Der regulatorische Druck auf Krankenhaus-Betreiber im Bereich Cyber Security ist hoch. Der Grund liegt in dem besonders hohen Risiko, das Cyber-Attacken im Gesundheitswesen darstellen. Ein angemessenes Cybersicherheitsniveau bildet zudem die Grundlage für das Vertrauen als Basis der Arzt-Patient:innen-Beziehung insbesondere bei der Nutzung digitalisierter Ge-sundheitsdienste. Die Auswirkungen beispielsweise von erfolgreichen Ransomware-Angriffen auf Krankenhäuser können verheerend sein. Die Bedrohung durch Ransomware hat sich zu einer der größten digitalen Gefahren im Gesundheitswesen entwickelt. Große Mengen an höchst sensiblen Gesundheitsdaten, die den bestehenden Vorschriften zum Datenschutz unterliegen, werden von den Krankenhäusern vorgehalten - diese müssen gegen kriminelle Akteure abgesichert werden. Solche Angriffe blockieren den Zugriff auf entscheidende IT-Systeme und Patientendaten, was die Fähigkeit der Einrichtungen, Patient:innen ordnungsgemäß zu versorgen, erheblich beeinträchtigt. Außerdem kann ein Hacker-Angriff auf die IT von Kliniken Gefahren für Leib und Leben der Patient:innen mit sich bringen.

Erfahrungen in der Praxis zeigen, dass die Wiederherstellung aus einem Krisenmodus, der durch Ransomware verursacht wird, nicht nur Tage dauert, sondern sich über Wochen bis Monate erstrecken kann. Während dieser Zeit müssen Krankenhäuser oft mit reduzierten Kapazitäten arbeiten, was die Gesundheit der Patient:innen gefährden kann.

Attacken mit Ransomware bedrohen das Gesundheitswesen

Die erpresserische Natur solcher Angriffe zwingt Organisationen oft in schwierige Verhandlungen über Lösegeldzahlungen, um die Daten wiederzuerlangen. Selbst wenn ein Krankenhaus den Forderungen nachkommt, gibt es keine Garantie, dass alle Systeme vollständig und ohne zusätzliche Kosten oder Datenverluste wiederhergestellt werden können. Krisenmanagement- und Notfallpläne, wie Business Continuity Management (BCM) und IT Service Continuity Management (ITSCM), sind essenziell, um eine gewisse Betriebskontinuität zu gewährleisten und die potenziellen Schäden zu minimieren.

Es ist entscheidend, dass Krankenhäuser jetzt präventive Maßnahmen ergreifen, um ihre Cyber-Resilienz zu steigern, da Ransomware nicht nur eine reine IT-Bedrohung ist, sondern das gesamte Gesundheitssystem destabilisieren kann. Es besteht dringende Notwendigkeit für Gesundheitsorganisationen, sich umfassend auf derartige Bedrohungen vorzubereiten und entsprechende Schutzmechanismen zu entwickeln.

Grundlagen für den Datenschutz

Sofern die Verantwortlichen in den Krankenhäusern die bestehenden Vorschriften aus der Datenschutzgrundverordnung sowie den nationalen und landesspezifischen Vorschriften angemessen umgesetzt haben, sollten sie bereits Prozesse zu „Privacy by Design“ und „Privacy by Default“ implementiert haben. Demnach sollte auch gewährleistet werden können, dass bereits in der Planungsphase von neuen Datenverarbeitungen, die oftmals auf neu entwickelten IT-Systemen oder neu eingeführten Prozessen beruhen, die datenschutzrechtlichen Anforderungen berücksichtigt werden. Zu diesen gehört auch die angemessene Berücksichtigung von technischen und organisatorischen Maßnahmen, die neben der Erfüllung der regulatorischen Vorgaben auch einen wichtigen Faktor für die Minimierung von Sicherheitsrisiken darstellt.

