Krankenhäuser müssen auf Cyberattacken vorbereitet sein

Berlin – IT-Strukturen in Krankenhäusern sind ebenso wie Computersysteme von Firmen, Verwaltungen und Verbänden Ziel von Cyberattacken. Darauf hat die Messe Berlin im Vorfeld der Messe „Connecting Healthcare IT 2017“ (conhit) hingewiesen.

Michael Thoss, Sprecher des Bundesverbands der Krankenhaus-IT-Leiterinnen/Leiter (KH-IT), betonte, dass die genaue Zahl der Cyberattacken auf Krankenhäuser in Deut­schland weiterhin kaum zu ermitteln sei, weil viele Kliniken die Angriffe nicht meldeten. Würden die gemeldeten Zwischenfälle zugrunde gelegt, dann komme man für das Jahr 2016 auf etwa 60 Cyberattacken auf Krankenhäuser. Bei rund 2.000 Krankenhäusern wäre das ein Anteil von etwa drei Prozent.

Laut Thoss ist dies eine mit anderen Branchen vergleichbare Größenordnung. Er warnt allerdings, dass die Bedrohungen zugenommen habe. „Krankenhäuser sind online sehr viel präsenter als früher“, erläutert er. Das liegt auch an gesetzlichen Vorgaben wie jenen zur intersektoralen Kommunikation oder zur Qualitätssicherung. „Je stärker Kranken­häu­ser digital präsent werden, umso stärker tauchen sie als Bedrohungsgruppe auf, da geht es dem Gesundheitswesen nicht anders als anderen Branchen“, so Thoss.

Das im Jahr 2015 verabschiedete Gesetz zur Erhöhung der Sicherheit informations­tech­ni­scher Systeme (IT-Sicherheitsgesetz) zielt darauf ab, bei Betreibern kritischer Infra­struk­turen Defizite im IT-Bereich abzubauen. Derzeit wird konkretisiert, welche Einrichtun­gen genau als kritisch anzusehen sind. „Bei Krankenhäusern dürfte das an der Fallzahl festgemacht werden. Die Details sind noch in der Diskussion“, so Thoss.

Am Ende dieses Prozesses werde eine Rechtsverordnung stehen, die festlege, wen ge­nau das IT-Sicherheitsgesetz betreffe. „Dadurch wird das Gesetz quasi erst mit Leben er­füllt“, erläuterte Thoss. Für diese Einrichtungen werde unter anderem eine strenge Mel­de­pflicht gelten.

Er empfiehlt Krankenhäuser aber, schon jetzt aktiv zu werden. „Wir raten Kranken­häusern, sich unabhängig von der Rechtsverordnung für die öffentlich-private sogenannte UP KRITIS-Kooperation zwischen dem Bundesamt für Sicherheit in der Infor­mationstechnik und den Betreibern kritischer Infrastrukturen zu akkreditieren. So werden sie in die Informationsflüsse eingebunden und können Cyberattacken vertraulich mel­den“, so der IT-Sicherheitsexperte.

hil