertung der im Rahmen einer Masterarbeit systematisch erhobenen Mess­daten spricht für sich: Nur 84 % der Spitäler sind genügend gegen Cyber-Attacken ge­wappnet.

Zum Teil bestehen gar gravierende Schwach­stellen, auch dies zeigt Darms in seiner Di­plomarbeit „Gefährdung Schwei­zer Spitäler gegenüber Cyberangriffen“. Die Studie arbeitet mit einem eigens entwi­ckelten Gefährdungsindex, den Hospital Vul­nerability Index, abgekürzt HVX. Anhand die­ses Index sind die verschiedenen Spitäler ein­fach miteinander vergleichbar. Werte über 100 deuteten darauf hin, dass das betreffende Spi­tal anfällig auf Angriffe ist. Je kleiner dieser Wert ist, desto besser ist das Spital von extern sowie auch von Angriffen innerhalb des Spital­netzes geschützt.

Potentiell schlimme Folgen

Ein Angriff auf ein Krankenhaus kann verhee­rende Folgen haben: Vom harmlosen Ausfall der Homepage des Spitals bis hin zur voll­ständigen Lahmlegung eines Spitalbetriebs ist alles möglich. Im schlimmsten Fall mit tödli­chem Ausgang für Pflegebedürftige. Man den­ke an Notfall-Patienten, welche z. B. an Lungenmaschinen angeschlosen sind, oder an den Fall, dass dringende Untersu­chungen mit medizini­schen Geräten ge­macht werden müss­ten, diese Geräte je­doch nicht verfügbar sind. Dadurch kann keine oder eine falsche Diagnose gestellt werden.

Gefährdungsindex: Externer und interner Scan summiert

Bild 1: Gefährdungsindex von Schweizer Spitälern im Vergleich (HVX).

Mit ein wenig Fachwissen und den richtigen Tools aus dem Internet ist es möglich einen beträchtlichen, sogar lebens­gefährlichen Schaden anzurichten, wie kürzlich auch der Spiegel Online 33/2015 im Artikel „Wehrlos 4.0“ berichtete. Dabei gelang es bei einem Test, Beatmungsgeräte mit einem DoS-Angriff (Denial of Service) stillzulegen. Dass dies möglich ist, hat man schon lange vermutet. Bei diesen Tests muss man natürlich bis ins Spitalnetz hervordringen können. Hier sind zu­mindest die untersuchten Schweizer Spitäler relativ gut geschützt.

Unterschiedliche Sicherheitsniveaus – enorme Datenflut

Martin Darms zu den Ergebnissen seiner Stu­die: „Ich arbeite seit über 20 Jahren bei Medizinfirmen und deshalb erstaunen mich die internen Tests nicht. Ich kenne die Situation von beiden Seiten. Was mich jedoch überrascht hat, sind die doch sehr unter­­schiedlichen Sicher­heits­­ni­veaus. Es gibt Diff­e­renzen im Bereich des 10-fachen!“ Dies be­deutet, dass man­che Kranken­häuser 10-Mal schlechter geschützt sind als andere.

Für die internen und externen Messungen ver­wendete der dipl. Elektro­ingenieur ETH die Lösung VulnWatcher von des auf IT‑Schwach­­stellen Analyse Soft­­­ware spezialisierten Schweizer Unter­nehmens First Security Tech­nology.

Mit Einwilligung der jeweiligen IT-Verantwortli­chen untersuchte Darms 523 Systeme (Medi­zingeräte, Server, Clients) auf Schwachstel­len. Die Daten wurden in 7 der insgesamt 278 Spitäler und Kliniken in der Schweiz gesam­melt, dies entspricht 2.5 % aller Schweizer Spitäler und 4.1 % aller Pfle­getage in der Schweiz. Für einen besseren Vergleich der Resultate und als Re­ferenz zog er zusätzlich eine Klinik in Deutschland in die Analyse mit ein, hier fan­den Messungen an über 200 Systemen statt. Von Mitte Februar bis Anfangs April 2015 wurden insgesamt über fast 90 Stunden hin­weg Scans vor­genommen, dabei entstanden über 5000 Seiten Scan­berichte, welche die Studie aus­wertet.

