HZ208324 · ISSN 1868-5757 · www.datakontext.com April 2/2021 Was alles schiefgehen kann – und wie sicher nichts schiefgeht Sicheres und vertrauens würdiges ­Arbeiten­im­Homeoffice Großes Special in Kooperation mit dem Krankenhaus-IT Journal: IT-Sicherheit im Krankenhaus 100 Extraseiten mit allen Infos zum Krankenhauszukunftsgesetz, zu Förderprogrammen, besonderen Gefahren und mit sehr vielen Tipps für eine sichere IT im Krankenhaus – inklusive umfassendem Marktüberblick mit Anbietern und deren Lösungen Messenger: Vergleichs-Check Datenschutz für WhatsApp & Co. Schadensbegrenzung: Incident Response als starke Antwort auf Sicherheitsvorfälle Cyberbedrohungen: Anatomie eines Angriffs am Endpunkt Was alles schiefgehen kann – und wie sicher nichts schiefgeht

EDITORIAL DATENSCHUTZVORFÄLLE RECHTSSICHER AUFFANGEN Trotz aller Maßnahmen und Anstrengungen – es passiert! Und es passiert häufiger, als viele denken: Personenbezogene Daten wurden entwendet oder versehentlich exponiert. Ein solcher „Datenschutz- vorfall“ hat spätestens seit Einführung der Datenschutz-Grundverordnung (DS-GVO) für Unternehmen und Organisationen aller Art tiefgreifende Konsequenzen – neben hohen Strafen und Betriebsprüfun- gen sorgen langfristige Vertrauensverluste für Erschütterungen des Betriebs. Letzteres kann nur durch transparente Aufklärung eingedämmt werden – die Geldstrafen berücksichtigen nicht zuletzt auch das Verhalten nach einem Vorfall. Doch was genau ist eigentlich ein Datenschutzvorfall? Wie, wann und wem muss ich ihn melden? Was ist mit den betroffenen Personen? Muss ich sie proaktiv informieren? Wie reagiere ich richtig auf Betroffenenanfragen? Welche Fehler sollten unbedingt vermieden werden? Diese und viele weitere Fragen beantwortet der „Praxis-Guide für den rechtskonformen Umgang mit Datenschutzvorfällen in Unternehmen“ in unserer Rubrik IT-RECHT in dieser Ausgabe – mit vielen Tipps, wie der Schaden möglichst klein gehalten werden kann (ab Seite 56). Was Unternehmen tun können, damit ein Datenschutzvorfall gar nicht erst eintritt, erklärt der Beitrag „Die Eckpfeiler eines gesetzlich konformen Datenschutzes für KMU – Mensch, Prozesse und IT-Infrastruktur im Einklang“ (ab Seite 44). Eine gute Vorsorge gegen einen Datenschutzvorfall und ein klarer Plan für das Verhalten danach sind wichtige Säulen für den richtigen Umgang mit Personendaten – und als Selbstschutz für Unternehmen heute unerlässlich. SPECIAL: IT-SICHERHEIT IM KRANKENHAUS Sie haben sich vermutlich gewundert – diese Ausgabe der IT-SICHERHEIT ist mehr als doppelt so dick wie die früheren Ausgaben des Heftes. Auflösung: Es sind im Grunde zwei Hefte! Zusammen mit un- serem Partner Krankenhaus-IT Journal haben wir ein Special gestaltet, das speziell die Belange im Ge- sundheitswesen adressiert. Dass oft global gut vernetzte und technisch vom Feinsten ausgestattete Cyber kriminelle auch vor Krankenhäusern nicht Halt machen, zeigte der Fall am Uniklinikum Düsseldorf vergangenes Jahr auf dramatische Weise. Das Krankenhauszukunftsgesetz, das mit einem 4,3 Milliar- den Euro schweren Fördertopf als Digitalisierungshilfe auf den Weg gebracht wurde, will ausdrücklich auch die IT-Sicherheit stärken. Die Förderung soll gleichzeitig bei der Umsetzung des Patientendaten- Schutz-Gesetzes helfen, das ab 2022 für alle Krankenhäuser gelten wird. Sie finden im Special neben strategischer und technischer Unterstützung auch wichtige Infos für einen aussichtsreichen Fördermittelantrag sowie einen Orientierungs-Guide mit einem Großteil der relevanten Security-Anbieter. Viel Spaß beim Lesen! Ihr Stefan Mutschler Chefredakteur Stefan Mutschler facebook.com/itsicherheit twitter.com/it_sicherheit24 www.itsicherheit-online.com/ newsletter IT-SICHERHEIT_2/2021 3

SICHERES UND VERTRAUENS WÜRDIGES ARBEITEN IM HOMEOFFICE 32 INCIDENT RESPONSE ALS STARKE ANTWORT AUF SICHERHEITSVORFÄLLE ANGRIFFS AM ENDPUNKT144 ANATOMIE EINES CLOUD SECURITY | WEB APP SECURITY 148 Cloud-Dienste in der Sicherheitstechnik RISIKEN IMMER MIT ABWÄGEN 150 Aufbruch in die sichere digitale Arbeitswelt WORKING FROM ANYWHERE ALS NEUES PARADIGMA 166 BETROFFENENANFRAGEN UND DATENSCHUTZVORFÄLLE IN UNTERNEHMEN DATENSCHUTZ | BACK-UP | ARCHIVIERUNG IT-RECHT | DATENSCHUTZ | DATENSICHERHEIT 154 Die Eckpfeiler eines gesetzlich konformen 166 Praxis-Guide für den rechtskonformen Umgang Datenschutzes für KMU MENSCH, PROZESSE UND IT-INFRASTRUKTUR IM EINKLANG BETROFFENENANFRAGEN UND DATENSCHUTZVORFÄLLE IN UNTERNEHMEN 156 Instant Messenger für Unternehmen: Der Datenschutzvergleich DIE WIRKLICH BESSEREN ALTERNATIVEN ZU WHATSAPP AUS FORSCHUNG UND TECHNIK 160 Sicheres und vertrauenswürdiges Arbeiten im Homeoffice AKTUELLE SITUATION DER CYBER- SICHERHEITSLAGE BUCHVORSTELLUNG 171 Praxishandbuch IT-SICHERHEITSRECHT SERVICES 141 Webportal 172 VORSCHAU: Ausblick auf Ausgabe 3 | 2021 172 Impressum IT-SICHERHEIT_2/2021 IT-SICHERHEIT_2/2021 5 5

Ihr ständiger Begleiter im Datenschutz- Management. Datenschutz- organisationen prüfen und beurteilen mit begrenztem Zeitaufwand. Wie DS-GVO-konform arbeitet Ihr Unternehmen? Ihre DS-GVO Umsetzung smart auditiert und visualisiert. Bestellen Sie direkt unter: datakontext.com

– ADVERTORIAL – COMPLIANCE UND SICHERHEIT IP-BASIERTER VIDEOÜBERWACHUNG Wenn IP-Kameras über das Netzwerk erreichbar Systeme müssen selbst sicher sein sind, Feeds über das Ethernet übertragen werden und auch der Zugang zur Management-Plattform über das Netzwerk erfolgt, bedeutet dies, dass die Videoüberwachung denselben Bedrohungen durch Hacker und Malware ausgesetzt ist wie andere IT-Systeme. In der Vergangenheit ist es Eindringlingen be- reits gelungen, Bankmitarbeiter durch kompromittierte Kameras aus- zuspähen oder IP-Kameras zu riesigen Botnetzen zu verbinden. Hinzu kommen Bedrohungen durch aggressive Ransomware-Attacken. Entscheidend für die Compliance ist darüber hinaus die Reglementierung des Zugriffs und der Berechtigungen zur Aufhebung der Verpixelung im Ernstfall. Auch hier können keinerlei Kompromisse akzeptiert werden, da ansonsten der gesamte Aufwand hinfällig wird. Bewährt hat sich in diesem Zusammenhang die direkte Integration der Verpixelung in die übergeord- nete Management-Plattform, wie es zum Beispiel der Privacy Protector in Genetec Security Center ermöglicht. Die Verpixelung wird dann durch die- selben Autorisierungsverfahren geschützt wie die Management-Plattform. DS-GVO: Sicherheitsanforderungen für Videoüberwachung steigen Zusätzliche Herausforderungen entstehen durch Regelwerke wie die Da- tenschutz-Grundverordnung (DS-GVO). Vielen Unternehmen ist noch nicht ausreichend bewusst, dass auch Videoaufzeichnungen in den Schutzbe- reich der DS-GVO fallen können. Unternehmen, die IP-basierte Video- überwachung und andere IP-basierte Systeme für physische Sicherheit einsetzten, müssen sich spätestens jetzt Gedanken über die „Sicherheit der Sicherheit“ machen. Kopfzerbrechen wird hier vor allem die Forderung nach dem „neuesten Stand der Technik“ bereiten. Das Gebot ist absicht- lich unbestimmt, denn es soll hersteller- und technologieneutral sein. Die Beweislast liegt aber bei den Unternehmen. Risikofaktor lässt sich senken Kameras können Schlupflöcher bieten Vor diesem Hintergrund werden Investitionen in den Schutz der Video- überwachung unumgänglich sein. Zumindest das Problem der Videoauf- zeichnungen von Personen, die keine Einwilligung gegeben haben, lässt sich aber technologisch entschärfen: Durch Maskierung und Verpixelung lassen sich sensible Bereiche sowie Personen und Nummernschilder von vornherein unkenntlich machen, Aufzeichnungen sind dann also nicht mehr personenbezogen. Der Haken: Die Verpixelung muss immer voll- ständig sein, auch wenn Personen oder Fahrzeug kurz stehen bleiben oder sich die Beleuchtungssituation ändert, was viele Algorithmen nicht leisten können. Bei der Auswahl einer Verpixelungstechnologie müssen Unternehmen daher sehr sorgfältig vorgehen. Einen Anhaltspunkt liefern Zertifizierungen wie das European Privacy Seal (www.european-privacy- seal.eu), das die Kompatibilität mit europäischen Datenschutzrichtlinien bestätigt. Durch die erwähnten Maßnahmen wird ein hohes Sicherheitsniveau er- zielt, aber es bleibt das Problem der IP-basierten Kameras. Gelingt es An- greifern, eine Kamera von außen zu übernehmen, können sie sich sodann lateral durch das Netzwerk vorarbeiten. Bei der Geräteauswahl ist daher darauf zu achten, dass nicht benötigte Dienste/Ports (z.B. Telnet, SNMPv1/ v2) deaktiviert werden können, um eine geringe Angriffsfläche zu bieten. Verbindungen vom Gerät nach außen sind nur in Ausnahmefällen akzep- tabel. Weitere wichtige Punkte sind die gesicherte Aktualisierung durch den Hersteller sowie unter Umständen ein physischer Schutz gegen ma- nuelle Resets am Gerät. n Bilder: ©Warchi/iStockphoto via Getty Images | ©Genetec

treiber verarbeitbaren personenbezogenen Daten. Im lokalen Active Directory sind jedoch weiter die realen Nutzer mit ihren IDs und jewei- ligen Rollen nutzbar und werden nur pseudonymisiert an die Cloud- Systeme übertragen. Die Pseudonymisierung läuft für den Nutzer transparent ab, und bestehende Workflows bleiben mit den Identitä- ten im Klartext erhalten. Mit einer Pseudonymisierung können global agierende Unternehmen abseits des Privacy Shields mit weltweiten Datenschutzregelungen konform gehen. R&S Trusted Gate lässt sich nahtlos in Storage-Systeme gängiger Public Clouds, wie Microsoft Azure, Google, AWS, und Collaboration-Tools, wie Microsoft 365 und SharePoint, einbinden. Für Unternehmen und Behörden wird damit datenschutzkonformes, kollaboratives Arbeiten trotz des Schrems- II-Urteils möglich. n Mit dem neuen Pseudonymisie- rungsmodul ermöglicht Rohde & Schwarz Cybersecurity Nutzern von Microsoft 365, pseudonymi- siert und datenschutzkonform zu arbeiten. (Quelle: Rohde & Schwarz Cybersecurity) EFFIZIENTE MANAGED SECURITY SERVICES Auf Basis der jüngsten Erweiterungen seiner Cloud-Plattform eröffnet der IT-Security-Spezialist WatchGuard Technologies ganz neue Möglichkeiten zur Bereitstellung fortschrittlicher Sicherheitstechnologien. Insbesondere Managed Security Service Providern (MSSP) spielen der erweiterte Funkti- onsumfang und der hohe Bedienkomfort der überarbeiteten WatchGuard Cloud in die Karten. Einrichtung, Bereitstellung und Verwaltung aller Netz- werksicherheitsdienste sowie Funktionen rund um Advanced Threat De- tection und Multi-Faktor-Authentifizierung (MFA) sind ab sofort über eine zentrale Oberfläche möglich. In Verbindung mit der ebenfalls optimierten Kundenverwaltung qualifiziert sich die WatchGuard Cloud damit als Platt- form für MSSP, die Wert auf effiziente Prozesse legen. Die neue WatchGuard Cloud stellt MSSP in der aktuellen Version Sicher- heitsdienste, eine angepasste Verwaltungsoberfläche und ein erweiter- tes Executive-Reporting zur Verfügung. Enthalten sind unter anderem die neueste Version von ThreatSync sowie umfassende Management- möglichkeiten im Hinblick auf Firebox-Policies sowie Authentifizierungs- richtlinien. Das soll den einfachen Aufbau von Zero-Trust-Konzepten unterstützen. Mit der WatchGuard Cloud können MSSP auf Knopfdruck Policy-Vorlagen erstellen und diese für eine Vielzahl von Anwendern aus- rollen. Firebox-Konfigurationen und AuthPoint MFA-Implementierungen lassen sich in einer einzigen Ansicht verwalten. Die wichtigsten Neuerun- gen der WatchGuard Cloud Plattform: ƒ Erweiterte Managementmöglichkeiten für Netzwerk-Policies ƒ Risikobasierte MFA zur einfachen Etablierung von Zero-Trust-Konzepten ƒ Integrierte End-to-End-Bedrohungsanalyse PRODUKTE | NEWS CLOUD NATIVE APPLICATION PROTECTION PLATFORM McAfee gab die globale Verfügbarkeit der McAfee MVISION Cloud Native Application Protection Platform (CNAPP), eine neue Sicherheitslösung für den Schutz cloudnativer Anwendungen, bekannt. MVISION CNAPP liefert durchgängigen Datenschutz, Bedrohungsprävention, Governance sowie Compliance über den gesamten cloudnativen Application Development Lifecycle für Container und OS-basierte Workloads hinweg. MVISION CNAPP führt Anwendungs- und Datenkontext zusammen, um Cloud Security Posture Management (CSPM) für Public Cloud-Infrastrukturen sowie Cloud Workload Protection (CWP) zu konvergieren und so für den Schutz von Anwendungen zu sorgen, die über virtuelle Maschinen, Computer-Instanzen und Container verteilt sind. MVISION CNAPP bietet fünf Schlüsselfunktionen: 1. Deep Discovery: MVISION CNAPP ermöglicht eine reibungslose, tiefgrei- fende Erkennung aller Workloads, Daten sowie Infrastrukturen und pri- orisiert Sicherheitsrisiken auf Basis von Fehlkonfigurationen, Software- Schwachstellen als auch sensiblen Daten. 2. Shift Left: MVISION CNAPP schützt vor Konfigurationsänderungen und bietet automatische Bewertungen über virtuelle Maschinen, Container und Entwickler-Pipelines hinweg. 3. Workload Protection: MVISION CNAPP enthält einen neuen Light- weight-Agenten zur Unterstützung ephemerer Workloads. 4. In-Tenant Data Loss Prevention (DLP) Scanning: MVISION CNAPP ermöglicht das lokale Scannen von Daten, sodass Unternehmen diese nicht außerhalb ihres Tenants verschieben müssen. 5. MITRE ATT&CK-Framework for Cloud: MVISION CNAPP unterstützt das Security Operations Center (SOC) durch die Zuordnung von cloudnativen Bedrohungen im Rahmen des „MITRE ATT&CK Framework for Cloud“. McAfee MVISION CNAPP bietet fünf Schlüsselfunktionen. (Quelle: McAfee) MASSGESCHNEIDERTE CYBERSICHER- HEIT MIT MANAGED DETECTION AND RESPONSE Kaspersky Managed Detection and Response (MDR) ist ab sofort offizi- ell nicht nur für Großunternehmen, sondern auch für mittelständische Firmen mit unterschiedlichem Reifegrad und Bedarf an IT-Sicherheit ver- fügbar. Eine Auswahl an Frameworks kombiniert hierbei unterschiedliche Sets von Sicherheitslösungen und Services, um umfassenden Schutz vor allen Arten von Bedrohungen zu bieten. So erhalten Unternehmen jeder Größe einen maßgeschneiderten, umfassenden Schutz gegen Cyber- angriffe, während er IT-Sicherheitsteams dabei hilft, Ressourcen für die Analyse, Untersuchung und Reaktion auf Bedrohungen einzusparen. n IT-SICHERHEIT_2/2021 11

– ADVERTORIAL – SASE BRINGT NETZWERK- UND SECURITY-TEAMS (WIEDER) ZUSAMMEN Die Aufgaben der Netzwerkarchitekten haben sich in der Folge gewandelt: Jetzt kümmern sie sich in erster Linie um wichtige, in der Cloud gehostete Geschäftsanwendungen mit der zusätzlichen Herausforderung, dass der Zugriff auf Anwendun- gen über Pfade erfolgt, die meist außerhalb der Grenzen ihres Netzwerks liegen. Die IT-Sicherheit hat sich jedoch nur unzureichend an die neuen Gegebenheiten angepasst. Bei den meisten Unternehmen verlangen die Sicherheitsrichtlinien immer noch, dass der Cloud-Verkehr durch Applian- ces in den eigenen Rechenzentren geleitet wird. Die Folge diese Routings sind Kompromisse zwischen Sicherheit und Leistung. Glücklicherweise findet hier jedoch zunehmend ein Umdenken statt: Der 2019 von Gartner eingeführte Secure Access Service Edge (SASE) erweist sich als wichtiges konzeptionelles Modell, um zu beschreiben, wie Be- nutzer und Anwendungen geschützt werden können, die jenseits des tra- ditionellen Netzwerkperimeters arbeiten. Dem Ansatz zugrunde liegt die Erkenntnis, dass sowohl Anwender als auch Anwendungen nicht mehr an feste Standorte gebunden sind. SASE bringt damit die Sicherheitsarchitek- turen mit der Welt, die Netzwerkteams seit einigen Jahren aufbauen und verwalten, auf einen Nenner und zeichnet sich durch vier Punkte aus: ƒ Verteilt: Die Sicherheit wird über die Grenzen des traditionellen Re- chenzentrums hinaus erweitert und ermöglicht es Unternehmen, Si- cherheitsfunktionen in die Cloud zu verlagern. ƒ Cloud-nativ: Die Workflows in der Cloud sind anders als beim klas- sischen Datacenter-zentrierten Ansatz, entsprechend unterscheiden sich auch die Datensicherheit und die Bedrohungen. SASE-Lösungen basieren auf der Konvergenz von Sicherheitsfunktionen und vereinen die Funktionalität etwa von CASB, NG-SWG, SD-WAN und DLP in einer cloud-nativen Lösung. ƒ API-basiert: APIs ermöglichen es verschiedenen Lösungen und An- wendungen, auf Code-Ebene zu kommunizieren. Dies liefert den für effektive Sicherheitsrichtlinien nötigen Kontext, der nicht durch eine einfache Interpretation von HTTP/S-Protokollen und das Betrachten von URLs generiert werden kann. Ohne diesen Kontext können Unter- nehmen nur sehen, wer mit wem spricht, aber nicht, worüber sie sprechen oder was sie tun. API-Transparenz ist somit entscheidend für SASE-Lösungen. ƒ Offen und verständlich: In einer offenen und vernetzten Welt sind Interoperabilität, offene Schnittstellen und „Erklärbarkeit“ von zentraler Bedeutung. Nur wird sichergestellt, dass die verschiedenen Elemente entsprechend interagieren und die Sicherheit der Daten und die Einhal- tung der Compliance gewährleistet werden. Es ist an der Zeit, dass Netzwerk- und Sicherheitsteams zusammenarbeiten, um die alten Wege, auf denen sie Unternehmensdaten routen und schützen, zu über- denken. SASE entlastet die Netzwerk-Performance und ermöglicht gleichzeitig eine verbesserte Transparenz, Sicherheit und Compliance – ein Gewinn für alle. n Netskope bietet ein kostenloses SASE-Assessment an, das in nur 5 Minuten abgeschlossen ist – erfahren Sie mehr unter www.netskope.com/sase-assessment/ Vor nicht allzu langer Zeit gab es noch eine klare Grenze zwischen Unter-nehmensnetzwerken und dem Internet: Netzwerkarchitekten bauten ihre eigenen privaten Netzwerke auf und verbanden diese mit dem Internet an bestimmten, klar definierten Gateways oder Ports. Innerhalb dieses Perimeters sorgten die Security-Teams für Sicherheit und bewachten diese „Tore“, damit nichts Unerwünschtes nach außen (wie etwa ver-trauliche Daten) oder innen (zum Beispiel Malware) gelangte. Mit dem Auf kommen von SaaS, IaaS und der Cloud verschwamm diese klare Linie jedoch immer mehr und der Perimeter löste sich praktisch auf. Bilder: ©Yingyaipumi | ©jamesteohart - stock.adobe.com

◀ Das in KASTEL entwickelte Blurry-Box-Verfahren zur Abwehr von Industriespionage erhielt 2014 den Deutschen IT-Sicherheitspreis. (Foto: Patrick Langer, KIT) AUS DER SZENE SICHERHEIT: WLAN-ROUTER SOLL DAS WACHPERSONAL ERSETZEN Einbrüche in Wohnungen und Gebäu- de sind ein Problem – und sie führen neben dem materiellen Schaden für die Betroffenen auch zu einem abnehmen- den Sicherheitsgefühl in der Bevölke- rung. Beim Forschungsprojekt WACH- MANN (WLAN-basierte Aufzeichnung von CHarakteristiken tatortnaher Mo- biler Endgeräte zur Alarmierung und Nachverfolgung von Eigentumskrimi- Nalität) arbeiten Wissenschaftlerinnen und Wissenschaftler des Karlsruher Instituts für Technologie (KIT) gemein- sam mit Partnern daran, technische Möglichkeiten für den Einbruchschutz zu verbessern. Vorsicht Einbruch: Im Forschungsprojekt WACHMANN entwickeln Wissenschaftlerinnen und Wissenschaftler mit Beteiligung des KIT ein WLAN-basiertes System, das vor Eindringlingen warnt. Foto: Christian Doll Die Forschenden wollen mit einem gängigen WLAN der Einbruchskrimi- nalität einen Riegel vorschieben: Router könnten dazu dienen, Eindringlinge zu erkennen und eine Alarmierung auszu- lösen, denn eingeschaltete mobile End- geräte, wie Handys und Smartphones, senden permanent Position und Iden- tität. Dieses Prinzip macht sich WACH- MANN zunutze. Das System erkennt, ob der Wohnungsbesitzer abwesend ist, indem es prüft, ob sich sein mobiles Endgerät in Reichweite befindet. Sobald dann ein unbekanntes Smart- phone oder Endgerät in den definier- ten Überwachungsbereich „eindringt“, kann eine Warnung auf das Smart- phone oder an die Polizei erfolgen. „Am KIT kümmern wir uns um die rechtskonforme Umsetzung des Vorha- bens, vor allem im Bereich des Daten- schutzes“, sagt Franziska Boehm vom Zentrum für Angewandte Rechtswis- senschaften (ZAR) am KIT. Wichtig ist nämlich auch, dass das System Han- dys bekannter Personen, etwa aus der Nachbarschaft oder dem Freundes- kreis, erkennt, die zum Beispiel im Ur- laub die Blumen gießen. Auch zufälli- ge Passantinnen und Passanten sollen nicht erfasst werden. Das Forschungsprojekt, an dem die Universität Bonn, die Polizei Osnabrück und das KIT beteiligt sind, wird vom Bundesministerium für Bildung und Forschung über zwei Jahre mit rund 560.000 Euro gefördert. e

setzen. Durch eine Änderung im Gesetz über die Elektrizitäts- und Gasversorgung gilt die- se Pflicht auch für Betreiber von Energiever- sorgungsnetzen und Energieanlagen. Die bereits für Betreiber kritischer Infra- strukturen geltenden Meldepflichten gelten künftig auch für Unternehmen, die von be- sonderem öffentlichen Interesse sind, wie Unternehmen der Rüstungsindustrie und Verschlusssachen-IT, Unternehmen, die we- gen ihrer hohen Wertschöpfung eine beson- dere volkswirtschaftliche Bedeutung haben sowie Unternehmen, die der Regulierung durch die Störfallverordnung unterfallen. Stärkung der staatlichen Schutzfunktion Das Gesetz enthält eine Regelung zur Un- tersagung des Einsatzes kritischer Kompo- nenten, für die eine Zertifizierungspflicht besteht. Zudem werden die Bußgeldvor- schriften neu gefasst. Im Telekommunika- tionsgesetz wird erstmals eine Zertifizie- rungspflicht für kritische Komponenten in Telekommunikationsnetzen eingefügt. Die Änderung der Außenwirtschaftsverord- nung trägt der Einführung der kritischen Komponenten im BSI-Gesetz Rechnung. Letzte Änderungen am Gesetzentwurf wur- den nach der Länder- und Verbändeanhörung vorgenommen, so etwa bei den Regelungen zur Detektion von Sicherheitslücken. Außer- dem wurden die ursprünglich vorgesehenen Speicherpflichten für Systeme zur Angriffs- erkennung gestrichen. KRITISCHE STIMMEN AUS DER WIRTSCHAFT Arne Schönbohm, Präsident des Bundes- amts für Sicherheit in der Informationstech- nik (BSI), hat sich nach Bekanntgabe des Bundeskabinett-Beschlusses direkt sehr begeistert geäußert (siehe Kasten). Aus der Wirtschaft kommen indes vermehrt kritische Simmen zum Gesetzentwurf. Ulrich Heun, Geschäftsführer der CARMAO beispielsweise sagt: „Experten sehen in den neuen umfang- reichen Dokumentations- und Berichtspflich- ten keinen wesentlichen Sicherheitsgewinn – im Gegenteil: Die zusätzlichen Pflichten halten Unternehmen von ihrem Kerngeschäft ab. Betroffene Unternehmen sollten daher über ein Informationssicherheits-Manage- ARNE SCHÖNBOHM, PRÄSIDENT DES BSI ZUM BESCHLUSS DES ENTWURFS „IT-SICHER- HEITSGESETZ 2.0“ (AUSZUG): Mit dem Kabinettsbeschluss zum Ent- wurf des IT-Sicherheitsgesetzes 2.0 wur- de heute ein Meilenstein auf dem Weg zu einer sicheren Digitalisierung in Deutsch- land erreicht. Dieser Gesetzentwurf ist für das Bundesamt für Sicherheit in der Informationstechnik von außerordentli- cher Bedeutung und ein starker Beweis für das Vertrauen in das BSI. Mit dem IT-SiG 2.0 wird der digitale Ver- braucherschutz im BSI verankert. Vo- rausgesetzt, dass der Deutsche Bundes- tag das Gesetz beschließt, können wir den digitalen Verbraucherschutz am neuen BSI-Standort Freital ausbauen, die Marktbeobachtung für IT-Produkte eta blieren, unser Service-Center-Angebot für die Bürgeranfragen erweitern und das IT-Sicherheitskennzeichen auf den Markt bringen. Das IT-Sicherheitskennzeichen soll es Verbraucherinnen und Verbrauchern ermöglichen, schnell und auf einen Blick alle wichtigen Informationen über die IT-Sicherheitseigenschaften von Produk- ten, wie Routern oder IoT-Devices, zu erhalten. Wir wollen den Bürgerinnen und Bürgern hier so praxisorientiert und hilfreich wie möglich zur Seite zu stehen. Dabei bauen wir auf unsere bereits eta- blierten Produkte, wie etwa die Webseite www.bsi-fuer-buerger.de sowie unse- re zahlreichen Erklärformate, die in den sozialen Medien auf YouTube, Facebook, Twitter und Podcast-Streaming-Diens- ten zu finden sind. Weitere Befugnisse ergeben sich durch den Entwurf des IT-SiG 2.0 zudem ge- genüber dem Bereich der Bundesver- waltung. Hier werden die Kontroll- und Prüfbefugnisse zum Schutz der Regie- rungsnetze ausgebaut. Bei wesentlichen Digitalisierungsvorhaben des Bundes soll das BSI frühzeitig beteiligt werden. AUS DER SZENE mentsystem (ISMS) nachdenken oder sich an IT-Sicherheitsspezialisten wenden, um die verschärften Anforderungen erfüllen zu können.“ Patrycja Schrenk, Geschäftsführerin der PSW GROUP anerkennt zwar die Erkenntnis der Bundesregierung, dass KRITIS-Betreiber Nachholbedarf haben und in der Folge das IT- Sicherheitsgesetz angepasst werden muss: „In der KRITIS fehlt es derzeit am Wesent- lichen: Betreiber setzen auf alte Geräte, die zum Teil keine Updates mehr erhalten, eine fehlende Routine macht insbesondere mul- tiple Angriffe erfolgreicher, und Mitarbeiter werden nicht oder unzureichend geschult.“ Einige Dinge erregen jedoch ihren Unmut: „Zum einen ignoriert das für das Gesetz zu- ständige Bundesministerium des Inneren offenbar Vorschläge von UP KRITIS, einer extra ins Leben gerufenen öffentlich-priva- ten Kooperation zwischen verschiedenen KRITIS-Betreibern, Verbänden und staatli- chen Stellen, zur Neuauflage des IT-Sicher- heitsgesetzes. Das ist ärgerlich und wenig zielführend. Vor allem aber sehe ich einige neue Sonderrechte des BSI als strittig, und es fehlt mir insgesamt an Transparenz und Nachvollziehbarkeit von Bestimmungen“, kritisiert Schrenk. Patrycja Schrenk, Geschäftsführerin der PSW GROUP (Foto: PSW GROUP) Als sehr problematisch sieht Schrenk die Befugnisse des BSI, hacken zu dürfen, ohne erkannte Sicherheitslücken veröffentli- chen zu müssen: „So können Geheimdiens- te und die Polizei Zero-Day-Exploits weiter für eigene Zwecke nutzen“, so ihre Kritik. Das IT-Sicherheitsgesetz 2.0 ermächtigt das BSI, freiwillige IT-Sicherheitskennzei- chen einzuführen. „Ein solches freiwilliges IT-Sicherheitskennzeichen klingt zunächst nicht schlecht. Es ist aber ein nationaler Al- leingang, der die Wirksamkeit europäischer Bestimmungen beschädigen könnte. Neben einem erhöhten Aufwand für Unternehmen ist auch Verbrauchern nur bedingt geholfen, wenn eine immer größer werdende Zahl an Gütesiegeln eher Verwirrung stiftet“, meint Patrycja Schrenk. n S.M. IT-SICHERHEIT_2/2021 17 Bild: ©hkama - stock.adobe.com

– ADVERTORIAL – Die digitale Transformation benötigt Führungskompetenz Bitkom Akademie bildet Chief Digital Officer aus ƒ Bereits vier von zehn Unternehmen verfügen über einen Chief Digital Officer auf Vorstands- oder Geschäftsführungsebene ƒ Besonders KMU benötigen Führungskräfte in der Digitalisierung ƒ Bitkom Akademie startet die Ausbildung zum Chief Digital Officer (CDO) als berufsbegleitenden Online-Lehrgang Die digitale Transformation ist in vollem Gange und hat in den letzten Monaten noch einmal erheblich an Fahrt aufgenommen. Wirtschaft und Verwaltungen reagieren auf die veränderten Rah- menbedingungen, dennoch bleiben zahlreiche Chancen der Digi- talisierung noch ungenutzt. Ein kürzlich erschienener OECD-Wirt- schaftsbericht stellt der deutschen Wirtschaft ein weitestgehend positives Zeugnis aus. Vor allem die jüngsten Fortschritte – etwa in den Bereichen der digitalisierten Produktion oder beim Aufbau von Infrastrukturen – werden lobend erwähnt. Gleichzeitig wird seitens der OECD zu mehr Tempo in der digitalen Transformation geraten. Vor allem innovative Technologien sollten schneller und stärker genutzt werden, um deren wirtschaftliche Potenziale noch besser nutzen können. Häufig scheitert dies jedoch auch an fehlenden Fach- kräften und mangelndem digitalen Know-how in den Unternehmen. Chief Digital Officer und Digitalstrategen – der Blick auf das Wesentliche Damit die Transformation gelingt, bedarf es auf allen Hierarchie- stufen gut geschulter Fachkräfte – das schließt auch die Leitungs- ebene im Unternehmen ein. Doch gerade dort scheinen zahlreiche Betriebe noch zu zögern. Gerade einmal jedes fünfte Unternehmen gab in einer Bitkom-Umfrage an, einen Chief Digital Officer einzu- setzen. Vor allem kleine und mittelständische Unternehmen sind zurückhaltend, wenn es um die Ernennung einer Führungskraft zur digitalen Transformation des Unternehmens geht. Dabei könnten gerade KMU vom Einsatz eines erfahrenen Digitalisierungsbeauf- tragten profitieren. In seiner Funktion behält ein CDO – mehr oder weniger unabhängig vom Tagesgeschäft – das große Ziel auf dem Weg auf dem durch die digitale Transformation im Blick. Im Großen und Ganzen obliegt dem Chief Digital Officer die Aus- gestaltung und Umsetzung der unternehmenseigenen Digitalstra- tegie. Sie beginnt mit der Aufnahme des Status quo, der Identifizie- rung und Priorisierung des Handlungsbedarfs und der praktischen Umsetzung bis hin zum abschließenden Controlling. Aber auch die Konzeption und Verwirklichung neuer Geschäftsmodelle sind integraler Bestandteil des Stellenprofils. Um diesem anspruchsvollen und abwechslungsreichen Tätigkeits- bereich gerecht zu werden, benötigen Unternehmen erfahrene und breit aufgestellte Expertinnen und Experten. Ein klassischer IT-Hin- tergrund ist förderlich, aber keineswegs Pflicht. Obligatorisch ist jedoch ein umfassendes Know-how aktueller digitaler Trends und Technologien sowie die Fähigkeit, diese für das eigene Unterneh- men einzuschätzen und gewinnbringend zu adaptieren. Neben dem nötigen Fachwissen sollten angehende CDO auch die passenden Soft Skills mitbringen. Kommunikationsstärke, Resilienz und Durch- setzungsvermögen sind für die Gestaltung und Realisierung einer Digitalstrategie in Unternehmen und Verwaltungen unerlässlich. Welche Rolle spielen Chief Digital Officer im Unternehmen? Vier von zehn befragten Unternehmen siedeln ihre Digitalisierungs- beauftragten im Top-Management an. Ein Chief Digital Officer kann aber auch außerhalb der Vorstands- und Geschäftsführungsebene positive Akzente setzen. Um das zu gewährleisten, sollten Inhaber und Führungskräfte ihrem CDO jedoch den nötigen Rückhalt und Gestaltungsspielraum ermöglichen. So können Digitalisierungsbe- auftragte auch eine Stabsstelle im Unternehmen einnehmen, von der aus sie ihre Digitalstrategie verwirklichen. Auch eine Platzierung im mittleren oder gehobenen Management ist denkbar. Hilfreich wäre eine solche Ernennung dann, wenn vorerst einzelne Bereiche die digitale Transformation durchlaufen sollen – beispielsweise zur Prozess-Automatisierung in der Verwaltung oder zum Aufbau einer digitalisierten Produktion im industriellen Umfeld. Entscheidend für den Erfolg des CDO im Unternehmen ist weniger die hierarchische Position, sondern vielmehr der Rückhalt, den die Stelle bei Fach- und Führungskräften genießt. Ausschlaggebend dafür dürfte sein, welche greifbaren Ergebnisse ein CDO in seiner verantwortungsvollen Rolle erzielt. Das nötige Know-how für ihre Aufgabe als Chief Digital Officer können aufstrebende Talente ab sofort bei der Bitkom Akademie erlernen. Alle Details und Informationen zum berufsbegleitenden Online-Zertifikatslehrgang gibt es unter: bitkom-akademie.de/chief-digital-officer

CYBERSECURITY- PRAXISTIPPS 1. Investieren Sie in Cybersecurity. 2. Bereiten Sie sich vor. 3. Erkennen Sie Ihre Schwachstellen. 4. Definieren Sie besonders schützenswerte Bereiche. 5. Korrelieren Sie Ihre Daten. 6. Setzen Sie auf Teamwork. 7. Richten Sie ein SOC ein. 8. Reagieren Sie schnell und richtig. 9. Analysieren Sie Angriffe im Nachhinein. Seit einigen Jahren gibt es immer mehr Hackerangriffe. Die Motive für solche Attacken sind vielfäl- tig: von Industriespionage bis hin zu erpres- serischen Absichten und damit verbundenen Schutzgeldforderungen. Um dem vorzubeugen, haben die meisten Unternehmen definierte IT-Krisenprozesse. Häufig eignen sie sich aber nicht, um wirklich ausgefeilte Cyberattacken abzuwehren. 1. Tipp: Investieren Sie in Cybersecurity. Angriffsmethoden, die bisher nur von APTs (Advanced Persistent Threats) bekannt waren, sind nun auch bei gewöhnlichen Cyberkrimi- nellen zu beobachten. Die Lage hat sich spürbar verschärft – und darauf müssen Unternehmen vorbereitet sein. Sind sie das nicht, müssen sie bei einem Security Incident – je nach Art des Vorfalls – in kurzer Zeit Maßnahmen einlei- ten, die oft jahrelang niemand angepackt hat. Im Zweifel ist ihre über Jahre gewachsene IT- Infrastruktur innerhalb weniger Wochen kom- plett neu zu organisieren – was dann plötzlich großen Aufwand und hohe Kosten verursacht. Machen Sie also nicht den Fehler, erst dann zu reagieren, wenn Sie durch einen akuten Sicher- heitsvorfall dazu gezwungen sind. Investitionen in Cybersecurity lohnen sich, weil sie das Risiko eines kritischen Security Incidents nachweislich reduzieren. 2. Tipp: Bereiten Sie sich vor. Cybersecurity ist das Ergebnis eines fortlaufen- den Prozesses und darum sehr individuell. Um das Security Level langfristig hochzuhalten, ist Situation Awareness entscheidend. Um auf aku- te Bedrohungen reagieren zu können, sollten Sie Maßnahmenpakete für verschiedene Angriffs- szenarien vorab definieren. In solchen Plänen sind das Ziel einer Maßnahme, die erforderliche Vorgehensweise und die notwendigen Skills, Rollen und Unternehmensbereiche beschrieben. Beispiele sind hier Domain Administration und 4. Tipp: Definieren Sie besonders schützenswerte Bereiche. Akzeptieren Sie, dass Sie kein „Fort Knox“ um Ihre IT bauen können. Fokussieren Sie sich stattdessen auf Ihre „Juwelen“, also jene Infra- strukturen, Daten und Systeme, die besonders schützenswert sind. Mithilfe des MITRE ATT&CK Rahmenwerks erfahren Sie, wie Sie am wahr- scheinlichsten angegriffen werden. Es listet alle bekannten Angriffstechniken tagesaktuell auf und erklärt, wie man sie erkennt und mögliche Angriffe behebt. Und – ganz wichtig: Beschäf- tigen Sie sich mit der Bedrohungslage in ihrer Branche. Hacker sind zumeist auf bestimmte Branchen und Angriffstechniken spezialisiert. Mit einer Heatmap, die zeigt, welche Techno- logie wo besonders häufig angewendet wird, können Sie Ihre wertvollsten Daten gezielt be- sonders schützen. 5. Tipp: Korrelieren Sie Ihre Daten. Um einen drohenden Hackerangriff zu erken- nen, ist Detektivarbeit gefragt. Zeichnen Sie mit einem Endpoint Detection and Response (EDR)- Tool Ereignisse auf, wie etwa eine Nutzeranmel- Was ist ein IMPOSSIBLE TRAVELLER? Ein „unmöglicher Reisender“, ist meist als Benutzer definiert, der mit derselben Ressource von zwei verschiedenen Orten aus interagiert, aber angesichts des Zeitdeltas und der Entfernung zwischen den Zugangsknoten diese Reise unmöglich in einer angemessenen Zeitspanne hätte machen können. IT-SICHERHEIT_2/2021 21 Bild: ©pattilabelle - stock.adobe.comDatacenter Management. Auch ein Incident-Re-sponse-Kommunikationsplan darf nicht fehlen. Nur so können Sie schnell reagieren und die Situ-ation wieder in den Griff bekommen. 3. Tipp: Erkennen Sie Ihre Schwachstellen.Machen Sie es einem Hacker so schwer wie mög-lich, indem Sie die Bedrohungslage fortlaufend monitoren und bei Bedarf alle Systeme komplett scannen. Aus den Daten können Sie ein Scoring erstellen, das Aufschluss über die Kritikalität und etwaige Schwachstellen gibt (Vulnerabili-ty Management). Doch auch wenn Sie mögliche Angriffspunkte kennen, gibt es natürlich keine absolute, 100-prozentige Sicherheit. Es ist nicht möglich, sich gegen Zero-Day-Exploit-Attacks und APTs vollständig zu schützen. Legen Sie den ersten Fokus darum auf einfacher abzuwehrende Bedrohungen und sichern Sie sich in diesem Kon-text gegen groß angelegte Angriffe ab.SECURITY MANAGEMENT

– ADVERTORIAL – Managed Security Services SECURITY-PROZESSE EINFACH AN SPEZIALISTEN GEBEN Jedes Jahr verursachen Cyberangriffe bei deutschen Unter­ nehmen Schäden in Milliardenhöhe – Tendenz steigend. Die Attacken werden dabei immer vielfältiger und komplexer. Gleiches gilt infolgedessen für die Security Tools, die zur Abwehr eingesetzt werden. Für Unternehmen ohne ausreichend Inhouse­Expertise und Zeit also ein immer größeres Problem. Zudem wird der aktuelle Fachkräfte­ mangel im IT­Security­Bereich auch in absehbarer Zukunft nicht sinken. Diesen spüren vor allem kleine und mittelständische Unternehmen (KMU). Daher erfreuen sich Managed Security Services (MSS) einer immer größeren Beliebtheit. Durch sie können Unternehmen sicher sein, dass sich fähige Experten beim Dienstleister um IT­Security­Prozesse kümmern. Auf diese Weise wird die IT­Abteilung entlastet, sodass sich die internen Experten ganz auf ihr Kerngeschäft konzentrieren können. IT-Abteilung wird zum Business Enabler Um Managed Security Services erfolgreich zu integrieren, muss das Unternehmen grundlegend service­affin sein. Dies schließt ein verändertes Rollenbild der IT­Abteilung mit ein. IT­Experten sollten sich als „Business Enabler“ für die Fachabteilungen wahrnehmen. Mit diesem Selbstverständnis können sie externe Partner leichter einbinden. Um Sicherheitsprozesse erfolgreich auszulagern, müssen diese zudem bereits im Vorfeld genau definiert sein. Gute Dienstleister beraten ihre Kunden auch in diesem frühen Stadium des Outsourcings. Ganz wichtig ist: Der MSSP braucht einen fachkundigen Ansprechpartner beim Kunden, mit dem er eng zusammenarbeitet. Nur so kann er die benötigten Einblicke in Unternehmensstrukturen und ­prozesse gewinnen. MSSPs haben gegenüber klassischen Systemhäusern Vorteile Fazit Unternehmen können IT­Security­Prozesse vollständig oder in Teilen an Managed Security Service Provider (MSSPs) outsourcen. Im Gegensatz zum üblichen IT­Systemhaus entwickelt ein MSSP auch eigene Ende­ zu­Ende­Lösungen. Grundsätzlich unterscheidet man dabei zwischen cloudbasierten und On­Premises­Lösungen. Beide Möglichkeiten verbessern die Cybersecurity, ohne dass sich der Kunde selbst um Technik, Installation, Betrieb und Support kümmern muss. Ein beliebter Managed Security Service ist „indevis Secure Access“. Dieser bietet Kunden eine komplett gemanagte browserbasierte SSL­VPN­ Lösung, über die der Zugriff auf das Unternehmensnetzwerk auch von extern möglich ist. Die User melden sich einfach über eine individuelle Webportal­Seite an, und die Sessions sind gleichzeitig ohne Probleme skalierbar. Managed Security Services werden in Zukunft noch wichtiger, um die Sicherheit in Unternehmen zu gewährleisten. Ein guter MSSP liefert passende Ende­zu­Ende­Lösungen, die exakt auf die individuellen Kundenbedürfnisse zugeschnitten sind. Voraussetzung für ein erfolgreiches Outsourcing von Sicherheitsaufgaben sind Service­Affinität sowie klare Prozesse und Schnittstellen und nicht zuletzt das Commitment zum Prinzip der geteilten Verantwortung. Denn umfassende Sicherheit kann nur durch partnerschaftliche Zusammenarbeit erreicht werden. n Cyberangriffe werden häufiger und aggressiver. Security-Experten dagegen sind auf dem Arbeitsmarkt nach wie vor rar gesät. Für IT-Abteilungen wird es daher immer schwieriger, neben dem Alltagsgeschäft auch noch die IT-Security im Blick zu behalten und stetig nachzurüsten. Entlastung kann das Outsourcing von Cybersecurity-Aufgaben schaffen. Bild: ©kras99 - stock.adobe.comAutor: Andreas Mayer, Founder & Business Development indevis

TIPPS, UM IT-SICHERHEIT IN DEN FOKUS ZU RÜCKEN 1. Offenheit gegenüber dem Klinikpersonal: Viele haben bislang zu wenig Berührungspunkte mit IT-Sicher- heit und wissen nicht, dass sie sich dadurch angreifbar machen. 2. Proaktivität: Förderungen, wie das KHZG, bieten optimale Chancen, den digitalen Wandel im Klinikum voranzu treiben. 3. Kreativität: Awareness-Trainings mit Gamifi- cation- oder Storytelling-Elemen- ten gestalten das Thema IT-Sicher- heit für das Personal spannender und zugänglicher. 4. Patientenzentriertheit: Wissen schützt – mittelbar auch die Patientengesundheit. Denn durch geschulte Mitarbeitende kön- nen schwere IT-Sicherheitsvorfälle verhindert werden. Zahlen der eingangs erwähnten Studie zeigen, dass die Erfolgsraten von Phishing-Angriffen durch Maßnahmen wie simulierte Angriffe schon nach kurzer Zeit um 66 Prozent gesenkt werden können. Damit kann auch das Risiko, Opfer eines Cyberangriffs zu werden, nachhaltig kontrolliert werden. IT-Verantwortliche sollten daher die Chancen, die das KHZG bietet, nutzen: Zum Ersten bietet es finanzielle und personelle Unterstützung; zum Zweiten ermöglicht es, die Digitalisierung und somit auch den Kulturwandel im Kranken- haus voranzutreiben. KULTURWANDEL IM KRANKENHAUS: IT-VER- ANTWORTLICHE ALS DIGITALE WÄCHTER So wie Ärztinnen und Ärzte direkt die Gesund- heit der Erkrankten verantworten, sollen sich IT-Verantwortliche darum kümmern, dass die CYBERKRIMINELLE LIEBEN KRANKENHÄUSER Informationen der Bundesregierung zufolge hat sich die Zahl der Cyberangriffe auf Einrichtungen im Gesundheitswesen von 2019 auf 2020 ver- doppelt, weshalb auch Interpol vor zunehmen- den Cyberangriffen warnt. Der Grund hierfür ist, dass sensible Daten, wie Patientenakten, im Darknet hoch gehandelt werden. Dementspre- chend können auch hohe Lösegeldforderungen an die betroffenen Einrichtungen oder Patien- tinnen und Patienten gestellt werden. Neben veralteten Systemen sind komplexe Arbeitslab- läufe, wie Schichtbetrieb und zuletzt die enor- me Belastung durch die COVID-19-Pandemie, Gründe für die hohe Erfolgswahrscheinlichkeit der Angriffe. Für Updates oder gar neue Technik fehlt häufig sowohl das Budget als auch die Zeit. Das Gleiche gilt für IT-Sicherheitsschulungen beim Krankenhauspersonal. So wird im stres- sigen Arbeitsalltag schnell mal auf gefährliche Anhänge oder Links in E-Mails geklickt. Einmal von Mitarbeitenden geöffnet, verbreitet sich Schadsoftware rasend schnell. Aus diesen Grün- den sind präventive Maßnahmen, wie IT-Sicher- heitsschulungen und Awareness-Trainings, von entscheidender Bedeutung für die Sicherheit im Krankenhaus. Was bislang aufgrund von Zeit- und Budgetmangel kaum umzusetzen war, wird durch das KHZG nun erleichtert. DIGITALER – UND SICHE- RER – WERDEN MIT KHZG Dass Krankenhäuser dringend Unterstützung benötigen, hat auch die Bundesregierung er- kannt. Mit dem KHZG wird nun die Digitalisie- rung von Kliniken finanziell gefördert. 15 Prozent der beantragten Förderhöhe müssen hierbei auch auf Sicherheitsmaßnahmen entfallen. Der „Fördertatbestand 10“ des KHZG widmet sich darüber hinaus explizit der IT-Sicherheit und finanziert so auch Maßnahmen wie Cyber secu- ri ty-Schulungen von Mitarbeitenden. Denn um es Cyberkriminellen schwer zu machen, ist es notwendig, dass das gesamte Klinikpersonal hinsichtlich möglicher Angriffe sensibilisiert ist. Auf diese Weise rücken Mitarbeitende in den Vordergrund und können sich auch für das Wohl der Patientinnen und Patienten einsetzen, in- dem sie zur menschlichen Firewall werden. Re- gelmäßiges Schulen ist dabei viel mehr als eine reine Pflichterfüllung der gesetzlichen Vorgaben. SECURITY MANAGEMENT sensiblen IT-Systeme resilient und widerstands- fähig sind. Auf operativer Ebene sind sie für eine technisch hochwertige und zuverlässige Infrastruktur zuständig. Darüber hinaus geht es darum, IT-Sicherheitsthemen in die Organisati- onsstrategie des Krankenhauses einzubinden. In einem Umfeld, das im Arbeitsalltag von einem stressigem Schichtbetrieb geprägt ist, stoßen IT-Entscheidende häufig auf Widerstand. Argu- mente wie „Dafür ist keine Zeit“ oder „Ich habe Wichtigeres zu tun“ erschweren die gewünschte Veränderung. Im Rahmen verschiedener gesetzlicher Richtlini- en, wie der Datenschutz-Grundverordnung (DS- GVO) oder ISO 27001, haben IT-Verantwortliche die Aufgabe, über die Risiken von Sicherheitslü- cken aufzuklären und Mitarbeitende dazu zu be- fähigen, in potenziellen Angriffssituationen rich- tig zu handeln. Denn nur so weiß das Personal, wie es beispielsweise eine Phishingmail erkennt und klickt erst gar nicht auf gefährliche Links. Neben der technischen Umsetzung ist regelmä- ßiges Awareness-Training deshalb wichtig. Doch wie schaffen IT-Verantwortliche es, ein Thema wie IT-Sicherheit fest in die Organisationskultur und in den Krankenhausalltag zu integrieren? DIE ZUKUNFT BEGINNT JETZT Beim Thema IT-Sicherheit besteht in Kranken- häusern noch Aufholbedarf. Neben Fachper- sonal und neuen Systemen ist jetzt vor allem Aufklärung gefragt. Mithilfe des KHZG können IT-Verantwortliche 2021 den digitalen Wandel im Krankenhaus vorantreiben und zeigen, dass Cy- bersecurity Awareness ein fester Bestandteil der Organisationskultur im Krankenhaus sein muss. Nur so können Krankenhäuser die Gesundheit ihrer Patientinnen und Patienten auch auf digi- talem Weg schützen. n DR. NIKLAS HELLEMANN, Geschäftsführer der SoSafe GmbH IT-SICHERHEIT_2/2021 25

SECURITY MANAGEMENT einen umfangreichen Kompetenzkatalog für die Defensivakteure und für ihr Threat Hunting. Technologie spielt nur zum Teil eine Rolle. Ein Sicherheitsexperte ist nicht so sehr IT-Adminis- trator und Techniker, als vielmehr Detektiv und Menschenkenner. Gute Analysten denken wie die Angreifer. Sie wissen dank ihrer Expertise und ihrer Intuition, wo sie nach sich abzeich- nenden Attacken suchen sollen. Sie spielen in Echtzeit durch, was die Gegenseite als Nächstes tun wird, und wie das zu verhindern ist. gegen kunden- und industriespezifische kom- plexe Angriffe zu schützen. Die Experten stehen dabei permanent mit dem Kunden im Kontakt. Zunächst nehmen sie die aktuelle Sicherheitsla- ge auf und definieren davon ausgehend Sicher- heitsprofile. Im Rahmen dieser Anamnese lernen sie die normalen Abläufe in einer Unterneh- mens-IT kennen, um so zu definieren, was ein atypischer Vorgang ist. Denn dieser kann ein Angriff sein. Im nächsten Schritt vereinbaren sie mit Kunden einen Maßnahmenkatalog, in des- Moderne EDR-Lösungen bieten einen Überblick über die Sicherheitslage an Endpunkten. Sie schaffen damit eine wichtige Grundlage für den menschlichen Analysten. (Quelle: Bitdefender) MENSCHEN STATT AUTOMATISMEN Viele Organisationen verfügen entweder nicht über die Technologie oder über die Fachkräfte, um in ihrer IT ein solches Threat Hunting durch- zuführen, proaktiv Eindringlinge abzuwehren und Vorkommnisse zu verhindern. Sie müssen sich diese Expertise von außen einkaufen. Das ist ein richtiger Schritt. Einen Mehrwert schaffen aber nur Dienste, hinter denen Menschen ste- hen. Ein Threat Hunting kann nicht automatisiert stattfinden. Denn bei einer tiefgehenden Analyse kommt es gerade auf den erfahrenen Fachmann und seine Intuition an. Er hält bewusst und proaktiv nach Anzeichen für Gefahren Ausschau und sieht dann genau hin, um die nächsten Schritte überlegt zu entscheiden. Managed Detection and Response (MDR) bringt den Faktor Mensch ins Spiel, um sen Rahmen die Experten Sofortmaßnahmen zur Abwehr treffen können. Anschließend beobach- ten sie permanent die Sicherheitslage, erkennen Risiken und werden sofort aktiv. Über alle Aktio- nen statten sie Bericht ab. MDR-Anbieter sollten sich dabei ebenso in die Karten schauen lassen, so dass Unternehmen unmittelbar sehen, was die Experten wissen. n DANIEL CLAYTON, VP of Global Support and Services und Leiter der Bitdefender Managed Detection & Response (MDR) (Foto: Bitdefender) IT-SICHERHEIT_2/2021 27 MEHRWERT 2: PRO-AKTIVE UND PRAKTISCHE INTELLIGENZEntsprechend aufgestellt haben Chief Informa-tion Security Officer (CISOs) und Experten nun gute Vorarbeit geleistet. Eine wichtige Rolle spielt jetzt die permanente intelligente Analyse des sich ständig verändernden Cybercrime-Ge-schehens. Hier geht es aber nicht nur um so viele Informationen wie möglich. Intelligenz soll ope-rativ umsetzbare Erkenntnisse liefern, um Un-ternehmen im Wettkampf mit den Angreifern zu helfen. Daher müssen diese Daten relevant sein und gefiltert werden. Sie beschreiben die Attacken, die sich auf Geschäftsprozesse auswirken können: etwa branchenspezifische Angriffe, welche eine beim Kunden eingesetz-te Plattform angreifen oder denen auch Kon-kurrenzunternehmen ausgesetzt sind.Solche Informationen müssen zudem recht-zeitig vorliegen. Dafür sammeln Telemetrie-Tools mehrere Milliarden Daten am Endpunkt. Machine-Learning-Technologien erkennen mithilfe von Algorithmen Verhaltensmuster neuer Angriffe.Dieses Abbild der tatsächlichen Bedrohungs-landschaft unterstützt die Cyberabwehr zum einem taktisch und operativ: Indexwerte bewerten mit Zahlen, wie stark Systeme kom-promittiert sind und wo Angriffe unmittelbar bevorstehen. Zum andern hilft dieser Überblick strategisch und langfristig. Er ermöglicht Pro-gnosen über zukünftige Risiken. Das notwen-dige Wissen und die sich daraus ergebenden Prozesse entstehen nicht von heute auf morgen. Eine gute Defensive wächst kontinuierlich. Sie versteht daher, wie sich die Gefahrenlage verän-dert und baut die notwendigen Fähigkeiten auf, um Effekte zu minimieren. Expertenrat muss – gemessen am verhinderten Schaden – nicht ein-mal teuer sein. Auf jeden Fall ist er wertvoll.MEHRWERT 3: SICH IN DEN ANGREIFER HINEIN-DENKEN – EXPERTEN ALS THREAT HUNTERSowohl für die unmittelbare Abwehr als auch für die Langzeitanalyse ist der Mensch un-verzichtbar. Und er wird es bis auf weiteres bleiben. Die umfassenden Aufgaben diktieren Bild: ©anttoniart - stock.adobe.com

Wenn ein Unternehmen keinen vollständigen Überblick über seine IT-Umgebung hat, kann eine schnelle digitale Transformation schwerwiegen- de Folgen haben. Beispielsweise könnte sie: ƒ Mängel im Legacy-Backend freilegen, falls Eingaben nicht ordnungsgemäß bereinigt und verwaltet werden ƒ Schwachstellen ausnutzbar machen, wenn nicht bekannt ist, welche Altsysteme laufen und ob diese gepatcht, zur Einspielung von Patches neu gestartet und/oder auf andere Weise abgesichert werden müssen ƒ Legacy-Systeme versehentlich über öffentli- che APIs mit Anfragen überfluten, wenn die Kapazitäten nicht richtig verwaltet werden und keine Integrationsarchitektur vorgesehen ist, etwa mithilfe ereignisgesteuerter Zwi- schenspeicherung UMFASSENDE ÜBERSICHT Die digitale Transformation wird auch 2021 eine Priorität bleiben, wenn Unternehmen nach den besten Wegen suchen, um auf die Herausforde- rungen und Chancen dieses Jahres zu reagieren. Wenn IT-Manager fehlgeschlagene Projekte, Ausfälle und potenzielle Bedrohungen vermei- den wollen, müssen sie als Allererstes Übersicht und Kontrolle über sämtliche Assets gewinnen und wissen, wie diese zusammenpassen und miteinander agieren. Es gibt schon etwas Anlass zur Sorge, wenn bei- spielsweise mehr als die Hälfte (53 Prozent) der Befragten für eine aktuelle Untersuchung von Tanium erklärte, dass sie aufgrund fehlender Übersicht über ihr Netzwerk anfällig für Cyber- angriffe seien. Unternehmen brauchen eine Plattform für End- punktmanagement und -sicherheit, um vollstän- dige Übersicht und Kontrolle sowohl über ihre älteren als auch ihre digitalen Technologie-Assets zu erhalten, einschließlich Laptops, Servern, vir- tuellen Maschinen, Containern und Cloud-Infra- strukturen. Eine solche Übersicht und Kontrolle verschafft den IT-Verantwortlichen den nötigen Einblick, um dafür sorgen zu können, dass digita- le Transformationsprojekte nicht durch Technolo- gieschulden zu Fall gebracht werden. Im aktuellen Geschäftsklima ist das ganz be- sonders wichtig. Wie die jüngsten Ereignisse gezeigt haben, können Krisen aus dem Nichts kommen, und ein IT-Team, das nicht richtig vorbereitet ist, kann dann oft nur noch reaktiv handeln. Gerade in solchen Fällen brauchen Sie einen Echtzeit-Überblick über Leistungseng- pässe und Architekturmängel, um Problemen vorbeugen und sicherstellen zu können, dass sie nicht zum nächsten Brandherd werden. n OLIVER CRONK, Chief IT Architect for EMEA bei Tanium IT-SICHERHEIT_2/2021 29 ƒ Welche unserer Technologien werden vom Hersteller, unserem eigenen Team oder dem Lieferanten nicht mehr unterstützt? ƒ Wie sieht der aktuelle Status jedes IT-Assets aus (keine veralteten Datensätze, sondern Echtzeit-Übersichten)? Wie gut ist die IT-Hy- giene (Patch-Status, Benutzer mit Administra- torrechten, Sicherheitskonfiguration etc.)? KEINE FURCHT VOR KOMPLEXITÄT Die Schwierigkeit besteht natürlich darin, die Dienstleistungen für die Nutzer weiter zu ver- bessern, indem man die Leistungsfähigkeit und Flexibilität neuer Technologien nutzt, und gleich- zeitig die Probleme und Risiken älterer Systeme im Griff zu behalten. Folgenabschätzungen für Veränderungsprojekte werden zunehmend schwierig, weil nicht immer klar ist, welche Sys- teme voneinander abhängig sind. Oft werden Projekte durch ein System verzögert oder zu Fall gebracht, von dem niemand wusste, dass es Da- ten von der Plattform braucht, die aufgerüstet werden soll. Besonders groß ist dieses Risiko in Unternehmen, in denen die IT-Entwicklung auf die einzelnen Geschäftsbereiche verteilt ist. SECURITY MANAGEMENTSECURITY MANAGEMENTBIld: ©intueri - stock.adobe.com

Centre, sprechen nicht erst seit gestern eine dringende Empfehlung für die Implemen- tierung von AWL-Lösungen aus (siehe auch Grundschutzkompendium 2018 des BSI oder Strategiepapier 2017 des ACSC). Und IT-Verant- wortliche wissen durchaus um den Sicherheits- vorteil gegenüber Blacklisting, den nicht zuletzt große Cyberangriffe immer wieder zementier- ten: DoppelPaymer, Emotet, Solorigate und Co. verhalfen kritischen Infrastrukturen, wie der Universitätsklinik Düsseldorf oder Unterneh- men wie SolarWinds, zu trauriger medialer Berühmtheit. Begriffe wie „Snake Oil” wurden verwendet, um scannerbasierten Produkten eine reine Scheinwirksamkeit zu unterstellen. Hierzu ist anzumerken, dass auch Whitelis- tinglösungen im Fall SolarWinds keinen Schutz hätten garantieren können, solange Admins die als vertrauenswürdig geltende SolarWinds- Software der Whitelist hinzugefügt hätten: Herr über jede Sicherheitslösung, ob nun Black- oder Whitelist-basiert, bleibt immer der Mensch. Die automatisierte Prüfung der Hashes gegen eine Trust-Level-Datenbank minimiert den bei Whitelists sonst üblichen Aufwand. (Quelle: SecuLution) Gleichzeitig nutzen zeitgemäße Lösungen den „Goldstandard“ der Authentifizierung: Die Ver- wendung von kryptografisch sicheren Hashes garantiert, anders als NTFS oder Rechteverer- bung nutzende Whitelists, dass ausschließlich eindeutig authentifizierte Software ausgeführt WAS MODERNES APPLICATION WHITELISTING LEISTEN MUSS ƒ umfassenden Endpoint-Schutz mit Herstellergarantie ƒ minimierten Aufwand durch Automatisierung ƒ stets aktuelle Daten in der Cloud ƒ zentrale Konsole zur Verwaltung und Konfiguration ƒ volle Datenhoheit kundenseitig ƒ auch offline maximale Sicherheit mittels Back-up IST WHITELISTING ZU AUFWENDIG? Das Argument, das IT-Security-Entscheider davon abhält, auf Application Whitelisting zu setzen, ist nachvollziehbar, wenn auch bei ge- nauem Hinsehen nicht (mehr) valide: Whitelists seien komplex und nur schwer zu verwalten, dies gelte insbesondere auch für das Aktuali- sieren der Listen. Moderne Application-White- listing-Ansätze haben diese Probleme durch einen hohen Grad an Automatisierung gelöst. werden kann. Hashes stellen damit das mit Abstand sicherste Verfahren der Authentifizie- rung von Elementen dar, bringen aber auch die größten Anforderungen an die Verwaltung der AWL-Lösung mit sich. Doch, wir erinnern uns, die Aufwandsproblematik wurde inzwischen angegangen: Cloudbasierter Reputationsser- vice mit Hashes vertrauenswürdiger Software ermöglicht eine nahezu vollständige Auslage- rung des administrativen Aufwandes, sodass die Kritik der Blacklist-Befürworter hier grund- sätzlich nicht mehr greift. FAZIT Application-Whitelisting-Lösungen bieten ein deutlich höheres Schutzniveau als reine Blacklisting-Produkte und bedeuten heute in der Anwendung meist keinen Mehraufwand mehr gegenüber Virenscannern. Im entschei- denden Moment – dem Moment der Attacke durch ein unbekanntes Schadprogramm – versagen scannerbasierte Produkte häufig. Obwohl auch Whitelisting-Lösungen, wie am Fall SolarWinds beschrieben, menschliche Fehler niemals definitiv werden ausschließen können, so bilden sie doch einen zuverlässi- gen Baustein für ein effektives IT-Sicherheits- konzept. n TORSTEN VALENTIN, Gründer und CEO der SecuLution IT-SICHERHEIT_2/2021 31 CYBERSICHERHEITBilder: ©amoghdesign | ©DragonImages - stock.adobe.com

EINDÄMMEN nen erheblichen Zeitvorteil und können somit die Folgen eines Security-Vorfalls minimieren. Die Sicherheitsfachleute leisten bereits im Vor- feld eines möglichen Angriffs wichtige Hilfe. So können sie beispielsweise einen Notfallplan formulieren, der Mitarbeitenden die richtige Verhaltensweise vorstrukturiert. VERHALTEN BEI IT-NOTFÄLLEN ✓ Notfall dem verantwortlichen IT-Mitarbeiter melden ✓ Wer meldet den Vorfall? ✓ Welches IT-System ist betroffen? ✓ Wie wurde mit dem IT- System gearbeitet, was wurde beobachtet? ✓ Wann ist das Ereignis eingetreten? ✓ Wo befindet sich das betroffene IT-System (Gebäude, Raum etc.)? DIE SCHLUMMERNDE BEDROHUNG IM FIRMEN- NETZ Laut dem aktuellen Allianz Risk Barometer zählen Cyberattacken zu den größten Gefahren für Unternehmen. Viele Betriebe machen sich selbst zum leichten Ziel für Cyberkriminelle, da sie die elementaren Cybersecurity-Regeln nicht befolgen. Viele IT-Verantwortliche versäumen es, ausreichend Budget für IT-Sicherheitsmaß- nahmen einzuplanen, um beispielsweise den Wissensstand ihrer Mitarbeiter zur aktuellen Bedrohungslage auf den neuesten Stand zu bringen. „IT-Sicherheit generiert keinen Pro- fit“ ist ein vielzitiertes Totschlagargument – und leider falsch. Führungskräfte sollten sich vielmehr die Frage stellen, ob und wie lange ihr Unternehmen im Schadensfall wirtschaft- lich lebens- und handlungsfähig ist, wenn das Netzwerk entgegen aller Erwartungen doch einmal ausfällt. Vorsorge ist nämlich im Bereich IT-Sicherheit nicht nur ökonomischer, sondern auch robuster als Nachsicht. Eine effektive IT- Sicherheitsstrategie besteht nämlich nicht nur aus bewährten und geprüften IT-Sicherheits- maßnahmen. Ein Notfallplan für den Ernstfall ist ebenso essenziell, will man großen finanziellen Schaden von vornherein ausschließen oder die- sen zumindest begrenzen. Es braucht nicht viel, um Cyberkriminellen das Tor ins Unternehmensnetzwerk zu öffnen: Ein falscher Klick in einer Phishingmail, ein schlecht gesicherter Rechner, oder eine ungepatchte kritische Sicherheitslücke, wie beispielsweise die aktuelle Exchange-Lücke, reichen hierfür bereits aus. Besonders gefährlich ist, dass die Angreifer sich oft über Wochen und Monate unbemerkt im Netzwerk einnisten. Wenn nicht zufällig ein aufmerksamer IT-Mitarbeiter Un- IT-SICHERHEIT_2/2021 IT-SICHERHEIT_2/2021 33Es gibt Sicherheitsbestimmungen, die keiner Erklärung bedürfen, wie beispielsweise zur Ersten Hilfe oder beim Brandschutz. Die Fluchtwege beim Feu-eralarm sind bekannt, der Erste-Hilfe-Kasten ist gut sichtbar und zugänglich platziert. Bei IT-Sicherheitsvorfällen (Incidents) zeigt sich leider oft ein anderes Bild. Hier wissen die Angestell-ten in der Regel nicht, wie sie reagieren sollen und welchen Notruf sie wählen müssen. Grund-voraussetzung dafür ist, dass Mitarbeitende zunächst einmal in der Lage sind, einen Notfall als solchen zu identifizieren. Je früher ein Vorfall bemerkt und gemeldet wird, desto besser las-sen sich die Folgen eindämmen.Auf Incident Response spezialisierte Firmen unterstützen Unternehmen bei der Rettung und Wiederherstellung ihrer Daten und verhin-dern eine weitere Ausbreitung von Malware innerhalb der IT-Infrastruktur. Das Cyberrisiko verschärft sich stetig, weshalb sich viele Firmen für eine langfristige Zusammenarbeit mit Fach-leuten entscheiden und eine Kooperation schon vor dem Eintritt des Worst-Case-Szenarios vereinbaren – einen sogenannten Incident Re-sponse Retainer. Ziel dieser Absicherung ist die bestmögliche Resilienz gegen IT-Sicherheitsvor-fälle. Weiterhin sichern sich Firmen durch einen solchen Retainer die dauerhafte Einsatzbereit-schaft der erfahrenen IT-Experten und können dadurch schnell auf Vorfälle reagieren. Durch den kontinuierlichen Informationsaustausch verschaffen sich Unternehmen im Ernstfall ei-CYBERSICHERHEITBilder: ©iJL-art | ©pattilabelle - stock.adobe.comEin erfolgreicher Cyberangriff setzt Unternehmen unter Druck: Wenn das Tagesgeschäft zum Stillstand kommt, ist ein finanzieller Schaden unvermeidlich. Neben dem Verlust durch die entgangene Produktion kommen zusätzliche Kosten für die Wiederherstellung der Daten hinzu. Es gibt jedoch geeignete Maßnahmen zur Vorsorge gegen IT-Sicherheitsvorfälle.

HZ208307 · ISSN 1868-5757 · www.datakontext.com April 2/2021 Fakten und Perspektiven der IT im Gesundheitswesen JOURNAL IT-Sicherheit im Krankenhaus Krankenhaus- zukunftsgesetz: Förderung und Verpflichtungen Cybersicherheit: Stabile IT trotz fiesen Attacken Marktüberblick: Relevante Hersteller/Dienstleister und ihre Angebote

IMPRESSUM www.itsicherheit-online.com in Kooperation mit Fakten und Perspektiven der IT im Gesundheitswesen JOURNAL www.krankenhaus-it.de SPECIAL: IT-Sicherheit im Krankenhaus Verlag: DATAKONTEXT GmbH Standort Frechen Augustinusstr. 9d · 50226 Frechen www.datakontext.com Chefredaktion: Stefan Mutschler (S.M.) E-Mail: stefan-mutschler@t-online.de Redaktion: Dr. Peter Münch (P.M.), Dr. jur. Martin Zilkens (M.Z.), Online-Redaktion: Jessica Herz Leitung Online herz@datakontext.com +49 2234 98949 -80 Silvia Klüglich Herausgeberbeirat: Prof. Dr. Michael Backes, Prof. Dr. jur. Dirk-M. Barton, Walter Er- nestus, Prof. Dr. Nikolaus Forgó, Prof. Dr. Rainer W. Gerling, Dr. Jan- Peter Ohrtmann, Prof. Dr. Norbert Pohlmann, Dr. jur. Martin Zilkens Gründer: † Bernd Hentschel Grafik/Layout/Satz: Michael Paffenholz Tel.: +49 173 8382572 E-Mail: michael.paffenholz@gmx.de Objekt- und Anzeigenleitung: Wolfgang Scharf Tel.: +49 2234 98949-60 E-Mail: wolfgang.scharf@datakontext.com zzt. gilt die Anzeigenpreisliste Nr. 27 Vertrieb/Herstellung: Dieter Schulz Tel.: +49 2234 98949-99 dieter.schulz@datakontext.com Abonnement: Jahresabonnement € 98,- inkl. VK (Inland) Erscheinungsweise: sechs Ausgaben Alle Preise verstehen sich inkl. MwSt. Der Abonnementpreis wird im Voraus in Rechnung gestellt. Das Abonnement verlängert sich zu den jeweils gültigen Bedingungen um ein Jahr, wenn es nicht mit einer Frist von 8 Wochen zum Ende des Bezugszeitraumes gekündigt wird. Erscheinungsweise, Bezugspreise und -bedingungen: Abon- nement und Bezugspreis beinhalten die Print-Ausgabe sowie eine Lizenz für das Online-Archiv. Die Bestandteile des Abonnements sind nicht einzeln kündbar. Der Preisanteil des Online-Archivs ist auf der Abonnementrechnung separat ausgewiesen. Aboservice: Hüthig Jehle Rehm GmbH, München, Tel.: +49 89 21 83-7110 Druck: Grafisches Centrum Cuno GmbH & Co. KG, Calbe (Saale) © DATAKONTEXT Mit Namen gekennzeichnete Beiträge stellen nicht unbedingt die Meinung der Redaktion oder des Verlages dar. Für unverlangt eingeschickte Manuskripte übernehmen wir keine Haftung. Mit der Annahme zur Veröffentlichung erwirbt der Verlag vom Verfasser alle Rechte, einschließlich der weiteren Vervielfälti- gung zu gewerblichen Zwecken. Die Zeitschrift und alle in ihr enthaltenen Beiträge und Abbildungen sind urheber rechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Ur heberrechtsgesetzes ist ohne Zustimmung des Verlags unzu- lässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Titelbild: ©sasun Bughdaryan - stock.adobe.com Fotos: Firmenbilder; DATAKONTEXT; ©Technogroup IT-Service GmbH/Annika List; Christian Horn | www.fotografie-christian- horn.de; ©istock.com/ADK-photography, ©iStock.com/ ipopba,©iStock.com/SDI Productions, ©iStock.com/ipopba, ©iStock.com/xijian; ©iStockphoto.com/Deagreez, ©istockphoto. com/LeoWolfert; © 2019 Shutterstock, ©sfam_photo/ Shutterstock.com; ©Getty Images/PeopleImages; © (adam121, artinspiring, AlexBlogoodf, bestber, bestber, diy13, elenabsl, elenabsl, everythingpossible, Gorodenkoff, HNFOTO, ipopba, Lime, LuckyStep, mast3r, sasun Bughdaryan, maxsim, natali_mis, CarryLove, Paulista, sudok1, Thaut Images, utah51, WhataWin) - stock.adobe.com 27. Jahrgang 2021 · ISSN: 1868-5757 EDITORIAL Liebe Leser, die Corona-Pandemie stellt die Krankenhäuser in Deutschland vor eine extreme Belastungssituation. Für ein „digitales Update“ stellen Bund und Länder mit dem Krankenhauszukunftsgesetz (KHZG) 4,3 Milliarden Euro bereit, damit Kranken- häuser unter anderem in moderne Notfallkapazitäten und die Digitalisierung investieren können. Mit voranschreitender Digitalisierung muss auch die Sicherheit der IT-Infrastruktur in hohem Maß sichergestellt werden. Besonders das KHZG besagt ausdrücklich, dass mindestens 15 Prozent der gewährten Fördermittel für Maßnahmen zur Verbesserung der Informationssicherheit zu verwenden sind (§ 14a Absatz 3 KHZG). Da Krankenhäuser laut aktuellen Studien vermehrt von Cyberattacken mit Ransomware und Phishingmails bedroht sind, kommt diese Maßnahme genau zur richtigen Zeit – denn ein Ausfall der IT in einem Krankenhaus muss mit aller Gewalt verhindert werden. Ein Virus ist genug! Diese Ausgabe soll Ihnen dabei helfen, einen Überblick über die Konzepte, Strategien und Produkte am Markt zu erhalten. Nutzen Sie diese Informationen für die passgenaue Lösung bei der Bedrohungslage für Ihr Haus. Wir wünschen Ihnen viel Spaß beim Lesen! Ihr Kim Wehrs Kim Wehrs Liebe Leser, die Digitalisierung hat weltweit ein hohes Tempo aufgenommen – massiv befeuert durch die Auswirkungen der Pandemie. Auch wenn Deutschland hier nicht gerade als Vorreiter gilt – laut EU-Index für die digitale Wirtschaft und Gesellschaft (DESI) für 2020 kommen die Dichter und Denker nur auf den 12. Platz – doch ohne funktio- nierende IT würde auch hier das Leben stillstehen.. Mit jedem Gerät, das neu ins Netz geht, steigt gleichzeitig die Abhängigkeit von der IT. Das macht die Gesellschaft auf einem Feld verwundbar, auf dem sich konstruktive und destruktive Kräfte in einen permanenten Wettlauf befinden – Letztere aber keine noch so hinterhältige und fiese Methode auslassen, um sich einen Vorteil zu verschaf- erschaf erschaf fen. Dass oft global gut vernetzte und technisch vom Feinsten ausgestattete Cyberkri- minelle auch vor Krankenhäusern nicht Halt machen, zeigte der Fall am Uniklinikum Düsseldorf vergangenes Jahr auf dramatische Weise. Das Krankenhauszukunftsge- setz, das mit einem 4,3 Milliarden Euro schweren Fördertopf als Digitalisierungshilfe auf den Weg gebracht wurde, will ausdrücklich auch die IT-Sicherheit stärken. Unternehmen und Organisationen aller Art zu unterstützen, im Rahmen ihrer Digitalisierung eine erfolgreiche Verteidigung aufzubauen, ist das Kernanliegen von IT-SICHERHEIT – und das übrigens schon seit 27 Jahren. Gemeinsam mit unserem Kooperationspartner Krankenhaus-IT-Journal haben wir dieses Special ins Leben gerufen. Sie finden hier neben strategischer und technischer Unterstützung auch wich- tige Infos für einen aussichtsreichen Fördermittelantrag sowie einen Orientierungs-Guide mit einem Großteil der relevanten Security-Anbieter. Viel Freude und Erfolg mit dem gemeinsamen Produkt! Ihr Stefan Mutschler Stefan Mutschler SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 3

43 Garantierter Schutz vor Schadsoftware mit Expertise im Gesundheitswesen Endpoint-Sicherheit in Kliniken: Nichts dem Zufall überlassen! 44 Warum das Gesundheits wesen einen betriebs zentrierten Ansatz zur Cybersicherheit braucht 46 Kliniken und Krankenhäuser brauchen mehr IT-Sicherheit Hacker haben immer öfter das Gesundheits- wesen im Fokus 47 Drucktechnologie Made in Germany 48 IT-Sicherheit im Krankenhaus: Nicht ohne den Faktor Mensch 50 E-Mail-Sicherheit über das Konjunktur- programm verbessern 52 Notfallpatient Datensicherheit 54 Krankenhauszukunft: Rundum sicher und gesetzeskonform 55 IT-Sicherheit im Krankenhaus Umsetzung von B3S für Krankenhäuser mit DocSetMinder 56 Retarus ermöglicht sichere Kommunikation im Gesundheitswesen 57 Wenn alle Daten verschlüsselt sind Backup ist die letzte Rettung 60 Controlware Cyber Defense Services Idealer Schutz für Krankenhäuser und medizinische Einrichtungen 61 MailStore Server: effiziente und datenschutz konforme E-Mail- Archivierung im Krankenhaus 62 Web-Isolation im Krankenhaus Gesundes Sicherheitsniveau 64 Patient Krankenhaus: Impfstoff für die IT-Infrastruktur 66 IT- und Cybersicherheit: Patientendaten und Netzwerke gleichermaßen geschützt 68 Digitalisierung im Gesundheitswesen: sicher mit Verschlüsselung 69 Krankenhauszukunftsgesetz fordert Maßnahmen für IT-Sicherheit: Worauf Krankenhäuser bei der Bedarfsanmeldung achten müssen 70 Boxcryptor: Cloud-Sicherheit „Made in Germany“ für die Gesundheits branche 72 KI-gestützte Angriffe und der Kampf der Algorithmen Inhalt 74 Integrierte Prozess digitalisierung zum Schutz kritischer Infrastrukturen (KRITIS) Oder die Grenzen von Excel und E-Mail in den einzelnen Silos 76 Gefährliche Cyberattacken: Krankenhäuser systematisch sichern 78 Patientendaten zuverlässig schützen 80 Digitalisierung im Krankenhaus, aber sicher 82 Damit Digitalisierung nicht zum Gesundheitsrisiko wird: IT-Sicherheit für Krankenhäuser 83 Micro Data Center: Kleines Rechen zentrum mit großem Nutzen 84 Ein digitalisiertes Gesundheitswesen muss auch sicher sein 86 IT-Abteilung entlasten durch neue Wege in Support und Wartung 88 Z1 HealthSecure schützt Ihre E-Mail- Kommunikation im Gesundheitswesen Secure E-Mail Gateway | KHZG – Fördertatbestand 10 90 Als Klinik mehr Digitalisierung wagen 92 Mehr Cybersicherheit ist gefragt: Warum Deutschlands Kliniken jetzt handeln müssen 94 Der digitale Arbeitsplatz „Made in Germany“ für das Gesundheitswesen Ihr Weg zu einem sicheren Datenaustausch – ohne Risiken und Nebenwirkungen 96 Moderne und sichere IT für das Gesundheitswesen Das Krankenhauszukunftsgesetz ist erst der Anfang 98 Wenn IT-Sicherheit zum Lebensretter wird 100 „Sicherheit ja, aber ich möchte mein KeePass behalten …“ Pleasant Password Server kennt die Nöte der IT-Admins 101 Netzwerke Made in Germany Das sichere Rückgrat moderner Klinik-IT 102 It’s all about Access: Zugänge kontrollieren, Mitarbeiter und Patienten schützen 104 Durch das Zukunftsprogramm für Krankenhäuser fließen Gelder für die IT-Sicherheit IT-Sicherheits-Update für Krankenhäuser SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 5

Sechs Tipps zur Auswahl einer E-Mail-Security-Lösung für Krankenhäuser Den Fördertopf gezielt nutzen E-Mail-Kommunikation ist in vielen Krankenhäusern die Achillesferse der IT-Sicherheit. Begünstigt durch die Fördermittel des Krankenhaus zukunfts gesetzes (KHZG) suchen viele Häuser derzeit eine neue E-Mail-Security- Lösung. Da Krankenhäuser spezifische Anforderungen haben, lohnt sich ein detaillierter Blick darauf. H äufig fehlte es in Kliniken dem Bundesamt für Si- cherheit in der Informationstechnik (BSI) zufol- ge am finanziellen Budget, um die notwendigen Grundlagen für mehr IT-Sicherheit zu schaffen. Da kommen die KHZG-Mittel zum Austausch der E-Mail-Security-Lösung gerade recht. Bei der Auswahl einer neuen E-Mail-Security- Infrastruktur sollten Krankenhäuser ihre spezifischen Anfor- derungen als Checkliste verwenden: 1. Benutzerfreundlich und robust Der Zugriff auf Patienteninformationen erfolgt oft im Kontext der Behandlung und in kritischen Situationen. Die E-Mail-Security-Lösung darf hier keinen Mehraufwand er- fordern oder die Entschlüsselung einer E-Mail fehlschlagen. Niemand vom medizinischen Personal will sich mit Zertifika- ten herumschlagen. Lösungen, die robust und automatisiert im Hintergrund arbeiten und so einen hohen Benutzerkom- fort bieten, sind somit klar im Vorteil. Eine wichtige Bewer- tung bietet hier das unabhängige jährliche User-Ranking von techconsult. 2. Gateway-basiert Die Anzahl netzwerkfähiger Geräte im Krankenhaus ist auch durch die Medizintechnik massiv gewachsen. Zwar ist die Zahl der E-Mail-fähigen Clients geringer, aber das Manage- ment der Geräte bleibt eine Herausforderung. Zentrale Gate- way-Lösungen haben hier gegenüber allen Client-basierten Technologien deutliche Vorteile und entlasten die IT. 3. Kontrollierte Offenheit und Standards Die Vernetzung der Ärzteschaft in Forschungsprojek- ten erfordert E-Mail-Kommunikation mit vielen externen Teilnehmern – national wie international. Hier muss die Lö- sung, beispielsweise ein Excel-Dokument mit wichtigen Stu- diendaten, sicherzustellen können, ohne gleich ein Scheunen- tor für Malware und Trojaner aufzumachen. Dazu braucht sie eine feingranulare Steuerung, wirksame Reputationsprüfung, selbstlernende White-Lists und eine zentrale Malware Intel- ligence. Auch muss sie eine sichere und einfache Verschlüs- selung und den Transfer großer Datenmengen ermöglichen. Häufig vorgeschlagene proprietäre Übertragungsverfahren oder Portallösungen haben den Nachteil, dass nicht alle Kom- munikationspartner über die erforderliche Technik oder Zu- gänge verfügen. Zudem öffnen sie neue Sicherheitslücken, wenn sie nicht durch die IT-Abteilung kontrolliert werden, und der zusätzliche Aufwand für die Verwaltung der Zugän- ge ist immens. 4. Automatisierte Sicherheit Die Schutzwirkung von User Awareness im Kranken- haus ist durch häufig wechselndes Personal und enormen Zeitdruck deutlich verringert. Wo immer Schutz automatisiert hergestellt werden kann, sollte das geschehen. Zudem sollte die E-Mail-Security-Lösung besonders sensibel auf Angriffs- methoden, wie CEO-Fraud und Social Engineering, reagieren können. Auch hier sind Lösungen mit intensiver Prüfung der Absenderreputation im Vorteil. 5. Effiziente Administration Hoher Personalbestand und hohe Fluktuation machen die IT-seitige Administration einer Lösung schnell zum Alb- traum, wenn diese nicht weitgehend automatisiert werden kann. Eine tiefe Integration mit AD-Gruppen und vollständig automatisierte Zertifikatsverwaltung sind unverzichtbare Auswahlkriterien. 6. Made in Germany Auch E-Mail-Security-Lösungen vernetzen sich zu- nehmend für Cloud-Intelligenz. Mit Lösungen aus Deutsch- land sind Gesundheitseinrichtungen in Sachen Datenschutz auf der sicheren Seite. Zudem bieten lokale Hersteller in der Regel schnelleren und besseren Support. Krankenhäuser sollten mit dem Rückenwind der KHZG- Mittel jetzt eine leistungsfähige und zukunftssichere E-Mail- Security-Lösung einführen. Die Bedrohungslage nimmt stetig zu, Mittel stehen bereit, und es gibt gute Produkte, die den spe- zifischen Bedarf im Krankenhaus effizient decken und schnell einzuführen sind. n Bernd Hoeck, freier Journalist und IT-Experte SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 7

und Rollen geregelt sein. Diese Maßnahmen treffen ebenfalls nach der Analyse des besonderen Schutzbedarfs der IT- und Anwendungen auf die zu veranlassende Priorisierung im Not- fall zu. Häufig ist die Handlungskette – bestehend aus Schutz- bedarfsanalyse, Business Impact Analyse, Risikoerfassung, Risikobewertung, und Ableitung von Gegenmaßnahmen, Notfallplanung, Wiederanlaufplanung (BCM), Notfallvorsor- geplanung und auch Übungs- und Testplanung – nicht aus- reichend ausgeprägt. Die sich daraus ergebenden Schäden durch Betriebsbeein- trächtigungen oder -unterbrechungen, Einschränkung von Services, Kosten der Behandlung der Vorfälle, Kosten der Wie- derherstellung von Systemen und Kosten der Beteiligung und Einbindung von Aufsichtsbehörden sind häufig sehr hoch. Im Krankenhaus können Betriebsbeeinträchtigungen der IT so- gar Menschenleben gefährden. Reputationsschäden, Verlust von Vertrauen in Services und Produkte, Fremdschäden (zum Beispiel gesetzliche, vertragliche oder anderweitige Verpflich- tungen gegenüber Dritten können nicht erfüllt werden) und weitere Folgekosten (zum Beispiel Maßnahmen zur Verbesse- rung der IT-Struktur) kommen dazu. Aus diesem Grund ist es erforderlich, bei der Auswahl der IT-Dienstleister klare Kriterien für sich zu erheben und auch die Bewertungskriterien vorab festzulegen. In Bild 1 sind die Bereiche der Bewertungskriterien aufgeführt, die auf jeden Fall berücksichtigt werden sollten. Bild 1: Herausforderungen und Ziele bei der Wahl des IT-Dienstleisters Mithilfe von festgelegten Einzelkriterien, welche die Be- wertungsgruppen unterfüttern, kann dann die Bewertung er- folgen. Wie das in der Praxis aussieht, zeigt Bild 2 am Beispiel Innovationsfähigkeit. Bild 2: Ausschnitt aus der Checkliste: Innovationsfähigkeit Für eine Vorauswahl bei der Suche nach einem IT-Dienst- leister kommen verschiedene Quellen in Frage: ƒ Branchenverbände ƒ Kammern ƒ Firmendatenbanken ƒ Verzeichnisse von Sachverständigen ƒ BSI/Allianz für Cybersecurity ƒ Transferstellen ƒ Verbände von IT-Dienstleistern ƒ IT-Netzwerke ƒ B2B-Plattformen Bei besonderen IT-Notfällen und ungenügender Vorsor- ge greifen die Suchen bei diesen Stellen eventuell weniger. Eine gute Adresse wäre dann beispielsweise das Cybersicher- heitsnetzwerk. Dessen reaktive Möglichkeiten werden aktu- ell vom Bundesamt für Sicherheit in der Informationstech- nik (BSI) gestärkt.(1) Neben der Rolle der Ansprech partner ist auch eine Ausbildung von Vorfallsexperten ein wesentlicher Erfolgsfaktor. Die Umsetzung der Rolle von Ansprechstellen bei IT-Vorfällen muss aber auch regional ausgeprägt werden. Insofern stellt diese Entwicklung eine besondere Chance für IT-(Sicherheits-)Netzwerke und deren Mitglieder dar. Für den Nachfrager nach IT-Dienstleistungen bieten sich neue Mög- lichkeiten, seine Suche gebündelt vornehmen zu können oder gegebenenfalls auch im Notfall auf einen Ansprechpartner zu- gehen zu können. Eine neue Studie im Auftrag des Bundesmi- nisteriums für Wirtschaft und Energie (BMWi) untersucht in diesem Zusammenhang, welche IT-Dienstleister mit KMU in IT-Sicherheitsprojekten zusammenarbeiten und welche Leis- tungen Sie KMU anbieten, beziehungsweise von Mittelständ- lern nachgefragt werden.(2) n Quellen: (1) https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen- und-Empfehlungen/Cyber-Sicherheitsnetzwerk/cyber-sicherheitsnetzwerk_node.html (2) https://www.bmwi.de/Redaktion/DE/Publikationen/Studien/it-dienstleister-als-akteure-zur- staerkung-der-it-sicherheit-bei-kmu-in-deutschland.html Christian Köhler, Vorstandsvorsitzender it´s.BB e.V., NKMG mbH, Philip Steinkrüger NKMG SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 9

Effizient und DSGVO-konform E-Mail-Daten aufbewahren E-Mail: Backup oder Archivierung? Täglich verarbeiten und übermitteln Krankenhäuser personenbezogene Patienten informationen sowie Gesundheits- und Behandlungsdaten. Aufgrund der höchst persönlichen Informationen müssen sie besonders geschützt werden und unterliegen dadurch stärkeren datenschutzrechtlichen Anforderungen. Doch inwiefern betrifft das die Archivierung von E-Mails, und wie unterscheidet sich diese Aufbewahrungsform vom Backup? I n Deutschland müssen Unternehmen Korrespondenzen, die ein Geschäft veranlassen, abschließen oder revidieren – auch in Form von E-Mails – vollständig, manipulati- onssicher und langfristig aufbewahren sowie jederzeit verfüg- bar halten. Grundlage dafür sind in erster Linie Bestimmungen der Abgabenordnung (AO) und des Handelsgesetzbuches (HGB). Krankenhäuser müssen zudem relevante Korrespondenzen unter denselben Vorgaben aufbewahren, die zum Beispiel Ge- sundheitsdaten oder Rechnungen über Behandlungskosten beinhalten können. Diese sind laut Art. 9 DSGVO besonders schutzbedürftig und dürfen nur mit expliziter Einwilligung der Patienten gespeichert, verarbeitet und versendet werden. Eine professionelle E-Mail-Archivierung kann Kranken- häuser dabei unterstützen, dass die Datengrundlage zu allen Zeiten lückenlos, vollständig und manipulationssicher verfüg- bar ist (Stichwort: „revisionssichere E-Mail-Archivierung“). E-Mail-Archivierung vs. Backup: Die wichtigsten Unterschiede 1. Vollständig, manipulationssicher, langfristig Backup-Lösungen reichen für E-Mails nicht aus, denn es fehlen wichtige Funktionen zur Einhaltung der rechtlichen Vorgaben. Der offensichtlichste Unterschied besteht im häu- fig lückenhaften Backup-Datenbestand. Üblicherweise wer- den lediglich aktuelle „Momentaufnahmen“ des Mail-Servers („Snapshots“) auf einem externen Speichermedium oder ei- nem Cloud-Dienst abgelegt. Mitarbeiter können vorab wichti- ge Inhalte löschen oder manipulieren. Archivierungslösungen erlauben etwa die Journalarchivierung, was die lückenlose Ar- chivierung aller ein- und ausgehenden E-Mails erst möglich macht. Es gibt auch Unterschiede in der Aufbewahrungsdau- er: Die Backup-Lösung hält Mail-Daten üblicherweise lediglich kurz- bis mittelfristig fest, da der beschriebene Speicher nach einem gewissen Zeitraum gelöscht oder mit neuen Backups überschrieben wird. Archivierungslösungen sind hingegen langfristig angelegt. 2. Verfügbarkeit Angenommen ein Patient war vor einiger Zeit zur Be- handlung im Krankenhaus. Für den weiterbehandelnden Arzt und die Versicherung braucht er seine Gesundheitsdaten aus diesem Zeitraum. Das Krankenhaus sollte diese Daten mög- lichst effizient zur Verfügung stellen können. Daher muss die Archivierungslösung über Funktionen verfügen, welche die Suche innerhalb der archivierten E-Mails ermöglicht und die Suchergebnisse in einem geeigneten Standardformat expor- tiert. Diese Funktionen sind bei Backup-Lösungen häufig ein- geschränkt und in den meisten Fällen dem IT-Admin vorbe- halten. Professionelle Archivlösungen hingegen erlauben es dem Krankenhauspersonal, den Archivbestand selbstständig zu durchsuchen und Daten wiederherzustellen. 3. Individuelle Aufbewahrungsrichtlinien Im Gegensatz zu Backup-Lösungen unterstützen gute Ar- chivierungslösungen die IT-Abteilung durch umfangreiche automatisierte Funktionen zur Erstellung individueller Auf- bewahrungsrichtlinien. Damit können IT-Admins unter an- derem Fristen für E-Mail-Korrespondenzen definieren, nach deren Ablauf Daten automatisch gelöscht werden. Dies unter- stützt die Einhaltung rechtlicher Vorgaben, aber auch interner Vorgaben zur E-Mail-Governance. Das Ziel einer Backup-Lösung liegt in der kurz- bis mittel- fristigen externen Speicherung von Mail-Daten beziehungs- weise des ganzen E-Mail-Servers für die Disaster Recovery. Mit E-Mail-Archivierung lassen sich E-Mails sicher, langfristig und vor allem vollständig aufbewahren. n Roland Latzel, Director of Marketing bei MailStore SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 11 . . m o c e b o d a k c o t s - f d o o g o B x e A © l l : d l i B

Abwägungen in Sachen Cloud Viele Organisationen wollen die Vorteile der Cloud nutzen, zögern jedoch aufgrund von Sicherheitsbedenken – besonders im Gesundheitswesen. Daten, die immer und überall zuverlässig verfügbar sind, stehen dem befürchteten Verlust der Kontrolle über ver trauliche, hochsensible Daten gegenüber. Doch gut umgesetzt ist eine Cloud-Strategie sicherer als eine aus eigener Kraft verwaltete Speicherlösung. Anbieter von Clouds sorgen in der Regel für ISO-27001-zertifizierte Rechenzentren und räumlich getrennte Server, womit die Verfügbarkeit oder ein Backup der Daten jederzeit möglich ist. Server, womit die Verfügbarkeit oder ein Backup der Daten jederzeit möglich ist. E s spricht vieles für die Cloud, aber die Verantwortung für die Sicherheit der Daten trägt schlussendlich im- mer das Unternehmen, dem die Daten gehören. So müssen Krankenhäuser, Kliniken oder Arztpraxen zu jeder Zeit selbst sicherstellen, dass die vertraulichen Daten ihrer Pa- tienten ausreichend geschützt sind. Verschlüsselung zum Schutz von personenbezogenen Daten Laut Bundesdatenschutzgesetz (BDSG) und Datenschutz- Grundverordnung der EU (DS-GVO, Art. 32) müssen Gesund- heitsorganisationen, die Daten verarbeiten, geeignete tech- nische und organisatorische Maßnahmen (TOM) zum Schutz von sensiblen personenbezogenen Daten umsetzen. Die Wahl der Sicherheitsmaßnahmen obliegt den Organisationen selbst, doch Verschlüsselung wird als wichtiges Mittel der Datensi- cherung empfohlen. Gesundheitsdienstleiter können durch das Verschlüsseln von Daten das Risiko des Verlusts vertrauli- cher Informationen extrem minimieren. Denn ganz gleich, wo die Daten gespeichert sind: Wenn sie verschlüsselt sind, kön- nen ausschließlich Personen, die den entsprechenden Schlüs- sel besitzen, darauf zugreifen. Die Verschlüsselung von Daten stärkt die IT-Sicherheit: Vertrauliche Daten werden in zufällige und unlesbare Zei- chenfolgen umgewandelt. Nutzer behalten die volle Kontrolle über ihre Daten, und kein unerwünschter Eindringling kann den Inhalt ihrer Dateien in der Cloud einsehen. Verschlüsselung ist nicht gleich Verschlüsselung Auch einige Cloud-Speicheranbieter verschlüsseln ihre Da- ten. Allerdings ist damit klar, dass diese Anbieter somit auch den Schlüssel besitzen, um sie wieder zu entschlüsseln. In der Theorie könnten die Cloud-Anbieter so auf die in der Cloud abgelegten Informationen zugreifen, zum Beispiel, wenn sie zur Herausgabe der Daten aufgefordert werden (beispielswei- se von US-Behörden im Fall der amerikanischen Cloud-Spei- cheranbieter). Zusätzlich zu den Sicherheitsfunktionen, die ein Cloud-Speicher selbst zu bieten hat, sollte eine Ende- zu-Ende-Verschlüsselung nach Zero-Knowledge- Standard eingesetzt werden. Ende-zu-Ende-Verschlüsselung stellt sicher, dass die Da- ten bereits auf dem Endgerät verschlüsselt werden und somit zu keiner Zeit in Klartext einsehbar sind. Bei Verschlüsselung nach dem Zero-Knowledge-Standard besitzt niemand außer dem Nutzer selbst den Schlüssel, mit dem die Dateien wie- der entschlüsselt werden können. Alle Mitarbeiter können wie gewohnt mit den Daten arbeiten und sie teilen, ohne dass sie durch die Sicherheitsmaßnahmen im Hintergrund im tägli- chen Arbeitsablauf eingeschränkt werden. Fazit Ende-zu-Ende-Verschlüsselung ermöglicht Beschäftig- ten des Gesundheitswesens, die Vorteile der Cloud zu nutzen und gleichzeitig Datenschutzbestimmungen nach BDSG und DS-GVO einzuhalten. Somit können sie sich darauf konzen- trieren, worauf es wirklich ankommt: gute Betreuung und Behandlung ihrer Patienten. Bei einem etwaigen Sicherheits- vorfall könnten Angreifer die gestohlenen Daten nicht lesen, geschweige denn in irgendeiner Weise verwenden. n Johanna Reisacher, Marketing Managerin, Secomba GmbH | Boxcryptor SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 13 . . m o c e b o d a k c o t s - 2 4 a r i a t © : d l i B

Mehr Patientendaten-Leaks und Cyberangriffe 2021 Gesundheitswesen unter Feuer Die Corona-Pandemie hat das alltägliche Leben und auch das Gesundheitswesen nachhaltig beeinflusst. Cyberangriffe auf Covid-Impfstoffhersteller, Krankenhäuser oder Forschungseinrichtungen haben das Thema IT-Sicherheit im Healthcare-Sektor in den Fokus gerückt. Ein Ausblick auf Basis bisheriger Erkenntnisse führt zu dem klaren Schluss, dass Angreifer ihre Aktivitäten künftig noch deutlich intensivieren werden. D ie Welt kämpft nicht nur gegen den Virus, son- dern erlebt bis heute auch einen Wettlauf zwischen Pharmaunternehmen. Jeder bedeutende Durch- bruch wird hierbei vermutlich zu gezielten Cyberangriffen auf das jeweilige Unternehmen führen – mit dem Versuch sen- sible Daten zu stehlen. Generell wurde das Thema Gesundheit für eine Reihe von Attacken unterschiedlicher Komplexität missbraucht: von einfachen E-Mails mit schädlichen Anhän- gen über Phishing bis hin zu zielgerichteten Angriffen. Um die Nutzer zu täuschen, fälschten die Angreifer Aussagen und Do- kumente verschiedener medizinischer Einrichtungen, darun- ter der WHO, und versprachen Medikamente und Impfstoffe. Dabei wird es jedoch in diesem Jahr nicht bleiben. Angriffe auf kleine und mittelgroße Unternehmen (KMU) im Medizinsektor In Ländern mit einer hochentwickelten, öffentlich zugäng- lichen Gesundheitsversorgung werden KMU im privaten me- dizinischen Sektor verstärkt Angriffen ausgesetzt sein. Denn der Schutz von Patientendaten und technischen Infrastruk- turen ist relativ kostenintensiv und daher für einige Unter- nehmen – insbesondere in wirtschaftlich herausfordernden Zeiten – nur schwer zu implementieren. Leaks von Patientendaten bei Cloud-Diensten Die zunehmende Nutzung von Cloud-Infrastrukturen durch Gesundheitseinrichtungen sowie die Speicherung per- sönlicher Informationen in der Cloud bergen zusätzliche Risi- ken. Angesichts verstärkter Versuche von Cyberkriminellen, Zugriff auf gesundheitsbezogene Nutzerdaten zu erlangen, sind Healthcare-Einrichtungen gezwungen, ernsthafte Maß- nahmen umzusetzen, um ihre Cloud-Infrastrukturen vor Kompromittierungen möglichst umfassend zu schützen. Die Vergangenheit hat gezeigt, dass Sicherheitsvorfälle – wie die Wannacry-Epidemie, die im Jahr 2017 unter ande- rem Daten der Deutschen Bahn verschlüsselt hatte, oder im aktuellen Falle die Coronapandemie – Unternehmen im Ge- sundheitssektor dazu veranlasst, der digitalen Sicherheit ihrer Infrastruktur mehr Aufmerksamkeit zu schenken. Hier wird sich in den kommenden Monaten voraussichtlich eine positi- ve Entwicklung abzeichnen, die zu einem höheren und damit besseren Sicherheitslevel von Unternehmen und Organisati- onen im Gesundheitswesen führt. n Christian Milde, Geschäftsführer DACH bei Kaspersky SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 15 . . m o c e b o d a k c o t s - g n i r i p s n i t r a © : d l i B

Den Fokus auf das Schwachstellenmanagement im Krankenhaus legen Wie sichere IT jetzt umsetzbar ist Die Mischung aus komplexen Infrastrukturen, knappen Budgets und Mangel an IT-Experten in medizinischen Einrichtungen führt zu Sicherheitslücken, die Cyber- kriminelle ausnutzen können. Die Vorfälle in der jüngsten Vergangenheit haben gezeigt, dass die Zahl der Cyberangriffe stetig steigt. Mit einem ausgereiften Schwachstellenmanagement (englisch: Vulnerability Management) lässt sich das Risiko, Opfer dieser Angriffe zu werden, deutlich reduzieren. I n Krankenhäusern und Kliniken findet man heute eine stark vernetzte IT. Die eingebundenen Systeme und An- wendungen interagieren ständig miteinander. In dem Maße, wie Systeme für das Patienten-Management, für die Bildverarbeitung oder für das Monitoring in den Intensivab- teilungen, aber auch für das Gebäude-Management mitein- ander kommunizieren, entsteht eine riesige Angriffsfläche. Diese nutzen Cyberkriminelle immer stärker aus. Daher er- höht der Gesetzgeber auch ab 2022 die Sicherheitsstandards im Krankenhaussektor. Laut Patientendaten-Schutz-Gesetz sind dann nicht mehr nur KRITIS-Einrichtungen verpflichtet, den Sicherheitskatalog B3S (1) zu erfüllen, sondern auch alle Kran- kenhäuser. Doch das ist leichter gesagt als getan. Denn die Infrastruk- tur in vielen Einrichtungen ist aufgrund fehlender finanzieller Mittel veraltet. Dem will die Politik nun mit dem Kranken- hauszukunftsgesetz (KHZG) inklusive Krankenhauszukunfts- fonds (KHZF) (2) entgegenwirken. Bund und Länder fördern die nötige Digitalisierung im Gesundheitswesen mit insgesamt 4,3 Milliarden Euro. 15 Prozent der Digitalisierungsmaßnah- men der Healthcare-Einrichtungen müssen dabei die IT-Si- cherheit adressieren. Schwachstellen an der Tagesordnung Sicherheitslücken entstehen im Krankenhaus-Umfeld vor allem durch Legacy-Systeme, Medizintechnik, die sich nicht patchen lässt, oder falsche Konfigurationen. Die aktuelle Ge- fährdungslage veranschaulicht die Preview-Studie „Epidemic? The Attack Surface of German Hospitals during the COVID-19 Pandemic“ (3) von Alpha Strike Labs, Limes Security und der Universität der Bundeswehr für die CyCon-Konferenz der NATO im Mai 2021. So weisen die 1.500 gescannten deutschen (1) https://www.dkgev.de/fileadmin/default/Mediapool/2_Themen/2.1_Digitalisierung_ Daten/2.1.4._IT-Sicherheit_und_technischer_Datenschutz/2.1.4.1._IT-Sicherheit_im_ Krankenhaus/B3S_KH_v1.1_8a_geprueft.pdf (2) https://www.bundesgesundheitsministerium.de/krankenhauszukunftsgesetz.html (3) https://arxiv.org/abs/2101.07912 Krankenhäuser über 900 kritische Schwachstellen auf. Damit sind 36 Prozent der Healthcare-Einrichtungen angreifbar. Automatisiert gegensteuern Die Hauptaufgabe für Kliniken besteht daher darin, ihr Ri- sikopotenzial erheblich zu senken. Dazu müssen sie einen Vul- nerability-Management-Prozess (VM-Prozess) etablieren, der folgende Schritte umfasst: vorbereiten, identifizieren, klassi- fizieren, priorisieren, zuordnen, entschärfen und beseitigen, aufheben/wiederholen und, im letzten Schritt, verbessern. Das VM sollte in einer durchgängigen Security-Architektur mit anderen Sicherheitslösungen, wie Firewalls und Intrusi- on Detection Systems (IDS) oder Intrusion Prevention Systems (IPS), zusammenarbeiten. In der Konstellation obliegt es dem VM, digitale Risiken in kritischen Geschäftsprozessen sichtbar zu machen. Eine ausgereifte VM-Lösung prüft Systeme im Netzwerk größtenteils automatisiert und spürt Sicherheitslü- cken auf. Diese priorisiert sie nach Handlungsbedarf und gibt Hinweise, wie sie sich schließen lassen. Sichere Digitalisierung für das Wohlergehen des Patienten Krankenhäuser betreiben schwer abzusichernde IT-Um- gebungen. Gleichzeitig erhöht der Gesetzgeber ab 2022 die Si- cherheitsstandards im Krankenhaussektor. Daher bietet der 4,3 Milliarden Euro große KHZF die Chance, dass sich alle im Gesundheitssektor ein Sicherheitsfundament schaffen und ihre eigene Digitalisierung sicher vorantreiben. Denn die IT hat die Patientenversorgung unter allen Umständen zu ge- währleisten. Dafür müssen Krankenhäuser in der Lage sein, Schwachstellen schnell zu schließen. n Elmar Geese, COO bei Greenbone Networks (Foto: Greenbone) SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 17

Nach dem Angriff auf das Uniklinikum Düsseldorf Mit KI gegen Ransomware Ransomware verursacht weiterhin Chaos und Unterbrechungen in Unternehmen auf Ransomware verursacht weiterhin Chaos und Unterbrechungen in Unternehmen auf der ganzen Welt – mit immer schwerwiegenderen Folgen und gegen zunehmend der ganzen Welt – mit immer schwerwiegenderen Folgen und gegen zunehmend hochrangige Ziele. Im September 2020 machte die Nachricht vom Tod einer Frau in Deutschland nach einem Ransomware-Angriff auf das Universitätsklinikum Düsseldorf Schlagzeilen. Sie bestätigte, dass die Bedrohung für Menschen nicht mehr theoretisch ist. Technologien aus der künstlichen Intelligenz (KI) könnten zur Abwehr solcher Angriffe hilfreich sein. R ansomware betrifft alle Branchen, aber im Jahr 2020 haben Cyberkriminelle zunehmend wichtige Dienste, wie das Gesundheitswesen, lokale Behörden und kri- tische Infrastrukturen, getroffen. Je mehr auf dem Spiel steht, desto wichtiger wird es, zu verstehen, wie man diese verhee- renden und weit verbreiteten Angriffe verhindern kann. Ransomware kann sich innerhalb von Sekunden quer durch die digitale Infrastruktur eines Unternehmens ausbrei- ten und innerhalb von Minuten ganze Systeme offline neh- men. Angreifer schlagen oft nachts oder an Wochenenden zu, wenn die Reaktionszeit der Sicherheitsteams langsamer ist. Angriffe mit maschineller Geschwindigkeit erfordern eine Ab- wehr mit gleicher Geschwindigkeit, die diese Bedrohung ohne menschliche Führung erkennen und darauf reagieren kann und die Bedrohung autonom blockiert. Einblicke aus einer echten Infektion In Beispiel Uniklinik Düsseldorf war der ursprüngliche Infektionsvektor Spear-Phishing. 2020 war die Verwendung von Phishingmails mit Pandemie-Thematik eine beliebte Me- thode, um Ransomware in Gesundheitsorganisationen einzu- schleusen. Die traditionellen Gateways ließen diese oft durch. Der Angreifer begann mit Netzwerk-Scan-Aktivitäten und Enumeration, um den Zugriff auf das Subnetz für Forschung und Entwicklung zu erweitern. Ein infiziertes Gerät stellte dann eine Verbindung zu einer verdächtigen Domain her, die mit der Ransomware verbunden ist, und das TOR-Browser- Bündel wurde heruntergeladen – wahrscheinlich für Com- mand-and-Control-Zwecke. Eine große Menge sensibler Daten aus dem F³E-Subnetz wurde auf eine seltene Domain hochge- laden. Dies ist typisch für bestimmte Arten von Ransomware, die als „doppelte Bedrohung“ angesehen werden, da sie nicht nur versuchen, wichtige Dateien zu verschlüsseln, sondern auch eine Kopie davon an den Angreifer zurückschicken. Diese Form des Angriffs, auch Doxware genannt, ver- schafft dem Angreifer ein Druckmittel für den Fall, dass die Organisation sich weigert, das Lösegeld zu zahlen – er kann die Daten im Dark Web verkaufen oder beispielsweise damit drohen, geistiges Eigentum an Konkurrenten weiterzugeben. Ransomware mit KI abfangen Um diese Bedrohungen zu bekämpfen, wenden sich Un- ternehmen Sicherheitslösungen zu, die unüberwachtes ma- schinelles Lernen nutzen, um neuartige Angriffe zu erkennen und darauf zu reagieren – ohne die Notwendigkeit von Regeln und Signaturen oder menschlichem Eingreifen. Unüberwach- tes maschinelles Lernen lernt die normalen Verhaltensmuster für jeden Benutzer und jedes Gerät im gesamten Unterneh- men. Dadurch kann die Technologie anomale Aktivitäten er- kennen, die auf Bedrohungen hindeuten, ohne sich auf fest kodierte Regeln und Signaturen zu verlassen. Gezielte Angriffe mit doppelter Bedrohung sind auf dem Vormarsch und extrem gefährlich – sie zielen zunehmend auf Umgebungen mit hohem Risiko ab. Ransomware-Angriffe wie diese zeigen Unternehmen, warum eine autonome Re- aktion im aktiven Modus nicht nur „nice to have“ ist – sondern notwendig, da schnelllebige Bedrohungen maschinenschnelle Reaktionen erfordern. n Max Heinemeyer, Director of Threat Hunting bei Darktrace SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 19 . . m o c e b o d a k c o t s - f f o k n e d o r o G © : d l i B

apie apie apie apie Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust Mit Zero Trust zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit zu mehr Sicherheit Gemäß dem IBM X-Force Threat Intelligence Index (1) haben sich 2020 die Attacken im Gesundheitswesen gegenüber dem Vorjahr etwa verdoppelt. Wie schafft man es also, der steigenden Bedrohung Herr zu werden und gleichzeitig Strukturen und Prozesse zu modernisieren? Die Nutzung der Cloud bietet hierfür eine ideale Möglich keit, die zudem durch das kürzlich in Kraft getretene Krankenhauszukunfts- gesetz (2) explizit gefördert wird. Entscheidend (auch für die Förderung) ist hierbei jedoch der Ausbau der IT-Sicherheit. A ngreifer nehmen verstärkt Krankenhäuser, Medizin- ausrüster und Pharmamunternehmen ins Visier. Zero Trust hat sich als neuer Security-Ansatz in den letzten Jahren immer mehr etabliert. Demnach darf niemand auf die Systeme und Ressourcen zugreifen, bevor die Zugangs- daten des Benutzers und des verwendeten Geräts überprüft wurden – und zwar bei jedem Zugriff auf eine Ressource. Dies erfordert granulare Rechte und Kontrollen, so darf beispiels- weise eine Ärztin auf ihrem Krankenhausrechner auf sensib- le Patientendaten zugreifen, mit ihrem Smartphone kann ihr das jedoch verwehrt werden. Es geht hier also in erster Linie um mehr Kontrolle über den Zugriff auf die eigenen Daten und darüber, wohin diese Daten übertragen und gespeichert werden dürfen, wenn sie das Netzwerk verlassen. Zu diesem Zweck muss man ƒ verstehen, wo sich welche Daten befinden und wie sie klassifiziert werden sollten sowie ƒ Geräte und Benutzer identifizieren, die Zugriff auf ver- schiedene Arten von entsprechend klassifizierten Daten haben und benötigen. Traditionell haben sich viele Gesundheitseinrichtungen und Krankenhäuser wenig Gedanken über die Klassifizierung ihrer Daten gemacht, da sie diese im eigenen Netzwerk sicher wähnten. Aber die Zeiten geschlossener Systeme sind schlicht und einfach vorbei, da Daten kontinuierlich das Netzwerk ver- lassen, sei es durch medizinische Geräte, die Daten in der Cloud speichern, oder die Nutzung von Cloud-Anwendungen durch das Personal. Erschwert wird die Situation in Krankenhäu- sern durch ein reges Kommen und Gehen von Benutzern und Geräten. So sind Ärzte nicht immer Angestellte des Kranken- hauses: Beispielsweise könnten Belegärzte ihre eigenen Gerä- te und Daten in das Krankenhaus mitbringen und andershe- rum auch Daten aus dem Kliniknetzwerk wieder mitnehmen. All dies macht es schwierig, die verschiedenen Daten, Ge- räte, Benutzer und Zugangspunkte in ein ganzheitliches Si- cherheitskonzept zu integrieren. Die Daten befinden sich nicht mehr nur an einem Ort, sondern sind überall verteilt. Und die Situation wird sich in den nächsten Jahren eher verschärfen. Deshalb kommt es darauf an, schon jetzt die nötigen Grund- lagen für die effektive und vor allem sichere Verwaltung von Daten zu schaffen. Die Cloud wird sich auch in Krankenhäu- sern immer mehr durchsetzen, zumal sie auch eine ideale, da schnell umzusetzende und kostengünstige Möglichkeit dar- stellt, die oftmals in die Jahre gekommenen IT-Systeme zu modernisieren. Sicherheit für die Cloud kann aber nur aus der Cloud kom- men. Durch den Zero-Trust-Network-Access-(ZTNA-)Ansatz können – egal ob on-premises oder in der Cloud – einheitliche Richtlinien durchgesetzt werden. Das erhöht die Sicherheit in allen Bereichen. Autorisierte Benutzer erhalten basierend auf Benutzeridentität und dem Sicherheitsstatus der Gerä- te Zugriff auf ihre Anwendungen und nicht auf das gesam- te Netzwerk. So werden private Anwendungen und andere Netzwerk ressourcen effektiv geschützt. n (1) https://www.ibm.com/de-de/security/data-breach/threat-intelligence (2) https://www.bundesgesundheitsministerium.de/krankenhauszukunftsgesetz.html Frank Mild, Regional Sales Director, Central Europe SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 21 . . m o c e b o d a k c o t s - a t e z n e Z © : d l i B

Falsche Ärzte – wahre Hacker Mit gefälschten Urkunden verschaffen sich Hochstapler eine Einstellung als Arzt. Klini- ken und Praxen haben es schwer, die Betrüger zu erkennen – das wird für Patienten zur Gefahr. Genauso verhält es sich mit IT-Infrastrukturen von Kranken häusern – sie sind oftmals genauso wenig vor unerwünschten Eindringlingen aus dem Netz sicher. Bereits mit einem klugen Zugriffsmanagement ließen sich die Cyberrisiken deutlich minimieren. D ie Brisanz nimmt zu: In der Corona-Pandemie stellen Cyberattacken für die überlasteten Krankenhäuser eine noch größere Gefahr dar. Hacker dringen im- mer öfter in Computernetze von Krankenhäusern und ande- ren systemrelevanten Organisationen ein. So registrierte die Bundesregierung 2020 bis Anfang November 43 erfolgreiche Angriffe auf Gesundheitsdienstleister – mehr als doppelt so viele wie im gesamten vergangenen Jahr. Meist geht es Cyber- kriminellen darum, Daten der Kliniken und anderer Ein- richtungen zu verschlüsseln und Lösegeld für die Freigabe zu verlangen. Ein Drittel der Krankenhäuser weist Mängel in der IT-Sicherheit auf Ein Risiko für viele Gesundheitseinrichtungen – mit wach- senden Folgen: Bei mindestens einem Drittel der Krankenhäu- ser in Deutschland ist die IT-Sicherheit mangelhaft. In vielen Kliniken sind Server und Software veraltet, Datenbanken werden nur mit einem Passwort gesichert. Der Schutz vor Ha- ckerangriffen ist lückenhaft. Gerade Patientendaten sind nicht nur äußerst sensibel, sie sind häufig auch besonders schlecht geschützt. Schmale IT-Budgets, mangelnde Sensibilisierung und unzureichend geschulte Mitarbeiter sowie ein überfor- dertes Management begünstigten die Attacken. Und es ist ein Wettlauf gegen die Zeit: Laut einem neuen Bericht von Black Book Market Research wird sich das Volu- men von Datenschutzverletzungen im Gesundheitswesen im kommenden Jahr voraussichtlich verdreifachen. Die Digita- lisierung im Gesundheitswesen trägt zur Vergrößerung der Angriffsfläche bei: breite Einführung von Electronic Health Records Systems (EHRS), die Integration der IoT-Technologie (softwarebasierte medizinische Geräte wie MRTs, EKGs, Infu- sionspumpen) und die Migration zu Cloud-Diensten. It’s all about access: Identitäts- und Zugriffsmanagement minimieren Risiken Hierfür braucht es nicht nur Notfallpläne, sondern die opti- male Abfolge von Schutzmaßnahmen, die die Sicherheit erhö- hen. Zentraler Bestandteil ist hier das Identitäts- und Zugangs- management. Pandemiebedingte verstärkte Remote-Zugriffe, die Abstimmung spezifischer Einsatzbereiche im Kranken- haus sowie schnelle Schichtwechsel im 24-Stunden-Betrieb erfordern eine kluge Identity-and-Access-Security-Strategie, um die Interaktionen mit sensiblen und vertraulichen Daten abzusichern und offene Einfallstore zu schließen. Eine be- darfsgerechte Zugriffskontrolle entlastet dabei nicht nur IT- Teams, sondern erleichtert auch die medizinische Versorgung. Mit dem 2020 von der Bundesregierung ins Leben geru- fenen Krankenhauszukunftsfonds können nun Gesundheits- einrichtungen bei der Digitalisierung ihrer Infrastrukturen finanziell gefördert werden. Mindestens 15 Prozent der IT- Inves titionen müssen dabei in die IT- und Cybersicherheit ge- hen. Gerade Kliniken, wo es um Leben und Tod sowie sensible Gesundheitsdaten geht, müssen einen Überblick über ihre Si- cherheitslücken und die Zugänge zu ihren kritischen Systemen haben. Alles andere ist fahrlässig. Hier wird die Risikovorsorge schließlich zur Lebensversicherung. n Stefan Rabben, Area Director DACH & Eastern Europe bei WALLIX SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 23

E-Mail als Basiskommunikations- technologie im Gesundheitswesen Sicher und DS-GVO-konform? In wenigen Branchen hat die europäische Datenschutz-Grundverordnung (DS-GVO) so große Auswirkungen wie im Gesundheitssektor. Schließlich handelt es sich bei Gesundheits- und Patientendaten immer um personenbezogene Daten, die laut DS-GVO durch Verschlüsselung oder Anonymisierung geschützt werden müssen. Im Austausch mit weiterbehandelnden Abteilungen oder Einrichtungen ist eine Anonymisierung ungeeignet, folglich müssen personenbezogene Daten im Falle einer digitalen Übertragung verschlüsselt sein. D ie DS-GVO gilt seit 2018 und für einige Kommuni- kationsanlässe gibt es bereits geschlossene sichere Systeme wie den „eArztbrief“ oder die elektronische Abrechnung mit Krankenkassen. Für alle nicht standardisier- ten digitalen Kommunikationsfälle empfiehlt sich statt des Faxgeräts mit all seinen Unzulänglichkeiten die Basistechno- logie E-Mail. Sie ist schnell, effizient und flächendeckend ver- breitet: Lieferanten, Behörden, Fahrdienste und auch Patien- ten und Angehörige sind per E-Mail erreichbar. Allerdings ist die E-Mail ohne zusätzliche Schutzmaßnahmen nicht sicher. E-Mails können recht einfach ausgespäht sowie abgefangen und manipuliert werden. Sehr strapaziert, dennoch zutref- fend, ist der Vergleich des Sicherheitsniveaus einer E-Mail mit dem einer Postkarte. Genau wie der Versand von Diagnosen oder Studienergebnissen nicht per Postkarte geschieht, ist auch eine unverschlüsselte E-Mail nicht zur Kommunikation sensibler Daten im Gesundheitswesen geeignet. Im Gesundheitswesen besser Inhalte als Übertragungswege verschlüsseln Eine einfach verfügbare Sicherung ist das Verschlüsselungs- protokoll TLS (Transport Layer Security), das den Transportweg der E-Mail schützt. Laut BSI (1) ist dies nur ein schwacher, oft lü- ckenhafter Schutz, der auch im Fall eines Audits nicht eindeutig nachgewiesen werden kann. Auch die Risiko- und Folgenab- schätzung nach DS-GVO spricht gegen TLS. Eine abgefangene E-Mail, die sensible Gesundheitsdaten enthält, kann die betrof- fene Person stark benachteiligen: von ausbleibenden Karriere- chancen bis zu schlechteren Konditionen bei Verträgen. Bereits heute sind im Gesundheitssektor die international anerkannten, zertifikatsbasierten Verschlüsselungsstandards S/MIME und OpenPGP verbreitet. Diese verschlüsseln und sig- nieren den Inhalt der E-Mails inklusive Anhänge. So kann der Versand von personenbezogenen Daten gefahrlos über das In- ternet erfolgen. Die Verschlüsselung und Signatur mit Zerti- fikaten sollte allerdings nicht ohne geeignete Software erfol- gen. Das manuelle Management der notwendigen Prozesse ist schon bei wenigen Usern faktisch kaum zu leisten und enorm fehleranfällig. Empfehlenswert ist der Einsatz sogenannter Secure E-Mail-Gateways. Diese setzen die Verschlüsselung und Signatur von E-Mails automatisiert nach festgelegten Regel- werken um, ohne die gewohnten Arbeitsprozesse der Mitar- beiter zu stören. Kommunikationsszenarien im Krankenhaus und die jeweilige Verbreitung von Zertifikaten für die E-Mail-Verschlüsselung. (Quelle: Zertifikon) Da Verschlüsselungszertifikate bei Patienten, Angehörigen sowie kleineren Dienstleistern kaum verbreitet sind, bieten Secure E-Mail-Gateways für den Austausch mit diesen eine Verschlüsselung mit Passwort. Secure E-Mail-Gateways mit hohem Automatisierungsgrad sind in der Lage, die passende Verschlüsselungsmethode ohne Zutun der Mitarbeiter zu be- stimmen. Damit sind Krankenhäuser für die Digitalisierung der Kommunikation bestens gerüstet – einfach, sicher und DS-GVO-konform. n (1) https://bit.ly/2P9DF6V Peggy Hüpenbecker, Chief Marketing Officer bei Zertificon Solutions SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 25 . . m o c e b o d a k c o t s - s n o c i - r o t c e v - t © : d l i B

www. .de MIT Sicherheit mehr Information Bundesverband der Krankenhaus IT-Leiterinnen / Leiter e. V. ENTSCHEIDERFABRIK www.krankenhaus-it.de – info@krankenhaus-it.de

– FIRMENPROFIL – Attacken im Stealth-Modus mit kommunizierenden Systemen stoppen MALWARE DENKT (LEIDER) MIT – UND IT-TEAMS MÜSSEN UMDENKEN . . m o c e b o d a k c o t s – e m L © i Cyberkriminelle schauen sich immer häufiger erst einmal unentdeckt in Netzwerken um, bevor sie mit aller Wucht zuschlagen. Intelligent vernetzte IT-Security-Lösungen schieben hier einen Riegel vor. Cyberkriminelle scannen Netzwerke mittlerweile so profes- sionell wie Penetration-Tester nach potenziellen Schwach- stellen und Angriffspunkten. Deshalb müssen IT-Security- Strategien und -Verteidigungslinien immer wieder neu überdacht und neu aufgesetzt werden. Im Sophos Threat Report war eins der großen Themen die Tatsache, dass Hacker ihre Opfer immer häufiger ausführlich stalken, bevor sie wirklich zuschlagen. Das bedeutet, dass Eindringlinge sich mittlerweile immer häufiger auf „Schleichfahrt“ durch die gekaperten Netzwerke begeben und erst dann mit voller Wucht zuschlagen, wenn möglichst viele Steuerungselemente unter ihrer Kontrolle bzw. eigene Schadprogramme heimlich installiert sind. Der Grund hierfür ist schnell gefunden: Die Endpoints in Krankenhäusern und anderen Einrichtungen sind immer besser geschützt, und die Cyberkriminellen fahnden nun nach dem nächsten schwächsten Glied in der Verteidigungskette. Entsprechend ändert sich auch der Aktionsradius der IT-Security-Verantwortlichen vom simplen „Protection Ž Detection“ hin zu einem intelligenten und auto- matisierten Sicherheitssystem, dass die Lateral-Movement-Attacken der Hacker erkennt und selbstständig isoliert. „IT-Abteilungen verfügen nicht über die nötigen Ressourcen, um auf das Volumen und die ständig wechselnden Cyberangriffe adäquat zu reagie- ren. Anspruchsvolle Bedrohungen erfordern intelligente Security-Lösun- gen, die vorausschauend, vielschichtig und systemübergreifend interagie- ren. Mit Sophos Intercept X in Kombination mit der XG Firewall verfügen Partner und Kunden über Next Generation Security-Technologien und pro- fitieren von den Vorteilen der Synchronized Security“, erklärt Michael Veit, IT-Security-Experte bei Sophos. „Jede IT-Organisation, ob groß oder klein, braucht eine Sicherheitslösung, die innovativ, integriert und skalierbar ist.“ SICHERER KOMMUNIKATIONSKANAL ZWISCHEN ENDPOINT UND NETZWERK Synchronisierte Sicherheit von Sophos beinhaltet einen sicheren Kommu- nikationskanal zwischen Endpoint- und Netzwerk-Sicherheitslösungen. Erkennt die Firewall schädlichen Datenverkehr, benachrichtigt sie umge- hend den Endpoint-Agenten. Dieser reagiert dynamisch, identifiziert und hinterfragt den verdächtigen Prozess. In vielen Fällen kann er den Vorgang automatisch beenden und die restlichen infizierten Komponenten entfer- - zeitig einen besseren Schutz von Daten garantieren – inklusive Next-Gen- Technologien wie Deep Learning oder Sandboxing. „Während Unternehmen zunehmend in die Cloud wechseln und das Re- mote-Arbeiten ermöglichen, erhöhen Cyberkriminelle den Einsatz und schrecken vor nichts zurück, um aus den erweiterten Angriffsflächen Ka- pital zu schlagen. Server und andere Endpoints sind oft unzureichend ge- schützt, wodurch Schlupflöcher entstehen, die von Angreifern ausgenutzt werden“, so Michael Veit. „Sophos EDR identifiziert diese Angriffe, verhin- dert Attacken und bringt Licht in ansonsten dunkle Bereiche. Live-Abfra- gen ermöglichen es, nach Indikatoren einer Kompromittierung zu suchen und den aktuellen Systemstatus zu ermitteln. Dieses Maß an Information ist entscheidend, um das wechselnde Verhalten der Angreifer zu verste- hen und die Verweildauer zu verkürzen.“ n SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 29

– ADVERTORIAL – Sie möchten mehr erfahren? Melden Sie sich jetzt zum Kaspersky-Webinar „IT-Sicherheit kann Leben retten“ am 06. Mai 2021 an: https://kas.pr/healthcare Über Kaspersky Healthcare Cybersecurity: www.kaspersky.de/enterprise-security/ healthcare unterstützt Kaspersky Krankenhäuser und Kliniken dabei, gesetzliche Richtlinien und Compliance-Vorgaben einzuhalten, sich professionell gegen Cyberbedrohungen aufzustellen und ihre IT-Sicherheit im Rahmen des Krankenhauszukunftsfonds zu optimieren. So lassen sich selbst komplexe Cyberangriffe verhindern und erkennen, Schäden minimieren sowie Mit- arbeiter für das wichtige Thema sensibilisieren. Ein Überblick, wie Sie Ihre IT-Infrastruktur mit Kaspersky schützen können und von der Security-Expertise im Bereich Healthcare profitieren: ƒ Mehrstufige Lösungen mit Next-Generation-Malware-Erkennung, proaktiven Abwehrtechnologien sowie automatisierter Reaktion und Wiederherstellung zum Schutz vor gezielten Angriffen (Advanced Persistent Threats) ƒ Cybersecurity Services: Unterstützung der eigenen IT-Abteilung durch Cybersecurity-Experten in den Bereichen Threat Hunting, Malware-Analyse, Reverse Engineering, Forensik, Incident Response und Notfallplanung einer interaktiven Online-Trainingsplattform, die typische Angriffs- szenarien behandelt: Teilnehmer können direkt an ihrem PC-Arbeits- platz die Lernmodule flexibel bearbeiten und bei Bedarf jederzeit wiederholen ƒ Trainings zur Weiterbildung von IT-Fachkräften des Krankenhauses, um sich mithilfe interner Teams besser gegen Angriffe zu schützen ƒ Absicherung von IT-/OT-Infrastrukturen ƒ Entwicklung und Umsetzung von IT-Security-Strategien gemeinsam mit ausgewählten und zertifizierten Kaspersky-IT-Dienstleistern, die Sie gem. § 21 – Krankenhausstrukturfonds-Verordnung (KHSFV) bei der Beantragung von Fördermitteln unterstützen SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 31

Krankenhäusern mit einer Netzwerkinfrastruktur arbeiten, die bereits vor mehr als 15 Jahren geplant wurde und den heutigen Anforderungen nicht mehr gerecht werden kann. SICHERHEIT DURCH SEGMENTIERUNG Von der Infusionspumpe bis hin zum Patientenmonitor – heute sollen Endgeräte als IoT-Devices inklusive der entsprechenden, ständig im Infor- mationsaustausch mit anderen Systemen und Servern stehenden Anwen- dungen direkt in die Netzwerkinfrastruktur eingebunden werden. Dieses Zusammenspiel aus modernem Medizingerät und veralteter Technik birgt ein erhebliches Sicherheitsrisiko. Moderne Technologie kann hier Abhilfe schaffen und ermöglicht eine ge- zielte Microsegmentierung in unterschiedliche Sicherheitszonen. Dadurch kann eine Trennung zwischen bestimmten Bereichen und unterschiedli- chen Funktionsgruppen im Klinikumfeld sichergestellt werden. Das heißt zum Beispiel einerseits Besucher- und Patienten und andererseits Mit- arbeiter und die auf der betreffenden Station eingesetzten Medizingerä- te. Durch Segmentierung mithilfe von moderner Technologie lassen sich nicht nur Therapiegeräte abhörsicher einbinden, sondern – genau wie bei der Digitalisierung von Fabriken – auch ältere Netzwerke punktuell absi- chern und schrittweise modernisieren. Eine fabric-basierte Netzwerkarchitektur erleichtert außerdem die Konfiguration der Segmentierung, indem nur noch die Schnittstellen, an denen das Endgerät angeschlossen wird, konfiguriert werden müssen. Das erlaubt eine praktische Durchführung im laufenden Betrieb. Alles Weitere übernimmt das Fabric-Protokoll. AUTONOME NETZWERKE: SMARTES UND RESSOURCENSPARENDES MANAGEMENT Der Vorteil einer schrittweisen und punktuellen Modernisierung liegt auf der Hand: Weil nicht die gesamte Netzwerkinfrastruktur auf einmal infra- ge steht, bleiben die ökonomischen Herausforderungen überschaubar. Weitere Effizienzsteigerungen ergeben sich durch den Einsatz künstlicher Intelligenz: Sogenannte autonome Netzwerke ermöglichen es, Manipula- tionen schneller und einfacher zu erkennen und zu verhindern. Das kann beispielsweise das Hacken von medizinischen Geräten von extern sein oder aber die Installation von Schadsoftware zum Ausschalten der medizi- nischen Versorgung. Autonome Netzwerke überprüfen 24/7 mithilfe einer Anwendungsana- lyse, ob bei medizinischen Geräten „auffälliges Verhalten“ zu beobachten ist. Im Verdachtsfall geht sofort eine Warnmeldung an die verantwortli- chen Teams oder das Gerät kann automatisiert entfernt werden, um Schä- den zu minimieren bzw. zu verhindern. Die Automatisierung von Prozes- sen wie diesen ermöglicht ein umfassendes und ressourcenschonendes Management und Monitoring des Netzwerks. DIE NETZWERKSTEUERUNG IN DIE CLOUD VERLEGEN Flexibilität, Agilität und Skalierbarkeit sind so wichtig wie nie. So müssen beispielsweise angesichts der weltweiten COVID-19-Fälle kreative Lösun- gen gefunden werden, um Gesundheitsdienste kurzfristig auszubauen, zum Beispiel durch Pop-up-Zelte zur Ausweitung der Testkapazitäten und Behandlungsräume wie 2020 in New York gesehen. Netzwerke müssen solchen Szenarien Rechnung tragen können. Gleichzeitig steigt jedoch auch der Druck für Gesundheitseinrichtungen, Kosten zu sparen. s k r o w t e N e m e r t x E : r e d l i B – ADVERTORIAL – Cloud-gesteuerte Netzwerke ermöglichen mehr Flexibilität und Skalierbar- keit bei gleichzeitiger Kostenkontrolle und können unter anderem Aspekte wie eine schnelle und sichere Konnektivität für Notfallteams (beispielswei- se in mobilen Testzentren) sowie Telemedizin und Remote-Patientenüber- wachung abbilden. Sie sind besonders anwenderfreundlich und ermög- lichen eine effiziente, dezentrale Verwaltung der Netzwerkinfrastruktur sowie aller Geräte über mehrere Standorte hinweg. Das ist entscheidend für eine ressourcenschonende Netzwerkverwaltung, denn mehr als die Hälfte der Krankenhäuser erstrecken sich über mehr als elf Gebäude. Basierend auf den vier Säulen Flexibilität, Agilität, Sicherheit und Technologie (FAST) erfüllt die cloudbasierte Netzwerktechnologie ExtremeCloud IQ™ von Extreme Networks die für Netzwerke im Ge- sundheitswesen geltenden Anforderungen. Extreme Networks und seine Partner unterstützen Gesundheitseinrichtungen mit ihrem breiten Lö- sungsportfolio, individuellen Premium Services, umfassende Expertise zu geltenden Richtlinien und Fördervoraussetzungen sowie jahrzehntelan- ger Erfahrungen bei der technischen Planung und Implementierung von Modernisierungs- und Digitalisierungsprojekten. n Weiterführende Informationen und Beratung zum Krankenhauszukunfts gesetz sowie Unterstützung bei der Antragsstellung, einem IT-Reifegrad modell und/oder der IT-Strategie finden Sie unter de.extremenetworks.com/ sl_solutions/gesundheitswesen oder direkt beim Extreme Healthcare Team: Healthcare-Team.DACH@extremenetworks.com SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 33

. . m o c e b o d a k c o t s - n e g o r c M © i Datenschutz in medizinischen Einrichtungen 21. September 2021 | Frankfurt/M. Referent: David Koeppe Schwerpunkte: ✓ Besondere rechtliche Rahmenbedingungen im Gesundheitswesen ✓ Patientendaten und Berufsgeheimnis ✓ Besondere Gestaltungsfelder in Arztpraxis und Krankenhaus ✓ Aspekte des Technikeinsatzes Jetzt anmelden: www.datakontext.com

– ADVERTORIAL – IST IHR IT-SYSTEM FÜR SÄMTLICHE ANGRIFFSWEGE GERÜSTET? IT-Sicherheitsgesetz, E-Health-Gesetz, Patientendaten-Schutz-Gesetz (PDSG) und Krankenhauszukunftsgesetz (KHZG): Auf die Kliniken prasseln derzeit eine Menge damit verbundener Auflagen ein. Durch das PDSG werden nun alle Krankenhäuser verpflichtet, ent- sprechende sicherheitstechni- sche Vorkehrungen zu treffen. Das im Oktober 2020 in Kraft getretene KHZG macht sogar die grundsätzliche Förderbarkeit aus dem Kranken- hauszukunftsfonds von Investitionen in die IT-Si- cherheit abhängig. Für rund 90 Großkliniken in Deutschland dürften darüber hinaus die verschärften Security-Vorga- ben aus der 2. Auflage des IT-Sicherheitsgesetzes relevant werden. Beispielsweise sollten Intru- sion-Detection-Systeme (IDS) in KRITIS-Kliniken bis zum 1.1.2022 nachgerüstet werden, sofern diese noch nicht existieren. Allen Krankenhäu- sern ist gemeinsam, dass sie vor dem Problem stehen, sämtliche Auflagen in der gebotenen Zeit finanziell stemmen zu müssen. Angesichts der rasant steigenden Komplexität von Angriffen keine leichte Aufgabe, zumal technische Imple- mentierungen für die speziellen Anforderungen des Krankenhaus-Alltags oftmals nicht ausrei- chen, weil sie meist ausschließlich auf die fach- lich-funktionale Seite ausgerichtet sind und nicht auf die Sicherheit. ANGRIFFSVEKTOREN … Dabei sind die Bedrohungen immens, wie folgen- de Grafik veranschaulicht: … UND DIE GEEIGNETEN ANTWORTEN HIERAUF Durch den Angriff auf Passwörter und Log-in- Daten können Hacker leichten Zugang zum Netz- werk der Klinik erhalten – insbesondere, wenn die Netzwerkstrukturen nicht zur Abwehr derar- tiger Angriffe gerüstet sind. IDS – Intrusion-De- tection- und auch UBA – User-Behaviour-Analy- sis-Systeme sind in der Lage, derartige Angriffe aufzudecken und zu vereiteln. Microsegmentie- rung und Zero Trust Networking können solche Attacken eingrenzen. Endpoint-Detection º Response-Systeme, wie zum Beispiel Tanium, erkennen zusätzlich zu den eingesetzten Antivirensystemen bereits frühzei- tig mögliche Angriffe. Dies gilt auch für Bedro- hungen, die Mitarbeiterinnen und Mitarbeiter neben der absichtlichen Schädigung durch Insi- der Threats unbewusst und unwissentlich mittels erfolgreicher Phishing-Kampagnen (aka Emotet) oder Drive-by-Downloads maliziöser Software im Browser auslösen. Eine andere Herangehensweise muss für Back- doors und Exploits in den Kliniksystemen gewählt werden. Hier wird die zugrunde liegende Syste- marchitektur direkt angegriffen – entweder über Fehler in der Software (Exploits) oder über mut- willig eingebrachte Hintertüren (Backdoors). Sind die Systeme selbst angegriffen, so kann dies an- hand des Verhaltens der Angreifer, zum Beispiel mithilfe von Host-Intrusion-Prevention-Syste- men (HIPS) oder Network-Intrusion-Preventi- on-Systemen (NIPS), erkannt werden. Zusätzlich sollte ein vorausschauendes Patch-Management stattfinden. Im Vorweg lassen sich solche Fehler in Kliniksys- temen durch Sicherheitsanalysen, wie Code Re- views, Sicherheitsscans und Pentests, ermitteln. Unterstützt wird eine solche Live-Analyse durch ein übergreifendes Logging, zum Beispiel mit Splunk, welches idealerweise in einem SIEM zu- sammengeführt wird und frühzeitig zu entspre- chenden Alarmen führt. Wir unterstützen Sie darin, das für Ihr Klinikum geeignete Sicherheitssystem zu implementieren und dieses mit bereits vorhandenen und dieses mit bereits vorhandenen Dienstleisterverträgen, komple- xen Systemarchitekturen entlang verschiedenster Verantwortlich- keiten sowie Schnittstellen in Einklang zu bringen.n Wenn Sie mehr zum Sicherheitsmanagement wissen möchten, kontaktieren Sie Florian Baitz/Consist unter: Florian Baitz PORTFOLIO MANAGER IT SECURITY Telefon: +49 (0)431 3993-567 Mobil: +49 (0)173 2836-768 E-Mail: baitz@consist.de Laden Sie sich das Whitepaper zum Thema SIEM herunter: consist.de/siem-info SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 37 . . m o c e b o d a k c o t s - p e t S y k c u L © : d l i b r e d a e H

Rechtssichere E-Mail- Archivierung made in Germany Einfach. Zuverlässig. Weltweit erprobt. V13 MailStore Server E-Mail-Archivierung für mittel- ständische Unternehmen auch im Gesundheitswesen Unterstützung bei der Erfüllung rechtlicher Anforderungen (GoBD) Hilfe zur Einhaltung der EU-DSGVO Ab 295 € FÖRDERFÄHIGKEIT NACH KHZG JETZT BEANTRAGEN! Verschlüsselte Speicherung und Compliance-Funktionen Regelmäßig unabhängig zertifi ziert MailStore Soft ware GmbH · Clörather Str. 1-3 · 41748 Viersen, Deutschland Telefon: +49 (0)2162 - 502990 · E-Mail: sales@mailstore.com · www.mailstore.com Die Experten für E-Mail Archivierung

– FIRMENPROFIL – tenfold – NEXT GENERATION ACCESS MANAGEMENT Die tenfold Software GmbH ist ein Hersteller von IT-Security-Software mit Sitz in Wien, Österreich. Bei dem Produkt „tenfold“ handelt es sich um eine Software für Identity und Access Management (IAM). IAM-Systeme helfen Unternehmen dabei, ihre IT-Zugriffs- rechte optimal einzustellen und die Vergabe von Berechtigungen gemäß den geltenden Compliance-Richtlinien zu organisieren und zu dokumentieren. tenfold gehört mit über 1.000 aktiven Installationen zu den führenden Anbietern im DACH-Gebiet. Zu den Märkten zählen außerdem Großbritannien und Nordamerika. Vordenker im Midmarket-Segment „tenfold“ ist speziell an die Bedürfnisse mittelständischer Organisationen angepasst. Für den optimalen Einsatz in Midmarket-Strukturen verfolgen wir einen pragmatischen Ansatz und übersetzen Komplexität in Benutzerfreundlich- keit. Im Vergleich mit den Wettbewerbern in dieser Produkt- kategorie ist „tenfold“ überdurchschnittlich schnell installiert, konfiguriert und einsatzbereit. Cloud? Cloud! Die tief greifende Integration von tenfold in die Microsoft-Infrastruktur garantiert eine automatisierte und policy-konforme Verwaltung sämtlicher Berechtigungen – sowohl in Ihrem Unternehmensnetzwerk als auch in der Cloud. Neben gängigen On-Premises-Anwendungen unterstützt tenfold auch Microsoft Teams®, Azure Active Directory® und Exchange Online®. Access Management muss einfach sein Für uns ist es wichtig, dass tenfold-Nutzer gern mit der Software arbeiten und sämtliche Funktionen verwenden können, ohne zuvor ein Informatikstudium absolviert zu haben. Aus diesem Grund setzen wir auf standardisierte Prozesse, automatisierte Workflows und eine intuitive Benutzeroberfläche, über die Mitarbeiter im Self-Service Zugriffsrechte und IT-Ressourcen beantragen können. Wir integrieren (fast) alles Die Schnittstellen zu den wichtigsten Drittanbieter-Systemen (zum Beispiel SAP) sind out of the box nutzbar, gleiches gilt für die Schnittstelle zum Krankenhausinformationssystem ORBIS. Die Anbindung anderer KIS-Systeme (zum Beispiel i.s.h.med) ist ebenfalls möglich. Für Systeme, für die es kein Standard-Plug-in gibt, erlaubt die Software die Integration über REST und Scripting. Pressekontakt: Maggy Fituch tenfold Software GmbH Seidengasse 9 1070 Wien, Österreich Telefon: +43 1 6650633-118 E-Mail: maggy.fituch@tenfold-security.com SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 41

– ADVERTORIAL – Garantierter Schutz vor Schadsoftware mit Expertise im Gesundheitswesen ENDPOINT-SICHERHEIT IN KLINIKEN: NICHTS DEM ZUFALL ÜBERLASSEN! IT-Systeme von Krankenhäusern und Klinikverbünden sind mit höchster Priorität abzu- sichern – dass dies nicht immer gelingt, beweisen erfolgreiche Cyberattacken immer wieder. Moderne Whitelisting-Verfahren hingegen sorgen für maximalen Endpoint-Schutz. Die patentierte Lösung SecuLution Application Whitelisting hat nicht zuletzt deshalb im Klinikumfeld ihren größten und loyalsten Kundenstamm. Zugegeben, das Prinzip Whitelisting hat ein Imageproblem: Viele IT-Experten denken, es sei zu aufwendig. Dabei ist, wie nationale Sicherheits- behörden – darunter das BSI – seit Jahren betonen, Whitelisting dem Prinzip Blacklisting in puncto Sicherheit eindeutig vorzuziehen. Es müsste also eine Lösung her, die Whitelisting nutzbar macht, indem der Aufwand auf ein absolutes Minimum reduziert wird. Dieser Gedanke bewegte Torsten Valentin, Gründer und Geschäftsführer der SecuLution GmbH, als er vor über 20 Jahren SecuLution Application Whitelisting entwickelte. Das patentierte Automatisierungsverfahren sorgt für maximale Sicherheit bei trivialem Aufwand. Das kontinuierlich weiterentwickelte System ist inzwischen so kugelsicher, dass SecuLution als einziger Antivirus-Anbieter den Schutz vor sämtlicher Schadsoftware sogar schriftlich garantiert. Sogar vor den Folgen der verheerenden MS Exchange Server Hacks blieben SecuLution-Kunden verschont. 99 PROZENT DES AUFWANDS WERDEN AUSGELAGERT Immer mehr Unternehmen vertrauen auf SecuLution und genießen den bestmöglichen Schutz vor Schadsoftware bei einem Aufwand, der mit klassischen Antivirus-Produkten vergleichbar ist: Denn 99 Prozent des Aufwands werden durch die Prüfung der Hashes in der TrustLevel-Daten- bank ausgelagert! Ralf Plomann, IT-Leiter des Krankenhausverbundes St. Rochus, setzt SecuLution Application Whitelisting bereits seit mehr als 15 Jahren bei vielen Hundert Clients ein. „Unsere technischen Administ- ratoren schätzen das moderne, ganzheitliche User Interface und die nur noch trivialen Aufwände zur Installation”, so der IT-Spezialist. RALF PLOMANN, IT-LEITER KRANKENHAUSVER- BUND ST. ROCHUS: „EIN FUNKTIONAL STARKES UND STABILES IT-SICHERHEITSPRODUKT” Als Abteilungsleiter schätzt Plomann die Systemstabilität sowie die Option, im Bedarfsfall die Datenbank mit vordefinierten Werten laden zu können: „Dies verschafft uns bei Personalengpässen eine größere Flexibilität. SecuLution 2.0 ist ein funktional starkes und stabiles IT-Sicherheitsprodukt in einer immer unsicherer werdenden IT-Welt. Der Betrieb einer komplexen IT-Infrastruktur ohne SecuLution ist für mich nur noch schwer vorstellbar.“ Dank automatisierter Prüfung der Hashes gegen die TrustLevel-Datenbank ersparen sich Admins mit SecuLution den bei Whitelists sonst üblichen Aufwand. BERND ZIMMER, IT-ABTEILUNG LUKASKRANKEN- HAUS NEUSS: „SO ETWAS WIE LOCKY KANN UNS NICHT MEHR PASSIEREN” Zu den Klinikkunden des Antivirus-Herstellers aus Werl zählt auch das Lukaskrankenhaus in Neuss. Die Locky-Attacke im Jahr 2016 hatte erhebli- che Auswirkungen auf den klinischen Betrieb, weshalb man sich anschlie- ßend für eine maximal sichere Lösung zur Absicherung der Endpoints entschloss – für SecuLution. Für IT-Mitarbeiter Bernd Zimmer steht der Sinn der Investition außer Frage: „Auf unseren mit SecuLution abgesi- cherten Systemen kann uns so etwas wie Locky nie wieder passieren.“ förderfähig im Rahmen des KHZG KEIN OUTSOURCING VON TECHNIK ODER SUPPORT Viele IT-Fachkräfte schätzen auch, dass SecuLution Qualität Made in Germany bietet. Vom Firmensitz in Werl über den deutschsprachigen Support bis hin zu bewusst gewählten Serverstandorten in Deutschland und den heimi- schen Softwarekomponenten – mit SecuLution erhalten Unternehmen und Verwaltungen zuverlässige Wertarbeit statt Outsourcing.n Mehr über den Einsatz von seculution im Klinikumfeld: 4ss.de/sicher www.seculution.de · info@seculution.com Tel. 0 29 22/95 89-210 SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 43

Need to know für CISO & Co W <kes> liefert strategisches Wissen für Security- Verantwortliche W <kes> informiert redaktionell unabhängig zu Manage- ment und Technik der Informations-Sicherheit W <kes> enthält das amtliche Organ des Bundes- amts für Sicherheit in der Informations- verarbeitung – BSI-Forum W <kes> kostet im Jahr weniger als zwei Beraterstunden Für 145 € jährlich (inkl. MwSt. und Versandkosten) erhalten Sie alle zwei Monate eine gedruckte Ausgabe und für bis zu fünf Mitarbeiter am beliefer ten Standor t Online-Zugriff auf alle aktuellen Beiträge sowie das <kes>-Archiv. D i e Z e i t s c h r i f t f ü r I n f o rm a t i o n s - S i c h e r h e i t Online bestellen: datakontext.com/kes oder per Mail: abo@kes.de

– ADVERTORIAL – DRUCKTECHNOLOGIE MADE IN GERMANY muss. Virtualisierungsprozesse ermöglichen den IT-Abteilungen der Krankenhäuser, die Performance der Infrastrukturen zu erhöhen, Innovationen voranzutreiben und somit schnelle, kosteneffiziente und mobile Kommunikationswege zu realisieren. Ein ganz wesentlicher und zentraler Bestandteil der Digitalisierungsprozesse im Klinik-Alltag ist die Verwaltung der eigenen Druckinfrastruktur, die sich jedoch enormen Herausforderungen stellen muss. Die steigende Komplexität interner Strukturen und Anwendungen steht der Forderung nach einem störungsfreien und sicheren IT-Betrieb sowie einer wachsenden Mobilität gegenüber. Ohne eine funktionierende Druckinfrastruktur wären viele Stationen von der Patientenaufnahme bis in den OP nicht arbeitsfähig. Daher ist es an der Zeit, das Thema Drucken als vorrangiges Thema im Bereich der IT-Infrastrukturen zu behandeln und Möglichkeiten aufzuzeigen, wie das Drucken aus Spezialapplikationen, wie einem KIS oder AIS, störungsfrei gelingen kann. Seit 2005 hat die K-iS Systemhaus Unternehmensgruppe steadyPRINT als führende Softwarelösung in diesem Marktsegment etabliert. Eine speziell für das Gesundheitswesen entwickelte Version – die Medical-Edition – bietet optimale Unterstützung für IT-Leitungen, Administratoren und Anwender und leistet einen wichtigen Beitrag für einen funktionsfähigen IT-Betrieb im Krankenhaus. Eigene Print Security Services, Load Balancing und eine KRITIS-sichere Redundanz der Druckserver, Drucker und Druckströme im Krankenhaus sorgen für einen unterbrechungsfreien Prozessablauf im Klinikalltag. Von der Automatik, immer mit dem richtigen Drucker verbunden zu sein, über Ausfallsicherheit bis hin zur Sitzungsmitnahme für wechselnde Arbeitsplätze – steadyPRINT bietet verschiedene, zum Teil einzigartige funktionale Lösungen für die Druckerverwaltung im Krankenhaus. So können das Pflegepersonal bzw. die Ärzte und Ärztinnen, egal auf welcher Station oder in welcher Abteilung sie sich gerade befinden, auf dem nächstgelegenen Drucker ausdrucken, ohne dass sie sich vom System ab- und wieder anmelden müssen, um den Drucker auf der jeweiligen Station nutzen zu können. Zusätzlich entfallen aufwendige administrative Prozesse im Bereich der Druckerzuweisungen, was wiederum den Administratoren eine größere Flexibilität und mehr Übersichtlichkeit in der Verwaltung der Druckerlandschaft und letztlich der gesamten IT-Infrastruktur bietet. Um die Modernisierung in Krankenhäusern voranzutreiben und somit auch Investitionen im Bereich Druckermanagement zu fördern, wurde das Krankenhauszukunftsgesetz (KHZG) ins Leben gerufen und den Krankenhauszukunftsfond (KHZF) in Höhe von 4,3 Milliarden Euro errichtet. Als vom Bundesamt für Soziale Sicherung (BAS) zertifizierter IT-Dienstleister ist die K-iS Systemhaus Unternehmensgruppe befähigt, die Planung und Durchführung von Digitalisierungsprojekten, wozu auch Projekte in der Druckinfrastruktur gehören, zu unterstützen und die Beantragung von Fördergeldern zu begleiten. Auf diese Weise kann steadyPRINT als die führende Druckermanagement-Software in Deutschland in den Klinikbetrieb integriert werden.n Weitere Informationen zu steadyPRINT und den vielfältigen Einsatzmöglichkeiten erhalten Sie unter www.steadyprint.com. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 47

E-LEARNING Mitarbeiter erfolgreich online schulen kosteneffizient W Compliance E-LEARNING-KURSE: flexibel einfach W Antidiskriminierung W IT-Sicherheit W Datenschutz W Entgeltabrechnung Jetzt informieren: elearning-mit-zertifikat.de

– ADVERTORIAL – Die Lösung kann natürlich auch als Cloud-Service bezogen werden. türlich auch als Cloud-Service bezogen werden. Krankenhäuser, die das Thema E-Mail-Security sicher in die Hände Security sicher in die Hände agen wollen, können das routinierter Security-Experten übertragen wollen, können das Thema Managed Services individuell mit Bechtle gestalten. Das IT- es individuell mit Bechtle gestalten. Das IT- Unternehmen Bechtle ist mit über 250 Security-Spezialisten einer 250 Security-Spezialisten einer der größten Security-Integratoren in Deutschland und verfügt über en in Deutschland und verfügt über breite Erfahrung im Klinikumfeld. Bechtle bietet ein umfassendes Lösungsportfolio im Bereich ösungsportfolio im Bereich IT-Security, bestehend aus Hard- und Software-Lösungen ftware-Lösungen eller, entsprechende internationaler und europäischer Hersteller, entsprechende Beratungs- und Implementierungsdienstleistungen sowie tierungsdienstleistungen sowie Managed Services an. Neben technischer IT-Sicherheit verfügt echnischer IT-Sicherheit verfügt Bechtle über umfangreiches Know-how im Bereich der im Bereich der organisatorischen Sicherheit. Neben der Telematik-Infrastruktur Telematik-Infrastruktur tle im Gesundheitswesen auf (eHealth) spezialisiert sich Bechtle im Gesundheitswesen auf weitere Themenschwerpunkte, wie Security Operation Center (SOC), wie Security Operation Center (SOC), Information-Security-Management-Systeme (ISMS) und Security steme (ISMS) und Security Awareness (Mitarbeitersensibilisierung). EINMALIGE KOMBINATION VON TION VON KOMPETENZEN FÜR SCHNELLE NUTZUNG KOMPETENZEN FÜR SCHNELLE NUTZUNG DER KHZG-MITTEL Durch die Kombination von organisatorischer und fachlicher Durch die Kombination von organisatorischer und fachlicher Beratung mit technischen Services und einem hochwirksamen, benutzerfreundlichen Werkzeug können Krankenhäuser kurzfristig von den Mitteln des KHZG profitieren und eine zukunftssichere und verlässliche E-Mail-Security aufbauen. n Vollständige Förderung durch KHZG-Mittel + ausgezeichnete Lösung für E-Mail-Sicherheit + Unterstützung beim KHZG-Förderantrag + fachliche und technische Umsetzungsberatung + Cloud & Managed Services Sichere E-Mail-Kommunikation, kostengünstig eingeführt Interessenten können ein unverbindliches und kostenfreies Beratungsgespräch vereinbaren unter: www.nospamproxy.de/de/it-sicherheit-krankenhaus ENTLASTUNG DER KRANKENHAUS-IT Nichts braucht das IT-Team im Krankenhaus weniger als eine weitere Anwendung, die wartungsintensiv verwaltet werden muss. NoSpamProxy administriert sich daher mit einem leistungsstarken und selbstlernenden Regelwerk weitgehend quasi selbst. Die intensive Nutzung von AD-Gruppen und die komplett automatisierte Zertifikatsverwaltung für Signatur und Verschlüsselung machen die Lösung auch in großen und komplexen Anwenderlandschaften mit hoher Fluktuation effizient. Net at Work war schon immer ein sehr verlässlicher Partner. Das Produkt NoSpamProxy ist eine der tragenden Säulen unserer IT- Sicherheitsarchitektur“ STEVEN ALHORN, Teamleiter IT-Infrastruktur beim Herz- und Diabeteszentrum NRW in Bad Oeynhausen Ansprechpartner: Herr Armend Saliaj, +49 7132 981 3394, armend.saliaj@bechtle.com ® Ansprechpartner: Herr Michael Neef, +49 5251 304-800, michael.neef@netatwork.de SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 51

– ADVERTORIAL – niemandem vertraut wird. Es geht hier in erster Linie um mehr Kontrolle über den Zugriff auf die eigenen Daten und darüber, wohin diese Daten übertragen und gespeichert werden dürfen, wenn sie das Netzwerk verlassen. Zu diesem Zweck muss man: ƒ verstehen, wo sich welche Daten befinden und wie sie klassifiziert werden sollten; ƒ Geräte und Benutzer identifizieren, die Zugriff auf verschiedene Arten von entsprechend klassifizierten Daten haben und benötigen. Traditionell haben sich viele Gesundheitseinrichtungen und Kranken- häuser wenig Gedanken über die Klassifizierung ihrer Daten gemacht, da sie diese im eigenen Netzwerk sicher wähnten. Aber die Zeiten geschlossener Systeme ist schlicht und einfach vorbei. Daten verlassen kontinuierlich das Netzwerk: Medizinische Geräte speichern sie wie beschrieben in der Cloud, das Personal nutzt Cloud-Anwendungen, Ärzte tauschen sich mit Forschungseinrichtungen aus, senden Daten an Gesundheitsämter und Institute. Auch der Trend zur Zusammenarbeit ist längst im Gesundheitssektor angekommen, mit der Folge, dass Daten die traditionellen Grenzen des Netzwerks verlassen. Erschwert wird die Situation in Krankenhäusern durch ein reges Kommen und Gehen von Benutzern und Geräten. So sind Ärzte nicht immer Angestellte des Krankenhauses: Beispielsweise könnten Belegärzte ihre eigenen Geräte und Daten in das Krankenhaus mitbringen und andersherum auch Daten aus dem Klinik-Netzwerk wieder mitnehmen. All dies macht es schwierig, die verschiedenen Daten, Geräte, Benutzer und Zugangspunkte in ein ganzheitliches Sicherheitskonzept zu integrieren. Die Daten befinden sich nicht mehr nur an einem Ort, sondern sind überall verteilt. Und die Situation wird sich in den nächsten Jahren eher verschärfen. Deshalb kommt es darauf an, schon jetzt die nötigen Grundlagen für die effektive und vor allem sichere Verwaltung von Daten zu schaffen. Die Cloud wird sich auch in Krankenhäusern immer mehr durchsetzen, zumal sie auch eine ideale, da schnell umzusetzende und kostengünstige Möglichkeit darstellt, die oftmals in die Jahre gekommenen IT-Systeme zu modernisieren. Auch das Krankenhauszukunftsgesetz wird hier für einen gewissen Schub sorgen. Sicherheit für die Cloud kann aber nur aus der Cloud kommen. Durch den Zero-Trust-Network-Access-(ZTNA-)Ansatz können – egal ob On- Premises oder in der Cloud – einheitliche Richtlinien durchgesetzt werden und somit die Sicherheit in allen Bereichen erhöht werden. Autorisierte Benutzer erhalten basierend auf Benutzeridentität und dem Sicherheitsstatus der Geräte Zugriff auf ihre Anwendungen und nicht auf das gesamte Netzwerk. So werden private Anwendungen und andere Netzwerkressourcen effektiv geschützt. n SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 53 . . m o c e b o d a k c o t s - e v o L y r r a C © | s i m _ i l a t a n © : d l i B

– ADVERTORIAL – jeweiligen Krankenhauses und die Sicherheit der verarbeiteten Patien- teninformationen maßgeblich sind. […] Die informationstechnischen Sys- teme sind spätestens alle zwei Jahre an den aktuellen Stand der Technik anzupassen.“ In der Smart-Hospitals-Umfrage wurden als größte Herausforderungen für die Verbesserung der IT-Sicherheit genannt: ƒ Identity und Access Management. Die zentrale und sichere Ver- waltung von Identitäten ist ein wesentlicher Baustein, um bedeutungs- volle digitale Prozesse nicht nur mit dem Patienten zu ermöglichen. ƒ Awareness-Schulungen. Die Schulung der Mitarbeiter ist ein we- sentlicher Schritt zur Verbesserung der IT-Sicherheit. ƒ Sicherer Cloud-Betrieb. Mit speziellen Microsoft Security Assets fin- det sich ein sicherer Weg in die Cloud. ƒ Auditing und Pen-Testing. Überprüfung der getroffenen Maßnah- ƒ Zu wenig Fachpersonal. Es stehen nicht genügend Spezialisten für men und Aufzeigen weiterer Schritte. die IT-Sicherheit zur Verfügung. ƒ Zu wenig Budget. IT-Sicherheit und Digitalisierung kosten Geld. Die Bedeutung der IT-Sicherheit ist oft nicht in den zur Verfügung stehen- den Mitteln berücksichtigt. ƒ Zu viele neue Bedrohungen. Als IT-Verantwortlicher in einem Krankenhaus kann man aufgrund der Vielzahl an neuen und wechseln- den Bedrohungen den Überblick verlieren. Detailwissen zu einzelnen Bedrohungen ist oft nicht vorhanden. ƒ Praktikabler Datenschutz. Stellung eines externen Datenschutzbe- auftragten oder Unterstützung des internen Datenschützers. Wir unterstützen Sie gezielt und bedarfsgerecht. Ein Ansprechpartner kümmert sich um all Ihre Belange zum Thema IT-Sicherheit und Digitali- sierung. Wir sind nach dem Krankenhauszukunftsgesetz zertifiziert und können Sie in der Antragstellung zur Förderung unterstützen.n Die Budgetfrage sollte mit dem Krankenhauszukunftsgesetz und den ent- sprechenden Zuschüssen zumindest vorübergehend gelöst sein, sodass die Frage nach Fachwissen und Fachpersonal stehen bleibt. Hier kann die Swiss IT Security Group kompetent helfen. Unser Mitglied Applied Security GmbH freut sich auf Ihre Kontaktaufnahme +49 (0) 60 22/2 63 38- 0 • info@apsec.de Die Swiss IT Security Group (SITS Group) ist ein führender Anbieter von IT-Sicherheitslösungen. Ziel ist eine Welt, in der alle Daten angemessen geschützt sind. Dafür entwickelt die SITS Group mit Expertise und Leidenschaft passgenaue Lösungen. Mehr als 600 Mitarbeiter in den einzelnen Unternehmen kümmern sich um die Sicherheit von mehr als 3.000 Unternehmen und Organisation vom kleinen mittelständischen Unternehmen bis hin zum Weltkonzern. Mit 18 Niederlassungen werden Kunden in Deutschland, Österreich, Schweiz, der Niederlande und Belgien lokal und kompetent unterstützt. Weitere Informationen finden sich auf www.sits-group.ch Gleichzeitig wurde in der Studie auch deutlich, dass bestimmte Digitalisie- rungsthemen als sehr sicherheitskritisch gesehen werden, beispielsweise die einheitliche elektronische Patientenakte oder das elektronische Re- zept. Digitalisierung ohne Sicherheit ist also für die meisten Verantwort- lichen in den Krankenhäusern nicht denkbar. Für die Digitalisierung in Krankenhäusern in den kommenden zehn Jahren wurden mehr als 20 verschiedene Themen in der Studie der Universität der Bundeswehr angesprochen. Für 9 von 10 Kliniken sind dabei die E-Über- weisung, die elektronische Terminvereinbarung und die digitale, kranken- hausinterne Mitarbeiterkommunikation Felder mit sehr hoher Bedeutung. Nach gängigen Maßstäben ist die SITS Group ein Start-up: Gegründet im Jahre 2017 ist sie erst im vierten Jahr ihres Bestehens. Allerdings haben sich in der SITS Group 17 IT-Sicherheitsspezialisten aus fünf Ländern zusam- mengeschlossen, um ihren Kunden eine allumfassende Expertise in den Bereichen IT-Sicherheit und Digitalisierung zur Verfügung stellen zu kön- nen. Auf diese Weise vereint sich hochgradige Spezialisierung mit breiter Sicht auf Sicherheits- und Digitalisierungsthemen in einem Unternehmen. Die SITS Group bietet ein breites Leistungsspektrum, das sich u.a. ganz- heitlich um Sicherheit in Krankenhäusern kümmert. ƒ Sicherheitsberatung. Analyse der IST-Situation und gezielte Maß- nahmen, Umsetzung von ISO27001 und BSI-Grundschutz. ƒ Sichere Digitalisierung. Sichere digitale Prozesse einschließlich si- cherer Patientenidentifikation und Zusammenarbeit mit KIS-Herstellern. ƒ Sichere Infrastrukturen. Von Network Access Control über Mana- ged Firewalling bis hin zu Managed SIEM werden alle Techniken zum Betrieb einer sicheren Infrastruktur abgedeckt. ƒ Sichere medizinische Geräte und IoMT. Spezielles Knowhow und Produkte zum sicheren Betrieb (insbesondere älterer) medizini- scher Geräte. ƒ Managed Service. Von Firewalls über E-Mail-Sicherheit bis hin zu Routern und Switches bietet die SITS Group vielfältige Dienstleistungen an, um Ihre IT zu entlasten und das Sicherheitsniveau dennoch zu halten. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 55

– ADVERTORIAL – RETARUS ERMÖGLICHT SICHERE KOMMUNIKATION IM GESUNDHEITSWESEN IM GESUNDHEITSWESEN Wie entscheidend funktionierende IT-Prozesse und verlässliche Patientenkommunikation sind, hat das vergangene Jahr deutlich gezeigt. Mit dem Krankenhauszukunftsgesetz soll Kliniken nun mit einem umfassenden Investitionsprogramm ein digitales Update verschafft werden. Dabei sind mindestens 15 Prozent der beantragten Mittel zur Verbesserung der Informationssicherheit zu verwenden. Mit Retarus digitalisieren Krankenhäuser unkompli- ziert ihre Kommunikationsprozesse, profitieren von einer rechtssicheren, effizienten und skalierbaren Geschäftskommunikation und realisieren deutliche Kostenvorteile. Autor: Sören Schulte, Senior Product Marketing Manager bei Retarus In der Kommunikation mit niedergelassenen Ärzten, Krankenkassen, Laboren und Patienten geht es immer darum, eine optimale Patien- tenversorgung zu gewährleisten. Allerdings hat sich laut Bundes- regierung die Anzahl der erfolgreichen Cyberangriffe auf Krankenhäuser 2020 verdoppelt. Auch Interpol warnte im vergangenen Jahr vor steigen- den Ransomware-Attacken gegen Institutionen des Gesundheitswesens. Herkömmliche Sicherheitsmechanismen bieten vor den ausgefeilten Angriffen keinen ausreichenden Schutz. Dagegen setzt Retarus Email Se- curity auf Advanced Threat Protection und die frühzeitige Erkennung zu- nächst unbekannter Bedrohungen per patentierter Patient Zero Detection. Damit sichern Krankenhäuser ihre E-Mail-Kommunikation optimal ab. EMAIL ENCRYPTION FÜR SICHERE VERSCHLÜSSELUNG Mit Retarus Email Encryption wahren Krankenhäuser zudem die Vertrau- lichkeit ihrer Kommunikation und setzen Datenschutzbestimmungen pro- blemlos um. Vertrauliche Nachrichten werden automatisch verschlüsselt. Ausgehende Nachrichten werden vor dem Verschlüsseln und eingehende Nachrichten nach dem Entschlüsseln auf Viren überprüft und gegebenen- falls blockiert. Auf Wunsch verwaltet Retarus die Schlüssel der Anwender sowie die Zertifikate ihrer Kommunikationspartner. Administratoren wer- den somit vollständig vom aufwendigen Key Management entlastet. EMAIL CONTINUITY FÜR DEN ERNSTFALL 100-prozentige Verfügbarkeit ist für die Kommunikation im Gesundheits- wesen extrem wichtig. Falls das E-Mail-System ausfällt, etwa durch einen Security Incident beim Mailserver oder eine Cloud-Downtime, stellt die Retarus Email Continuity das Routing auf Webmail-Postfächer um. So können betroffene Anwender unterbrechungsfrei weiter kommunizieren. Die Webmail-Oberfläche ist selbsterklärend und funktioniert wie bei privat genutzten E-Mail-Diensten. Auch diese Ausweich-Postfächer sind vollständig durch Retarus Email Security geschützt. DATENSCHUTZ UND COMPLIANCE Die umfassenden Services der Retarus Secure Email Platform unterstützt Gesundheitsversorger bei den Herausforderungen eines immer digitaler werdenden Klinikalltags. Neben Krankenhäusern setzen auch weitere zentrale IT-Angebote des Gesundheitssektors, von der elektronischen Patientenakte bis zur bundesweiten Impfkampagne, auf die exzellente Servicequalität von Retarus. Die Services werden nach Nutzung abge- rechnet, Kosten für Hardware, Software oder Wartung entfallen, und die Cloud-Dienste lassen sich nahtlos in bestehende Betriebsabläufe und IT- Umgebungen integrieren. Dabei setzt Retarus gezielt auf Local Processing und verarbeitet alle Daten in selbstbetriebenen, auditierbaren Rechen- zentren in Deutschland, unter anderem nach ISO 27001 zertifiziert. Dabei erfüllt das Unternehmen neben branchenspezifischen Standards und DS- GVO-Vorgaben auch höchste Compliance-Anforderungen. Zusätzlich sind die Retarus-Dienste nach SOC 1 und SOC 2 Type II examiniert.n www.retarus.com SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 57

– ADVERTORIAL – 4-in-1-Lösung für Backup, Replikation, Speicher-Snapshots und Continuous Data Protection (CDP) Veeam Backup „ Replication in der neuen Version 11 ermöglicht plattformübergreifende Datensicherung für Cloud-, virtuelle, physische und Enterprise-Workloads sowie zuverlässiges Datenmanagement für jede Phase im Datenlebenszyklus in komplexen Multi-Cloud- Umgebungen. Zu den wichtigsten Neuerungen zählt die CDP-Funktion für Workloads auf VMware vSphere, mit der ein Recovery Point Objective (RPO), also ein Sicherungsintervall von wenigen Sekunden definiert werden kann. Geschäftskritische Anwendungen werden so umfassend vor Datenverlust und Ausfällen geschützt. Die Schutzfunktion „Immutable Backup Repositories“ erhöht die Absicherung gegen Ransomware, denn Backups können so nicht verändert werden und sind zum Beispiel vor Krypto-Trojanern geschützt. Die Kernaufgaben lauten: planen, automatisieren, testen und trainieren. In regelmäßigen „Fire-Drills“ können Szenarien und Abläufe geprobt und zugleich validiert werden. Damit in der Ausnahmesituation alle Beteiligten wissen, was zu tun ist, wie die einzelnen Rollen verteilt sind und auf wel- che automatischen Abläufe sie sich verlassen können. So erhöhen Orga- nisationen ihre Wiederanlauffähigkeit, steigern ihre Resilienz und sorgen für möglichst störungsfreien Geschäftsbetrieb. n 1 Datensicherungstrends 2021 – Veränderungen und Herausforderungen für die IT; https://go.veeam.com/data-protection-trends-executive-brief-de Weitere Informationen: Veeam Software GmbH, Tel. 0 89/20 70 42-800, www.veeam.com/de rungen bei inkrementellen Backups aufgedeckt werden. Je mehr automa- tisiert ist, desto reibungsloser läuft der Betrieb. Das erleichtert im Übrigen auch eine BSI-Zertifizierung. DISASTER-RECOVERY-PROZESSE IMMER AKTUELL Um Disaster-Recovery-Szenarien immer auf dem neusten Stand zu hal- ten, empfiehlt sich der Einsatz entsprechender Software. So kann das Disaster Recovery inklusive Notfallplänen sowie regelmäßigen Tests und Updates definiert und automatisiert werden. Damit der Restart reibungs- los funktioniert, sollten auch diese Abläufe mithilfe einer Orchestrierungs- software automatisiert werden. So können IT-Teams beispielsweise mit Veeam Disaster Recovery Orchestrator ein Regelwerk von Abhängigkeiten und Prioritäten definieren und sicherstellen, dass Systeme, Anwendungen und Startreihenfolgen bei der Wiederherstellung korrekt ablaufen. Das ist auch ein Compliance-Thema. PRÄVENTION SENKT DEN STRESS-LEVEL Vorbereitung ist die beste Abwehrstrategie, denn IT-Ausfälle sind unver- meidbar, ob technische Störung oder Cyberattacke. Laut einer weltweiten Veeam-Umfrage 1, verzeichnen 95 Prozent aller befragten Organisationen unerwartete IT-Ausfälle, die im Schnitt knapp zwei Stunden dauern. Ran- somware-Attacken laufen kaum so glimpflich ab. Oft dauert es Tage oder sogar Wochen, bis ein Unternehmen alle Daten und Systeme wiederher- gestellt hat und der Betrieb in allen Bereichen wieder reibungslos läuft. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 59

. m o c . e b o d a k c o t s ­ f d o o g o B x e A l l | g n i r i p s n i t r a © : k fi a r G – ADVERTORIAL – MailStore Server: EFFIZIENTE UND DATENSCHUTZ­ KONFORME E­MAIL­ARCHIVIERUNG IM KRANKENHAUS Die Verarbeitung personenbezogener Daten – insbesondere Gesundheitsdaten – sowie deren Transfer per E-Mail steht in jedem Krankenhaus und jeder Arztpraxis auf der Tagesordnung. Dabei handelt es sich gemäß Art. 9 DSGVO häufig um besonders schutzbedürftige Infor ­ mationen. Roland Latzel von MailStore erklärt, welche Rolle die E-Mail-Archivierung im Krankenhaus spielt und wie IT­Entscheider die perfekte Lösung für ihre Anforderungen finden. In Deutschland müssen Unternehmen aus steuer- und handels- rechtlichen Gründen – darunter auch Krankenhäuser – Daten und Korrespondenzen für mehrere Jahre zuverlässig, revisions- und manipulationssicher aufbewahren und auf Anfrage verfügbar halten (Stichwort: Revisionssicherheit nach GoBD). Dieser Grundsatz schließt im Krankenhausumfeld ebenfalls E-Mails und Anhänge mit personenbezogenen Informationen und Gesundheitsdaten mit ein. Das Speichern im Postfach des Empfängers oder auf dem lokalen PC reicht dafür nicht aus: Dadurch bleiben die Daten nicht nur anfällig für nachträgliche Manipulationen, sondern bergen das Risiko von Datensilos, auf die nur der Empfänger Zugriff hat. Macht ein Patient beispielsweise Gebrauch von seinem Auskunfts- oder Löschungsrecht, kann das Informationsmanagement ganz schnell zum ineffizienten Albtraum werden. Software-Lösungen zur E-Mail-Archivierung können Krankenhäusern helfen, diese Herausforderungen zu meistern. WAS MUSS EINE PROFESSIONELLE LÖSUNG FÜR E­MAIL­ARCHIVIERUNG KÖNNEN? Sobald die IT die Rahmenbedingungen zur effektiven E-Mail-Nutzung und -Archivierung mit allen wichtigen Parteien (zum Beispiel Betriebsrat, Datenschutzbeauftragter) besprochen und festgelegt hat, können sie die Wahl des richtigen Archivierungstools in Angriff nehmen. Im Folgenden erhalten IT-Entscheider eine Checkliste zu Funktionen, über die die Lösung verfügen sollte, um sicher und DSGVO-konform zu archivieren: ƒ Effizientes Management: Erfragt ein Patient die Löschung oder Herausgabe seiner Daten, muss das Archiv durchsuchbar sein, um diese Daten schnell ausfindig zu machen. Die Software MailStore Server bietet einen direkten Zugriff auf archivierte E-Mails samt Dateianhänge, zum Beispiel über eine Volltextsuche – auch für Compliance-Verantwortliche und Auditoren. ƒ Individuelle Aufbewahrungsrichtlinien: Je nach rechtlich bedingter Aufbewahrungsfrist müssen die Daten gelöscht werden. Über MailStore Server kann die IT individuelle Richtlinien zu unterschiedlichen Fristen definieren, woraufhin das System den Löschvorgang automatisch übernimmt. ƒ Sicherheit geht vor: Gesundheitsdaten sind gemäß Art. 9 DSGVO besonders schutzbedürftig. Hinzu kommt, dass die Daten vor möglichen Manipulationsversuchen und Datenverlust abzusichern sind. MailStore Server schützt archivierte Daten mittels moderner Verschlüsselungsverfahren. Des Weiteren sind manuelle Veränderungen am Archiv per Log nachzuverfolgen, dies ist wichtig im Fall eines Audits. Zudem sollte die Lösung möglichst passend zertifiziert sein, vor allem nach IDW PS 880 im Kontext der Revisionssicherheit. ƒ Self-Service für den Anwender: Die Krankenhaus-Mitarbeiter können nicht bei allen Archivierungslösungen eigenständig auf den E-Mail-Bestand zugreifen. Eine echte Entlastung für Ihre IT wird Archivierung vor allem dann, wenn Anwender eigenständig mit der Lösung produktiv im Archiv arbeiten können – egal ob per Outlook am PC, oder browserbasiert auf Smartphones und Tablets. MailStore Software GmbH Clörather Straße 1–3 41748 Viersen Deutschland www.mailstore.com E-Mail: sales@mailstore.com +49-(0)2162-50299-0 Tel.: +49 (0)2162-50299-29 Fax: SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 61

Das bestätigen auch die Erfahrungen aus dem Klinikum Fürth, das den safe surfer 2020 hausweit eingeführt hat. Anstoß für die Einführung des safe surfer gaben Berichte in der Fachpresse über Cyberangriffe auf große Kliniken sowie ein direkter Angriff (Emotet) auf das Klinikum im Dezember 2019. Im Februar 2020 nahm das Klinikum Kontakt mit secunet auf, ein erstes Webinar für ausgewählte Mitarbeiter aus der IT-Abteilung fand statt. Kurz danach wurde das Einführungsprojekt gestartet. AUSWEITUNG AUF WUNSCH DER MITARBEITERINNEN UND MITARBEITER In diesem bestätigte sich die erhoffte Akzeptanz der Lösung: In diesem bestätigte sich die erhoffte Akzeptanz der Lösung: „Schon in der einmonatigen Teststellung überzeugte die unkompli „Schon in der einmonatigen Teststellung überzeugte die unkompli- zierte Nutzung des safe surfer, sodass wir die Zahl der Lizenzen im Einfüh- rungsprojekt auf Mitarbeiterwunsch hin deutlich erhöht haben und damit nun alle Bereiche des Hauses mit einem sicheren Internetzugang versor- gen“, so Alexander Zetlmeisl, Leiter der IT am Klinikum Fürth. Pandemiebedingt verlief die Einführung von Frühjahr bis Sommer 2020 etwas langsamer als unter Normalbedingungen, seit Juli 2020 ist safe surfer nun aber im Produktivbetrieb. Eine flexible Erweiterung wird auch zukünftig möglich bleiben, denn safe surfer ist skalierbar im laufenden Betrieb, mit einem transparenten Lizenzmodell. AKZEPTANZ AUCH AUF DEN STATIONEN Auch in den patientennahen Bereichen werde der safe surfer daher genutzt und habe nicht zu einem merklichen Anstieg der Supportanfragen an die IT geführt, berichtet das Klinikum Fürth. „Die Nutzung des Browsers funktioniert nahezu wie gewohnt. Ich kann beispielsweise Links in die Browserleiste kopieren, online Dateneingaben vornehmen oder entsprechende Daten sicher downloaden. Gerade in dynamischen Zeiten, wie in der aktuellen Pandemie, ist ein schneller, unkomplizierter und sicherer Datenaustausch mit anderen Kliniken – zum Beispiel auf Online-Portalen zu freien Behandlungskapazitäten – unerlässlich und für die tägliche Arbeit essenziell“, so Dr. Manfred Wagner, Medizinischer Direktor und Pandemiebeauftragter am Klinikum Fürth. Über das Klinikum Fürth: Das Klinikum Fürth – ein Klinikum der Schwerpunktversorgung und universitäres Lehrkrankenhaus der Universität Erlangen-Nürnberg mit 13 Fachabteilungen sowie Instituten und Zentren – ist ein in der Region fest verwurzeltes, wirtschaftlich erfolgreiches Klinikum der Versorgungsstufe 2 mit 771 Betten sowie 36 Betten in der geriatri- schen Rehabilitation. Mehr als 2.500 engagierte Mitarbeiterinnen und Mitarbeiter versorgen jährlich 42.000 stationäre sowie 58.000 ambulante Patienten auf höchstem medizinischem und techni- schem Niveau. Dazu gehört insbesondere auch die minimal-inva- sive, roboterassistierte Chirurgie. Mit der umfangreichen baulichen Erweiterung und Erneuerung hat zudem im Rahmen eines der größten Krankenhausprojekte Bayerns der moderne, zukunftswei- sende Umbau des Krankenhausstandortes Fürth bereits begonnen. – FIRMENPROFIL – Und auch sonst schont safe surfer die Ressourcen in der IT-Abteilung: Durch einen Managementserver lässt er sich für alle Abteilungen zentral verwalten. Zahlreiche standardisierte Schnittstellen helfen bei Integration und Automatisierung. NICHT NUR BEKANNTE ANGRIFFSVEKTOREN WERDEN ABGEWEHRT Das Klinikum Fürth ist zuversichtlich, mit dem safe surfer die optimale Lösung gefunden zu haben, um unbekannte Quellen isoliert zu halten. „Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spricht sich dafür aus, den Zugriff auf das Internet über ein Remote-Controlled Browser System (ReCoBs) abzusichern. Dieser Empfehlung sind wir mit dem Einsatz von secunet safe surfer gern gefolgt, um auch in dieser Hinsicht den Anforderungen aus dem IT-Sicherheitsgesetz an ein KRITIS-Haus zu entsprechen“, so Herbert Motzel, Leiter der Stabstelle IT-Sicherheitssysteme am Klinikum Fürth.n Kontakt: Markus Ohnmacht markus.ohnmacht@secunet.com Interessierte Einrichtungen können kurzfristig einen Zugang zur Cloud-Testumgebung für secunet safe surfer erhalten und sich ein eigenes Bild von der Web-Isolationslösung machen. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 63

– ADVERTORIAL – oder Multi-Faktor-Authentifizierung – hinzubuchen. ESET PROTECT wird als klassische Lizenzvariante oder als MSP-Modell (Managed Service Provider) angeboten. Neuer Sicherheitsansatz „Zero Trust Security“ ESET PROTECT basiert auf dem von der Harvard University konzipierten „Zero Trust“-Konzept zur IT-Sicherheit. Diese konzeptionelle Basis hat ESET aufgegriffen, weiterentwickelt und auf die Bedürfnisse unterschiedlicher Organisationsgrößen zugeschnitten. Kurz gesagt, es geht darum, alle internen und externen Geräte, Prozesse und Personen grundsätzlich als potenziell gefährlich einzustufen. In Zeiten von Corona und Homeoffice hat sich das als zwingend erforderlich erwiesen. Der „Zero Trust Security“-Ansatz von ESET besteht aus einem dreistufigen, aufeinander aufbauenden Reifegradmodell. Je höher die Stufe ist, desto sicherer ist die Schutzwirkung – also „reifer“. Das Modell startet mit der Basisstufe „Grundschutz Plus“, die dem Prinzip des „Multi Secured Endpoint“ folgt. Diese eignet sich unabhängig vom individuellen Schutzbedarf für jede Organisation im Gesundheitswesen. Daran schließen sich zwei Zero-Trust-Stufen mit weiter steigenden Security- Maßnahmen und -Diensten an. n ESET PROTECT ist bei allen ESET-Fachhändlern in Deutschland verfügbar. Weitere Informationen erhalten Sie auch unter www.eset.de. ESET-Sicherheit aus einem Guss basiert auf dem Bekenntnis zu „Zero Trust Security“, also dem vollumfänglichen Schutz aller Geräte, sowohl intern als auch extern. Damit geht ESET sogar einen Schritt weiter, als es das Bundesamt für Sicherheit in der Informationstechnik (BSI) fordert. Dies ist insbesondere für alle Krankenhäuser und Kliniken entscheidend, die als kritische Infrastrukturen (KRITIS) eingestuft sind. ESET PROTECT: Passgenaue Security- Bundles für jede Organisationsgröße Das Herzstück der Lösungen ist die Management-Konsole ESET PROTECT, die auf allen gängigen Betriebssystemen oder als Cloud-Variante läuft. Die Konsole bietet einen kompletten Überblick über alle Endpoints in Echtzeit sowie die Verwaltung aller Geräte innerhalb und außerhalb einer Organisation. ESET PROTECT Advanced wurde im Hinblick auf die stetig steigende Bedrohungslage – und daraus abgeleitet, auf die Bedürfnisse von mittleren Organisationsgrößen und MSPs – optimiert. Das Bundle bietet Endpoint Protection, unter anderem auch vor Ransomware und Zero- Day-Bedrohungen, Sandboxing sowie Datenschutz durch vollständige Festplattenverschlüsselung. ESET PROTECT Complete besitzt zusätzlich den Schutz von Mail-Servern sowie genutzten Clouddiensten. ESET PROTECT Enterprise richtet sich an große Krankenhäuser und Klinikverbünde, für die eine umfassende Transparenz sowie strenge Sicherheitsanforderungen unerlässlich sind. Diese Variante bietet den höchsten Schutzfaktor für Unternehmenskunden mit einer der anpassungsfähigsten Endpoint-Detection- und Response-Lösungen auf dem Markt – dem ESET Enterprise Inspector. ESET PROTECT MAIL Plus bietet einen dedizierten Schutz für Mailserver (bzw. die Absicherung des gesamten E-Mail-Verkehrs) in Verbindung mit Cloud-Sandboxing. Flexible Sicherheit, die jederzeit mitwächst Die ESET-Bundles bieten eine hohe Flexibilität, denn sie eignen sich für den cloudbasierten oder On-Premises-Einsatz. Zudem kann ESET PROTECT individuell erweitert werden, sowohl in der Anzahl der Lizenzen als auch mit weiteren Sicherheitslösungen. Ähnlich wie beim Autokauf kann der Kunde zum „Grundmodell“ weitere Ausstattungen – Das ESET-Reifegradmodell zeigt, was für die Umsetzung des „Zero Trust Security“-Konzepts wichtig ist. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 65

Mitarbeiterinformation Datenschutz Mitarbeiter einfach und rechtssicher sensibilisieren Bestseller Bestseller millionenfach millionenfach verkauft verkauft W ideal für alle Mitarbeiter W leicht verständlich W anschaulich illustriert W firmenindividuell gestaltbar W in 5 Sprachen verfügbar jetzt bestellen: datakontext.com/mitarbeiterinformation

Krankenhauszukunftsgesetz fordert Maßnahmen für IT-Sicherheit: – ADVERTORIAL – Während der Fördertatbestand 10 sich ausschließlich mit der IT- und Cybersicherheit befasst, müssen bei den Fördertatbeständen 1 bis 9 und 11 mindestens 15 Prozent der beantragten Leistungen aus dem Krankenhauszukunftsge- setz (kurz KHZG) in Maßnahmen der IT- und Cybersicherheit fließen – so will es der Gesetzgeber (gemäß Nr. 5.2 in der Förderrichtlinie nach § 21 Abs. 2 KHSFV). Für Krankenhäuser heißt das, dass sie konkrete Maßnahmen einplanen müssen, wenn sie von den vom Bund für die Krankenhausinf- rastruktur bereitgestellten Mitteln in Höhe von insgesamt 4,3 Milliarden Euro profitieren wollen. Die Krux: „Wenn Krankenhäuser beispielsweise planen, ein neues Patientenportal durch die Förderung zu implementie- ren, haben sie dabei oft die IT-Sicherheit gar nicht auf dem Schirm und riskieren damit die Ablehnung der Bedarfsanmeldung“, sagt Thomas Alt- hammer, Geschäftsführer der Althammer º Kill GmbH º Co. KG. „Die In- vestitionen in die Sicherheit der Systeme sind aber extrem wichtig. Anders als beim Krankenhausstrukturfonds werden hierbei auch kleinere Häuser berücksichtigt, denn gerade die Corona-Pandemie hat gezeigt, dass sie eine enorme Rolle bei der Abwehr nationaler Bedrohungslagen spielen. Aber gerade diese Krankenhäuser sind in Sachen IT-Sicherheit oft nicht gut aufgestellt.“ Laut einer Umfrage der Unternehmensberatung Roland Berger vom Mai 2017 wurden bereits zwei Drittel aller Krankenhäuser Op- fer eines Hackerangriffs, welche nicht nur hochsensible Patientendaten gefährden, sondern bei Komplettausfall der IT-Systeme auch eine Gefahr für Leib und Leben darstellen können. Die Prävention muss Hand-in-Hand gehen mit konkreten Handlungsplä- nen für den Fall von Cyberangriffen. Insbesondere im Krankenhausumfeld muss der reibungslose Ablauf aller Systeme Tag und Nacht gewährleistet sein. Ein stichhaltiges und wirksames IT-Notfallmanagement nach BSI 200-4 aufzubauen und zu etablieren ist dabei essenziell. Fazit Krankenhäuser müssen schon bei den Bedarfsanmeldungen für Förder- mittel nach dem KHZG konkrete Maßnahmen zur Erhöhung der IT- und Cybersicherheit mit einbeziehen. Denn Ziel ist es, die Verfügbarkeit, die Integrität und die Vertraulichkeit für alle informationstechnischen Syste- me, Komponenten und Prozesse im Krankenhaus sicherzustellen.n 1 https://www.bsi.bund.de/DE/Themen/ZertifizierungundAnerkennung/ Managementsystemzertifizierung/Zertifizierung27001/GS_Zertifizierung_node.html Weitere Details unter: www.althammer-kill.de/khzg Wie können die Projektvorhaben in den ver- schiedenen Fördertatbeständen konkret um IT-Sicherheitsmaßnahmen ergänzt werden? Krankenhäuser müssen den Status quo der IT-Systeme bewerten und mit gezielten Maßnahmen die Sicherheit erhöhen. Vorhaben zur Prävention und Detektion von Informationssicherheitsvorfällen, die Steigerung und Aufrechterhaltung des Bewusstseins gegenüber IT-Vorfällen sowie die Bedeutung von IT- und Cybersicherheit und der Aufbau eines Informa- tionssicherheitsmanagementsystems (nach ISO 27001/BSI IT-Grundschutz1 und weiterer Sicherheitsstandards (B3S)) stehen dabei besonders im Fo- kus. Folgende konkrete Maßnahmen sollten bei der Förderung nach dem KHZG Berücksichtigung finden: 1. Erstellung von Berechtigungs- und IT-Sicherheitskonzepten 2. Risikomanagement und Datenschutz-Folgenabschätzungen 3. Security-Awareness und Penetrationstests 4. Einführung Informationssicherheitsmanagementsysteme nach ISO 27001 und B3S Leistungen, die Althammer & Kill zu den Fördertatbeständen 10, 1 bis 9 und 11 anbietet. (Quelle: Althammer & Kill GmbH & Co. KG) SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 69 . . m o c e b o d a k c o t s - r e b t s e b © : d l i B

mit Beispielen zur Gestaltung von „Cookie-Bannern“ inklusive rechtlicher Bewertung mit Muster Lösch- konzept und weiteren Arbeitshilfen zum Download Datenschutz-Audits, interne Kontrollen und Überwachung effektiv, nachweis- bar, risikoorientiert organisieren. Datenschutz-Wissen aus erster Hand Datenschutz und ePrivacy bei Websites, Social Media und Messengern Löschen nach DS-GVO in der Praxis Autoren: Schwartmann/ Benedikt/Reif 1. Auflage 2020 100 Seiten DIN A4 ISBN: 978-3-89577-854-4 59,99 € mit E-Book (PDF) Autor: Sascha Kremer 1. Auflage 2020 122 Seiten DIN A4 ISBN: 978-3-89577-851-3 99,99 € mit E-Book und Arbeitshilfen (PDF) Die Überwachungsaufgabe des Datenschutzbeauftragten nach DS-GVO Autoren: Ralf Herweg/ Thomas Müthlein 1. Auflage 2020 88 Seiten DIN A4 ISBN 978-3-89577-853-7 69,99 € mit E-Book (PDF) Bestellen Sie direkt unter: datakontext.com

In Gesprächen über die Zukunft der KI und von Cyberbedrohungen fragen wir uns oft, wann wir wohl die ersten KI-gestützten Angriffe in ganz normalen Nutzerumgebungen erleben werden. Noch gibt es keine eindeutigen Anzeichen dafür, aber dieser Bericht wird zeigen, dass es bereits alle Tools und Open-Source-Ressourcen gibt, die KI-gestützte An- griffe möglich machen. Wir müssen also damit rechnen, dass KI-basierte Cyberangriffe nicht erst irgendwann in einigen Jahren stattfinden, sondern sehr wahrscheinlich in absehbarer Zeit. „Diese neue Ära der offensiven KI nutzt verschiedene Formen des maschinellen Lernens, um Cyberangriffe zu optimieren, was zu unvorhersehbaren, kontextabhängigen, schnelleren und heimlicheren Angriffen führt, die ungeschützte Organisationen lahmlegen können.“ – Forrester Dieser Bericht dokumentiert einen Angriffslebenszyklus von Anfang bis Ende und beschreibt, wie in den einzelnen Phasen Elemente des KI-Tool- kits genutzt werden könnten, um den Ablauf zu optimieren. Angreifer werden ihre Tools natürlich weiterentwickeln, um effizienter vorgehen zu können. Das passiert aber in vielen Schritten und nicht von heute auf mor- gen. Es ist zwar sehr wahrscheinlich, dass Angreifer bereits in gewissem Maße auf KI zurückgreifen, um einzelne Angriffsphasen zu verbessern, aber der in diesem Bericht beschriebene, durchgehend KI-gestützte Angriff ist lediglich als Gedankenexperiment zu verstehen. DIE WICHTIGSTEN FAKTEN ƒ Cyberkriminelle missbrauchen offensive KI für zunehmend personali- sierte, gezielte und schwer erkennbare Cyberangriffe in großem Stil. ƒ Es gibt mittlerweile Open-Source-Tools für die Entwicklung von KI-ge- stützter Malware, und es wird nicht mehr lange dauern, bis uns solche Angriffe in ganz normalen Nutzerumgebungen begegnen. ƒ Mit KI fallen die menschlichen Elemente eines Angriffs weg, sodass die Angreifer nur schwer zu identifizieren sind. ƒ Unternehmen müssen dringend auf KI-gestützte Abwehr setzen, um gegen diese neue Angriffsgeneration gewappnet zu sein. AUTONOMOUS RESPONSE „Eine der einzigen Möglichkeiten, wie Sie [offensive KI] erkennen können, ist die Verwendung defensiver KI, um Sie sicherer zu machen.“ – Edward Green, Principal Digital Architect, McLaren Autonomous Response ist eine KI-Technologie, die von Darktrace entwi- ckelt wurde, der weltweit führenden KI-Plattform für Cyberabwehr. Sie ist die einzige Technologie, die in der Lage ist, Maßnahmen gegen laufende Cyberangriffe zu ergreifen, und zwar dann, wenn die Sicherheitsteams am meisten darauf angewiesen sind – am Wochenende, nachts oder wenn einfach gerade niemand vor Ort ist, um auf sich rasch ausbreitende Bedrohungen zu reagieren. Darktrace Antigena, die weltweit erste Autonomous-Response-Lösung, reagiert gezielt und angemessen, sobald sie auffällige anormale Akti- – ADVERTORIAL – vitäten feststellt, und macht die Bedrohung unschädlich, ohne den Ge- schäftsbetrieb zu stören. Die Technologie kann in jeder noch so komple- xen Umgebung eingesetzt werden. Wir dürfen nicht länger den Kampf von gestern führen, sondern müssen uns für das wappnen, was uns in Zukunft erwartet. Natürlich gibt es Be- strebungen, noch bessere Hacking-Tools zu entwickeln, damit die Angrei- fer in noch größerem Stil agieren können und sich ihr Aufwand finanziell lohnt. Dieser Bericht zeigt aber, dass ein Angreifer mit KI noch viel mehr erreichen könnte und vieles davon bereits öffentlich zugänglich ist. Und wer weiß, was nationalstaatliche Akteure und andere bestens finan- zierte Cyberangreifer hinter verschlossenen Türen bereits entwickelt haben. Wir beobachten auch, dass Cyberkriminelle verstärkt Open-Source- Tools und Open-Source-Communities nutzen, anstatt sich auf ihre eigenen internen Helfer zu verlassen. Um der Entwicklung der Bedrohungslandschaft Rechnung zu tragen, in der wir jederzeit mit KI-gestützten Angriffen rechnen müssen, setzen wir defensive KI-Lösungen ein. Clevere Angreifer versuchen bereits, sich in ganz normale Nutzerumgebungen einzuschleichen und im regulären Betrieb unterzutauchen. Nutzen die Angreifer erst einmal KI-gestützte Methoden, werden diese Angriffe zunehmen. Cyber-KI gibt den Verteidigern Kontrolle zurück, indem es menschliche Sicherheitsteams verstärkt und jede Ecke des digitalen Unternehmens beleuchtet. Während offensive KI auf bestimmte Eindringpunkte beschränkt ist, lernt defensive KI die normalen Verhaltensmuster, die sogenannten „Patterns of Life“, für jeden Benutzer, jedes Gerät und alle Beziehungen zwischen ihnen, um selbst die subtilsten Abweichungen vom „Normalen“ zu erkennen. Die KI von Darktrace kann diesen umfassenden Kontext nutzen, um auto- nome, präzise Maßnahmen in Maschinengeschwindigkeit zu ergreifen, um eine Bedrohung angemessen zu neutralisieren, ohne das Unternehmen zu stören, und um fortgeschrittene Angriffe zu stoppen, bevor sie eskalieren. In einer Ära, in der Algorithmus gegen Algorithmus antritt, ist KI kein nettes Accessoire – sie ist ein grundlegender Verbündeter für menschliche Teams, die den heutigen Cyberbedrohungen allzu oft unterlegen sind. Erfahren Sie in dem Whitepaper „KI-gestützte Angriffe und der Kampf der Algorithmen“ von Darktrace, wie Angreifer KI nutzen können, um ihre Angriffskette zu verstärken, und wie Unternehmen auf diese Herausforde- rung reagieren. n Das vollständige Whitepaper können Sie von der Website von Darktrace unter www.darktrace.com/de/supercharged-ai/ kostenlos herunterladen. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 73 n a i j i . x / m o c k c o t S © i : d l i B

– ADVERTORIAL – automatisch auf ihre Wirksamkeit überprüft. Alle Veränderungen sind mit dem IRM verbunden und sorgen dafür, dass eventuell veränderte Kritikalitäten oder Fallzahlen automatisch bearbeitet werden. Ein Compliance-Managementsystem sichert den Betrieb des Information Security Management Systems (ISMS) und stellt die Einhaltung der für KRITIS wichtigen Regularien sicher. ihren Mitarbeitern durch aktive Information, Automatisierung und KI- unterstützte Prozesse. Um rasch Erfolge zu erzielen, ist es sinnvoll, in kleinen Schritten vorzu- gehen und als erstes die Prozesse auszuwählen, die eine hohe Kritikalität haben und deren Umsetzung für möglichst viele MitarbeiterInnen im täglichen Arbeiten einen Vorteil bietet. PROJEKT Wie bei allen Digitalisierungsprojekten ist auch bei der Digitalisierung der Prozesse zum Schutz kritischer Infrastrukturen darauf zu achten, dass die Organisation als gesamtes berücksichtigt wird. Das iTSM-Vorgehensmodell unterstützt und optimiert den Implementierungsprozess, damit die gesteckten Ziele in Zeit, Budget und Qualität erreicht werden können. ServiceNow® überwacht nicht nur die Systeme, sondern ServiceNow® spannt die Brücke zwischen den IT-Systemen und der Organisation mit So bleibt die Motivation im Projekt hoch, und die Organisation gewöhnt sich an iterative Abläufe. n ServiceNow wurde 2004 in einer Welt gegründet, in der leistungsfähige ERP-Systeme und Fachverfahren mit hoher fachspezifischer Funktionalität und Integration die betriebswirtschaftliche Planung und Steuerung von Unternehmen zuverlässig ge- währleisteten. Ziel von ServiceNow war von Beginn an, das Leben der Endanwender, die mit dieser IT-Welt interagieren, leichter zu machen. Für eine Welt, in der Arbeit weniger Arbeit macht – das ist die Vision von ServiceNow. ServiceNow bietet die technologisch führende, cloudbasierte No-Code-/Low-Code-Plattform zur Workflow- und Service- Automatisierung mit Anwendungen für IT-Management, Mitarbeiter-Services, Verwaltungsprozesse und Kunden- management sowie einer App Engine für Entwicklungen. Mit der Now Platform® lassen sich Prozesse durchgängig digitalisieren sowie neue Fachanwendungen entwickeln und in bestehende Applikationslandschaften integrieren. Mitarbeiter und Kunden bekommen schnellen, unkomplizier- ten Zugriff auf Informationen und Dienstleistungen, so, wie sie es aus ihrem Privatleben gewohnt sind. Routine-Aufgaben werden strukturiert und automatisiert, Machine Learning und Künstliche Intelligenz steigern die Effizienz und helfen, Fehler zu vermeiden und Probleme proaktiv zu adressieren. ServiceNow bedient weltweit über 6.000 Kunden, darunter zahlreiche globale Unternehmen, wie Siemens, Wayfair und Boehringer Ingelheim. iTSM Group – Menschen, Prozesse, Technologien und Partner als ganzheitliche Einheit gestalten Der digitale Wandel ist allgegenwärtig und Teil unserer immer agiler werdenden Lebenswirklichkeit. Die Herausforderungen von Unternehmen sind dabei so vielfältig wie der Wandel selbst. Für erfolgreiche Projekte ist es daher elementar wichtig, die individuelle Kundenanforderung und Zielsetzung bestmöglich zu verstehen, um eben- so maßgeschneiderte Lösungen zu entwickeln. Die iTSM Group gehört seit nunmehr 20 Jahren zu den führenden Experten für die digitale Transformation im Enterprise-Service-Management. Wir inspirieren rund 750 nationale und internationale Kunden und helfen ihnen dabei, ihre digitalen Services ganzheitlich zu meistern. Unser Portfolio reicht von der Bedarfsanalyse über Strategie und Realisierung bis zum fortlaufenden Betrieb für den Kunden. Wir sind Macher mit Berater-Gen – wir setzen um und erzeugen Ergebnisse, die unseren Kunden nutzen. Weil Beratung und Training heute anders funktioniert als noch vor 20 Jahren, fungieren wir als Dienstleistungsexperten. Wir versprechen Ihnen Inspiration und interdisziplinäre Projektteams als ganzheitliche Beratung für einen echten Wettbewerbsvorteil. Dies gelingt, weil wir Menschen, Prozesse, Technologien und Partner als Einheit gestalten. Mit den Services der iTSM Group versetzen wir unsere Kunden in die Lage, ihre Services zu rationalisieren und zu beschleunigen, um so den größt möglichen Innovationsschub sicherzustellen. Bei allen Unterschieden haben unsere Projekte eines gemeinsam: Wir agieren mit der Überzeugung, dass das Arbeiten des Einzelnen vereinfacht werden muss. Wir sehen den Menschen im Mittelpunkt und stellen ihm die Technik zur optimalen Nutzung! Dafür steht unser Markenversprechen: Create your future and become better! Inspiring and Tailored Service Mastery for your digital success. Über 200 Mitarbeiter leben und stützen diese Firmenphilosophie. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 75

zu minimieren. Zumal auch Haftungsrisiken für Geschäftsführer und Prokuristen bestehen: Bei unzureichender IT-Sicherheit können additive Bußgelder, die vier bis zehn Prozent des weltweiten Jahresumsatzes betragen können, verhängt werden. SICHERHEITSLÜCKEN KONSEQUENT SCHLIESSEN Bei der Abwehr von Angriffen auf die IT-Infrastruktur geht es nicht nur um digitale Schutzmechanismen wie Antivirenprogramme oder Firewalls. Größtmögliche Effektivität können Krankenhäuser erzielen, wenn drei Bereiche interdisziplinär ineinandergreifen: ƒ IT-Sicherheit ƒ physische Security ƒ Safety Die WISAG Sicherheit ˆ Service entwickelt ganzheitliche Sicherheits- konzepte, die diese drei Aspekte optimal in Einklang bringen: Sicherheit gegenüber Angriffen von Außen- und Innentätern (Security und IT- Security) sowie Sicherheit gegenüber menschlichem und technischem Versagen oder Unfällen (Safety). Dabei werden die Fluchtwege (Safety) als Angriffsvektor im Security-Kontext ebenfalls abgesichert. Durch dieses integrierte Vorgehen können bestehende Sicherheitslücken wirksam – und vor allem ganzheitlich – geschlossen werden. OPFER WERDEN AUSSPIONIERT Kliniken zu schädigen – sei es durch einen Cyberangriff oder einen klassischen Diebstahl – ist häufig ein Ziel organisierter Kriminalität. Ihr Fokus: einen möglichst großen finanziellen Nutzen aus den Taten zu ziehen. Hier bietet sich neben der Erpressung durch Datendiebstahl auch die Entwendung teurer medizinischer Geräte an. Der Schaden durch letztgenannte Vergehen beläuft sich seit dem Jahr 2015 auf über 25 Millionen Euro.2 Bei der Planung und Durchführung setzen die Kriminellen häufig auf eine Kombination von digitalen Attacken und physischen Erkundungen vor Ort. Sie hacken beispielsweise Systeme, um an Bau- und Lagepläne sowie Zutrittskontrollsysteme zu gelangen. So finden sie heraus, wo Geräte gelagert werden und was der günstigste Fluchtweg ist. Vor Ort werden dann weitere Erkundungen durchgeführt, wobei wirkungsvolle Maßnahmen der physischen Security, etwa durch durchdacht platzierte Sicherheitstechnik, Zugangskontrollen oder auch die Präsenz von Sicherheitsmitarbeitern, abschrecken und ein Verbrechen verhindern können. Doch sogar, wenn es das Ziel ist, Daten zu stehlen oder verschlüsseln, nutzen die Täter oftmals verschiedene Zugänge, um Zugriff auf die IT-Infrastruktur zu erhalten. Nicht selten versuchen sie, vor Ort auszuspionieren, an welcher Stelle sie am besten in ein IT-System eindringen können. Gibt es beispielsweise im Gebäude Angriffsvektoren, um Fremdgeräte zu platzieren? Bei einem solchen Szenario sind es ebenfalls physische Security-Maßnahmen, die den geplanten Angriff auf die IT erschweren. An beiden Beispielen wird deutlich, dass es nicht sinnvoll ist, IT-Sicherheit losgelöst von der physischen Sicherheit einer Einrichtung zu betrachten. Die WISAG hat durch ein interdisziplinäres Beratungsteam einen Rundum- Blick auf die Sicherheit eines Krankenhauses, der über die reine IT-Security hinausgeht. – ADVERTORIAL – Das WISAG-Prinzip: Täter nutzen meist ein kombiniertes System verschiedenster Angriffs- und Planungsmöglichkeiten. Es ist deshalb strategisch sinnvoll, als Klinik ebenfalls mehrdimensional gewappnet zu sein. Safety, Security und IT-Sicherheit (SecIT) kombiniert als ganzheitliches Konzept bieten deshalb die stärkste Abwehr. MITARBEITER ALS FIREWALL Einer der Aspekte, die oftmals vernachlässigt werden, ist die IT-Awareness der Mitarbeiter. Wie wichtig dieser Punkt ist, zeigt der Hackerangriff auf das Lukaskrankenhaus in Neuss im Jahr 2016. Ein Verschlüsselungs-Trojaner, der über einen infizierten E-Mail-Anhang eingeschleust wurde, behinderte die Arbeit in der Einrichtung über einen Monat lang. Die Kosten, die dem Klinikum dadurch entstanden, beliefen sich auf rund eine Million Euro.3 Um in puncto Mitarbeitersensibilisierung eine innovative Lösung anbieten zu können, arbeitet die WISAG mit dem Cyber-Security-Start-up IT-Seal zusammen. Das Unternehmen entwickelt Lösungen, die dafür sorgen, dass das Krankenhauspersonal selbst als Firewall agieren kann. Wie geht das? Angreifer zielen häufig nicht nur darauf ab, technische Sicherheitslücken ausfindig zu machen. Stattdessen versuchen die Täter, den Menschen als „Schwachstelle“ auszunutzen. Sie verschicken gut getarnte Phishingmails, deren Anhänge oder Download-Links bei Aktivierung extrem schnell Schadsoftware verbreiten. IT-Seal bietet Online-Trainings an, die sich als Training on the Job unkompliziert in den Arbeitsalltag einbetten lassen und die IT-Awareness der Belegschaft messbar stärken. SCHUTZ IST AM BESTEN GANZHEITLICH Um sich wirkungsvoll gegen Cyberattacken zu schützen, müssen die Sicherheitsverantwortlichen genauso denken wie die potenziellen Täter – und die nutzen jeden Angriffspunkt. Daher steht am Anfang jedes Sicherheitskonzeptes der WISAG eine umfassende Schutzziel- und Schwachstellenanalyse. Sind die Schwachstellen erkannt, wird auf dieser Grundlage ein Gesamtkonzept erarbeitet, dessen Handlungsempfehlungen bei Umsetzung zu einer Enthaftung der Geschäftsführung führen können. Das Besondere dabei: IT-Sicherheit, Safety und physische Security greifen ineinander und reduzieren so die Ansatzpunkte für Kriminelle auf ein absolutes Minimum. n 1 https://www.heise.de/news/Bundesregierung-Deutlich-mehr-Cyberangriffe-auf-Kliniken-und- Versorger-4971283.html Stand: 26.03.2021 2 https://lka.polizei-bw.de/diebstahl-von-medizinischen-geraeten-nimmt-zu/. Stand: 24.03.2021 3 https://www.heise.de/newsticker/meldung/Trojaner-im-OP-wie-ein-Krankenhaus-mit-den- Folgen-lebt-3617880.html. Stand: 26.03.2021 SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 77

DAS PASSWORT IST DAS SCHWÄCHSTE GLIED IN DER UNTERNEHMENSSICHERHEIT Ganz oben auf der Liste der Sicherheitsmechanismen, die für Benutzer lästig sind, stehen Passwörter. Schlechte Praktiken, wie die gemeinsame Nutzung von Anmeldedaten mit Kollegen oder die Verwendung immer derselben Passwörter für mehrere Konten, verschärfen die Risiken, die der Kombination Benutzername/Passwort ohnehin innewohnen. Ganz zu schweigen davon, dass die Kosten für Passwörter – und damit auch die Supportkosten – aufgrund der wachsenden Anzahl von Geschäftsanwen- dungen in Krankenhäusern immer weiter steigen. DAS PASSWORTPROBLEM LÖSEN – MIT YUBIKEY UND FIDO2 Krankenhäuser müssen ihren Mitarbeitern eine einfache, schnelle, be- queme und sichere Identifikation bieten, die keine Passwörter erfordert oder die die Abhängigkeit von Passwörtern deutlich reduziert. Auf diese Weise könnten auch die Kosten für die Verwaltung und das Zurücksetzen von Passwörtern deutlich reduziert werden. Oftmals amortisiert sich die Investition nach der zweiten gesparten Passwortwiederherstellung und da trotz aller Vorteile. FIDO2 ist ein offener Authentifizierungsstandard, der von der FIDO Alliance betrieben wird. Zwei seiner wichtigsten Mitwirkenden sind Yubico, Erfinder des Phishing-resistenten Hardware-Sicherheitsschlüssels, bekannt als YubiKey, und Microsoft. FIDO2 ist eine Erweiterung von FIDO U2F und bietet das gleiche Maß an höchster Sicherheit, basierend auf Public-Key-Kryptografie. FIDO2 bietet erweiterte Authentifizierungs- optionen, einschließlich starker Ein-Faktor- (passwortloser), starker Zwei-Faktor- und starker Multi-Faktor-Authentifizierung (passwortloser). FIDO2 unterstützt eine Vielzahl von Anwendungsszenarien, besteht aus einer Web-API (WebAuthn) und einem Authentifizierungsprotokoll-Client (CTAP), die eine passwortlose Anmeldung ermöglichen. WebAuthn defi- niert eine Standard-Web-API, die in Webbrowser und Webplattform-Infra- strukturen integriert werden kann, um Benutzern Möglichkeiten zu bieten, sich sicher online zu identifizieren. CTAP ermöglicht es, dass ein externer Identifikator, wie zum Beispiel ein Sicherheitsschlüssel, starke Authenti- fizierungsidentitäten lokal an den PC oder das Smartphone des Benutzers über USB, Nahfeldkommunikation (NFC) oder Bluetooth übertragen wird. FIDO2 stützt sich auf ein asymmetrisches Schlüsselpaar (öffentlich/privat), um Benutzer zu authentifizieren. Der öffentliche Schlüssel kann auf jedem Gerät gespeichert werden, das von der FIDO2-Authentifizierung unter- stützt wird, während der private Schlüssel beim Benutzer verbleibt und auf einem physischen Sicherheitsschlüssel geschützt wird. – ADVERTORIAL – Die YubiKey-5-Serie ist eine hardwarebasierte Authentifizierungslösung, die starke Zwei-Faktor-, Multi-Faktor- und passwortlose Authentifizie- rung mit Unterstützung für mehrere Protokolle, wie FIDO2, FIDO U2F, PIV (Smartcard), OpenPGP und Einmalpasswörter (OTP), bietet. Mit dem ersten Satz von Multiprotokoll-Sicherheitsschlüsseln, die FIDO2 unterstützen, hilft die YubiKey-5-Serie Anwendern, den Weg in eine passwortlose Zukunft zu beschleunigen. Zusätzliche Sicherheitsschlüssel von Yubico liefern FIDO2 und FIDO U2F in einem einzigen Gerät und unterstützen tausende von be- stehenden U2F-Zwei-Faktor-Authentifizierungsdiensten sowie zukünftige FIDO2-Implementierungen. Die Authentifizierung selbst funktioniert schnell und einfach. Durch einfa- ches Einstecken oder Antippen des Sicherheitsschlüssels wird die Authen- tifizierungsanfrage abgeschlossen und die Anmeldung erfolgt sofort. Mit FIDO2 kann der Sicherheitsschlüssel allein oder in Kombination mit einer PIN verwendet werden, um eine passwortlose Authentifizierung zu er- reichen. Darüber hinaus ist die Zwei-Faktor-Authentifizierung mit einem Passwort weiterhin eine mögliche Authentifizierungsmethode. FAZIT Wo Authentifizierungsansätze, die sich allein auf die Kombination von Benutzername und Passwort verlassen, durch Phishing-Angriffe unter- laufen werden können, schafft die hardwaregestützte Multi-Faktor- Authentifizierung (MFA) Abhilfe. Allerdings macht die Art und Weise, wie MFA aktiviert wird, den entscheidenden Unterschied. Codes, die an ein Smartphone gesendet werden, können leicht kompromittiert werden. Hardware-Token, wie der YubiKey, die auf dem FIDO2-Standard basieren, sind derzeit die beste Möglichkeit, MFA zu aktivieren, da sie zum einen die einzige MFA-Methode sind, die hochgradig Phishing-resistent sind, und zum anderen schneller zu verwenden sind als SMS- oder App-Codes – gerade im Krankenhausumfeld ist dies ein wichtiger Faktor. n Wenn Sie mehr zu diesem Thema erfahren möchten, besuchen Sie yubi.co/de oder wenden Sie sich gerne direkt an unseren Spezialisten Alexander Koch, alexander.koch@yubico.com SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 79

– ADVERTORIAL – Überzeugt von der Qualität und Funktionalität der Softwarelösung ist auch das Tübinger Universitätsklinikum. Mittels des Password Reset können die rund 10.300 Mitarbeiter:innen eigenständig und zeitlich un- eingeschränkt Passwörter zurücksetzen. Ein einfaches System, das den IT-Support effektiv entlastet und einen agilen Workflow fördert. „Mithilfe von AMPR (Access Manager Password Reset) konnten wir die Anrufe am Servicedesk in der IT zum Thema Passwort-Reset drastisch reduzieren. Durch die äußerst einfache Bedienung und die Verfügbarkeit von 7/24 wird das Tool von unseren Anwendern sehr gern verwendet“, berichtet Andreas Reich, Teamleiter IT-Servicezentrum. n Unser Service für IT-Sicherheit in Krankenhäusern: BAYOOSOFT Risk Manager Der validierte Zulassungsbeschleuniger ermöglicht die komfortable Generierung einer auditsicheren technischen Dokumentation nach IEC 80001-1 und ISO 14971. Durch die integrierte und selbstlernende Wissensdatenbank unterstützt Sie das leicht verständliche Tool opti- mal im Risikomanagement. Mit dem modularen Aufbau passen Sie die Lösung bedarfsgerecht an. Unter anderem als Paket integrierbar: medizinische IT-Netzwerke – IEC 80001. Als marktführende Lösung für Risikomanagement unterstützt der BAYOOSOFT Risk Manager Sie bei der Erfüllung der Schutzziele. www.riskmanager.net/krankenhaus BAYOOSOFT Access Manager Mit dem spezialisierten Tool für automatisiertes Berechtigungs- management reduzieren Sie operative Aufwände nachhaltig, wäh- rend die Informationssicherheit durch Monitoring, Auditierung und transparentes Reporting steigt. Das intuitiv nutzbare Self-Service- Portal entlastet den IT-Support und schafft Übersichtlichkeit. Auto- matisieren Sie das Berechtigungsmanagement rund um Fileserver, SharePoint, Active Directory und Drittsysteme und schaffen Sie eine sichere Umgebung für digitale Daten. Etablierte Module, wie Password Reset und Fileserver Management, helfen dabei, den IT-Support effektiv zu entlasten. www.accessmanager.net/krankenhaus www.accessmanager.net/krankenhaus www.bayoosoft.com/krankenhaus Telefon: 0049 (0)6151-86180 E-Mail: info@bayoosoft.com kommt zu einem einwandfreien Resultat“, sagt Knut Lauter des Klinikums rechts der Isar der Technischen Universität München. Der Vorteil des BAYOOSOFT Risk Manager: Durch die integrierte und selbstlernende Wissensdatenbank unterstützt Sie das leicht verständ- liche Tool optimal im Risikomanagement. An zentraler Stelle hinterlegen Anwender:innen alle abzubildenden Anforderungen, nehmen Änderungen vor und überwachen den Prozess. Besonders zentral für das Betreiben von Medizinprodukten in IT-Netz- werken ist die Norm IEC 80001-1. Hierin wird der Stand der Technik mit Bezug zum Risikomanagement von IT-Netzwerken beschrieben und drei Schutzziele definiert. Das Softwaremodul Risikomanagement nach IEC 80001-1 ermöglicht es Betreiber:innen von kritischen Infrastrukturen genau diese regulativen Anforderungen zu erfüllen. So wird Risikomanagement unter Berück- sichtigung der Schutzziele über den gesamten Lebenszyklus der IT-Netz- werke möglich. Der BAYOOSOFT Risk Manager unterstützt Sie auf effiziente Weise und schützt Patient:innen und Mitarbeiter:innen sowie Daten- und Sys- temstrukturen vor potenziellen Hackerangriffen. Die normkonforme Softwarelösung basiert auf den Vorgaben internationaler Gesetze und Verordnungen, EU-Richtlinien, FDA-Guidelines, Produkt- und Prozess- normen, Guidance Dokumente sowie Qualitätsmanagementsystemen. Berechtigungsmanagement und Password Reset im Self Service Auf die Vergabe von Zugängen, die Verwaltung von Identitäten sowie das Zurücksetzen von Passwörtern fokussiert sich das hauseigene Softwareprodukt für automatisiertes Berechtigungsmanagement: der BAYOOSOFT Access Manager. Die technische Verwaltung rund um Fileserver, SharePoint, Active Directory und Drittsysteme zu automatisieren, verschafft Betreiber:innen von Kran- kenhäusern entscheidende Vorteile. Denn operative Aufwände, beispiels- weise der IT-Administration, werden nachhaltig reduziert, während die Informationssicherheit durch Monitoring, Auditierung und transparentes Reporting gesteigert wird. Als zentraler Bestandteil des BAYOOSOFT Access Manager ermöglicht das Self-Service-Portal Fachbereichen und Endanwender:innen eine selbst- ständige Berechtigungsbeantragung ohne Einbeziehung des Second- Level-Supports. anagement Unterstützung im Fileserver Management nutzt bereits das Universitäts - klinikum Leipzig. „Mithilfe des BAYOOSOFT Access Manager konnten wir die über viele Jahre gewachsenen Strukturen unseres Fileservers in den Zustand der Compliance zu geltenden Anforderungen überführen. Die Administratoren im Second-Level-Support können nun ihre Spezialkennt- nisse in andere Themen einbringen“, lobt Daniel Pfuhl, Abteilungsleiter Systemmanagement im Universitätsklinikum Leipzig. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 81

Micro Data Center: KLEINES RECHENZENTRUM MIT GROSSEM NUTZEN – ADVERTORIAL – Mit der digitalen Transformation haben Daten einen enormen Bedeutungszuwachs erfahren: Sie sind Wertschöpfungs- und Wettbewerbs- faktor und daher auch besonders schützens- wert. Eine ernst zu nehmende Konkurrenz für die Speicherfarmen sind Micro Data Center. Sie sind kompakter und schonen das Budget – ohne Kompromisse bei Sicherheit und Perfor- mance eingehen zu müssen. Die Spezialisten im RZ-Bereich von apraNET erklären, für welche Anwendungsfälle sie besonders geeignet sind. Viele Unternehmen sehen sich geradezu mit einer Flut an Daten, auch Big Data genannt, konfrontiert. Und das gilt längst nicht nur für große Konzerne, sondern auch für KMU. Ein offensichtlicher Grund dafür: Auch sie befinden sich in einer digitalen Transformation. Daten sind auch deshalb zu einer so wertvol- len Währung geworden, da sich mithilfe smarter Analyse-Tools wichti- ge Erkenntnisse aus ihnen ziehen lassen, mit denen sich beispielsweise Produktionsprozesse optimieren lassen. Mit der steigenden Datenflut steigt auch die Nachfrage nach mehr Rechenkapazität. Zudem müssen die Daten jederzeit verfügbar sein, um etwa Produktionsunterbrechung zu vermeiden. Eine Option ist es, Daten in einem externen Rechenzentrum zu speichern, sie also „outzusourcen“. Zwar sind klassische Rechenzen- tren (RZ) in der Regel betriebssicher und hochverfügbar, allerdings sind die Kosten für die hohen Standards nicht unerheblich – und damit ins- besondere für KMU oftmals nicht attraktiv. „Gerade für Unternehmen mit limitiertem Budget sind Micro Data Center (MDC) die perfekte Lösung: Sie sind eine kompakte Version eines großen Rechenzentrums und werden direkt vor Ort im Unternehmen installiert“, sagt Andreas Broos. Zudem spielt laut Andreas Broos eine nicht ausreichende Datenverbindung zu den Rechenzentren, bedingt durch örtlich schwache Infrastrukturen der Netzbetreiber, eine Rolle bei der Entscheidung für ein MDC. Ein MDC besteht in der Regel aus einem 19 Zoll Schranksystem. Hinzu kom- men zusätzliche Komponenten für Temperaturregulierung, Wärmeabfuhr, Stromversorgung, Zutrittskontrolle und die Überwachung physikalischer Parameter. Der Einsatz von Feuerlöschsystemen im MDC lässt sich auf- grund des „kleinen Schrankvolumens“ kostengünstig abbilden. Mit kom- pakten Abmessungen von 800 mm Breite und 1.000 bis 1.200 mm Tiefe eignen sich MDC selbst für Unternehmen, die nur über begrenzte räum- liche Kapazitäten verfügen – umständliche bauliche Maßnahmen sind damit für die Integration eines MDC normalerweise nicht erforderlich. Ein weiterer Vorteil des „Mini-RZ“ ist der modulare Aufbau als Stand-alone- Lösung und ihre Skalierbarkeit. „Je nach Kundenanforderung ist es möglich, das Micro Data Center von der kleinsten Konfiguration bis hin zur Kom- plettausstattung aufzurüsten. Ändern sich die Unternehmensbedürfnisse, lassen sich weitere Schränke einfach hinzufügen“, erklärt Philipp Sartoris. „MDC werden überall dort gebraucht, wo Daten anfallen. Zwar ist die Nachfrage besonders bei KMU groß, grund- sätzlich sind sie aber auch für große Unternehmen inter- essant – und auch für Edge Computing geeignet“, sagt Andreas Broos. Ver- füge ein Unternehmen beispielsweise über mehrere dezentrale Standorte, könne an jedem einzelnen ein MDC installiert werden. Die einzelnen Kno- tenpunkte ließen sich dann wiederum zu einem eigenen RZ verknüpfen. So flexibel wie die Einsatzmöglichkeiten ist auch die kundenindividuelle Konfiguration der MDC. „Es gibt keine Schablone, die wir bei unseren Pro- jekten anlegen. Wir analysieren jedes Projekt ganz individuell und erarbeiten eine maßgeschneiderte Lösung“, erklärt Philipp Sartoris. „Allerdings wünschen sich Kunden oft, so wenig Mühe wie möglich mit der Inbetriebnahme des Micro Data Center zu haben. Deshalb bieten wir auch einen Plug º Play-Service an.“ n Unternehmenskontakt: SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 83

Netzwerk-Ressourcen zugreifen führt –, ist Cybersecurity sowohl für Medizinproduktehersteller wie auch für Betreiber zu einem wichtigen Thema geworden. Heute kommen vermehrt Systeme aus dem Bereich Internet-of-Medical-Things (IoMT) für unterschiedlichste Therapien zum Einsatz – von denen viele nur unzureichende Sicherheitsfunktionen bieten. Hersteller und Betreiber müssen angesichts einer globalen und schnelllebigen Bedrohungslage angemessen auf diese neuartigen Risiken reagieren. GEFÄHRLICHE E-MAILS Kommunikation ist besonders in Krisenzeiten von enormer Bedeutung. Die E-Mail wird intensiv genutzt und stellt deshalb für Cyberkriminelle ein häufig genutztes Einfallstor für Angriffe dar. Die hierbei zum Einsatz kommenden Angriffstechniken, wie Malware, Phishing, Brand- Impersonation, Extortion, Account Takeover und andere – insgesamt lassen sich 13 Bedrohungstypen verifizieren –, werden zunehmend raffinierter. Eine einfache „Spam Ž Virus Firewall“ reicht deshalb längst nicht mehr für einen effizienten Schutz aus. Heute ist ein umfassendes KI- gestütztes Sicherheitskonzept nötig. RANSOMWARE Die Zahl der Ransomware-Angriffe auf Gesundheitseinrichtungen ist 2020 deutlich angestiegen. Diese Attacken verschlüsseln Dateien auf dem Computer, von denen anzunehmen ist, dass sie für den Besitzer sehr wichtig und möglicherweise unwiederbringlich sind. Um die von der Ransomware verschlüsselten Daten wieder entschlüsseln zu können, wird der Geschädigte aufgefordert, ein Lösegeld zu bezahlen, damit er eine Software zur Entschlüsselung erhalte. Im Gesundheitswesen sind Vorfälle dieser Art absolut inakzeptabel, und ein effizienter Schutz, der alle Angriffsvektoren abdeckt, ist deshalb unerlässlich. KRIMINELLE HABEN MEHRERE MÖGLICHKEITEN, DEN ANGRIFF ZU MONETARISIEREN: ƒ Die Unterbrechung von IT-Diensten kann den Betrieb gefährlich verlangsamen. Kriminelle setzen darauf, dass die Opfer ein Lösegeld zahlen werden. Insbesondere in Notfällen, wenn der ohnehin schon stressige Normalbetrieb noch mehr unter Druck steht. ƒ Die Offenlegung geschützter (oder persönlicher) Gesundheits- informationen und elektronischer Gesundheitsakten (eGA) kann für jeden Beteiligten verheerend sein. Kriminelle, die Daten aus der Organisation abgreifen, haben ein hohes Druckmittel, um Lösegeld erfolgreich einzutreiben. ƒ Kritische Gesundheitsinformationen sind für Kriminelle äußerst lohnend und lassen sich einerseits für einen höheren Preis als etwa Kreditkartennummern veräußern, andererseits können Kriminelle diese Identitätsdiebstähle für ihre eigenen Vorhaben nutzen. ƒ Die weltweite Reaktion auf das neuartige Virus COVID-19 hat dazu geführt, dass Kriminelle verstärkt versuchen, in Netzwerke einzudringen. Alle Informationen über ein mögliches Heilmittel oder einen Impfstoff wären für private Käufer oder andere Regierungen von großem Interesse. ZUNEHMENDE VERNETZUNG – STICHWORT: INTERNET DER DINGE Die Digitalisierung ermöglicht erstaunliche Fortschritte im Gesundheitswesen und in der vernetzten Medizintechnik, dabei hat – ADVERTORIAL – das Internet der Dinge einen bedeutenden Anteil. Der Schutz und die sichere Konnektivität dieser Systeme sind von größter Bedeutung, doch die Vielzahl der unterschiedlichen Gerätetypen erschwert diese Aufgabe erheblich. Überdies sind diese Geräte oft nur unzureichend abgesichert und übertragen Daten über das öffentliche Mobilfunknetz oder das WLAN. Deshalb muss die Medizintechnik in die gesamte Sicherheitsarchitektur der Gesundheitseinrichtung integriert werden, eine Überprüfung der Gerätenutzer erfolgen und Zugriffsbeschränkungen auf diejenigen, die ein Gerät wirklich benötigen, durchgesetzt werden. NICHT GEPATCHTE BETRIEBSSYSTEME UND VLAN-PROBLEMATIK Eine für Einrichtungen im Gesundheitswesen spezifische Gefahrenquelle ist die Anzahl der Geräte mit veralteten, nicht mehr unterstützten Betriebssystemen. Gerade diese Geräte gehören meist zu den wichtigsten innerhalb der jeweiligen Organisationen. Das davon ausgehende Risiko muss man daher sehr ernst nehmen. Auch die Netzwerkinfrastruktur im Gesundheitswesen ist nach wie vor oft ein wunder Punkt. In der Mehrzahl der VLANs (logisches Teilnetz) sind sowohl medizinische Geräte als auch klassische IT-Geräte zugeordnet. Hier lässt sich schon durch verhältnismäßig einfache Maßnahmen einer effektiven Netzwerk- segmentierung das Sicherheitsniveau deutlich erhöhen. FÖRDERPROGRAMM: DAS KRANKENHAUSZUKUNFTSGESETZ Mit dem Krankenhauszukunftsgesetz verschafft das Bundesministerium für Gesundheit den Krankenhäusern die Möglichkeit, in die Digitalisierung und IT-Sicherheit zu investieren. Der Bund hat ab dem 1. Januar 2021 3 Milliarden Euro bereitgestellt. Zudem übernehmen die Länder und/ oder Krankenhausträger 30 Prozent der jeweiligen Investitionskosten. Insgesamt steht somit ein Fördervolumen von bis zu 4,3 Milliarden Euro zur Verfügung. Unter anderem gefördert werden: Investitionen in eine bessere digitale Infrastruktur, etwa Patientenportale, elektronische Dokumentation von Pflege- und Behandlungsleistungen, digitales Medikationsmanagement, Maßnahmen zur IT-Sicherheit sowie sektorenübergreifende telemedizinische Netzwerkstrukturen. Die Krankenhausträger können bereits mit der Umsetzung von Vorhaben beginnen und ihren Förderbedarf bei den Ländern anmelden. Bis zum 31. Dezember 2021 können die Länder Förderanträge an das Bundesamt für Soziale Sicherung stellen. Das Krankenhauszukunftsgesetz bietet Krankenhäusern somit die hervorragende Möglichkeit eines digitalen Updates und damit einen höheren Grad der Vernetzung innerhalb des Gesundheitswesens sowie eine verbesserte Patientenversorgung. n SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 85 ) . e r ( a b p o p i / . m o c k c o t S © i ; ) . i l ( s n o i t c u d o r P I / D S m o c k c o t S © i . : r e d l i B

– ADVERTORIAL – Es geht darum, Standardaufgaben, die die IT-Abteilungen viele Ressourcen kosten, an Dienstleister zu übertragen, damit die IT Zeit fürs Wesentliche hat“ KLAUS STÖCKERT, Digitalisierungsexperte und CEO der Technogroup IT-Service GmbH ©Technogroup IT-Service GmbH/Annika List blem ankündigt oder auftaucht. Das Monitoring kommt im stressigen Alltag einer IT-Abteilung oft zu kurz. Tools einzelner Hersteller liefern ein Monitoring für einzelne Komponenten, aber gerade bei sehr hete- rogenen IT-Landschaften fehlt oft der Gesamtüberblick. Multivendor- Dienstleister können fast alle Hersteller und Systemwelten in einem Monitoring integrieren. Noch entscheidender ist die Effizienz des nachgelagerten Prozesses. Bei einem Monitoring durch einen Multivendor-Dienstleister erkennt dieser eine bevorstehende oder bereits vorhandene Störung schnell und übernimmt automatisch und ohne Zeitverlust die Wartung. So kann die Störung schnellstmöglich behoben werden – unabhängig von den zeitlichen Reaktionsmöglichkeiten der IT-Abteilung der Klinik. Sie haben davon gesprochen, mit dem neuen Weg des Supports Kosten zu sparen. Ein externer Dienstleister klingt nicht nach Einsparungen. Die Herstellerwartung, die viele Kliniken nutzen, ist ein erheblicher Kostenfaktor. Das hat mehrere Gründe: Zum einen sind hier die Ver- tragsbedingungen zu nennen. Herstellerunabhängige Wartungsanbie- ter haben oftmals wesentlich bessere Konditionen als die OEMs. Ein zweiter, entscheidender Faktor ist, dass Drittwartungs-Dienstleister auch Geräte warten, die den End of Service Life überschritten haben. So kann Hardware länger genutzt und teure Neuanschaffungen ver- mieden werden. Das alles sorgt dafür, dass das Analystenhaus Gartner durch Drittwartung ein Einsparpotenzial von bis zu 70 Prozent sieht. Ein zusätzliches Einsparpotenzial bietet refurbished Hardware. Die ge- brauchte Hardware ist fachmännisch aufbereitet, bietet höchste Qua- lität und volle Funktionalität, ist aber zu erheblich geringeren Kosten erhältlich. Auch diese Hardware kann durch Third-Party Maintenance gewartet werden. Kommen wir zu weiteren Punkten Ihrer Auf- listung: „Helping Hands“- listung: „Helping Hands“ listung: „Helping Hands“ Aufgaben und IMAC im Rechenzentrum. Was fällt darunter und warum sollten diese extern vergeben werden? IMAC umfasst alle Maßnahmen, die im Lebenszyklus einer Hardware- komponente im Rechenzentrum anfallen können. Der Personalauf- wand, um komplexe IT-Systeme kontinuierlich zu pflegen, ist hoch. Ein Dienstleister kann bei der Installation von Systemkomponenten, dem Umzug einzelner Komponenten oder der gesamten Infrastruktur, bei Deinstallationen, Updates oder Anpassungen von Einstellungen und Konfigurationen unterstützen. Darüber hinaus bieten wir kontinuierlichen Support im Rechenzent- rum in Form von „Helping Hands“-Aufgaben an. Konkret handelt es sich dabei um manuelle, administrative Tätigkeiten an der Infrastruk- tur wie Kabelarbeiten oder Komponentenaustausch, die Kontrolle von Hardware oder die Begleitung von nicht autorisierten externen Support-Dienstleistern durch das Rechenzentrum. Bei Bedarf halten unsere Experten die Augen und Ohren auf, achten auf etwaige Störun- gen und kümmern sich um Wartung, Support und Krisenbetreuung wenn nötig. Rechnet man all diese Aufgaben und die Zeit für deren Erfüllung zu- sammen, wird ersichtlich, welche Entlastung der IT-Abteilung durch externen Support erreicht werden kann. Vielen Dank für das Gespräch. Technogroup ist Marktführer für Drittwartung im Rechenzentrum im D/A/CH-Raum und mit Evernex Marktführer in Europa. Zudem zählen IT-Monitoring, Netzwerk-Services und refurbished Hardware zum Portfolio. Technogroup wickelt für führende Hersteller den weltweiten Reparaturdienst für Diagnose- und Analyse-Geräte mit Biosensoren-Technik ab. SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 87

– ADVERTORIAL – Z1 HealthSecure auf einen Blick ƒ E-Mail-Verschlüsselung (S/MIME und OpenPGP, passwortbasiert) ƒ Setzen und Prüfen elektronischer Signaturen ƒ Zentrales E-Mail-Disclaimer-Management ƒ Sicheres Senden und Empfangen großer Dateien ƒ Webbasierte Administrationsoberfläche ƒ Virtuelle Appliance basierend auf Linux Debian 10 ƒ Cloudfähig, integriert mit Microsoft 365 und Google Workspace ƒ IT-Sicherheit made in Germany ƒ Herstellersupport auch in 24/7 verfügbar Erfahrene Zertificon-Partner für Installation und Betrieb Wir haben unser Partnernetzwerk auch für den Betrieb von Z1 HealthSecure ausgebaut. Sie können bei Bedarf die Installation beauftragen oder den kompletten Betrieb auslagern. Individuelle Z1-Lösungen für Konzern oder Verbund Neben Z1 HealthSecure bietet Zertificon auch Lösungen für die beson- deren Herausforderungen in Konzernen und im Krankenhausverbund. Mehrere Kliniken oder Standorte können aus einer zentralen Installation bedient werden. Sprechen Sie uns an! Nachhaltige Besserung des digitalen Reifegrades mit zukunftssicherer Investition Mit Z1 HealthSecure legen Sie die Basis für einen hohen digitalen Reife- grad Ihres Krankenhauses im Bereich der Kommunikation. Z1-Lösungen nutzen offene Standards und sind einfach integrierbar und bleiben so auch für kommende Entwicklungen anschlussfähig. Sie schaffen damit nachhaltig die sicherheitstechnischen Voraussetzungen für ein papierlo- ses Krankenhaus. Z1 HealthSecure erfüllt den Fördertatbestand 10 des Krankenhauszukunftsgesetzes Einen Schwerpunkt setzt das Krankenhauszukunftsgesetz bei der För- derung der sicheren digitalen Kommunikation. Von der Förderung können Investitionskosten für die Beschaffung sowie der initiale Betrieb von Z1 HealthSecure über drei Jahre abgedeckt werden. Förderung für KRITIS nach Krankenhausstrukturfonds Krankenhäuser, die als kritische Infrastrukturen nach dem Krankenhaus- strukturfonds förderfähig sind, sollten ihre IT-Sicherheitsausgaben nach eben diesen Vorgaben in Verbindung mit dem Krankenhaus- finanzierungsgesetz (KHG) prüfen. Eine Förderung nach dem KHZG ist zur Vermeidung von Doppelförderungen ausgeschlossen. n Automatisiertes Zertifikatsmanagement inklusive On-Demand-Beschaffung Krankenkassen, Behörden und Versicherungen gehören zu den externen Kontakten eines Krankenhauses, die häufig zertifikatsbasiert nach den Standards S/MIME und OpenPGP verschlüsseln (siehe Grafik). Um hier an- schlussfähig zu sein, sind Sie mit Z1 HealthSecure bestens gerüstet. Die Verschlüsselungslösung überzeugt durch eine besonders hohe Automa- tisierung des gesamten Zertifikatsmanagements. Zertificons Partner- schaften mit renommierten Trustcentern bringen Ihnen neben Preisvor- teilen auch einen vereinfachten Beschaffungsprozess: Mit Z1 HealthSecure erwerben Sie den Anschluss an ein anerkanntes Trustcenter sowie die automatisierte On-Demand-Beschaffung der eigenen Mitarbeiterzertifi- kate aus einer Hand. Die automatisierte Veröffentlichung Ihrer Zertifikate, damit diese Ihren Kommunikationspartnern zur Verfügung stehen, läuft ebenso automatisiert im Hintergrund wie die Suche und Validierung der Zertifikate Ihrer externen Kommunikationspartner. Spontane E-Mail-Verschlüsselung ohne Zertifikate Im Austausch mit Patienten und Angehörigen sowie kleineren Dienstleis- tern, die keine Zertifikate besitzen, hat sich die Verschlüsselung mit Pass- wörtern bewährt. Z1 HealthSecure generiert automatisch Accounts für Ihre Kontakte und stellt E-Mails verschlüsselt zu. Die Weboberfläche Ihres Z1 HealthSecure ist einfach an Ihr Corporate Design anpassbar. Einzig mit Zertificon können Sie alle marktüblichen Systeme der sponta- nen E-Mail-Verschlüsselung parallel nutzen (HTML, PDF, sicherer Web- mailer). Eine Funktion zum verschlüsselten Antworten ist natürlich auch enthalten. Zur Kompatibilität mit allen Endgeräten Ihrer Empfänger gibt es zusätzliche Apps, die kostenfrei in den Appstores bereitstehen. Durchsetzung der Compliance Um sicherzustellen, dass alle E-Mails, die verschlüsselt werden müssen, auch tatsächlich verschlüsselt werden, können zentral Regeln konfiguriert werden. Ein Set an vordefinierten Regeln ist bereits angelegt. Alternativ oder ergänzend können Nutzerbefehle freigeschaltet werden. Mit diesen Befehlen können Benutzer bei jeder E-Mail selbst entscheiden, welches Sicherheitsniveau angewendet werden soll. Das System loggt alle Aktionen und erleichtert Audits. Mit einem Blick in den Mailflow ist der Sicherheitsstatus jeder empfangenen und versende- ten E-Mail in Echtzeit nachvollziehbar. Zentrales E-Mail-Disclaimer-Management Mit dem zentralen E-Mail-Disclaimer-Management können Sie einheit- liche Signaturen oder auch Veranstaltungs- oder Haftungsausschluss-Hin- weise in E-Mails einzelner Benutzer oder Gruppen integrieren. Große Dateien sicher senden und empfangen Z1 HealthSecure enthält ein Modul für die sichere Übertragung großer Dateien. Dies ermöglicht es Ihnen, beispielsweise Daten aus bildgebenden Verfahren mit mehreren MB oder gar GB sicher und DS-GVO-konform zu senden und zu empfangen – direkt aus der E-Mail oder über ein Webportal. Ausführliche Informationen zu unseren Lösungen, Webinartermine etc. finden Sie unter: www.zertificon.com/gesundheitswesen SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 89

. m o c e b o d a k c o t s - i i . l x o h p © Datenschutz und IT- Sicherheit bei der Nutzung von Cloud Services 8. Juni 2021 | online Referent: Dr. Heinrich Kersten Schwerpunkte: ✓ Cloud-Architekturen: Private, Public und Hybrid Clouds ✓ Risiken für Datenschutz, IT-Sicherheit und Business Continuity ✓ Compliance mit der DS-GVO und dem IT-Sicherheitsgesetz ✓ Endpoint Security, Absicherung der Zugänge zu Clouds, Kryptografie ✓ Vertragsgestaltung und Überwachung ✓ Clouds in technischen Standards: ISO 27017/27018, IT-Grundschutz ✓ Cloud-spezifische Sicherheitsanalyse und Notfallplanung mit Mustertexten Jetzt anmelden: www.datakontext.com

– ADVERTORIAL – gut funktionieren, ist sie zumeist machtlos, wenn die Beschäftigten im Homeoffice über private Netzwerke und private Geräte auf Klinik-Infor- mationen zugreifen, es zugleich jedoch an modernen Authentifizierungs- methoden und Zugriffskontrollen mangelt. DIE DREI SÄULEN DER IT-SICHERHEIT Die Sicherheit einer modernen Krankenhaus-IT ruht auf drei Säulen: Pro- tect, Detect und Respond – also dem Schutz vor Gefahren, dem Erkennen möglicher Angriffe und dem Reagieren auf eine Attacke. ƒ Protect: Die erste Säule umfasst alle jene Technologien, die den Schutz von Daten und IT-Systemen gewährleisten und die Auswirkungen et- waiger Cyberangriffe begrenzen. Dazu gehören auch Kontrollmecha- nismen, die den Zugriff auf die digitalen Ressourcen steuern. In Zeiten eines verstärkten Remote-Zugriffs muss der Schutz der eigenen Syste- me neu gedacht werden, da sich die Bedrohungsszenarien fundamen- tal wandeln. ƒ Detect: Die zweite Säule kommt ins Spiel, wenn es darum geht, einen Cyberangriff überhaupt zu erkennen. Die IT muss Augen und Ohren bekommen, um in die eigene Organisation hineinhorchen zu können. Moderne Schadsoftware ist polymorph, das heißt, sie kann bei der Übertragung auf ein Gerät ihre Form verändern und so nur schwer von herkömmlichen Antivirenprogrammen entdeckt werden. Die Komple- xität von Systemen trägt zudem dazu bei, ungewünschte Zugriffe ge- nerell nur schwer entdecken zu können. Es braucht also Lösungen, die einen tiefgehenden Einblick in die eigenen Netzwerke und Systeme mit Methoden wie Threat Hunting ermöglichen. ƒ Respond: Die dritte Säule wird relevant, wenn ein Krankenhaus tat- sächlich zum Ziel einer Attacke wird. Dann ist schnelles Handeln gefragt. Automatisierte Prozesse helfen dabei, die Folgen einzudämmen und den Schaden möglichst gut zu begrenzen. Schließlich wäre es fatal, Ein- dringlingen freie Hand zu lassen, haben sie erst einmal den äußeren Schutzwall überwunden. HÖCHSTE ZEIT ZU HANDELN: INVESTITIONEN IN IT-SICHERHEIT SO WICHTIG WIE NIE ZUVOR Die Gefahren für Krankenhäuser sind real und werden in Zukunft weiter steigen. Die Einrichtungen des Gesundheitssektors sind aufgefordert zu handeln. Nur mit der Gewährleistung der Sicherheit kann die Digitalisie- rung in diesem Bereich erfolgreich sein und Mehrwert für alle Beteiligten schaffen. Die finanziellen Mittel für Investitionen in die Sicherheitsinfra- struktur sind vorhanden. Mit dem Krankenhauszukunftsgesetz (KHZG) stellen der Bund und die Länder gemeinsam 4,3 Milliarden Euro bereit, um Krankenhäusern Investitionen in zukunftsweisende Notfallkapazi- täten, Digitalisierungsprojekte und die IT-Sicherheit zu ermöglichen. Ein besonderes Augenmerk liegt dabei auf der Förderung der Informations- sicherheit. Cybersecurity ist für Microsoft essenziell. Jährlich investiert das Unterneh- men dafür mehr als eine Milliarde Dollar insbesondere in Forschung und Entwicklung. Microsoft steht als technologischer Partner an der Seite der Gesundheitswirtschaft, der Krankenhäuser und Kliniken, deren individu- elle Situation und Bedarfe sehr unterschiedlich sein können. Daher gibt es die Möglichkeit, Produkte und Lösungen stets auch in kostenlosen Trial- Versionen zu testen, um so zu ermitteln, welche bislang unbekannten Gefahren sie sichtbar machen und wie sie beim Verstärken des digitalen Schutzwalls helfen. Mit seinem ganzheitlichen Ansatz kann Microsoft Krankenhäusern und anderen Gesundheitseinrichtungen umfassende Sicherheitslösungen bereitstellen, die dabei helfen, aus einem passiven Schutz ein aktives Sicherheitsmanagement zu machen. Erfahren Sie mehr dazu im Microsoft Grundlagenpapier IT-Sicherheit im Krankenhaus – Moderne Lösungen für alte Herausforderungen. n SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 93

– ADVERTORIAL – EINFACH, SICHER, NACHVOLLZIEHBAR – QIATA Mit der Digital-Workplace-Lösung Qiata hat der deutsche Lösungsanbieter SECUDOS eine zukunftsfähige Applikation entwickelt, die alle spezifischen Anforderungen der Gesundheitsbranche erfüllt. Jegliche Dateitypen oder auch gesamte Ordnerstrukturen lassen sich problemlos per Outlook-Add-in, über den Desktop Client oder die Weboberfläche versenden. Anders als beim E-Mail-Versand spielt es dabei keine Rolle, welche Größe die übermittelten Daten haben. Ob in der Buchhaltung, Verwaltung, Rechtsabteilung, im Medizincon- trolling oder in der Geschäftsführung: Qiata lässt sich in der gesamten Einrichtung einsetzen. So sind keine unterschiedlichen Tools erforder- lich, die das tägliche Handling und die Administration erschweren. Und während MRT- und CT-Aufnahmen für eine normale E-Mail deutlich zu groß sind, können sie über Qiata einfach sicher verschickt werden – ob an den Patienten oder den behandelnden Arzt. Auch die Kommunikation mit externen Parteien, wie die Übermittlung von Patientendaten an die Deutsche Rentenversicherung (DRV) oder der Austausch mit Krankenkas- sen, ist problemlos möglich. gen jederzeit Herr über ihre Daten. Informationen jeglicher Art lassen sich auf schnellstem Wege digital übermitteln, ohne dabei die Sicher- heit zu gefährden. ƒ Privacy by Default: Qiata bietet von Beginn an alle wichtigen Tools, um einen sicheren Dateiversand zu gewährleisten. ƒ Dateiversand gemäß DS-GVO: Dateien sind zu jedem Zeitpunkt verschlüsselt und nicht einsehbar. ƒ Data Loss Prevention: Schützen Sie sensible und kritische Dateien vor unbefugtem Zugriff. PINs und Passwörter geben dem Anwender zusätzliche Sicherheit. ƒ Protokollierter File-Transfer: Bei Qiata sind alle Vorgänge in einem zentralen Audit-Log protokolliert und einsehbar. ƒ Recht auf Vergessenwerden: Definieren Sie selbst die Aufbewahrungszeit von Dateien und Transfers über den zentralen Archiver. ƒ Eingrenzung durch Richtlinien: Dank umfangreicher Richtlinienkonfiguration haben Sie selbst die Kontrolle über alle Dateien. Datentransfers können ohne oder mit vorheriger Genehmigung versendet werden. n Im TEAMTransfer-Bereich lassen sich dem gesamten zuständigen Ärzteteam – gleichermaßen natürlich in anderen Abteilungen – Informationen zur Verfügung stellen. Für ein klares und eindeutiges Verständnis aller Beteiligten und eine vollständige Nachvollziehbarkeit protokolliert Qiata sämtliche Vorgänge in einem Logbuch (Audit-Log). Auch externe Teilnehmer lassen sich auf diese Weise einfach in den Kommunikationsprozess einbeziehen, ohne dass sie auf zusätzliche Tools angewiesen sind. Möchte ein Arzt seinen Bericht zunächst als Entwurf abspeichern und von zu Hause aus bearbeiten, steht ihm zur Ablage seiner persönlichen Dateien außerdem der PersonalSpace zur Verfügung. So bietet Qiata für Mitarbeiter, Administratoren und auch das Manage- ment eine erhebliche Erleichterung und Zeitersparnis im Arbeitsalltag – und das auf einem einfachen, sicheren und nachvollziehbaren Weg. Mit der in Deutschland entwickelten Lösung bleiben Gesundheitseinrichtun- www.qiata.de/branchen/ www.qiata.de/branchen/ gesundheit-medizin-pharma/ In Kooperation mit SPECIAL_2/2021 IT-SICHERHEIT IM KRANKENHAUS 95

. m o c e b o d a . k c o t s - o i d u t s 2 a r © Online- Kompaktkurs Datenschutz und Daten- sicherheit bei Digitalen Gesund- heitsanwendungen gem. der neuen DiGA-Verordnung 17. Juni 2021 | 14:00–15:30 Uhr | online Referenten: Jun.-Prof. Dr. Werner Schäfke-Zell, Dipl.-Inf. Marius Post Schwerpunkte: ✓ Besondere Anforderungen an die Rechtsgrundlagen der Verarbeitung ✓ Beschränkungen der möglichen Zwecke der Verarbeitung ✓ Besondere Anforderungen an Einwilligungen ✓ Beschränkungen der Möglichkeiten für die Drittlandübermittlung Jetzt anmelden: www.datakontext.com

Im Zuge der fortschreitenden Digitalisierung haben sich zwangsläufig neue Anforderungen an die individuellen IT-Sicherheitskonzepte im Healthcare-Sektor ergeben. Diese gilt es zu erkennen und zu stemmen, denn in dieser Branche geht es buchstäblich um Leben und Tod. Der Wert von Patientendaten wurde erkannt Dass Patientendaten und andere Datensätze in Krankenhäusern vermehrt digital verfügbar sind, ist grundsätzlich eine positiv zu bewertende Entwicklung. Schnellere Bearbeitung, zuverlässige Dokumentation und standortübergreifender Zugriff sind die logischen Effekte. Allerdings bergen genau diese ein erhöhtes Risiko für Cyberangriffe. Komplexe, zielgerichtete Angriffe, wie sogenannte APT-Attacken (Advanced Persistent Threats), gehören zu beliebten Methoden von Cyberkriminellen, die Social Engineering betreiben. Sie verschaffen sich Zugang zu umfassenden Informationen von Einzelpersonen und nutzen diese Details, um mit Phishing, Spoofing oder Identitätsdiebstahl ihren „Hackerlohn“ zu verdienen. Doch im Healthcare-Sektor geht es noch weit darüber hinaus. Wenn OP-Rechner oder Blutdruckwerte manipuliert werden, kann es lebensbedrohlich werden. Impfstoff-Forschung im Fadenkreuz Auch die jüngsten Cyberangriffe im Rahmen der COVID-19-Impfstoff- Forschung verdeutlichen die hohe Relevanz von IT-Sicherheit im Gesundheitswesen. Bereits im Herbst 2020 hatten Kaspersky-Experten zwei zielgerichtete Attacken auf ein Gesundheitsministerium und ein Pharmaunternehmen identifiziert. In beiden Fällen verfügte die eingesetzte Malware über ähnliche Eigenschaften, darunter auch eine voll funktionsfähige Backdoor, um den Computer des Opfers auf nahezu beliebige Weise fernzusteuern. Dass derartige Angriffe eine riesige Bedrohung für die Impfstoff-Entwicklung bedeuten, wenn sie nicht frühzeitig erkannt und behoben werden, liegt auf der Hand. So steht nicht nur der Schaden an den Systemen im Raum, sondern auch der immaterielle. Reputationsverlust kann die Folge sein, der zu mangelndem Vertrauen und genereller Skepsis dem Unternehmen gegenüber führen kann. IT-Bedrohungen im Gesundheitswesen sind Trends des Jahres So wie die Pandemie viele Dinge verändert und beschleunigt hat, hat auch das Thema IT-Security im Gesundheitswesen an Brisanz gewonnen. Sicherheitsexperten von Kaspersky sagen voraus, dass es in diesem Jahr verstärkt zu Leaks von Patientendaten in der Cloud kommen wird und Gesundheitsorganisationen sowie Impfstoff- und Arzneimittelhersteller zunehmend Cyberangriffen ausgesetzt sein werden. Diese Aussage ist klar als Kampfansage zu verstehen. Krankenhäuser und Kliniken sollten sich – unabhängig von Größe und Patientenvolumen – jetzt um das Upgrade ihrer IT-Sicherheit kümmern. Für alle Skeptiker kommt ein weiterer Schubs in diese Richtung direkt vom Gesetzgeber: Im Zuge des Patientendaten-Schutz-Gesetzes (PDSG) gelten erhöhte Anforderungen an die Informations- und IT-Sicherheit – auch für Krankenhäuser, die aufgrund des Schwellenwertes aktuell nicht als „kritische Infrastruktur“ eingestuft sind. Ab Januar 2022 müssen auch sie nachweisen können