Cyberkriminelle greifen das Gesundheitswesen an (aber wir können uns wehren)

Eine Version dieses Artikels erschien im Cyber Defense Magazin. Er wurde für die Syndikation hier aktualisiert.

Cyberattacken sind heutzutage zum Alltag geworden. Die Menschen erwarten fast schon Nachrichten über eine neue Sicherheitslücke, die alles betrifft, vom Bankwesen bis zur Luftfahrt, oder so unterschiedliche Geräte wie Smartphones und Ampeln. Selbst unser Zuhause ist nicht mehr völlig sicher. Ganze Städte und Ortschaften werden fast täglich von Kriminellen angegriffen, wobei die Angreifer Lösegeld in Millionenhöhe fordern, um kompromittierte kritische Dienste wiederherzustellen.

Aber ein Ort, an dem wir uns hoffentlich immer noch sicher fühlen konnten, war in der Arztpraxis oder sogar im Krankenhaus. Die Menschen sind am verletzlichsten, wenn sie sich an einen Gesundheitsdienstleister wenden. Der menschliche Anstand würde fast verlangen, dass man den Ärzten vor Ort erlaubt, ihre noble Arbeit in Ruhe zu tun. Leider ist das nicht der Fall. Es scheint wenig Ehre " oder vielleicht schiere Verzweiflung " unter den heutigen Cyber-Dieben zu geben. Tatsächlich könnte das Gesundheitswesen das nächste "große" Schlachtfeld der Cybersicherheit werden, da Kriminelle genau die Maschinen angreifen, die medizinische Probleme diagnostizieren, Behandlungen durchführen und Leben erhalten. Angesichts der anhaltenden globalen Gesundheitskrise, die sich vor unseren Augen abspielt, ist es von entscheidender Bedeutung, dieses Problem von mehreren Seiten anzugehen.

Die Bedrohungen werden persönlicher als je zuvor.

Angriffe auf die Gesundheitsbranche sind nicht neu. Cyberkriminelle kennen bereits den Wert, den Patienteninformationen, persönliche Daten und Finanzdaten in der Unterwelt und im Dark Web haben. Diese Informationen können verwendet werden, um direkt Geld von Patienten zu stehlen oder als Ausgangspunkt für sekundäre Angriffe wie Phishing und andere Betrügereien. Kein Wunder also, dass viele der verheerendsten Angriffe der letzten Zeit auf das Gesundheitswesen abzielten. Bei Anthem Healthcare wurden 80 Millionen Patientendaten gestohlen. Premera verlor 11 Millionen persönliche Daten. Bei CareFirst waren es insgesamt 1,1 Millionen kompromittierte Datensätze, und die Liste lässt sich beliebig fortsetzen.

Im Moment scheinen Angriffe direkt auf medizinische Geräte selten zu sein. Allerdings deutet zumindest ein Bericht darauf hin, dass das Problem viel weiter verbreitet sein könnte, da Krankenhäuser die Eindringlinge nicht melden oder Mitarbeiter, die nicht in Cybersicherheit geschult sind, einfach nicht erkennen, dass ein Angriff direkt vor ihren Augen stattfindet. Die Fähigkeit, medizinische Geräte auf beängstigende Weise zu kompromittieren, wie z. B. die Verwendung von Malware, um CAT-Scans und MRT-Ergebnisse mit gefälschten Tumoren zu versehen, wurde von Sicherheitsforschern eindeutig nachgewiesen. Es ist nicht sehr weit hergeholt zu denken, dass Angreifer bereits dieselben oder ähnliche Dinge mit medizinischen Geräten in der realen Welt anstellen könnten.

Das Gesundheitswesen ist auch aufgrund der zunehmenden Abhängigkeit von Geräten im Internet der Dinge (IoT), also winzigen Sensoren, die mit dem Internet verbunden sind und unglaubliche Mengen an Informationen produzieren, besonders anfällig für Cyberangriffe. Die Absicherung der von diesen Sensoren erzeugten Informationen, der von ihnen genutzten Kommunikationskanäle und sogar der Sensoren selbst, war bisher kaum mehr als ein Nachgedanke. Die Anzahl der potenziellen Schwachstellen, die ein Angreifer in diesen IoT-dominierten Netzwerken ausnutzen könnte, ist wahrscheinlich fast unbegrenzt.

Das IoT im Gesundheitswesen birgt ernsthafte Risiken.

Dienste, die für die Patientenversorgung entscheidend sind - und die in einigen Fällen vor 20 Jahren noch nicht einmal denkbar waren - sind Brutstätten sowohl für IoT-basierte als auch für andere, eher traditionelle Schwachstellen. Elektronische Krankenakten, Telemedizin und Mobile Health warteten scheinbar nur auf den Informationsschub, den das IoT bieten könnte. Es ist kein Wunder, dass das Engagement für das IoT im Gesundheitssektor schwindelerregend ist. MarketResearch.com prognostiziert , dass der IoT-Markt im Gesundheitswesen bis zum nächsten Jahr ein Volumen von 117 Milliarden US-Dollar erreichen wird und danach jedes Jahr um 15 % weiter wächst.

In dieser Umgebung können geschickte Angreifer viele Schwachstellen finden, die zur Ausnutzung medizinischer Geräte genutzt werden können. IoT-Sensoren, die in medizinische Geräte eingebettet sind, kommunizieren im Allgemeinen auf eine von zwei Arten und geben ihre Daten aus. Einige sammeln Daten und übertragen dann alle ihre Ergebnisse direkt zur Analyse ins Internet. Andere verwenden eine Form der verteilten Vernetzung, die als Fog Computing bekannt ist, bei der die Sensoren selbst eine Art Mini-Netzwerk bilden und gemeinsam entscheiden, welche Daten mit einem zentralen Repository oder einer Plattform geteilt werden sollen. Diese Daten können dann weiterverarbeitet oder direkt vom medizinischen Personal abgerufen werden.

