HHS warnt Krankenhäuser eindringlich vor der EHR-Sicherheit 

Im vergangenen Jahr hat das Ministerium für Gesundheit und Soziales eine eindringliche Warnung an US-Krankenhäuser herausgegeben und dabei auf die zunehmenden Cyberbedrohungen für das Gesundheitswesen hingewiesen. In dem Bericht der Bundesbehörde zur Cyberresilienz von Krankenhäusern wurde festgestellt, dass die weit verbreitete Einführung von Informationstechnologie im Gesundheitswesen, die durch den „Health Information Technology for Economic and Clinical Health (HITECH) Act“, den „Affordable Care Act“ und den „21st Century Cures Act“ vorangetrieben wurde, die Anfälligkeit des Gesundheitswesens gegenüber Cyberangriffen erhöht hat. 

„Direkt gezielte Ransomware-Angriffe, die darauf abzielen, den Klinikbetrieb zu stören, stellen eine überproportionale und wachsende Cyberbedrohung für Krankenhäuser dar“, betonte das HHS. „Ransomware ist derzeit die größte Bedrohung für diesen Sektor und verdient sofortige Aufmerksamkeit – insbesondere angesichts der Auswirkungen, die die Nichtverfügbarkeit von Dienstleistungen auf die Patientenversorgung und -sicherheit haben kann.“ 

Ransomware-Angriffe gehen oft mit dem Diebstahl sensibler Patientendaten einher. Laut dem HHS-Cybersicherheitsprogramm sind elektronische Gesundheitsakten (EHRs) ein bevorzugtes Ziel für Cyberangriffe, da sie wertvolle geschützte Gesundheitsdaten (PHI) wie Namen, Sozialversicherungsnummern, geografische Daten und biometrische Daten enthalten. Diese Daten sind für Cyberkriminelle sehr lukrativ und lassen sich kaum schützen, sobald sie einmal offengelegt wurden. 

Sicherheitsvorschriften für EMR/EHR gemäß HIPAA

Die Warnung des HHS weist auf erhebliche Schwachstellen in Informationssystemen des Gesundheitswesens hin, die Organisationen anfällig für Ransomware-Angriffe, Datenlecks und andere Cyberbedrohungen machen. Gesundheitsdienstleister müssen diese Warnungen als dringende Aufforderungen zum Handeln und nicht als routinemäßige Hinweise betrachten. Die Auswirkungen gehen über technische Bedenken hinaus: Unzureichende Sicherheit bei elektronischen Patientenakten (EHR) führt zu rechtlicher Haftung, beeinträchtigt die Patientenversorgung und schadet dem Ruf der Einrichtung.

Zu den häufigsten Bedrohungen für die Sicherheit elektronischer Patientenakten zählen:

• Bedrohungen durch Insider: Mitarbeiter, die versehentlich oder absichtlich ihren Zugriff auf Patientenakten missbrauchen.
• Risiken durch Dritte: Lieferanten und Geschäftspartner, die Zugriff auf Systeme haben, deren Sicherheitsvorkehrungen jedoch möglicherweise unzureichend sind.
• Altsysteme: Veraltete Software und Hardware, für die keine Sicherheitsupdates mehr bereitgestellt werden.
• Sicherheitslücken bei Mobilgeräten: Ungesicherte Smartphones und Tablets, die für den Zugriff auf Patientendaten verwendet werden.
• Sicherheitslücken in der Cloud: Unzureichender Schutz für Daten, die in der Cloud gespeichert sind.
• Phishing-Angriffe: Gezielte Kampagnen, die darauf abzielen, Zugangsdaten von Mitarbeitern im Gesundheitswesen zu stehlen.
• Unzureichende Backup-Protokolle: Unzureichende oder ungetestete Backup-Systeme, die bei Wiederherstellungsszenarien versagen.

Diese Bedrohungen stehen in direktem Zusammenhang mit der Nichteinhaltung der HIPAA-Vorschriften, wenn Unternehmen die erforderlichen Sicherheitsmaßnahmen nicht umsetzen. So stellt beispielsweise ein Ransomware-Angriff, der ungepatchte Software ausnutzt, einen Verstoß gegen die Systemschutzanforderungen der HIPAA-Sicherheitsvorschriften dar.

Die finanziellen Folgen dieser Angriffe können schwerwiegend sein. Laut dem „2024 Cost of a Data Breach Report“ von IBM kosten Datenschutzverletzungen im Gesundheitswesen Unternehmen durchschnittlich 9,77 Millionen US-Dollar. Ein Beispiel hierfür ist der jüngste Vergleich im Zusammenhang mit einem Ransomware-Angriff auf das Heritage Valley Health System, bei dem das Office for Civil Rights eine Geldstrafe in Höhe von 950.000 US-Dollar verhängte und einen Plan mit Abhilfemaßnahmen forderte. Vorfälle wie dieser unterstreichen, wie wichtig robuste Cybersicherheitsmaßnahmen sind, um Datenschutzverletzungen zu verhindern und Risiken zu minimieren. 

Die Sicherheitsvorschriften für EMR/EHR gemäß HIPAA umfassen die Umsetzung angemessener und geeigneter administrativer, physischer und technischer Sicherheitsvorkehrungen zum Schutz von ePHI. Die HIPAA-Sicherheitsvorschrift legt spezifische Anforderungen für den Schutz von EHRs fest. Sie verlangt von regulierten Unternehmen Folgendes:

• Administrative Sicherheitsmaßnahmen: Risikoanalyse, Sicherheitsmanagementprozesse, Mitarbeiterschulungen und Notfallplanung.
• Physische Sicherheitsmaßnahmen: Zugangskontrollen zu Einrichtungen, Sicherheit am Arbeitsplatz und Kontrollen von Geräten/Medien.
• Technische Sicherheitsmaßnahmen: Zugriffskontrollen, Prüfkontrollen, Integritätskontrollen und Übertragungssicherheit.
• Organisatorische Anforderungen: Verträge mit Geschäftspartnern und Dokumentationspflichten.
• Richtlinien und Verfahren: Umsetzung angemessener und geeigneter Sicherheitsmaßnahmen.

Gesundheitsorganisationen sollten eine umfassende Sicherheitsrisikobewertung durchführen, um Schwachstellen zu identifizieren. Anschließend sollten sie einen Plan zur Behebung dieser Schwachstellen entwickeln, der kritische Lücken priorisiert, Sicherheitsrichtlinien und -verfahren aktualisiert, technische Sicherheitsvorkehrungen implementiert und Mitarbeiterschulungen zu Sicherheitsprotokollen vorsieht. Regelmäßige Sicherheitsaudits tragen dazu bei, die kontinuierliche Compliance aufrechtzuerhalten und sich an neue Bedrohungen anzupassen.

Sicherheitsmaßnahmen für elektronische Patientenakten und ihre Bedeutung

Da elektronische Patientenakten ein bevorzugtes Ziel für Angriffe sind, gewinnt die Sicherheit zunehmend an Bedeutung. Die Sicherheit elektronischer Patientenakten umfasst spezielle Schutzmaßnahmen zum Schutz elektronisch gespeicherter Gesundheitsdaten (ePHI) in Gesundheitsinformationssystemen. Die Sicherheit elektronischer Patientenakten muss sowohl die technischen Schwachstellen digitaler Systeme als auch die besonderen Datenschutzanforderungen berücksichtigen, die durch Gesundheitsvorschriften vorgeschrieben sind.

Die Grundlage für eine effektive HIPAA-EHR-Sicherheit basiert auf drei Kernprinzipien:

1. Vertraulichkeit schützt vor unbefugtem Zugriff auf sensible Patientendaten.
2. Integrität gewährleistet die Genauigkeit und Konsistenz von Gesundheitsdaten während ihres gesamten Lebenszyklus.
3. Die Verfügbarkeit stellt sicher, dass autorisierte Nutzer bei Bedarf auf wichtige Informationen für die Patientenversorgung zugreifen können.

Wesentliche Sicherheitsmaßnahmen für elektronische Patientenakten

Diese EHR-Sicherheitsmaßnahmen können Gesundheitsorganisationen dabei helfen, Patientendaten zu schützen und gleichzeitig die HIPAA-Anforderungen zu erfüllen:

• Zugriffskontrollen: Rollenbasierte Berechtigungen, die den Datenzugriff auf autorisiertes Personal beschränken, basierend auf der beruflichen Funktion und dem Need-to-know-Prinzip.
• Authentifizierungssysteme: Multi-Faktor-Authentifizierung, die mehrere Verifizierungsmethoden erfordert, bevor der Systemzugang gewährt wird.
• Verschlüsselung: Datenverschlüsselung sowohl im Ruhezustand als auch während der Übertragung, um Informationen auch im Falle eines Systemeinbruchs zu schützen.
• Audit-Trails: Umfassende Protokollierung aller Systemaktivitäten, um nachvollziehen zu können, wer auf Datensätze zugegriffen hat und welche Änderungen vorgenommen wurden.
• Regelmäßige Analyse der EHR-Sicherheitsrisiken: Systematische Bewertung von Sicherheitslücken und Umsetzung von Strategien zu deren Minderung.
• Sicherung und Wiederherstellung: Regelmäßige Datensicherungen mit getesteten Wiederherstellungsverfahren, um die Verfügbarkeit bei Zwischenfällen aufrechtzuerhalten.
• Physische Sicherheitsvorkehrungen: Eingeschränkter physischer Zugang zu Servern und Arbeitsplätzen, die ePHI enthalten.
• Schulungen zum Sicherheitsbewusstsein: Laufende Schulung aller Mitarbeiter zu Sicherheitsprotokollen und zur Erkennung von Bedrohungen.

