Verwaltungs- und Dokumentationssystemen BSI bemängelt Sicherheit von Gesundheitssoftware

Während im Gesundheitswesen hochsensible Daten verarbeitet werden, lässt die IT-Sicherheit der entsprechenden Software zu wünschen übrig. Dies ist das Ergebnis von Tests des BSI, welches Handlungsempfehlungen für einen besseren Schutz gibt.

Wie auch in mittlerweile fast allen Branchen, nutzen auch Gesundheitseinrichtungen digitale Lösungen. Auch auch dort spielt deren IT-Sicherheit eine entscheidende Rolle, da hier sensible Gesundheitsdaten verarbeitet werden. Doch nun hat das Bundesamt für Sicherheit in der In­for­ma­tions­tech­nik (BSI) nach der Testung der Standardkonfiguration unterschiedlicher Software-Produkte im Gesundheitswesen festgestellt, dass deren IT-Security noch ausbaufähig ist. Zu­sammen mit den Testergebnissen veröffentlicht das BSI deswegen begleitende Empfehlungen, die dabei unterstützen sollen, die IT-Sicherheit dieser Produkte künftig zu stärken.

Bis Ende 2031

BSI verkündet Ablaufdatum klassischer asymmetrischer Verschlüsselung

Sicherheit von Praxisverwaltungssystemen

Zuerst hat das BSI die IT-Sicherheit von digitalen Praxisverwaltungssystemen genauer unter die Lupe genommen. Das Ziel der Testung von Informations- beziehungsweise Ver­wal­tungs­sys­te­men in Arztpraxen sowie ambulanten Pflegeeinrichtungen, die die Firma Enno Rey Netzwerke (ERNW) für das BSI durchgeführt hat, war es, en etablierten Stand der IT-Sicherheit besser ein­schätzen zu können und konkrete Verbesserungshinweise zu erarbeiten. Im Rahmen des Pro­jekts wurden vier exemplarische Praxisverwaltungssysteme (PVS) mittels Penetrationstests untersucht. Die Ergebnisse zeigen, dass trotz unterschiedlicher Technologien, Cyberangriffe möglich waren. Und das bei drei von vier Produkten. Die Mängel und Lücken in der Absicherung der Software, die das BSI identifizieren konnte und die zu Cyberangriffen führten, waren unter anderem:

• Keine Verwendung von Verschlüsselungsverfahren bei der Datenübertragung

• Die Verwendung veralteter und daher unsicherer Verschlüsselungsalgorithmen

Diese identifizierten Schwachstellen wurden an die jeweiligen Hersteller kommuniziert und von diesen unverzüglich adressiert und mitigiert. Der entsprechende Bericht des BSI zur Sicherheit von Praxisverwaltungssystemen kann hier heruntergeladen werden.

MCTTP 2025

Wenn Angreifer-Mindset auf starke Sicherheitsarchitektur trifft

Seine Empfehlungen für die Steigerung der IT-Sicherheit von Praxisverwaltungssystemen hat das Bundesamt ebenfalls online veröffentlicht. Diese können bis zum 17. Juni 2026 von Her­stellern, Betreibern und Nutzern in den Einrichtungen sowie Fachexperten kommentiert werden.

Die Empfehlungen des BSI lauten:

• Technisch wirksame Zugriffskontrollen zur Authentifizierung und Autorisierung bei Aktionen sowie Verwendung einer 3-Schicht-Architektur.

• Durchsetzung starker Passwortrichtlinien, die die Erstellung und Änderung von Passwörtern kontrollieren.

• Normalisierung von Dateipfaden zur Verhinderung von Path-Traversal-Angriffen sowie Prüfung der Benutzerberechtigungen vor Datei-Zugriff.

• Deaktivierung automatischer Code-Ausführung in Datenbanken und Vergabe minimaler Privilegien an Clients.

• Verschlüsselung sensibler Daten im Ruhezustand und während der Verarbeitung durch Nutzung von Festplattenverschlüsselungen, wie BitLocker.

• Anwendung aktueller Verschlüsselungs- und Hashing-Algorithmen sowie Verwendung von Advanced Encryption Standard und des speziell entwickelten Verfahrens „Argon2id“.

• Einsatz von Transportverschlüsselung, zum Beispiel TLS, zur Sicherstellung der Vertraulichkeit.

• Sorgfältige Prüfung externer Software und Bibliotheken sowie eine regelmäßige Wartung.

• Implementierung einer Whitelist für unterstützte Dateitypen zur Vermeidung automatischer Ausführung potenziell gefährlicher Dateitypen.

