08017 Threat-Informed Defense in der modernen Krankenhaus-IT

Die fortschreitende Digitalisierung im Gesundheitswesen – getrieben durch elektronische Patientenakten (ePA), telemedizinische Vernetzung und internetfähige Medizinprodukte (IoMT) – vergrößert die digitale Angriffsfläche von Krankenhäusern drastisch. Gleichzeitig hat sich die Bedrohungslage durch professionell organisierte Ransomware-Gruppierungen verschärft. Da IT-Ausfälle in Krankenhäusern unmittelbare Gefahren für Leib und Leben von Patienten bedeuten, greifen klassische, rein reaktive IT-Schutzkonzepte zu kurz.

Eine mögliche Lösung besteht in der Implementierung einer Threat-Informed Defense (TID) in Krankenhäusern. Eine schrittweise Einführung von TID im Krankenhaus kann dazu beitragen, einen proaktiven, auf realen Angreiferdaten basierenden Ansatz zu entwickeln, um die Resilienz klinischer IT-Infrastrukturen zu stärken und Systemlandschaften trotz einer diffusen Bedrohungslage beherrschbar zu machen.

von:

Jörg Schönfeld

Problemstellung
Krankenhäuser zählen weltweit zur Kritischen Infrastruktur (KRITIS). Cyberangriffe – insbesondere durch Ransomware-as-a-Service (RaaS)-Netzwerke – zielen vermehrt auf den Gesundheitssektor ab, da der hohe Zeit- und Handlungsdruck in Notfallsituationen die Wahrscheinlichkeit von Lösegeldzahlungen erhöht. Ein erfolgreicher Angriff blockiert den Zugriff auf diagnostische Daten, legt OP-Pläne lahm und zwingt Rettungswagen zu Notumleitungen.

Die traditionelle IT-Sicherheit basiert oft auf dem Prinzip des „Defensive Padding” (Anhäufen von Sicherheits-Tools) und der Schwachstellen-Fixierung (Patching). Angesichts des eklatanten Fachkräftemangels von IT-Fachleuten in der Krankenhaus-IT und IT-affinen Medizintechnikern in der Medizintechnikabteilung und historisch gewachsener, heterogener Systemlandschaften führt dieser Ansatz zu einer Überforderung. Krankenhäuser benötigen eine Strategie, die Ressourcen dort bündelt, wo die Wahrscheinlichkeit und Auswirkung eines Angriffs am höchsten sind.

1 Konzeptstrategie für die Threat Informed Defence im Krankenhaus

Eine Threat-Informed Defense bezeichnet einen strategischen Ansatz zur Cybersicherheit, bei dem Verteidigungsmaßnahmen direkt auf empirischen Erkenntnissen über das Verhalten, die Taktiken und Werkzeuge realer Angreifer (Cyber Threat Intelligence, CTI) basieren. Anstatt blind alle theoretisch denkbaren Lücken zu schließen, konzentriert sich die TID auf die Taktiken, die von Angreifern in der Realität angewendet werden.

Im Zentrum dieses Konzepts steht die Annahme, dass technische Barrieren irgendwann durchbrochen werden (Assume Breach), um z. B. Zugriff auf Patientendaten oder vernetzte Medizingeräte zu erhalten. Das Ziel verlagert sich von der reinen Prävention hin zur schnellen Erkennung, Eindämmung und Validierung der eigenen Abwehrbereitschaft im Kontext der zunehmenden Cyberbedrohung für Krankenhäuser.

1.1 Kernelemente von TID im Krankenhaus

Um eine TID effektiv in einem Krankenhaus zu etablieren, müssen drei fundamentale Elemente kontinuierlich ineinandergreifen:

1.	Cyber Threat Intelligence (CTI) – Fokussierung auf den SektorGlobale und sektorbezogene Bedrohungsdaten (z. B. durch das Health Information Sharing and Analysis Center, Health-ISAC) liefern die Datengrundlage. Für ein Krankenhaus bedeutet dies zu wissen, welche spezifischen Akteure (z. B. LockBit, BlackCat) aktuell das Gesundheitswesen im Visier haben und über welche initialen Vektoren (z. B. ungepatchte VPN-Zugänge, gezieltes Phishing bei Pflegepersonal) sie eindringen.
2.	Mapping auf Verhaltensmuster (z. B. MITRE ATT&CK Framework)Die gesammelten Informationen werden in standardisierte Frameworks wie MITRE ATT&CK übersetzt. Anstatt nur nach bekannten Schadsoftware-Signaturen (IoCs wie IP-Adressen oder Datei-Hashes) zu suchen, werden die Tactics, Techniques, and Procedures (TTPs) der Angreifer analysiert. So wird transparent, wie sich ein Angreifer nach dem Eindringen lateral im klinischen Netz (z. B. vom administrativen PC bis zum Server des Krankenhausinformationssystems, KIS) bewegt.
3.	Kontinuierliche Validierung (Security Validation)Die Wirksamkeit der eingerichteten Sicherheitskontrollen (Firewalls, EDR-Systeme) wird nicht mehr nur jährlich per Penetrationstest geprüft, sondern kontinuierlich durch automatisierte Breach-and-Attack-Simulationen (BAS). Dabei werden reale Angriffsszenarien gefahrlos im System nachgestellt, um zu prüfen, ob die Sicherheitsmeldekette bis zum User-Help-Desk (UHD) und dem Security Operations Center (SOC) fehlerfrei funktioniert.

Abbildung 1 stellt vereinfacht den Kausalen Zusammenhang der Kernelemente von TID im Krankenhaus dar.

Abb. 1: Drei Kernelemente von TID im Krankenhaus

1.2 Beherrschen der komplexen diffusen Bedrohungslage

Krankenhaus-IT-Leiter und Medizintechnik Abteilungsleiter stehen vor dem Problem, dass die Masse an Sicherheitsmeldungen, Schwachstellen-Warnungen und neuen Bedrohungen diffus und unüberschaubar wirkt. TID dient hierbei als Filter und Priorisierungswerkzeug:

•

Weg von CVSS-Scores, hin zu Relevanz: Ein klassisches Schwachstellenmanagement priorisiert nach dem Common Vulnerability Scoring System (CVSS). Eine Lücke mit dem Wert 9.8 (Kritisch) in einer Software, die im Krankenhaus nur isoliert im Labor ohne Netzanbindung läuft, bindet Ressourcen. TID gleicht ab: Wird diese Lücke aktuell aktiv von Akteuren ausgenutzt, die Krankenhäuser angreifen? Wenn nein, sinkt die Priorität zugunsten von Lücken, die nachweislich aktiv attackiert werden.

•

Erstellung von Bedrohungsprofilen (Threat Profiles): Das Krankenhaus erstellt spezifische Bedrohungsprofile für kritische Assets (z. B. vernetzte Dialysegeräte oder Beatmungsgeräte, KIS-Datenbanken usw.). Dadurch schrumpft die diffuse Bedrohungslage auf eine überschaubare Matrix aus ca. 15–20 relevanten Angriffstechniken zusammen, die das SOC gezielt überwachen kann.

2 Praktisches Anwendungsbeispiel bei Nutzung von TID im Krankenhaus

Das Szenario
Ein Universitätsklinikum betreibt ein vernetztes System für digitale Patientenhistorien, mobile Visiten-Tablets und mobilen Laptop-Ultraschallgeräten. Über CTI-Feeds erfährt das IT-Sicherheitsteam, dass eine neue Ransomware-Gruppierung erfolgreich Krankenhäuser infiziert, indem sie gültige Zugangsdaten über kompromittierte Konten ausnutzt (Technik: Valid Accounts, T1078) und anschließend über das Windows-Administrationswerkzeug PowerShell Schadcode nachlädt (Technik: Command and Scripting Interpreter: PowerShell, T1059.001).

Die Umsetzung (TID-Workflow)

1.	Verteidigungs-Mapping: Das IT-Team prüft die Abdeckung im MITRE ATT&CK-Mapping. Sie stellen fest, dass das installierte Endpoint-Detection-and-Response-System (EDR) auf den Visiten-Tablets und den mobilen Ultraschallgeräten zwar bekannte Malware blockiert, die Ausführung von administrativen PowerShell-Befehlen durch normale Benutzerkonten jedoch nicht alarmiert.
2.	Gezielte Härtung: Es wird eine neue Erkennungsregel implementiert: Sobald ein Benutzerkonto aus dem Pflegedienst versucht, ein PowerShell-Skript auf dem Visiten-Tablets oder mobilen Ultraschallgeräten auszuführen, isoliert das EDR das Gerät automatisch und benachrichtigt den User-Help-Desk.
3.	Validierung: Mithilfe eines Emulations-Tools wird der exakte Angriffspfad automatisiert simuliert (ohne echten Schaden anzurichten).

3 Messbarer Nutzen von TID

Der Nutzen dieses Vorgehens lässt sich quantifizieren und für die Klinikleitung in harten Kennzahlen ausdrücken: