IoT-Sicherheit im Gesundheitswesen Akute Bedrohung durch chronische Probleme

Aufgrund der sensiblen Daten ist das Gesundheitswesen bei Cyberangriffen besonders gefährdet. Sicherheitsbemühungen scheitern vielerorts an veralteten Betriebssystemen und mangelnder Erfassung der IoMT-Umgebung.

Im Gesundheitswesen sind medizinische Geräte im Einsatz, die direkt mit dem Internet verbunden sind oder in der lokalen Klinikumgebung vernetzt und damit auch über das Internet zugänglich sind. Diese Geräte bilden das Internet of Medical Things (IoMT), also das Internet der Dinge im Gesundheitswesen. Das IoMT wird auch definiert als eine wachsende globale Infrastruktur, die aus medizinischen Geräten und Anwendungen besteht, die durch Informations- und Kommunikationstechnologien miteinander verbunden sind. Hierzu zählen unter anderem digitale Aufzeichnungssysteme, Röntgengeräte, Defibrillatoren und Infusionspumpen für Medikamente. In den letzten Jahren häuften sich Berichte über Schadsoftware auf IoMT-Geräten.

Unit 42, die Forschungsabteilung von Palo Alto Networks, hat die Bedrohungslage auf 1,2 Millionen IoT-Geräten in Unternehmen und im Gesundheitswesen untersucht. Dabei stellte sich heraus, dass 98 Prozent des gesamten IoT-Geräteverkehrs unverschlüsselt sind, wodurch sensible Daten gefährdet werden. 57 Prozent der untersuchten IoT-Geräte sind anfällig für Angriffe mittlerer oder hoher Intensität, was das Internet der Dinge zu einem attraktiven Ziel für Angreifer macht.

Das Gesundheitswesen mit seinen IoMT-Geräten ist besonders anfällig für Cyberbedrohungen. Ein Grund dafür ist, dass die IT in Sachen Cybersicherheit aufgrund kürzerer Entwicklungszyklen und der Einführung moderner proaktiver Sicherheitsmaßnahmen weiter fortgeschritten ist. In der Medizintechnik war Cybersicherheit lange Zeit zweitrangig, da die Vernetzung der Hardware erst später einsetzte und eine Internetanbindung oft nicht vorgesehen war.

Gesundheitswesen ist sicherheitstechnisch in kritischer Verfassung

Hochkarätige, gezielte Cyberangriffe zwingen die Branche mittlerweile dazu, die Risiken zu erkennen und zu managen, um den Klinikbetrieb zu schützen. So gelingt es Hackern immer wieder, vertrauliche Patientendaten nach außen zu schleusen. Einige Schwachstellen bei medizinischen Geräten sind schlimmstenfalls lebensbedrohlich. Cyberbedrohungen wie Ransomware können kritische Geschäftsfunktionen erheblich stören oder fast den kompletten Klinikbetrieb zum Erliegen bringen. Im Sommer 2019 waren 13 Kliniken der Trägerschaft Süd-West des Deutschen Roten Kreuzes (DRK) Ziel eines Ransomware-Angriffs und vorübergehend nicht erreichbar, da alle IT-Systeme vom Netz genommen werden mussten.

Die Forscher von Unit 42 haben eine Schwachstelle im DICOM-Protokoll (Digital Imaging and Communications in Medicine) gefunden. Cyberangreifer können dabei den Header in einem DICOM-Paket ändern, um das vom Gerät erfasste Bild durch eine ausführbare Datei zu ersetzen. Wird das Bild gespeichert, bleibt die Malware auf einem Netzlaufwerk bestehen. Wenn ein anderes DICOM-Gerät das Bild öffnet, stellt der DICOM-Viewer das vermeintliche Bild dar, wodurch die Malware ausgeführt wird.

Cryptojacking-Malware ist eine weitere zunehmende Online-Bedrohung, die sich auf einem Gerät versteckt und dessen Ressourcen nutzt, um Kryptowährungen wie Bitcoin „abzubauen“. Wie bei den meisten böswilligen Aktivitäten ist das Motiv der Profit, aber anders als bei Ransomware bleibt der Prozess dem Benutzer verborgen. Cryptojacking verursacht eine hohe CPU- und Netzwerkauslastung und belastet kritische Gesundheitssysteme, was sich schlimmstenfalls auf lebensrettende Maßnahmen auswirken kann. Die Untersuchungen von Unit 42 zeigen, dass Drucker und Sicherheitskameras die am häufigsten betroffenen und anfälligsten IoT-Geräte in Unternehmensumgebungen sind. Im Gesundheitswesen stehen Bildgebungs- und Patientenüberwachungssysteme ganz oben auf der Liste.

Vorhandene Sicherheitssysteme unterstützen kein IoMT

Kliniken stehen vor der grundlegenden Aufgabe, die Risiken von IoMT-Geräten und -Anwendungen bewerten zu können. Die Hauptgründe dafür sind fehlende Geräteerkennung und Inventarisierung. Eine IoMT-Umgebung besteht nicht nur aus den neuesten Geräten der jüngsten Medizintechnikmesse. Die Realität ist eher ein veraltetes Inventar von IoMT-Komponenten, die vernetzt und – beabsichtigt oder unbeabsichtigt – auch über das Internet zugänglich sind. Eine derartige Umgebung ist in der Regel weit entfernt von einem effektiven Sicherheitsmanagement.

