Da der Mensch das schwächste Glied der Cyber-Abwehr darstellt und Phishing-Angriffe den Infektionsvektor Nummer eins darstellen, besteht das Gefährdungspotenzial nicht nur für IoMT-Geräte, sondern kann auch Auswirkungen auf die zentrale Krankenhaus-IT haben. Sind Geräte im privaten Umfeld kompromittiert, kann durch die laterale Verbreitung über Schwachstellen in Fernzugriffsprodukten ein Angreifer in die Krankenhaus-IT-Infrastruktur eindringen.

Sicherheitslücken in medizinischen Geräten können weitreichende Auswirkungen auf Gesundheitseinrichtungen haben und zu finanziellen und rechtlichen Herausforderungen führen sowie das Vertrauen der Patienten beeinträchtigen. Cyberangriffe, die zu Betriebsunterbrechungen führen, erfordern kostspielige Wiederherstellungsmaßnahmen und bergen rechtliche Konsequenzen. Die Einhaltung von Regularien nach dem BSIG für Betreiber kritischer Infrastrukturen wird durch die Nutzung mobiler Geräte erschwert, da zusätzliche Anforderungen an die Datensicherheit außerhalb der kontrollierten Krankenhausumgebung bestehen.

Zero Trust im Gesundheitswesen

Um den Herausforderungen der Digitalisierung und Vernetzung zu begegnen, ist eine neue Sicherheitsarchitektur erforderlich. Es gilt in einer umfassenden Strategie alle vernetzten medizinischen Geräte – innerhalb und außerhalb des Krankenhauses – in die IT-Infrastruktur zu integrieren und damit die häusliche und die zentrale Nutzung abzudecken. Maßnahmen wie Echtzeitüberwachung, Automatisierung und künstliche Intelligenz helfen dabei, Bedrohungen frühzeitig zu erkennen und reagieren zu können. Die Integration moderner Authentifizierungs- und Verschlüsselungsverfahren sowie automatisiertes Schwachstellen-Management erhöhen die Sicherheit und reduzieren die Komplexität der Verwaltung.

Es bedarf eines Paradigmenwechsels in der IT-Sicherheit, der alle Anforderungen einer modernen Gesundheitsversorgung abdeckt. Hier setzt das Zero Trust-Sicherheitskonzept an, bei dem jedem User und jedem Gerät unabhängig von Standort oder Netzwerk zunächst misstraut und erst nach erfolgter Authentifizierung und Autorisierung Zugriff gewährt wird. Durch die Implementierung einer Zero Trust-Strategie können Gesundheitseinrichtungen die Sicherheit vernetzter medizinischer Geräte erhöhen und sensible Patientendaten schützen.

Mit einer Zero Trust-Sicherheitsplattform lassen sich die Anwendungsfälle im Gesundheitswesen absichern. Dazu zählen die Sicherung von SaaS-Daten in Krankenhausinformationssystemen (KIS), Patientendienstleistungen, IoMT-Geräte und die Anbindung an Medizinische Versorgungszentren (MVZs), Fachärzte oder Arztpraxen. Die Flexibilität einer solchen Plattform ermöglicht es, Netzwerkkomponenten wie Web Gateways und VPNs zu ersetzen, die aktuellen Bedrohungen nicht mehr standhalten.

Sicherheitsvorteile des Zero-Trust-Modells

Zentrales Element einer Zero-Trust-Architektur ist die Mikrosegmentierung des Netzwerks, die die Infrastruktur in kleinere, isolierte Segmente unterteilt, um den Zugriff auf Ressourcen strikt zu kontrollieren und die Bewegungsfreiheit potenzieller Angreifer einzuschränken. Dies ermöglicht eine fein abgestimmte Kontrolle über den Datenverkehr zwischen Medizingeräten, Anwendungen und Usern. Zugriff wird nach dem Prinzip der minimalen Berechtigung erlaubt, nachdem jede Anfrage individuell authentifiziert und autorisiert wurde. So kann verhindert werden, dass ein Sicherheitsverstoß in einem Segment das gesamte Netzwerk kompromittiert.