Zudem stellt auch die Durchführung einer Datenschutzfolgenabschätzung einen wichtigen Faktor zur frühzeitigen Detektion von potenziellen Risiken für die Rechte und Freiheiten der betroffenen Personen dar, da hierbei bereits eine Bewertung von potenziellen Risiken vorgenommen wird und Mitigationsmaßnahmen definiert und implementiert werden. Ferner müssen die Meldeprozesse von Datenschutzverletzungen eindeutig definiert und umgesetzt sein, da diese auch einen wichtigen Faktor im Fall einer etwaigen Datenpanne darstellen und im engen Verhältnis zu den Sicherheitsvorfällen stehen.

Grundlegend müssen die verpflichtenden Vorgaben zum Datenschutz somit effektiv und effizient umgesetzt werden, sodass sie als Grundlage für die weitere Risikobetrachtung sowie -steuerung verwendet werden können.

Hier beschreiben wir, wie Unternehmen im Gesundheitssektor die bestehenden Risiken durch gezielte Maßnahmen im Bereich Datenschutz, Cyber Resilienz oder auch insbesondere im Thema Business Continuity Management (BCM) und IT Services Continuity Management (ITSCM) besser managen und so den Regulationen entsprechen können. 

KRITIS-Verordnung und der Branchenspezifische Sicherheitsstandard (B3S)

Für alle Einrichtungen eines Krankenhauses oder einer Krankenhausgruppe in Deutschland greifen im Cyber-Zusammenhang verschiedene Bestimmungen, die Informationssicherheit, Patientensicherheit und Behandlungseffektivität sichern sollen. Neben den bereits angesprochenen datenschutzrechtlichen Vorschriften, die durch alle Krankenhäuser eingehalten werden müssen, sind privat betriebene Krankenhäuser häufig von der KRITIS-Verordnung erfasst, die strikte Vorgaben zur Cyber Security macht. Viele Krankenhäuser in öffentlicher Hand fallen nicht unter diese Verordnung, weil sie unterhalb der Schwellenwerte bleiben. Einschlägig sind für sie aber oft die ähnlich gelagerten NIS2-Bestimmungen der EU bzw. deren nationale Umsetzung, wobei hier einige Erleichterungen für kleinere und mittlere Unternehmen vorliegen. Außerdem enthält das Sozialgesetzbuch relevante Cyber-Vorgaben, die seit 1.1.2022 für sämtliche Einrichtungen gelten (§ 75c SGB V).

Als Leitlinie für die Umsetzung der Anforderungen an die Regulatorik im Bereich Informationssicherheit empfiehlt sich ein Rückgriff auf den Branchenspezifischen Sicherheitsstandard (B3S) für die medizinische Versorgung der Deutschen Krankenhausgesellschaft (Informationssicherheit im Krankenhaus), der von der Deutschen Krankenhausgesellschaft (DKG) bereitgestellt wurde. Der B3S umfasst u. a. Bestimmungen und Schutzziele analog zu den Standards ISO 27001 und BSI IT-Grundschutz (Vertraulichkeit, Integrität, Verfügbarkeit von In-formationen) sowie Authentizität als zusätzliches Ziel und darüber hinaus auch die Aspekte Patientensicherheit sowie Behandlungseffektivität. Vorteilhaft ist zudem, dass das Regelwerk in deutscher Sprache vorliegt.

Im aktuell angespannten Umfeld der Branche stellen die umfangreichen Förderungen aus Mitteln des Krankenhauszukunftsgesetzes eine wesentliche Erleichterung für Cyber-Resilienz-Projekte dar. Die Umsetzung der Maßnahmen zur Erhöhung des Sicherheitsniveaus eines Krankenhauses sollte bald angegangen werden, da die Fördermittel nur für einen begrenzten Zeitraum abgerufen werden können. Entscheidende Bedeutung hat dabei ein möglichst effizienter Mitteleinsatz, der die Resilienz durch gezielte Maßnahmen wirksam erhöht. Im Folgenden erklären wir, auf welche Aspekte es dabei nach Erfahrung der Deloitte-Expert:innen besonders ankommt.

Dimensionen der Cyber-Resilienz

Cyber-Resilienz ist ein komplexes Thema, das auf verschiedenen Ebenen angegangen werden muss. Nur durch ein ganzheitliches Vorgehen sind Einrichtungen auf die verschiedenen Phasen und Implikationen eines Cyber-Angriffs vorbereitet. Dabei lassen sich fünf wesentliche Dimensionen ausmachen.

