IoT im Gesundheitssektor Mit PKI zum sicheren IoT

Anbieter zum Thema

SEPPmail - Deutschland GmbH

TXOne Networks

Keeper Security EMEA Ltd.

Das Internet der Dinge (IoT) ist praktisch nicht geschützt – Hacker nutzen bereits Toaster, Drucker und Babyphones für ihre Zwecke. Und diese besorgniserregende Entwicklung erhält eine ganz neue Dimension, wenn wir sie auf das Gesundheitswesen übertragen. Es gibt nur wenige Branchen, die mit dem IoT so viel zu gewinnen und so viel zu verlieren haben, wie die Gesundheitswirtschaft.

Alle Sicherheitsprobleme des IoT sind im Gesundheitswesen gleich zehn Mal so gefährlich. Die Daten sind sensibler, der mögliche Gewinn für Kriminelle ist höher und die Auswirkungen sind erheblich gravierender. Hier geht es nicht mehr nur um Ausfallzeiten oder DDoS-Angriffe. Es geht um Menschenleben.

Dieses Thema rückte zum ersten Mal 2011 in den Blickpunkt, als ein McAfee Sicherheitsforscher eine potenziell tödliche Schwachstelle in den Medtronic Insulinpumpen fand. Wenn es ein Angreifer geschafft hätte, den Funksender der Insulinpumpe zu hacken, hätte er das Gerät aus Hunderten Meter Entfernung bedienen und einem Diabetespatienten eine tödliche Dose Insulin verabreichen können.

Obwohl es nur wenige bestätigte Fälle von isolierten IoT-Hacking-Angriffen im Gesundheitswesen gibt, können die Ransomware-Angriffe auf Krankenhäuser in den letzten Jahren als Warnung für das verstanden werden, was bei einem tatsächlichen IoT-Angriff im großen Maßstab passieren könnte.

Im Jahr 2016 startete eine Gruppe Cyberkrimineller einen Ransomware-Angriff auf das Hollywood Presbyterian Medical Centre. Sie schaffte es, den Zugriff auf kritische Daten zu blockieren, und zwang das Krankenhaus so, 17.000 US-Dollar Lösegeld zu zahlen, um die Kontrolle über seine Systeme zurückzuerhalten. Im Jahr 2017 legte der WannaCry Virus Dutzende National Health Service Einrichtungen in Großbritannien lahm. Er verhinderte kritische Behandlungen und verschloss die Türen zu den Notaufnahmen. Ein ähnlicher Angriff könnte jederzeit chirurgische Roboter oder Infusionspumpen treffen und die Person, deren Leben von diesen Geräten abhängt, dazu zwingen, Lösegeld für die Wiederherstellung der lebensrettenden Maßnahmen zu zahlen.

Interne und externe Sicherheitsprobleme im Gesundheitssektor

Diese Szenarien wirken vielleicht apokalyptisch, aber das Gesundheitswesen hat tatsächlich ein internes und externes Sicherheitsproblem.

Im Gesundheitswesen steht die IT-Sicherheit ziemlich weit unten auf der Prioritätenliste. Die Menschen, die im Gesundheitswesen arbeiten, haben einfach Wichtigeres zu tun – zum Beispiel Leben retten. Allmählich ändert sich das aber, da verantwortungsbewusste führende Hersteller von Medizingeräten sich der Notwendigkeit einer besseren IoT-Gerätesicherheit bewusst werden, bevor Behörden, Verbraucher und andere Betroffene beginnen, sie zu verklagen. Das Unternehmen St. Jude Medical (SJM) erlebte vor einigen Jahren am eigenen Leib, wie teuer unzureichende Sicherheitsmaßnahmen sein können. Ein Hedgefond-Unternehmen tat sich mit einer Security Research Gruppe zusammen und kaufte eine Short-Position von SJM, nachdem sie eine Schwachstelle in den Herzschrittmachern des Unternehmens gefunden hatten. Sie machten diese Schwachstelle öffentlich, was dann zu einem Kursverlust von 20 Prozent führte.

Fehlende Sicherheitsinvestitionen können zu einem Netzwerk aus veralteten, ungepatchten und unsicheren Geräten führen, die problemlos gehackt werden können. Der WannaCry-Angriff auf die NHS Trusts im Jahr 2017 war so erfolgreich, weil auf vielen Computern noch Windows XP lief. Ein Betriebssystem, das von Microsoft damals schon nicht mehr unterstützt wurde. Dadurch konnte WannaCry, das den EternalBlue-Exploit nutzte, ganz einfach einen Großteil des nationalen Gesundheitswesens Großbritanniens stilllegen.

Gesundheitswesen bietet Cyberkriminellen lukrative Geschäftsmöglichkeiten

Das öffentliche Gesundheitswesen ist ein komplexer Titan, der große organisatorische Änderungen nicht von heute auf morgen umsetzen kann. Trotz des WannaCry-Angriffs hat die NHS ihr System erst in den letzten Wochen auf Windows 10 aktualisiert. Der Gesundheitssektor bietet der kriminellen Unterwelt lukrative Geschäftsmöglichkeiten: Aus einem kürzlich veröffentlichten Bericht, in dem Fortinet telemetrische Daten zusammentrug, geht hervor, dass der Gesundheitssektor doppelt so häufig als andere Branchen angegriffen wird.

Die Standardbeute der Cyberkriminellen – Verbraucherdaten – ist nur einen Bruchteil so viel wert wie medizinische Daten. Diese Daten mit ihrer Fülle an seltenen und absolut sensiblen Informationen ist für Black Hats viel wertvoller. Kreditkarteninformationen werden Hacker für ein paar Dollar los, während sie für Patientenakten bis zu 10 US-Dollar erhalten. Nachdem sie die Daten gestohlen haben, verkaufen sie sie in großen Bündeln auf dem Schwarzmarkt und erhalten so einen stolzen Gewinn.