Von Aussen … relativ gut geschützt

Die Auswertung zeigt, dass die meisten Spitä­ler von aussen her gut geschützt sind. Pro un­tersuchtem Host existieren 0.53 kritische Schwachstellen. Mit anderen Worten: Auf je­dem zweiten System war eine kritische Schwach­­stelle vorhanden. Bedeutende Schwach­­­stellen waren durchschnittlich pro System 6.21 vorhanden. D.h. für einen An­grei­fer aus dem Internet ist es relativ schwierig ins interne Spitalnetz zu gelangen. Dies deckt sich auch mit der Erkenntnis aus dem Swiss Vulnerability Report 2015, aller­dings sind hier Angriffe über Social-Engin­ee­ring oder Phis­hing nicht berücksichtigt.

Von Innen … „löchrig wie Schweizer Käse“

Ganz anders ist es um die Sicherheit in den internen Netzwerken der Spitäler bestellt, hier bestehen gravierende Schwachstellen. Stark veraltete und nicht mehr unterstützte Betriebs­systeme, Standardpasswörter, ungeschützte Testserver – das sind die häufigsten Einfalls­tore für Angreifer.

Intern vorgenommene Messungen zeigen, dass pro untersuchten Host 1.01 schwerwie­gende Schwachstellen existieren. Mit anderen Worten: Im Durchschnitt gab es auf jedem System eine kritische Schwach­stelle. Bedeu­tende Schwachstellen waren durch­schnittlich 2.85 pro System vorhanden. Es existieren über 70‘000 Schwach­stellen in den verschiedensten Betriebs­sys­te­men und Softwarekomponenten, wobei über 10‘000 Schwachstellen als kritisch eingestuft werden. Die Tendenz der neu entdeckten Schwachstellen zeigt stetig nach oben.

Datenschutzverletzungen bei Gesundheitsinstitutionen in den USA

Bild 2: Datenschutzverletzungen bei Gesundheitsinstitutionen in den USA.

Spannend ist auch die Frage, ob es bereits gezielte Angriffe auf IT-Infrastrukturen der Spi­täler gab. In den USA sind die häufigste Ursa­che für Daten­schutz­ver­letz­un­gen Cyberan­griffe, diese sind in den letzten 5 Jah­ren frappant angestiegen. Die Master­arbeit begnügt sich nicht alleine mit der Datenerhe­bung, geliefert werden auch Best Practices, wie man sich effektiv gegen Cyber­angriffen schützen kann:

  1. IT-Richtlinien definieren und auch durchset­zen, Prozesse definieren und befolgen.
  2. Mitarbeiter schulen (auf Phishing / Social Engineering Angriffe sensibilisieren).
  3. Sicherheitskonzept mit verschiedenen Zo­nen und Rechten erstellen.

Neben weiteren Punkten trägt nicht zuletzt der regelmäßige Einsatz von Schwachstellen-Ma­nagement-Tools zur Sicherheit eines Spi­tal-IT-Sys­tems bei.

Martin DarmsMartin Darms, Dipl. El. Ing. ETH
 

 

 

GRID LIST
Tb W190 H80 Crop Int Cd0be40bdc3132e8a43ff79e9c10dc12

Jeder Fünfte will sich gegen Cyberkriminalität versichern

Phishing-Attacken, Schadsoftware oder Kreditkartenbetrug – Cyberkriminalität kann jeden…
Tb W190 H80 Crop Int D325500e0595642e9afa32fcc4da2986

Mitarbeiter kennen IT-Sicherheitsrichtlinien nicht

Lediglich ein Zehntel (12 Prozent) der Mitarbeiter ist sich über Regeln und Richtlinien…
Tb W190 H80 Crop Int 9b9f482a68064d34cc986d21a0ecf70a

Was bevorzugt online gekauft wird – und was nicht

DVDs, CDs und Bücher: Nichts wird lieber online geshoppt als Unterhaltungsmedien. Das hat…
Tb W190 H80 Crop Int 3163d8944bc51023f63ddab922714102

Smartphone-Sucht – nur jeder Vierte sieht sich gefährdet

Psychologen und Ärzte warnen regelmäßig vor Handysucht – doch Fakt ist: Fast drei Viertel…
Tb W190 H80 Crop Int F8cc01e47f0ffbfc7272bfe4c3e4d695

Smartphone-Shopper kaufen nur selten

Smartphone-Shopper schließen Einkäufe viel seltener ab als Desktop-User. Das liegt einer…
Tb W190 H80 Crop Int 57c9de8d2efe3b723cbec5c94b1c9502

Attacken auf Industrieunternehmen nehmen zu

Jedes vierte Industrieunternehmen war in jüngster Zeit von einem Cyberangriff betroffen.…
Smarte News aus der IT-Welt

IT Newsletter


Hier unsere Newsletter bestellen:

 IT-Management

 IT-Security