Datenschutz- und Sicherheitsbedenken im Zusammenhang mit elektronischen Gesundheitsakten (EHR)

Datenintegrität und Datenschutz sind zwei unterschiedliche, aber miteinander verbundene Aspekte der Datenschutz- und Sicherheitsproblematik im Zusammenhang mit elektronischen Patientenakten. Bei der Datenintegrität geht es darum, die Genauigkeit und Vollständigkeit von Gesundheitsdaten während ihres gesamten Lebenszyklus zu gewährleisten: unbefugte Änderungen zu verhindern, beschädigte Daten zu erkennen und die Zuverlässigkeit medizinischer Informationen zu wahren.

Der Datenschutz konzentriert sich darauf, zu kontrollieren, wer unter welchen Umständen auf Patientendaten zugreifen darf. Beide Elemente erfordern spezielle Schutzmaßnahmen, um die HIPAA-Konformität aufrechtzuerhalten.

Die Verschlüsselung bietet zwar einen wichtigen Schutz für EHR-Daten, kann jedoch nicht als umfassende Sicherheitslösung für EHR-Sicherheitsverletzungen dienen. Verschlüsselte Daten bleiben anfällig, wenn die Zugriffskontrollen unzureichend sind, Authentifizierungssysteme kompromittiert werden oder Insider ihre legitimen Zugriffsrechte missbrauchen. Organisationen im Gesundheitswesen müssen einen mehrschichtigen Sicherheitsansatz implementieren, der das gesamte Spektrum potenzieller Schwachstellen abdeckt, um Probleme im Zusammenhang mit dem Datenschutz und der Sicherheit von EHR zu lösen.

Zugriffskontrollen, Prüfprotokolle und regelmäßige Risikobewertungen tragen gemeinsam dazu bei, sowohl die Integrität als auch den Datenschutz elektronischer Gesundheitsakten zu gewährleisten. Zugriffskontrollen beschränken den Zugriff auf Daten je nach Rolle und Bedarf. Prüfprotokolle sorgen für Nachvollziehbarkeit, indem sie alle Interaktionen mit geschützten Gesundheitsdaten aufzeichnen. Risikobewertungen identifizieren aufkommende Schwachstellen, bevor diese ausgenutzt werden können.

„Die Umstellung auf die Cloud hat an Dynamik gewonnen, da sie technische Schulden reduziert und die Sicherheit verbessert“, sagt Jaimie Fox, Senior Technology Strategist bei Microsoft. „Die Cloud bietet weitaus mehr Sicherheit als einzelne Krankenhäuser, sodass Gesundheitsdienstleister und EHR-Anbieter ihre Infrastruktur sicher verlagern und sich gleichzeitig auf Innovation und Effizienz konzentrieren können.“ 

Viele Gesundheitsdienstleister erkennen zunehmend die Notwendigkeit, die Vorteile der Cloud gegenüber herkömmlichen Infrastrukturen zu nutzen. Diese Umstellung wirft jedoch eine entscheidende Frage auf: Wie können Gesundheitsorganisationen geschäftskritische Systeme vor Cyberbedrohungen schützen und gleichzeitig sicherstellen, dass sie für die Patientenversorgung betriebsbereit bleiben? 

Verbesserung der Sicherheit von elektronischen Patientenakten in der Cloud

Angesichts der zunehmenden Cyberbedrohungen für EHR-Systeme müssen Gesundheitsorganisationen bewährte Strategien zur Cyber-Resilienz einführen. Zu den wichtigsten Methoden gehören der Einsatz einer Cloud-Sicherheitsinfrastruktur, umfassende Risikominderung und die Integration von KI in Sicherheitsabläufe, um die Abwehrfähigkeit gegen Angriffe zu verbessern. 

Angesichts des begrenzten Personals im Bereich Cybersicherheit haben Gesundheitsorganisationen die Möglichkeit, die Cloud zu nutzen, um ihre Cybersicherheit zu verbessern und technische Schulden abzubauen, unter denen die meisten US-Krankenhäuser leiden. Die Einhaltung von Bundes-, Landes- und lokalen Vorschriften ist zwar von entscheidender Bedeutung, doch die Minderung von Cybersicherheitsrisiken geht über die bloße Erfüllung von Compliance-Standards hinaus.  

„Im Bereich der Cyber-Resilienz ist der Schutz der Datenverfügbarkeit genauso wichtig wie die Gewährleistung ihrer Vertraulichkeit und Integrität“, sagt David Houlding, Director of Global Healthcare Security and Compliance Strategy bei Microsoft. „Organisationen im Gesundheitswesen müssen sich auch vor Sicherheitsverletzungen, Insider-Bedrohungen und Risiken durch Dritte schützen, die zu schwerwiegenden Störungen, einschließlich Systemausfällen, führen können.“ 

Die Flexibilität und Skalierbarkeit der Cloud ermöglichen die schnelle Integration fortschrittlicher, datenintensiver Technologien, die Cybersicherheitsexperten im Gesundheitswesen dabei helfen, die Sicherheit zu verbessern, und Ärzten die Möglichkeit geben, modernste Tools für die Patientenversorgung einzusetzen. 

„KI-Funktionen, die die Produktivität steigern und die Kosten in EHR-Systemen senken, sind nur in der Cloud realisierbar“, bemerkt Fox. „Herkömmliche lokale Systeme können diese fortschrittlichen KI-Funktionen nicht unterstützen, was Innovationen und modernste Lösungen in der klinischen Versorgung einschränkt.“ 

KI kann auch die Cybersicherheit im Gesundheitswesen revolutionieren, indem sie potenzielle Bedrohungen für Daten, Systeme und Anwendungen schnell identifiziert und darauf reagiert.  

„Mit KI können Sicherheitsanalysten komplexe Angriffe wie Phishing und Spear-Phishing erkennen und darauf reagieren, die mittlerweile immer weiter verbreitet und kostengünstiger durchzuführen sind, da auch Angreifer KI-gesteuerte Automatisierung einsetzen“, so Houlding. „Darüber hinaus kann KI Echtzeit-Anleitungen bereitstellen und so Sicherheitsteams dabei unterstützen, ihre beruflichen Fähigkeiten zu verbessern, sodass sie besser für die sich schnell verändernde Bedrohungslage gerüstet sind.“ 

Bei der Umstellung von Gesundheitsorganisationen auf die Cloud ist es unerlässlich, ein Gleichgewicht zwischen Innovation und Sicherheit zu finden.  

Den richtigen Partner für Cyber-Resilienz auswählen 

Durch den Einsatz von Cloud-Sicherheitslösungen und KI-gestützten Schutzmaßnahmen können Gesundheitsdienstleister kritische Systeme schützen und gleichzeitig klinische Innovationen in der Patientenversorgung vorantreiben. 

„Commvault ist ein vertrauenswürdiger Microsoft-Partner und ein wichtiger Partner für Gesundheitsorganisationen, die eine echte Cloud-Lösung auf Azure suchen. Das Unternehmen verfügt über eine unübertroffene Erfolgsbilanz, und wie Sie von unseren Kollegen gehört haben, ist sein Wertversprechen einzigartig und branchenführend“, sagt Karen Cox, Global Healthcare Partner Strategy Leader bei Microsoft. 

„Commvault ist ein führender Anbieter und gehört zu den ersten Teilnehmern des Microsoft Copilot for Security-Partnerprogramms, das die neueste Technologie zum Schutz von Unternehmen einsetzt“, fährt sie fort. „Die Lösungen des Unternehmens sind vollständig in die Microsoft-Sicherheitslösungen integriert, wurden gemeinsam mit Microsoft entwickelt und entsprechen den Standards der Azure Protection Services. Damit ist Commvault ein idealer Partner für den Schutz von Anwendungen und Daten im Gesundheitswesen, sei es in der Cloud oder in einer Hybridumgebung.“ 

Gesundheitsorganisationen können ihre Wiederherstellungsstrategien gegen EHR-Angriffe stärken, indem sie Commvault Cleanroom Recovery einsetzen – die einzige von der Enterprise Strategy Group validierte Lösung, die eine Wiederherstellung in einer garantiert sauberen Umgebung gewährleistet. Angesichts der großen Bedrohung durch Ransomware ist ein sicherer und überprüfbarer Wiederherstellungsplan unerlässlich, um den Betrieb schnell und sicher wieder aufzunehmen.  

Durch den Einsatz der fortschrittlichen Plattform von Commvault können Organisationen im Gesundheitswesen schnell und sicher wiederhergestellt werden, ohne dass das Risiko einer erneuten Infektion besteht. So werden Patientendaten geschützt und die langfristige Betriebssicherheit gewährleistet. Laden Sie unseren umfassenden Leitfaden herunter, um Ihre Organisation im Gesundheitswesen mit praktischen Schritten und Best Practices für die Cyber-Wiederherstellung vorzubereiten.