MITS.NRW - Cy­ber­si­cher­heit im Ge­sund­heits­we­sen

Schutz der Krankenhaus-​IT vor Cy­ber­at­ta­cken – mehr Si­cher­heit für Pa­ti­en­tin­nen und Pa­ti­en­ten

Das von der EU und NRW-​Landesregierung ge­för­der­te Forschungs-​ und Ent­wick­lungs­pro­jekt MIT­Si­cher­heit.NRW wid­me­te sich wäh­rend sei­ner drei­jäh­ri­gen Lauf­zeit einem Thema, wel­ches für die Di­gi­ta­le Trans­for­ma­ti­on der Ge­sund­heits­wirt­schaft von grund­le­gen­der Be­deu­tung ist: dem Schutz der Krankenhaus-​IT vor Cy­ber­at­ta­cken.

Unter der Kon­sor­ti­al­füh­rung von Me­dE­con Ruhr ent­wi­ckel­ten und er­prob­ten G-​Data-Advanced Ana­ly­tics, Visus Health IT und die rad­prax Ge­sell­schaft für me­di­zi­ni­sche Ver­sor­gungs­zen­tren ge­mein­sam mit For­schern der Ruhr-​Universität Bo­chum und der FH Müns­ter sowie der Kran­ken­haus­ge­sell­schaft NRW neue Lö­sun­gen, Si­cher­heits­tools und -​Dienstleistungen für die rund 340 Kran­ken­häu­ser in Nordrhein-​Westfalen.

In der Ein­füh­rungs­pha­se er­ar­bei­te­ten die Ex­per­ten der Cy­ber­se­cu­ri­ty, der Me­di­zin­soft­ware­ent­wick­lung und der An­wen­dung ge­mein­sam die spe­zi­fi­schen Kon­fi­gu­ra­tio­nen, Her­aus­for­de­run­gen und Si­cher­heits­pro­ble­men der me­di­zi­ni­schen Da­ten­kom­mu­ni­ka­ti­on. Eine durch­ge­führ­te Stu­die zur IT-​Sicherheitslage in den NRW-​Krankenhäusern ver­tief­te die Ein­bli­cke um Ein­schät­zun­gen aus den Kran­ken­häu­sern selbst.

Zur Tes­tung neuer und be­reits im Markt be­find­li­cher Me­di­zin­soft­ware wurde der MITS-​Fuzzer ent­wi­ckelt, wel­cher in einer Test-​Krankenhausumgebung Soft­ware­an­wen­dun­gen auf Si­cher­heits­lü­cken und Sta­bi­li­täts­pro­ble­me un­ter­sucht. Erst­ma­lig wur­den auch die für die me­di­zi­ni­sche Da­ten­kom­mu­ni­ka­ti­on wich­ti­gen Pro­to­kol­le DICOM und HL7 in die Schwach­stel­len­ana­ly­se ein­be­zo­gen.

Die Er­geb­nis­se aus dem Soft­ware­fuz­zing und den me­di­zi­ni­schen Pro­to­koll­ana­ly­sen wur­den dem neu ent­wi­ckel­ten Netz­werk­scan­ner für des­sen Ana­ly­se der Kran­ken­haus­um­ge­bung (im Re­al­be­trieb, innen) im­ple­men­tiert. Der MITS-​Scanner wurde auf Basis be­stehen­der Netz­werk­scan­ner im Pro­jekt­ver­lauf um die Er­geb­nis­se der Soft­ware­ana­ly­se er­wei­tert und ge­mein­sam mit Krankenhaus-​IT-Leitungen auf not­wen­di­ge Ein­satz­vor­aus­set­zun­gen an­ge­passt (Sys­tem­sta­bi­li­tät, Such­ge­schwin­dig­kei­ten, spe­zi­fi­sche Kon­fi­gu­ra­ti­on,…).

In Er­gän­zung des MITS-​Scanners für den Ein­satz im Kran­ken­haus wurde der Large Scale Scan­ner für eine Ver­wund­bar­keits­be­wer­tung von An­grif­fen von außen ent­wi­ckelt. Ba­sie­rend auf der neu ge­won­ne­nen Pro­jekt­ex­per­ti­se in Bezug auf die spe­zi­fi­schen Kon­fi­gu­ra­tio­nen und In­ter­net­ver­bin­dun­gen me­di­zi­ni­scher Ge­rä­te und Soft­ware, wer­den un­ge­nü­gen­de Si­cher­heits­vor­keh­run­gen, of­fe­ne Ports und feh­ler­haf­te Kon­fi­gu­ra­tio­nen auf­ge­zeigt.

Be­reits in der Pro­jekt­lauf­zeit konn­ten bis­her un­be­kann­te Si­cher­heits­pro­ble­me an die In­dus­trie oder die zu­stän­di­gen Be­hör­den ge­mel­det wer­den. Eine große Zahl von of­fe­nen An­griffs­we­gen konn­ten über das Pro­jekt iden­ti­fi­ziert und in Zu­sam­men­ar­beit mit der ge­ma­tik und dem BSI be­reits ge­schlos­sen wer­den.

Alle Pro­jekt­er­geb­nis­se, wei­te­re In­for­ma­tio­nen zu pas­sen­den Ver­an­stal­tun­gen und An­ge­bo­ten in NRW sowie Foren und Si­cher­heits­news­let­ter sind der im Pro­jekt auf­ge­bau­ten Platt­form zu fin­den

Platt­form www.mits.nrw