Managed Detection & Response für Gesundheitsdienstleister in Deutschland wird priorisier

Unabhängig von der Größe eines Gesundheitsdienstleisters stellen Cyberbedrohungen nach wie vor eine finanzielle, emotionale und operative Belastung dar. In Ländern wie Deutschland stellt der Zugang zu qualifizierten Cybersecurity-Ingenieuren mit Erfahrung im Gesundheitswesen für die Anbieter weiterhin eine Herausforderung dar, da sie Schwierigkeiten haben, diese wertvollen Talente zu rekrutieren und zu halten, um mit dem Anstieg der globalen Bedrohungslandschaft fertig zu werden.

Eine ENISA-Studie ergab, dass das Gesundheitswesen auch die meisten software- oder hardwarebezogenen Vorfälle meldete. 80 % der Anbieter gaben an, dass über 61 % ihrer Sicherheitsvorfälle auf diese Schwachstellen zurückzuführen sind.

Die Managed-Detection-and-Response-Service-(MDR)-Angebote von ForeNova haben sich zu einem wichtigen Partner für das Gesundheitswesen in Deutschland entwickelt. Diese Angebote tragen dazu bei, die Kosten für den Sicherheitsbetrieb zu senken und das Risiko von Angriffen durch 24/7-Überwachung, automatische Reaktion auf Vorfälle und Compliance-Berichte zu verringern.

Die gute Nachricht ist, dass alle Gesundheitsdienstleister noch bis Ende des Jahres Zugang zu Fördermitteln aus Deutschland haben werden, um die Kosten für MDR-Dienste zu decken.

Sind Sie daran interessiert, mehr über das MDR-Angebot von ForeNova für die Gesundheitsbranche zu erfahren?

Klicken Sie hier, um noch heute eine Demo zu vereinbaren!

Was ist die Initiative Cybernation Germany?

Die Anfang 2024 gestartete Initiative Cybernation Germany stellt ein bedeutendes nationales Engagement zur Verbesserung der Widerstandsfähigkeit, zur Entwicklung der deutschen Cybersicherheitskapazitäten und zur Reduzierung fortschrittlicher Bedrohungen dar.

Diese Initiative steht im Einklang mit der NIS-2-Richtlinie und dem Cyber Resilience Act (CRA), die beide wesentliche Cybersicherheitspraktiken und Meldepflichten für Organisationen vorschreiben.

Was sind die größten Herausforderungen für die Cybersicherheit im Gesundheitswesen in Deutschland?

Etwa 80 % der Organisationen im Gesundheitswesen verwenden mehr als zehn Sicherheitsprodukte und fortschrittliche Sicherheitslösungen, was die Identifizierung potenzieller Angriffe erschwert und das Risiko eines unbefugten Zugriffs auf sensible Daten oder des Einsatzes von Ransomware erhöht.

Wie die Gesundheitsdienstleister in den USA stehen auch diese Organisationen vor erheblichen Herausforderungen, darunter kostspielige Modernisierungen, ständige Änderungen der Vorschriften, Verstöße gegen medizinische Geräte, der Zugang zu erfahrenen Cybersecurity- und IT-Fachkräften sowie die kostspielige Einführung von künstlicher Intelligenz (AI) und maschinellem Lernen (ML).

Modernisierung

Deutsche Gesundheitsdienstleister geben Millionenbeträge für die Modernisierung elektronischer Krankenakten, den Betrieb von Apotheken und die Unterstützung älterer Menschen aus. Da es jedoch an finanziellen Mitteln und erfahrenen Ressourcen mangelt, führen viele Modernisierungsbemühungen zu Kostenüberschreitungen und schlechter Leistung.

Zusätzlich zu diesen Herausforderungen müssen Gesundheitsdienstleister auch noch veraltete medizinische Geräte, manuelle Prozesse im stationären Bereich, Laborwissenschaften und Rechnungsstellung unterstützen, was die Organisationen jedes Jahr mehr kostet. Wenn zwei Systeme über einen längeren Zeitraum parallel betrieben werden, ergeben sich auch mehr Möglichkeiten für Hacker, die verschiedenen Luftlöcher in den Unternehmenssystemen auszunutzen.

Aufrechterhaltung von Vorschriften

„Compliance-Vorschriften wie der Healthcare Insurance Portability and Accountability Act (HIPAA) regeln die medizinische Rechnungsstellung in der Branche, schützen Patientendaten und standardisieren elektronische Krankenakten.“

Wie bei allen neuen oder bestehenden Vorschriften gibt es auch hier Änderungen. Gesundheitsdienstleister stellen auch weiterhin HIPAA-konforme Mitarbeiter ein, die die Organisation bei anstehenden Änderungen des Compliance-Mandats unterstützen und beraten. Einige dieser Änderungen könnten zusätzliche Cybersecurity-Schutzfunktionen bedeuten, die die Arbeitsbelastung der bereits überlasteten Security-Operations (SecOps)-Teams noch erhöhen.

Laborwissenschaften

In den Laboratorien werden die meisten Blut- und Urintests durchgeführt. Aktualisierte Testergebnisse werden Teil der elektronischen Krankenakte des Patienten. Deutschland und andere Teile der Europäischen Union lagern ihre Bluttests und Laborarbeiten weiterhin an Dritte aus.

„Aufgrund des Gesetzes zur Modernisierung des Gesundheitswesens aus dem Jahr 2004 nutzen Krankenhäuser zunehmend eine weitere Form der Laborversorgung.“

Die Auslagerung von Laborarbeiten kann zwar dazu beitragen, die Betriebskosten von Gesundheitsdienstleistern zu senken, doch schafft dies zusätzliche Schwachstellen. Hacker werden Lieferketten und Drittanbieter ins Visier nehmen und nach ausnutzbaren Schwachstellen suchen. Cyberverletzungen durch Dritte sind in Deutschland und anderen Ländern nach wie vor ein Problem. Gesundheitsdienstleister könnten von einer Sicherheitsverletzung betroffen sein, weil ihre externen Laboranbieter angegriffen werden.

Was sind die wichtigsten Compliance-Vorgaben für das Gesundheitswesen in Deutschland?

Wie andere Mitgliedsstaaten hat auch Deutschland mehrere Compliance-Mandate, die es das ganze Jahr über erfüllen und aufrechterhalten muss. Wie viele Compliance- und Datenschutzvorgaben werden diese Vorgaben als Reaktion auf Cybersecurity-Ereignisse, einschließlich Datenschutzverletzungen, Unterbrechungen von Produktions- oder Prozessabläufen und Finanzbetrug zum Gesetz?

Insbesondere die Gesundheitsbranche war von mehreren Sicherheitsverletzungen betroffen, die zum Diebstahl von Krankenakten, zur Unterbrechung des Betriebs von medizinischen Geräten und zu finanzieller Erpressung führten.

Im Folgenden finden Sie eine Aufschlüsselung der drei wichtigsten Compliance-Vorschriften für alle Anbieter im Gesundheitswesen:

GDPR 

„Die Datenschutz-Grundverordnung (GDPR) ist nach wie vor das Datenschutz- und Sicherheitsgesetz, das den Schutz und das Eigentum an personenbezogenen Daten regelt.“

Gesundheitsdienstleistern in Deutschland und der EU drohen bei einem Verstoß gegen die GDPR hohe Geldstrafen. Der Schutz personenbezogener Daten (PII) im Gesundheitswesen ist von entscheidender Bedeutung für Anbieter, die eine mögliche Geldstrafe in Höhe von 20 Millionen Euro vermeiden wollen.

NIS2 

Die 2024 verabschiedete NIS2 verpflichtet alle EU-Mitgliedsstaaten, technische und betriebliche Cybersecurity-Kontrollen einzuführen. Die 2024 verabschiedete NIS2 verpflichtet alle EU-Mitgliedsstaaten, diese Cybersecurity-Kontrollen in allen Cloud-Instanzen, Rechenzentren, Online-Websites, E-Commerce, Suchmaschinen und Social-Networking-Plattformen zu implementieren. NIS 2 definiert auch Standards für die Risikoanalyse, den Umgang mit Zwischenfällen, die Geschäftskontinuität, die Sicherheit der Lieferkette, die grundlegenden Stufen der Cyberhygiene, die Datenverschlüsselung, die Schulung des Sicherheitsbewusstseins und die Multi-Faktor-Authentifizierung.

„Gemäß der NIS-Richtlinie müssen EU-Gesundheitsorganisationen die nationalen Behörden über Vorfälle im Bereich der Cybersicherheit informieren, die erhebliche Auswirkungen auf ihr Land haben. Die EU-Gesundheitsorganisationen sammeln, anonymisieren und aggregieren jedes Jahr zusammenfassende Berichte über diese Vorfälle.“

HIPAA 

Die HIPAA-Zertifizierung in Deutschland verpflichtet dazu, die Vertraulichkeit, Integrität und Verfügbarkeit geschützter Gesundheitsinformationen (PHI) im Gesundheitswesen zu gewährleisten.

In Deutschlands vielfältigem Gesundheitsumfeld, das Krankenhäuser, Kliniken, Versicherer und Drittanbieter umfasst, bietet die HIPAA-Compliance einen umfassenden Rahmen für den Schutz von Patientendaten.

PDSG 

„The Patient Data Protection (PDSG) Act enables digital tools like e-prescriptions and electronic patient files while regulating health data protection.“ „The telematics infrastructure connects all healthcare participants through digital health applications, including doctors, hospitals, pharmacies and insurers.“

Die Geschichte der Ransomware-Angriffe

Ransomware stellt eine erhebliche Bedrohung für den Gesundheitssektor dar (54 %), sowohl in Bezug auf Vorfälle als auch auf die Auswirkungen – ein Trend, der wahrscheinlich anhalten wird. Bei 43 % der Ransomware-Vorfälle handelt es sich um Datenschutzverletzungen oder Datendiebstahl, wobei es häufig auch zu Unterbrechungen kommt.

Ransomware ist nach wie vor ein großes Problem für Unternehmen und Behörden, da die Zahl der Datenverluste nach Angriffen steigt. Allerdings zahlen weniger Opfer Lösegeld. LockBit ist mit 40 mutmaßlichen Opfern die aktivste Gruppe, die Deutschland angreift, gefolgt von BlackBasta und 8Base.

• „Eine aktuelle ENISA-Studie zeigt, dass nur 27 % der befragten Organisationen im Gesundheitswesen ein spezielles Programm zur Abwehr von Ransomware implementiert haben, während 40 % eine Initiative zur Sensibilisierung von Nicht-IT-Personal für Sicherheitsfragen benötigen.“

• „Darüber hinaus zeigen die Ergebnisse einer anderen Umfrage der NIS-Kooperationsgruppe, dass 95 % der Organisationen im Gesundheitswesen Schwierigkeiten bei der Durchführung von Risikobewertungen haben und 46 % noch nie eine Risikoanalyse durchgeführt haben.“

Diese Ergebnisse unterstreichen die dringende Notwendigkeit für Organisationen im Gesundheitswesen, Cyber-Hygiene-Praktiken zu implementieren, wie z. B. offline verschlüsselte Backups, Schulungsprogramme, Schwachstellenmanagement, robustere Authentifizierung und Pläne zur Reaktion auf Vorfälle.

„Die ENISA-Studie NIS Investment 2022 zeigt, dass die durchschnittlichen Kosten eines bedeutenden Sicherheitsvorfalls im Gesundheitswesen bei 300 000 Euro liegen.“

Reale Auswirkungen der Cybersicherheit auf die Patientenversorgung und die Bereitstellung von Dienstleistungen

Ascension Healthcare 

Eduardo Conrado, Präsident von Ascension Healthcare, gab Einblicke in die gravierenden Auswirkungen von Ransomware-Angriffen.

„Die Krankenschwestern konnten an ihren Computerarbeitsplätzen keine Patientenakten einsehen und waren gezwungen, Backups in Papierform zu durchforsten... Die Bildgebungsteams konnten die neuesten Scans nicht schnell an die in den Operationssälen wartenden Chirurgen senden, und wir mussten uns auf Läufer verlassen, um die ausgedruckten Kopien der Scans in die Hände unserer Operationsteams zu bringen.“

Universitätsklinikum Düsseldorf

In einem BBC-Artikel aus dem Jahr 2020 wird über den ersten Fall berichtet, in dem der Tod eines Patienten direkt durch einen Cyberangriff verursacht wurde.

Ein Ransomware-Angriff in der Düsseldorfer Uniklinik legte mehrere medizinische Geräte lahm und verhinderte eine wichtige Behandlung. Das Krankenhaus verlegte den Patienten 19 Meilen weit weg, aber er starb tragischerweise auf dem Weg dorthin.

Die deutschen Staatsanwälte leiteten eine Untersuchung wegen Mordes ein, um zu prüfen, ob die Bedrohungsakteure wegen fahrlässiger Tötung haftbar gemacht werden können, was bei erfolgreicher Verfolgung einen Präzedenzfall schaffen könnte.

Warum ist der MDR-Service für das Gesundheitswesen für alle Anbieter von entscheidender Bedeutung?

Deutsche Gesundheitsdienstleister benötigen eine kontinuierliche 24 × 7 × 365-Überwachung all ihrer Cybersecurity-Schutzschichten, digitalen Ressourcen und EMR-Systeme. Gemäß der NIS2-Compliance müssen Gesundheitsdienstleister auch ein Sicherheitsteam beschäftigen, das in der Lage ist, alle Cyberangriffe auf ihre Organisationen zu erkennen, darauf zu reagieren und zu beheben. Die meisten Gesundheitsdienstleister, die sich um den Schutz der medizinischen Daten ihrer Patienten bemühen, nutzen die MDR-Dienste von Anbietern wie ForeNova.MDR-Services von ForeNova include several protection layers, all healthcare providers will benefiten :

Die MDR-Dienste von ForeNova umfassen mehrere Schutzschichten, von denen alle Gesundheitsdienstleister profitieren:

• Endpunkt-Schutz

• Netzwerk-Erkennung und -Reaktion

• Automatisierte Reaktion auf Vorfälle

• Zugang zu aktualisierten Playbooks und aktualisierten Compliance-Leitfäden

Eingebettet in unsere MDR-Dienste bietet ForeNova verschiedene Tools, die Gesundheitsdienstleistern bei der Überwachung, der Reaktion auf Vorfälle und der Erstellung von Compliance-Berichten helfen.

ForeNova bietet einen kompletten 24x7x365-Service oder ein hybrides Engagement, einschließlich Personalverstärkung oder Abdeckung nach Geschäftsschluss.