IoT-Sicherheit: Der wunde Punkt im Krankhaus

IoT-Sicherheit: Der wunde Punkt im Krankhaus
Anzeige

Beitrag teilen

Das Interesse der Angreifer richtet sich auf IoT-Geräte in den Krankenhäusern. Branchenunabhängig warnen Experten bereits seit Jahren vor entsprechenden IoT-Schwachstellen. Eine Analyse von Marc Laliberte, Technical Security Operations Manager WatchGuard.

Seit Januar 2021 stellt die deutsche Bundesregierung im Rahmen des Krankenhauszukunftsgesetz drei Milliarden Euro für die Digitalisierung von Krankenhäusern bereit. Weitere 1,3 Milliarden kommen von den Ländern dazu. Das Ziel: ein umfassendes Investitionsprogramm für moderne Notfallkapazitäten, die Digitalisierung und nicht zuletzt Maßnahmen zur Steigerung der IT-Sicherheit. Insbesondere beim letzten Punkt ist die Dringlichkeit zum Handeln offensichtlich, denn Kliniken stehen immer öfter im Visier der Hacker – egal in welchem Land.

Anzeige

IoT in Krankenhäusern sind Ziele

Das Interesse der Angreifer richtet sich in dem Zusammenhang zunehmend auf IoT-Geräte. Der Grund: Das Internet der Dinge hat ein Sicherheitsproblem, das ihm quasi in die Wiege gelegt wurde. Ganz branchenunabhängig warnen Experten bereits seit Jahren vor entsprechenden Schwachstellen. Beispiele entsprechender Angriffsszenarien gibt es mittlerweile zuhauf: Vom Mirai-Botnet, das 2016 Internet-Größen wie Netflix, Twitter und Reddit ins Straucheln brachte, bis hin zur im Frühjahr 2021 aufgedeckten Kompromittierung von Verkada-Sicherheitskameras, die u.a. in Krankenhäusern zum Einsatz kommen.

Zunehmend in Gefahr: IoT-Geräte im Gesundheitswesen

Es ist stark davon auszugehen, dass entsprechende Angriffe auf IoT-Anwendungen im Gesundheitswesen künftig weiter zunehmen werden. Schließlich ist der enorme Nutzen vernetzter Sensoren für den diagnostischen Datenaustausch unbestritten. Marktbeobachter gehen davon aus, dass die IoT-Einführung im Gesundheitswesen bis 2028 eine jährliche Wachstumsrate (CAGR) von 25,9 Prozent erreichen wird. Somit erhöht sich jedoch automatisch auch die Angriffsfläche.

Anzeige

Jetzt Newsletter abonnieren

Einmal im Monat die besten News von B2B CYBER SECURITY lesen



Mit Klick auf „Anmelden“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden. Weitere Informationen finde ich in unserer Datenschutzerklärung. Nach dem Anmelden erhalten Sie zuerst eine Bestätigungsmail, damit keine anderen Personen Ihnen etwas ungewolltes bestellen können.
Aufklappen für Details zu Ihrer Einwilligung
Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung. Sie können jederzeit den Newsletter wieder abbestellen. Einen entsprechenden Link finden Sie im Newsletter. Nach einer Abmeldung werden Ihre Daten in kürzester Zeit gelöscht. Eine Wiederherstellung ist nicht möglich. Falls Sie den Newsletter erneut haben möchten, ordern sie diesen einfach neu. Verfahren Sie auch so, wenn Sie eine andere E-Mail-Adresse für Ihren Newsletter nutzen möchten. Wenn Sie den auf der Website angebotenen Newsletter beziehen möchten, benötigen wir von Ihnen eine E-Mail-Adresse sowie Informationen, welche uns die Überprüfung gestatten, dass Sie der Inhaber der angegebenen E-Mail-Adresse und mit dem Empfang des Newsletters einverstanden sind. Weitere Daten werden nicht bzw. nur auf freiwilliger Basis erhoben. Für die Abwicklung der Newsletter nutzen wir Newsletterdiensteanbieter, die nachfolgend beschrieben werden.

CleverReach

Diese Website nutzt CleverReach für den Versand von Newslettern. Anbieter ist die CleverReach GmbH & Co. KG, Schafjückenweg 2, 26180 Rastede, Deutschland (nachfolgend „CleverReach“). CleverReach ist ein Dienst, mit dem der Newsletterversand organisiert und analysiert werden kann. Die von Ihnen zwecks Newsletterbezug eingegebenen Daten (z. B. E-Mail-Adresse) werden auf den Servern von CleverReach in Deutschland bzw. Irland gespeichert. Unsere mit CleverReach versandten Newsletter ermöglichen uns die Analyse des Verhaltens der Newsletterempfänger. Hierbei kann u. a. analysiert werden, wie viele Empfänger die Newsletternachricht geöffnet haben und wie oft welcher Link im Newsletter angeklickt wurde. Mit Hilfe des sogenannten Conversion-Trackings kann außerdem analysiert werden, ob nach Anklicken des Links im Newsletter eine vorab definierte Aktion (z. B. Kauf eines Produkts auf dieser Website) erfolgt ist. Weitere Informationen zur Datenanalyse durch CleverReach-Newsletter erhalten Sie unter: https://www.cleverreach.com/de/funktionen/reporting-und-tracking/. Die Datenverarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können diese Einwilligung jederzeit widerrufen, indem Sie den Newsletter abbestellen. Die Rechtmäßigkeit der bereits erfolgten Datenverarbeitungsvorgänge bleibt vom Widerruf unberührt. Wenn Sie keine Analyse durch CleverReach wollen, müssen Sie den Newsletter abbestellen. Hierfür stellen wir in jeder Newsletternachricht einen entsprechenden Link zur Verfügung. Die von Ihnen zum Zwecke des Newsletter-Bezugs bei uns hinterlegten Daten werden von uns bis zu Ihrer Austragung aus dem Newsletter bei uns bzw. dem Newsletterdiensteanbieter gespeichert und nach der Abbestellung des Newsletters aus der Newsletterverteilerliste gelöscht. Daten, die zu anderen Zwecken bei uns gespeichert wurden, bleiben hiervon unberührt. Nach Ihrer Austragung aus der Newsletterverteilerliste wird Ihre E-Mail-Adresse bei uns bzw. dem Newsletterdiensteanbieter ggf. in einer Blacklist gespeichert, sofern dies zur Verhinderung künftiger Mailings erforderlich ist. Die Daten aus der Blacklist werden nur für diesen Zweck verwendet und nicht mit anderen Daten zusammengeführt. Dies dient sowohl Ihrem Interesse als auch unserem Interesse an der Einhaltung der gesetzlichen Vorgaben beim Versand von Newslettern (berechtigtes Interesse im Sinne des Art. 6 Abs. 1 lit. f DSGVO). Die Speicherung in der Blacklist ist zeitlich nicht befristet. Sie können der Speicherung widersprechen, sofern Ihre Interessen unser berechtigtes Interesse überwiegen. Näheres entnehmen Sie den Datenschutzbestimmungen von CleverReach unter: https://www.cleverreach.com/de/datenschutz/.

Auftragsverarbeitung

Wir haben einen Vertrag über Auftragsverarbeitung (AVV) zur Nutzung des oben genannten Dienstes geschlossen. Hierbei handelt es sich um einen datenschutzrechtlich vorgeschriebenen Vertrag, der gewährleistet, dass dieser die personenbezogenen Daten unserer Websitebesucher nur nach unseren Weisungen und unter Einhaltung der DSGVO verarbeitet.

Hohe Anfälligkeit medizinischer Geräte

Da technische Probleme in der Medizintechnik zu lebensbedrohlichen Situationen führen können, verlassen sich Gesundheitsdienstleister wie Krankenhäuser und Kliniken oft auf teure, hochgradig angepasste Anwendungen und Geräte. Diese werden jedoch oft nur zögerlich mit Updates und Patches versorgt – aus Angst, dass dadurch die Funktionsweise der eingesetzten Komponenten eingeschränkt werden könnte. Hier zeigen sich Parallelen zum traditionellen Internet of Things. Während dort in der Regel eine benutzerdefinierte Software auf einer mehrere Jahre alten Linux-Variante läuft, werden bei medizinischen IoT-Geräten häufig veraltete Versionen von Microsoft Windows und Windows Server eingesetzt. Im letzten Jahr fanden Forscher beispielsweise heraus, dass 45 Prozent der medizinischen Geräte für die kritische BlueKeep-Windows-Sicherheitslücke anfällig waren. Microsoft erachtete diese als so schwerwiegend, dass es sogar Legacy-Patches für eigentlich seit Jahren nicht mehr unterstützte Versionen seines Betriebssystems veröffentlichte.

Grundsätzlich lassen sich sämtliche IoT-Sicherheitsprobleme auf drei Versäumnisse zurückführen:

  • fehlende Sicherheitsüberlegungen bereits während der Entwicklung
  • lückenhafte Kenntnisse und mangelnde Transparenz bei denjenigen, die IoT einsetzen, sowie
  • fehlende Verwaltung der Geräteaktualisierungen nach der Bereitstellung

 

IoT: Billig und gleichzeitig sicher?

Das erste Problem, die nachrangige Berücksichtigung von IT-Sicherheit bei der Entwicklung, lässt sich weitgehend damit begründen, dass sich die meisten IoT-Anwender vom Preis lenken lassen. Wenn das Augenmerk jedoch nur darauf liegt, ob eine Lösung die grundlegenden technischen Anforderungen erfüllt und dabei gleichzeitig günstig in der Beschaffung ist, fehlt den Herstellern der Anreiz, zusätzliche Ressourcen für die Verbesserung der Sicherheit ihrer Produkte aufzuwenden. In der Folge werden Geräte ausgeliefert, die über schwache und fest kodierte Passwörter verfügen sowie mit veralteter Software und auf Betriebssystemen laufen, denen selbst grundlegende Schutzmaßnahmen fehlen. Das lädt Cyberkriminelle förmlich dazu ein, die scheunentorgroßen Sicherheitslücken auszunutzen. Das Mirai-Botnet von 2016 florierte beispielsweise nicht dadurch, dass eine ausgeklügelte Zero-Day-Schwachstelle in IoT-Kameras ausgenutzt wurde. Vielmehr reichte es aus, eine Liste mit 61 gängigen Benutzernamen und Passwörtern an einer vom Gerätehersteller nicht abgesicherten Verwaltungsschnittstelle durchzuprobieren – von Aufwand kann hier keine Rede sein.

Zero-Trust-Ansatz auf IoT ausweiten

Vor dem Einsatz von IoT sollten Unternehmen genau überlegen, wie und in welchem Umfang sie diese Technologie überhaupt nutzen wollen. Hier kann es hilfreich sein, den Zero-Trust-Ansatz zu verfolgen: Im Wesentlichen geht es bei diesem Sicherheitskonzept darum, keinem Gerät im Netzwerk zu vertrauen und jedes stets aufs Neue zu überprüfen. Wer Abstand davon nimmt, das interne Netzwerk automatisch als „sicheren Hafen“ zu betrachten, ist bereits auf dem richtigen Weg. Davon ausgehend sollten Überlegungen angestellt werden, welche Sicherheitsvorkehrungen notwendig sind, um das von einem bereits im Netzwerk befindlichen böswilligen Benutzer oder Endpunkt ausgehende Risiko im Zaum halten zu können.

