COMPLEX - Visus Technology Transfer GmbH

COMPLEX | IT-SICHERHEIT
ALARM IM KLINIKNETZ Viele Systeme in einem Krankenhaus fallen
wegen ihrer Funktion unter das Medizinproduktegesetz. Deshalb dürfen IT-Mitarbeiter nicht ohne
Weiteres Patches aufschließen, um Sicherheitslücken zu schließen. Auswege aus diesem Dilemma
bietet der neue Prozessstandard ISO/IEC 80001, der das Abdichten dieser Systeme beschreibt.
InKärnten warder Wurm drin. Anfang
desJahres legte das Schadprogramm
Confickerzuerst Teile der
Verwaltung, danach mehrere
Krankenhäuser lahm. Nach Schätzungen
vonExperten infizierte Conficker
bis zu 3000 Computer in den Spitälern
Kärntens. Dabei umging der
Computerwurm offenbar die Firewall,
mit der sichKliniken
gegen Gefahren aus
Der Wurm gelangte über dem Internet schützen.
einen USB-Stick ins Ausgangspunkt der Infektion
warvermutlich
Kärntner Kliniknetz. Die
ein USB-Stick, über
krankenhauseigene den der Wurm direkt
Firewall hätte ihn nicht auf einen PC gelangte.
durchgelassen. Confickernutzte eine
„kritische“ Sicherheitslücke
in Windows aus,
für die Microsoft bereits seit Herbst letzten
Jahres einen außerordentlichen Software-Patchzur
Verfügung stellt. Für den
Softwarehersteller ist eine kritische Lückeeine
„Schwachstelle, die für die Verbreitung
eines Internet-Wurms ausgenützt
werden kann, ohne dass hierfür
spezielle Aktionen des Benutzers erforderlichsind“.
Das bedeutet, dass eine Infektion
ohne ein Fehlverhalten des Nutzers
erfolgen kann, weil das System
allein durchdas Fehlen des Patches verwundbar
ist.
Ein Internet-Wurm ist ein Schadprogramm,
das sichmit hoher Virulenz in
Netzwerken ausbreitet. Würmer wie
Confickergelangen über ein Softwareleckineinen
Computer,laden weiteren
Code nach, replizieren sichund breiten
26 EHEALTHCOM
TEXT: JOCHEN KAISER
sichpausenlos im Intra- und Internet
aus. Für ihre Aktivitäten nutzen die
Schädlinge die Systemressourcen des
Wirtssystems,die oft recht schnell an ihre
Grenzen stoßen und zum Ausfall des
Systems führen. Hat der Wurm keine
weitere Schadfunktion, kommt der Nutzer
meist glimpflichdavon.
Krankenhäuser und Institutionen
des Gesundheitswesens sind solchen Sicherheitslückenineinem
besonderen
Maße ausgesetzt. Die Ursache dafür
klingt paradox: Viele PCs in den Klinikensind
deshalb nicht ausreichend gesichert,
weil sie besonders sicher sein
sollen. Denn viele Systeme in einem
Krankenhaus fallen wegen ihrer Funktion
unter das Medizinproduktegesetz
(MPG). Das bedeutet, dass der Administrator
nicht ohne Weiteres den PC mit
einem Update sichern darf.
EIN MEDIZINPRODUKT ist ein System,
das strengen gesetzlichen Regelungen
unterworfen ist und vorder Zulassung
von einer unabhängigen und
fachlichkompetenten Stelle in einem
Konformitätsverfahren überprüft werden
muss.Zudiesem Zweckwird auf
das Medizinprodukt ein Risikomanagement
angewendet. Dabei gehen die Ingenieure
des Herstellers in der Regel
von einem statischen, geschlossenen
System aus,denn die Risikobewertung
kann nur über eine endliche Anzahl von
Faktoren stattfinden. Diese Statik hasst
alles Neue. Wird ein Medizinprodukt
auf einem PC eingesetzt und sind irgendwann
Software-Updates für das Betriebs-
system notwendig,dann muss das Gesamtsystem
durchden Hersteller neu bewertet
werden, um negativeEinwirkungen
auf das Medizinprodukt –und damit
auf die Patienten –auszuschließen.
Weil dieser Prozess aufwendig ist
und beim Hersteller enorme Kosten verursacht,
findet diese Neubewertung nicht
regelmäßig statt, sondern nur dann,
wenn sie –aus Sicht des Herstellers –
notwendig ist. Allerdings sehen sichnur
die wenigsten Hersteller durchakute Sicherheitswarnungen
veranlasst, eine
Neubewertung vorzunehmen. Das hat
zur Folge, dass viele Systeme nicht auf
einem aktuellen Stand sind. Aufder anderen
Seite haben gerade die Krankenhäuser
einen großen Bedarf an Netzwerkkommunikation
–vor allem dort,
wo eine Kombination aus Medizinprodukt
und IT-Komponente besteht. In
diesem Fall kann der Wunschnacheinem
statischen System nicht mehr aufrechterhalten
werden. Denn das Medizinprodukt
kommuniziert mit anderen
Systemen, tauscht Patienten-IDs und
diagnostische Daten aus.Das Medizinprodukt
ist zusammen mit anderen Komponenten
Teil eines Netzes,das einen unbekannten
Sicherheitsstatus hat. Hier
tauchen viele offene Fragen auf: Wieist
der Sicherheitszustand? Sind Laptops erlaubt?
Ist das Netzwerk gegenüber dem
Internet abgesichert? Ist ein Virenschutz
auf den Komponenten installiert?
Die Forderung der IT-Abteilungen
nach einer Absicherung der Systeme
und einem beschleunigten Risikomanagement
bei Softwareaktualisierun- FOTO: SHUTTERSTOCK