Durch die Mikrosegmentierung einzelner Anwendungen wird die laterale Bewegung von Angreifern minimiert und durch Ablösung herkömmlicher IP-basierter und im Internet auffindbarer Hardware wie Firewalls oder VPNs die Angriffsfläche reduziert. Die klare Trennung von und Kontrolle über Datenflüsse erleichtert die Einhaltung gesetzlicher Anforderungen. Eine Überwachung des Datenverkehrs aller Geräte und User ermöglicht über eine Sicherheitsplattform auf Basis von KI die frühzeitige Erkennung von Anomalien und Bedrohungen. Gleichzeitig trägt eine solche Zero-Trust-Plattform zur Reduktion der IT-Komplexität bei und spart Ressourcen.

Privilegierter Remote-Zugriff für IoMT durch Zero Trust

Krankenhausbetreiber verfügen oft über wenig Kontrolle bei der Fernwartung von Medizinprodukten. Dies ist besonders kritisch im Bereich der Radiologie, wo häufig herstellereigene Wartungszugänge über VPN-Verbindungen genutzt werden. Solche traditionellen Zugriffsmodelle bergen erhebliche Sicherheitsrisiken, da sie umfassenden Netzwerkzugriff gewähren, schwer zu überwachen sind und potenzielle Schwachstellen in der Lieferkette nicht berücksichtigen. Das bedeutet, dass nicht nur das Gerät selbst, sondern auch alle externen Parteien wie Hersteller, Dienstleister und Zulieferer sicher in die IT-Infrastruktur integriert werden müssen.

Der Zero-Trust-Ansatz ermöglicht die Implementierung eines privilegierten Remote-Zugriffs für IoMT. Damit erhalten autorisierte Drittanbieter kontrollierten Zugriff auf dedizierte Systeme und Medizingeräte, ohne das gesamte Netzwerk freizugeben. Jeder Zugang wird authentifiziert und autorisiert, die Nutzung wird protokolliert und Sitzungen können aufgezeichnet werden. Alle Komponenten lassen sich kontinuierlich überwachen, um Risiken frühzeitig zu erkennen.

Durch privilegierten Remote Zugriff kann der Zugang zu spezifischen Systemen und Funktionen beschränkt werden, was das Risiko unbefugter Aktivitäten minimiert. Die Verifizierung von Identitäten erhöht die Sicherheit weiter. Darüber hinaus wird Compliance-Anforderungen nach BSIG Rechnung getragen, da umfassende Protokollierung zur Verfügung steht und Sitzungen aufgezeichnet werden. Die kontinuierliche Überwachung lässt potenzielle Schwachstellen oder Compliance-Verstöße frühzeitig erkennen.

Durch eine Zero-Trust-Plattform wird die Angriffsfläche reduziert, da VPNs und offene Wartungszugänge abgeschafft werden. Die Integration von Drittanbietern stellt sicher, dass keine zusätzlichen Risiken eingeführt werden. Dennoch können Hersteller und Dienstleister zu Wartungszwecken auf benötigte Systeme zugreifen, ohne die Sicherheit oder Integrität des Krankenhausnetzes zu gefährden. Durch die Implementierung von Sicherheitsprüfungen und Zertifizierungen für alle Lieferanten und Dienstleister wird das Risiko von Sicherheitslücken reduziert. Regelmäßigen Überprüfungen der Lieferanten stellen sicher, dass diese den Sicherheitsstandards entsprechen und keine neuen Risiken für das Netzwerk darstellen. Die konsequente Umsetzung des Zero-Trust-Prinzips über alle Datenströme trägt zur Modernisierung der Krankenhaus-IT und der Absicherung von Patientendaten bei.

Dieser Artikel ist zuerst erschienen auf unserem Schwesterportal www.healthcare-digital.de.

(ID:50303282)