The State of Ransomware in Healthcare 2025 von Sophos

Ransomware verliert im Gesundheits­wesen an Wirkungskraft

Sicherheit von Pflegedokumentationssystemen

Ähnlich wurde folgend auch die IT-Sicherheit von Pflegedokumentationssystemen betrachtet. Bei der Testung von drei exemplarischen Produkten fielen diese Mängel besonders auf:

• Schwachstellen bei der Kommunikationsverschlüsselung, der Authentifizierung und der Prüfung von Software-Updates

• Architektonische Schwachstellen, die eine sichere und effektive Nutzerautorisierung unmöglich machen

Auch diese Feh­ler wurden an die Hersteller kommuniziert. Die daraus aufbauenden Em­pfeh­lun­gen samt einer Checkliste adressieren ambulante Pflegedienste, um dabei zu helfen, die Systeme sicher betreiben und die IT-Sicherheit insgesamt verbessern zu können. Auf­trag­neh­mer des Projekts war das e-Health-Team des Fraunhofer-Instituts für Sichere Informationstechnologie (SIT).

Auch hierzu hat das BSI einen Abschlussbericht veröffentlicht sowie einen Katalog mit Erläuterungen und Empfehlungen. Auch diese können bis zum 17. Juni 2026 kommentiert werden.

Studie zu Cybersicherheit

Wenige Angriffe, längere Ausfälle im Gesundheitswesen

Die technischen wie auch organisatorischen Empfehlungen des BSI für sichere Pflegedokumentationssysteme lauten:

• Kommunikation in Netzwerken sollte durch Verschlüsselung (TLS) und Authentifizierung geschützt werden. Hersteller sollten bestätigen, dass die Kommunikation des Pfle­ge­do­ku­mentationssystems mit aktuellen TLS-Versionen abgesichert ist.

• Sichere Konfiguration von TLS muss laut BSI gewährleistet sein, um veraltete Protokolle und Algorithmen zu vermeiden. Hersteller sollten nachweisen, dass ihr System TLS gemäß BSI-Richtlinien nutzt.

• Die sichere Authentifizierung wird vom BSI als entscheidend erachtet. Der Server muss währ­end der Einrichtung einer TLS-Verbindung authentifiziert werden, und die Hersteller sollten sicherstellen, dass die Kommunikationspartner gemäß den aktuellen Sicherheits­stan­dards verifiziert werden.

• Netzwerksegmentierung sollte implementiert werden, um den Zugriff zu beschränken und das Risiko von Sicherheitslücken zu minimieren.

• Kleinere Anbieter sollten robuste Netzwerkkonfigurationen und sichere Passwörter für WLAN verwenden.

• Systeme, die direkt über das Internet erreichbar sind, sollten minimal gehalten und sicher konfiguriert werden. Alternativ kann ein VPN eingesetzt werden, um den Zugriff zu schützen.

• Regelmäßige Audits von Nutzerkonten sind dem BSI nach notwendig, um veraltete oder über­flüssige Konten zu identifizieren und Berechtigungen zu überprüfen. Ambulante Pflege­dienste sollten Benutzerkonten regelmäßig auditeren und ungenutzte Konten löschen.

• Wartungszugänge von Herstellern oder Dienstleistern müssen kontrolliert und nur temporär aktiviert werden. Die Dokumentation dieser Zugänge sollte in Absprache mit dem Hersteller erfolgen.

• Nutzerkonten müssen mit sicheren Passwörtern geschützt und wenn möglich mit Multifaktor-Authentifizierung (MFA) ausgestattet sein.

• Eine Passwortrichtlinie kann helfen, die Sicherheit der Konten zu gewährleisten.

• Mobile Geräte sollten verschlüsselt und mit sicheren Zugangscodes versehen sein. Software-Updates sollten regelmäßig durchgeführt werden, um Sicherheitslücken zu schließen.

• Es sollten Herstellerempfehlungen zur Absicherung des Pflegedokumentationssystems eingeholt und umgesetzt werden.

• Ein Risikomanagementsystem sollte implementiert werden, um Sicherheitsrisiken zu identifizieren und zu bewerten. Risiken sollten dokumentiert werden, auch ohne ein ISMS.

• Der physische Zugang zu Geräten sollte eingeschränkt werden, um unbefugten Zugriff zu verhindern.

• Bei Beendigung eines Arbeitsverhältnisses müssen alle Zugänge deaktiviert werden.

• Bei der Auswahl eines Pflegedokumentationssystems sollte auf den Betriebs- und Wartungsaufwand geachtet werden.

• Durch die Unterstützung eines IT-Dienstleister kann die IT-Sicherheit erhöht werden.

• Schulungen für Mitarbeitende können dazu beitragen, die System korrekt zu nutzen und achtsam gegenüber Sicherheitsrisiken zu sein.

Beide Untersuchungen verdeutlichen laut BSI, dass die sichere Verwendung von Gesund­heits­daten einer hohen Sicherheit bei den verschiedenen zentralen Softwareprodukten bedarf. Sei es das Krankenhausinformationssystem, das Praxisverwaltungssystem oder das Pflege­do­ku­men­ta­tions­sys­tem: Nutzerauthentifizierung und -autorisierung stellen weiterhin Heraus­for­der­un­gen dar.

IT-Sicherheit

Warum sind Hacker so heiß auf medizinische Daten?

(ID:50789777)