Informationssicherheit: So machen sich Krankenhäuser versicherbar

Früher galt: KRITIS betrifft Häuser mit mehr als 30.000 stationären Fällen im Jahr. Zum 1. Januar 2023 wurde dann Risikomanagement im Kontext Cybersicherheit verpflichtend für alle Krankenhäuser in Deutschland. Die DSGVO spielt im Kontext Datenschutz eine wichtige Rolle; der § 75b SGB V rundet eine vielfältige Rahmengebung ab. Und künftig kommen – so ist zu erwarten – Vorgaben von DORA hinzu, dem Digital Operational Resilience Act der EU, der als Rechtsrahmen bereits im Finanzsektor greift. Wie wappnen sich Krankenhäuser? Dazu die Fachleute des Versicherungsmaklers Ecclesia im Interview mit ArchivAktiv.

Henning Weibezahl: Hier kommen viele Punkte zusammen. Zum einen haben Krankenhäuser sehr viel Publikumsverkehr und damit erhöht sich das Risiko schon einmal grundsätzlich. Zum anderen bildet die Vielzahl von IT-gestützten Geräten vor allem in der Medizintechnik potenzielle Einfallstore. Außerdem haben diese Geräte einen langen Lebenszyklus, der deutlich über die Patch-Strategie moderner Betriebssysteme hinausgehen kann. Solches Equipment mag vor vielen Jahren teuer mit Windows XP oder Windows 7 angeschafft worden sein und ist immer noch in Betrieb, bildet aber eine potenzielle Schwachstelle. Allgemein gilt: Netzwerke sind immer so verwundbar wie ihr schwächstes Glied.

Ferner muss man bedenken: Das Personal in den Häusern ist hochqualifiziert für die Versorgung, aber nicht für Themen rund um die IT-Sicherheit. Es muss also darum gehen, die Mitarbeitenden auch dahingehend zu sensibilisieren. Denn in Krankenhäusern geht es um Patientendaten, die als personenbezogene Daten einen besonderen Schutz laut DSGVO genießen. In der Kombination mit der beschriebenen Gerätesituation ist dies besonders stark risikobehaftet.

Frank Schultz: Prominente Fälle zeigen beispielhaft, wie sich die Bedrohung darstellt und welche Folgen daraus resultieren können.

Frank Schultz: Der erste Schritt zielt auf Risikoermittlung. Nach der Beantwortung der Fragenkataloge gehen wir als Makler nicht selten gemeinsam mit unserem Kunden in den Risikodialog mit dem Versicherer. Das Niveau der Krankenhäuser ist nach unserer Beobachtung schon relativ gut, aber in vielerlei Hinsicht verbesserungswürdig. So findet sich beispielsweise bei der Mitarbeitenden-Awareness Luft nach oben. Phishing-Mails sind hier ein großes Einfallstor; mit einem Klick auf den Anhang nimmt das Unheil seinen Lauf. In diesem Zusammenhang sind Investitionen nötig – in einem Umfeld, das allerdings von Faktoren wie Personalknappheit und Arbeitsüberlastung geprägt ist. Sensibilisierung ist hier daher schwierig.

Henning Weibezahl: Dieser Forderung müssen Krankenhäuser sich trotz der bestehenden Situation stellen. Sie müssen die Anforderungen erfüllen; nur mit einem entsprechenden Schutzniveau lässt sich auch ein Versicherungsschutz realisieren.

Henning Weibezahl

Er ist IT-Sicherheitsbeauftragter bei Ecclesia, davor war er in einem Softwareunternehmen tätig.

Frank Schultz

Hauptamtlicher Produktmanager für Cyberversicherung. Er gestaltet Versicherungsprodukte für die Kunden.

Frank Schultz: Da geht es zum einen um das bestehende Niveau des Krankenhauses, zum anderen um die Frage, welche Versicherungshöhe angestrebt wird. Handelt es sich um ein kleineres, unabhängiges Haus mit einem Absicherungsziel von 1, 2 oder 3 Millionen – oder aber um einen Konzern mit Holdingstruktur, der eine Absicherung in zweistelliger Millionenhöhe anstrebt? Dabei spielen erhöhte Risiken und höhere potenzielle Schäden eine relevante Rolle. Angebote für solch hohe Absicherungen sind derzeit nur schwer zu bekommen.