Netzwerksegmente speziell für IoT nutzen

Für das Internet der Dinge bedeutet dies, dass entsprechende Geräte in Netzwerksegmenten zum Einsatz kommen, die von anderen Systemen und insbesondere von den wichtigsten Ressourcen weitgehend abgekapselt sind. Falls fachliche Gründe dafür sprechen, ein potenziell unsicheres, ungepatchtes System zu behalten, gilt es dieses auf Netzwerkebene zu schützen, indem der Zugang auf spezifische Ports und Protokolle beschränkt wird, die für die Funktion unbedingt notwendig sind. Solche Verbindungen sollten zudem konsequent auf potenzielle Auffälligkeiten überprüft werden, um Netzwerkangriffe und Malware frühzeitig erkennen zu können. Gleichzeitig kommt es darauf an, regelmäßige Schwachstellen-Scans und Sicherheitsbewertungen für alle IoT-Geräte im Netzwerk zu etablieren. Nur dann wissen Unternehmen, wogegen sie sich schützen müssen und werden nicht von etwas überrascht, das bislang unbemerkt irgendwo schlummerte.

Mehr bei WatchGuard.com

 


Über WatchGuard

WatchGuard Technologies gehört zu den führenden Anbietern im Bereich IT-Sicherheit. Das umfangreiche Produktportfolio reicht von hochentwickelten UTM (Unified Threat Management)- und Next-Generation-Firewall-Plattformen über Multifaktor-Authentifizierung bis hin zu Technologien für umfassenden WLAN-Schutz und Endpoint Protection sowie weiteren spezifischen Produkten und intelligenten Services rund ums Thema IT-Security. Mehr als 250.000 Kunden weltweit vertrauen auf die ausgeklügelten Schutzmechanismen auf Enterprise-Niveau,


 

Passende Artikel zum Thema

AOK – MOVEit-Hack: CLOP Gruppe stellt Ultimatum bis 14. Juni 

Vor wenigen Tagen wurde bekannt, dass die von der AOK genutzte Datentransfer-Software MOVEit eine eklatante Schwachstelle hatte. Das BSI registrierte ➡ Weiterlesen

Identity Access Management – sieben Mythen

Wichtige Geschäftsvorgänge finden durch Remote Work und Cloud-Dienste immer häufiger außerhalb des Unternehmensnetzwerks statt. Durch diese Veränderung der Sicherheitsgrenzen werden ➡ Weiterlesen

Firefly schützt Maschinenidentitäten in Cloud-nativen Workloads

Venafi, der Erfinder und führende Anbieter von Maschinenidentitäts-Management, stellt Firefly vor. Die Lösung unterstützt hochgradig verteilte Cloud-native Umgebungen. Als Teil ➡ Weiterlesen

Neue Studie: Web-Shells sind Top-Einfallsvektor

Die Zahl von Angriffen über Web-Shells ist in den ersten drei Monaten 2023 überdurchschnittlich stark angestiegen. Das zeigt der Cisco ➡ Weiterlesen

QR-Code Phishing-Sicherheitstest-Tool

KnowBe4 bietet ab sofort ein ergänzendes QR-Code-Phishing-Sicherheitstest-Tool an, das Benutzer identifiziert, die Opfer von QR-Code-Phishing-Angriffen werden. Das kostenlose Tool (QR ➡ Weiterlesen

Ransomware-Report: LockBit zielt auf macOS

LockBit, die aktuell aktivste Ransomware-Gruppe, weitete seine Aktivitäten im April auf macOS-Geräte aus. Weiterhin werden Schwachstellen der Druckersoftware PaperCut aktiv ➡ Weiterlesen

China-Malware: Volt Typhoon zielt auf kritische USA Infrastruktur

Microsoft hat die Malware Volt Typhoon untersucht und festgestellt das diese von einem staatlich geförderten Akteur mit Sitz in China ➡ Weiterlesen

SOCs: Anstieg gefundener Cyberangriffe um das 1,5-fache

In seinem neuen Managed Detection and Response Analyst Report von Kaspersky gibt es einige wichtige Erkenntnisse: So stieg die Anzahl ➡ Weiterlesen