Die Identifizierung von Geräten unter Verwendung traditioneller IT-Gerätemerkmale, wie IP-Adressen, funktioniert für das IoMT nicht. Endpunktschutzsysteme sind für Computer, Tablets und Telefone mit der Fähigkeit zur Ausführung von Agenten konzipiert, aber IoMT-Geräte führen häufig benutzerdefinierte oder veraltete Betriebssysteme ohne diese Fähigkeit aus. Folglich sehen Cybersicherheitssysteme IoMT-Geräte als unbekannte Endpunkte an und kennen daher den spezifischen Gerätetyp, dessen Risikoprofil und erwartetes Verhalten nicht. Eine moderne Security-Operating-Plattform mit IoT-Unterstützung kann hingegen das Geräteverhalten im Kontext der Arbeitsabläufe genau verfolgen.

Geräte mit veralteten Betriebssystemen extrem anfällig

Aufgrund ihrer langen Lebenszyklen sind IoMT-Geräte hochgradig gefährdet durch Cyberbedrohungen. Im Gesundheitswesen warten Medizintechniker in Krankenhäusern die medizinischen Geräte, aber nicht die zugrundeliegenden Betriebssysteme. Selbst grundlegende Best Practices der IT-Sicherheit werden oft nicht umgesetzt: also Passwortregeln anzuwenden, Passwörter sicher zu speichern und aktuelle Patch-Level auf den Geräten zu erhalten. Die mit dem Netzwerk verbundenen medizinischen Geräte, wie z.B. Röntgengeräte, werden oft mit Betriebssystemen betrieben, die am Ende ihres Lebenszyklus stehen und bekannte Schwachstellen aufweisen. Dies stellt ein hohes Risiko für die Mitarbeiter, Patienten, Computersysteme und im schlimmsten Fall für den gesamten Klinikbetrieb dar.

Medizinische Bildwiedergabegeräte laufen auf verschiedenen Betriebssystemen, darunter Windows, Linux und Unix. 2019 liefen laut der Studie von Palo Alto Networks 83 Prozent dieser Geräte auf Betriebssystemen mit bekannten Schwachstellen und ohne Sicherheitsupdates oder Patch-Unterstützung. Dies ist ein Anstieg um 56 Prozent gegenüber 2018, was auch darauf zurückzuführen ist, dass das vielerorts eingesetzte Windows 7 das Ende seiner Lebensdauer erreicht hat.

Grundlegende Netzwerksegmentierung nicht vorhanden

Die einfachste Maßnahme zur Eindämmung von IoMT-Risiken ist die Netzwerksegmentierung. Trotzdem fanden sich in den von Unit 42 untersuchten Gesundheitseinrichtungen in nur 3 Prozent aller segmentierten Netzwerke oder virtuellen LANs (VLANs) rein medizinische IoMT-Geräte. In 25 Prozent der segmentierten Netzwerke waren nicht-medizinische IoT-Geräte (IP-Telefone, Drucker usw.) untergebracht. 72 Prozent der VLANs im Gesundheitswesen enthalten eine Mischung aus IoMT-Geräten, generischen nicht-medizinischen IoT-Geräten und IT-Geräten, statt zumindest diese drei Gerätekategorien zu segmentieren.

Durch fehlende Segmentierung wird die Barriere für seitliche Bewegungen von Cyberangreifern im Netzwerk gesenkt. Über ein infiziertes Notebook können sich versierte Cyberangreifer relativ einfach zu Überwachungskameras und zum DICOM-Viewer vortasten, die sich im selben Netzwerk befinden. Dies sorgt für leichte Ziele für Cyberangreifer, ein Problem, mit dem sich Kliniken zunehmend befassen werden müssen. Dies zeigt das Beispiel des seit Mai 2017 verbreiteten Ransomware-Schadprogramms WannaCry. Bei damit verbundenen Vorfällen im Gesundheitswesen handelte es sich immer um gemischte Netzwerke mit PCs, Scannern, Bildgebungsgeräten etc. WannaCry hat eine starke Selbstausbreitungs- und Infektionsfähigkeit, die es ermöglicht, Geräte über das IoMT und die IT hinweg zu infizieren.

Umsetzung von Best Practices für Cybersicherheit

Sicherheitsverantwortliche im Gesundheitswesen sollten jetzt die richtigen Maßnahmen ergreifen, um die Gefährdung des Klinikbetriebs infolge IoT-initiierter Angriffe zu reduzieren. Um die Risiken zu erkennen und proaktiv zu managen, sollte eine Klinik eine effektive IoT-Sicherheitsstrategie umsetzen.

Die folgenden Schritte reduzieren die Angriffsfläche und damit bereits einen Großteil des Bedrohungsrisikos:

• 1. Risikobeurteilung durch Erfassung aller IoT-/IoMT-Geräte im Netzwerk

• 2. Regelmäßige Aktualisierung aller Patch-fähigen Geräte

• 3. Segmentierung von IT-/IoT-/IoMT-Geräten mittels VLANs

• 4. Aktivierung einer dauerhaften Überwachung der gesamten IT-/IoT-/IoMT-Umgebung

Das Forschungsteam von Palo Alto Networks empfiehlt zudem ganzheitliches Denken in Form einer Orchestrierung des gesamten IoT-Lebenszyklus und die Erweiterung der Cybersicherheit auf alle IoT-/IoMT-Geräte durch Produktintegrationen. Auf diese Weise lässt sich trotz zunehmender Cyberbedrohungen ein überaus sicherer Klinikbetrieb gewährleisten.

*Der Autor, Sergej Epp, ist CSO Zentraleuropa bei Palo Alto Networks.

(ID:46668930)