Erschwerend für die Cybersicherheit im Gesundheitswesen kommt hinzu, dass sich die Branche nie auf Standards, Methoden oder Schutzmaßnahmen für die Datenverarbeitung geeinigt hat. Historisch gesehen wurde die Gesundheitsbranche von Herstellern bedient, die ihre eigenen proprietären Technologien für medizinische Geräte anboten. Dazu gehören heute die eingebetteten IoT-Sensoren, die Kommunikationskanäle, die die Geräte verwenden, und die Plattform für die Analyse der Daten, nachdem sie gesammelt wurden. Dies macht die meisten Krankenhausnetzwerke zu einem Traum für Hacker, oder zumindest zu einem guten Testgelände, auf dem sie alles ausnutzen können, von Sicherheitsfehlkonfigurationen bis hin zu unzureichendem Schutz auf der Transportschicht. Sie können alles versuchen, von Cross-Site Request Forgeries bis hin zu den klassischen XML-Injection-Angriffen.

Der Gegenschlag, den wir brauchen, liegt direkt vor uns.

Trotz der potenziell katastrophalen Folgen, die ein Ausnutzen dieser Schwachstellen haben kann, gibt es etwas, das optimistisch stimmt: Diese Sicherheitslücken sind keine neuen, mächtigen Hintertüren, die von kriminellen Superhirnen geöffnet werden. Sie sind so weit verbreitet, dass es frustrierend ist, sie immer wieder zu sehen. Ein Grund für ihr Auftauchen ist die Verwendung von Altsystemen, die trotz verfügbarer Korrekturen nicht gepatcht wurden, ein anderer ist wiederum der Faktor Mensch. Die Entwickler schreiben Code in einem rasanten Tempo und konzentrieren sich auf ein glattes, funktionales Endprodukt - und nicht auf bewährte Sicherheitsverfahren.

Es wird einfach zu viel Software entwickelt, als dass AppSec-Spezialisten mithalten könnten, und wir können nicht erwarten, dass sie ständig den Tag mit diesen wiederkehrenden Schwachstellen retten. Es ist billiger, effizienter und eindeutig viel sicherer, wenn diese Schwachstellen gar nicht erst eingeführt werden, und das bedeutet, dass Sicherheitsteams und Entwickler die Extrameile gehen müssen, um eine robuste, durchgängige Sicherheitskultur zu schaffen.

Wie sieht eine großartige Sicherheitskultur genau aus? Hier sind ein paar Schlüsselelemente:

• Entwickler werden mit den Werkzeugen und Schulungen ausgestattet, die sie benötigen, um häufige Bugs zu beseitigen (und verstehen, warum das so wichtig ist)
• Das Training ist umfassend, leicht verdaulich und spielt die Stärken der Entwickler aus
• Die Ergebnisse der Schulung werden ordnungsgemäß gemessen, mit Metriken und Berichten (nicht nur eine Übung zum Ankreuzen und Weitermachen)
• AppSec und Entwickler beginnen, die gleiche Sprache zu sprechen: Schließlich arbeiten sie in einer positiven Sicherheitskultur an ähnlichen Zielen.

Die Möglichkeit einer Katastrophe ist immer noch enorm und geht weit über den Diebstahl der medizinischen Daten eines Patienten hinaus. Die Injektion von gefälschten Tumoren in einen Scan könnte eine Person, die ängstlich darauf wartet zu erfahren, ob sie Krebs hat, am Boden zerstören. Und das Austauschen von Medikamenten oder das Ändern von Behandlungsplänen könnte sie sogar töten. Aber es braucht nur einen einzigen Cyberkriminellen, der bereit ist, diese Grenze aus Profitgründen zu überschreiten, und Sie können garantieren, dass es passieren wird. Vielleicht wird der nächste Ransomware-Betrug nicht die Daten eines Krankenhauses verschlüsseln, sondern stattdessen die Diagnosen von Tausenden von Patienten ruinieren. Oder vielleicht droht ein Angreifer, Medikamente zu verändern, wenn er nicht bezahlt wird, und hält buchstäblich Leben als Lösegeld fest.

Es ist klar, dass wir bei der Cybersicherheit im Gesundheitswesen nicht mehr nach dem Prinzip "business as usual" vorgehen können. Wir können uns nicht darauf verlassen, dass ein oder zwei Spezialisten in Gesundheitsorganisationen jedes Problem lösen. Stattdessen brauchen wir sicherheitsbewusste Entwickler, die an Gesundheitsanwendungen und -geräten arbeiten, um potenzielle Probleme zu erkennen und zu beheben, bevor sie in den Einrichtungen eingesetzt werden. Und auch das Gesundheitspersonal könnte eine Grundausbildung in Cybersicherheit gebrauchen.

Es ist wahr, dass nichts wichtiger ist als Ihre Gesundheit. In der Gesundheitsbranche hängt die Aufrechterhaltung einer guten Cybersecurity-Fitness für die Zukunft davon ab, dass heute ein besseres allgemeines Sicherheitsbewusstsein gefördert wird. Ohne eine ernsthafte Behandlung ist dies ein Problem, das nur noch schlimmer werden wird.