Mehr Resilienz dank BCM

Zentrale Bedeutung für die Cyber-Resilienz im Krankenhaus hat ein systematisches BCM. Dadurch bereiten sich die Einrichtungen planmäßig auf Not- und Krisenfälle vor. Risiken können schon im Vorfeld einer potenziellen Krise besser erkannt und behandelt werden. Außerdem werden durch das BCM geeignete Verfahren definiert, um den Betrieb der Organisation im Fall eines erfolgreichen Angriffs so weit wie möglich aufrecht zu erhalten. Die Reaktionszeit auf Vorfälle wird reduziert, ebenso werden die Schäden minimiert.

Im BCM-Lebenszyklus sind mehrere Phasen zu unterscheiden. Sie sind als iterativer „Plan-Do-Check-Act“-Zyklus zu verstehen: Das BCM durchläuft sie in einem Prozess kontinuierlicher Ver-besserung. Und konzeptionell verfolgt grundlegend der dabei genutzte „Plan-Do-Check-Act“-Zyklus das gleiche Vorgehen wie das Standard-Datenschutzmodell (SDM).

Als Teil des BCM-Lebenszyklus sollte außerdem ein IT Service Continuity Management (ITSCM) aufgestellt bzw. betrieben werden. Im ersten Schritt werden dabei organisatorische und regulatorische Anforderungen an das ITSCM definiert. Die Organisation verständigt sich auf IT-Notfallszenarien (z. B. Ausfall des Rechenzentrums, Cyberangriff, Stromausfall) und Anforderungen (z. B. Wiederherstellungszeit, maximal tolerierbarer Datenverlust), die für die Wiederherstellung berücksichtigt werden sollen. Bei den regulatorischen und branchenspezifischen Anforderungen sind Regelungen wie beispielsweise auch KritisV, BSI-Gesetz zu berücksichtigen.

Außerdem müssen im Rahmen des ITSCM Wiederherstellungspläne erstellt werden, die die nötigen Informationen für eine erfolgreiche Wiederherstellung nach einer Störung enthalten. Je nach gewähltem Recovery-Szenario werden Backup- und Service-Architekturen sowie spezifische Recovery-Schritte beschrieben. Wiederherstellungstests und Überprüfungen der Wiederherstellungspläne sollten periodisch durchgeführt werden, um Abweichungen zu identifizieren. Die Pläne müssen regelmäßig aktualisiert werden, ebenso sobald die Ergebnisse der Wiederherstellungstests vorliegen, sowie bei Änderungen der Organisationsanforderungen, der Systemarchitektur oder der Infrastruktur. 

Abbildung 1: BCM-Lebenszyklus nach dem PDCA-Zyklus 

Cyber-Expertise für das Gesundheitswesen

Für die Umsetzung dieser Resilienz-Maßnahmen steht den Krankenhäusern zwar hilfreiche Finanzierung, aber wenig Zeit zur Verfügung. Das bestehende Personal ist zudem stark ausgelastet, und IT-Kräfte mit den nötigen Cyber-Fähigkeiten sind aktuell auf dem Arbeitsmarkt nach wie vor Mangelware. Hier stellt die Unterstützung durch einen kompetenten externen Partner wie Deloitte eine wertvolle Option dar.

Deloitte bietet führende Cyber-Expertise und tiefe Einblicke in die Branche ebenso wie in die Regulatorik. Wir unterstützen bei allen Aspekten des BCM-Lebenszyklus: vom B3S Assessment über Gap-Analysen und Priorisierung bis hin zur Maßnahmenplanung und Behebungsstrategie. Auch bei Ausschreibungen begleiten wir, etwa wenn es um die Auswahl von Technologien und die Anforderungen dafür geht. Unsere Resilienz-Expert:innen richten dabei den Fokus immer auf die Zukunftssicherheit der Krankenhäuser durch verbesserte Resilienz. Für weitere Informationen melden Sie sich gerne bei uns.