Mit Ransomware können die Cyberkriminellen sogar gleich doppelt verdienen: Sie können die Patientenakten verkaufen und erhalten vom Krankenhaus auch noch ein Lösegeld. Da ist es kein Wunder, dass das Gesundheitswesen ein beliebtes Angriffsziel ist.

Public-Key-Infrastrukturen (PKI) im Gesundheitssektor

Mit der Einführung von Millionen an neuen und potentiell unsicheren Medizingeräten befindet sich der Gesundheitssektor in einer prekären Lage.

Public-Key-Infrastrukturen (PKI) und die Verwendung von zertifikatbasierter Authentifizierung und Verschlüsselung könnten einen Weg aus dieser Zwickmühle bieten. PKIs bieten einen lang bewährten Standard, der schon seit Jahren in großen Netzwerken genutzt und bereits in vielen anderen Sektoren mit großem Erfolg eingeführt wurde.

Der Hauptvorteil einer PKI ist die beispiellose Benutzerauthentifizierung, die eine Schlüsselrolle darin spielen wird, unbefugte Benutzer davon abzuhalten, sicherheitskritische IoT-Geräte zu missbrauchen. Über eine PKI wird jede Verbindung zu einem Gerät sowie der Benutzer und jeder andere Servicetyp authentifiziert. Dadurch wird verhindert, dass die falschen Personen Zugriff auf kritische Geräte und ihre Daten erhalten, und es wird schwieriger, in Netzwerke im Gesundheitswesen einzudringen, die voller sensibler Daten stecken, wenn sie von geeigneten Richtlinien geschützt sind.

Eine PKI wendet aber nicht nur Richtlinien für diese Verbindungen an, sondern verschlüsselt die Daten auch bei der Übertragung. PKIs ersetzen angreifbare Sicherheitslösungen, die auf Handlungen von Einzelpersonen wie die Eingabe von Passwörtern beruhen. Sie sind daher wesentlich widerstandsfähiger gegen Brute Force Attacks und bieten ein besseres Nutzererlebnis.

Digitale Unterschriften stellen in Kombination mit digitalen Zertifikaten die Integrität der Gerätekonfiguration sicher und ermöglichen sichere Over-the-Air-Updates, einen sicheren Geräte-Boot sowie jegliche andere Software- oder Firmware-Updates, da sie die Manipulation während der Übertragung verhindern. Code Signing sorgt dafür, dass auch der letzte Programmschnipsel auf einem Gerät authentisch ist und nicht während der Übertragung abgefangen und modifiziert wurde. Durch diese und andere Sicherheitsmechanismen bieten PKIs absolute Daten-, Geräte- und Systemintegrität.

PKI und IoT

IoT-Hersteller setzen PKIs bereits in sicherheitskritischen Bereichen wie der Automobilbranche und eben auch im Gesundheitswesen ein. Das ist eine ermutigende Entwicklung und dennoch wird die beste und effizienteste PKI in das Gerätedesign und in das Deployment-Modell der Organisation, die das Gerät verwendet, integriert.

Eine weitere wichtige Eigenschaft von PKIs ist ihre Skalierbarkeit. Sie werden beispielsweise bereits eingesetzt, um die zahlreichen Verbindungen in großen Netzwerken – wie für Bezahldienstleistungen – zu schützen. Das Gesundheitswesen kann von den Dingen lernen, die die Finanzindustrie bereits zum Schutz ihrer Transaktionen umgesetzt hat. Ein PKI-Framework kann eine große Menge an sicheren und vertrauenswürdigen Zertifikaten über große Netzwerke bereitstellen, die zudem individualisiert werden können. So können Eigentümer die Key-Nutzung, Profile und noch mehr Features an die Bedürfnisse der Benutzer anpassen.

Nehmen wir zum Beispiel die Insulinpumpe, die häufig als eins der am meisten gefährdeten kritischen Geräte im Gesundheitswesen genannt wird. Die Pumpen verbinden sich häufig über Bluetooth mit einem Handgerät, über das der Patient eingibt, wie viel Insulin die Pumpe verabreichen soll. Wenn die Verbindung von der Pumpe und dem Handgerät nicht authentifiziert und die Daten nicht verschlüsselt werden, könnte jeder einen Befehl an die Pumpe senden, eine bestimmte Menge an Insulin zu verabreichen. Die Folgen wären katastrophal. Mit einer geeigneten PKI-Implementierung hingegen können sich die Pumpe und das Handgerät gegenseitig mit öffentlichen/privaten Schlüsselpaaren identifizieren und authentifizieren, um so den unbefugten Zugriff zu verhindern.

Schließlich wird eine verschlüsselte Sitzung zwischen den Geräten hergestellt, die die übertragenen Daten davor schützt, abgefangen und geändert zu werden.

Das Gesundheitswesen steht kurz vor einer großartigen technischen Revolution, die auf verbundenen Geräten basiert. Zahlreiche Sektoren werden von dieser Entwicklung profitieren, es gibt aber nur wenige, die so angreifbar wie der Gesundheitssektor sind. Dieser riesige Entwicklungsschritt könnte theoretisch zum Ruin führen, aber PKIs können einen sicheren und zuverlässigen Weg in eine sichere Zukunft ebnen, in der das Gesundheitswesen das volle Potenzial des IoT nutzen kann.

Über den Autor: Mike Nelson ist VP IoT Security bei DigiCert.

(ID:45418871)