Henning Weibezahl: Das Krankenhauszukunftsgesetz hat zum einen eine willkommene Förderung für die Absicherung mit sich gebracht. Es verstärkt jedoch auch die Vulnerabilität der Häuser durch den Druck in Richtung der digitalen Öffnung nach außen, etwa durch Patientenportale.

Frank Schultz: Mindestanforderungen für Versicherbarkeit gelten unabhängig von der Branche: Mitarbeitenden-Awareness, Schulungen, Sensibilisierung. Des Weiteren sind technische Maßnahmen etwa beim Netzwerkschutz nötig. Verantwortliche sollten sich Fragen stellen wie: „Was sind meine Schutzmechanismen bei Verbindungen nach draußen? Wie sieht meine Datensicherung aus, eignet sich denn mein Back-up überhaupt für ein Rückspielen der Daten?“ Bei Niedergelassenen hat sich beispielsweise im Kontext von Schadenfällen herausgestellt, dass nie geprüft worden war, ob sich die Back-ups überhaupt zurückspielen ließen – was zum Dilemma führen kann. Auch eine nicht überprüfte Lösung zur unterbrechungsfreien Stromversorgung (USV) birgt Risiken.

Im Hinblick auf die Organisation sollten Szenarien durchgespielt werden – um zu erkennen, ob die Prozesse laut Notfallplan tatsächlich ineinandergreifen. Manche Häuser haben diesen Bedarf erkannt, in der Prioritätenordnung steht das aber im Kontext der vielfältigen aktuellen Anforderungen nicht unbedingt ganz oben. Versicherer bestehen wiederum darauf. Das ist der Spagat, den wir bei Krankenhäusern beobachten.

Henning Weibezahl: Die Personalsituation, auch im Kontext des Aufgabenspektrums und der Bezahlung, ist nicht nur im Gesundheitswesen eine zentrale Herausforderung. Unter mehreren Aspekten mögen andere Branchen auf IT-Fachleute attraktiver wirken, was den Personaldruck auf das Gesundheitswesen weiter verstärkt.

Frank Schultz: Die Kriterienkataloge erstellen die Versicherer. Dieser Markt ist allerdings noch sehr inhomogen. Während sich eine gewisse Annäherung bei den Policen beobachten lässt, zeichnet sich eine Harmonisierung bei der Risikoermittlung noch nicht ab. Wir bei Ecclesia planen, 2023 einen Standardkatalog zu etablieren und diesen mit der Versicherungswirtschaft zu verhandeln. Damit zielen wir auf Vereinheitlichung in einer Situation, in der ein Versicherer bis zu 40 Fragen zu Back-ups einbringt, während ein anderer den Schwerpunkt auf DSGVO und technisch-organisatorische Maßnahmen legt. Für eine Ausschreibung müssen Krankenhäuser alle diese unterschiedlichen Risikofragebögen mit ihren Interpretationsspielräumen ausfüllen – ein enormer bürokratischer Apparat.

Frank Schultz: Wir sehen international zehn bis 15 agierende Versicherer, die im deutschen Markt aktiv sind. Angebote enthalten unter anderem auch die Absicherung von Ansprüchen, die sich aus Verletzungen der DSGVO ergeben inklusive immaterieller Schadenersatzansprüche und mehr. Das steht jedoch an dritter Stelle. Kostentreiber sind insbesondere Betriebsausfall und Datenwiederherstellung. Neben diesen Hauptaspekten kommt mit weitem Abstand die Absicherung gegenüber Kosten im Bereich der Forensik – „wie ist der Angriff geschehen, was wurde infiltriert?“. Erst dann kommt die Absicherung bei Datenschutzverletzungen ins Spiel. Bei den Folgen von Cybervorfällen – also etwa Patientenschaden – geht es in Richtung Betriebshaftpflichtversicherung.

Henning Weibezahl: DORA wird absehbar die Aufwände bezüglich Risikomanagement und Dokumentation erhöhen. Ähnlich wie es bereits aus dem Banken- und Versicherungsumfeld bekannt ist, werden Krankenhäuser eine behördenfähige Dokumentation vorbereiten müssen. Welche Behörde die Prüfungen im Gesundheitswesen übernehmen wird, ist noch offen. Auch im Kontext DORA wird es also Anforderungskataloge geben – und erneut bedeutet das eine Belastung der knappen Ressourcen in Krankenhäusern.

Frank Schultz: Es ist natürlich zu erwarten, dass die DORA-Kataloge auch Eingang in die Risikofragebögen der Versicherer finden.

Henning Weibezahl: Eine testiert abgenommene Plattform kann hier eine attraktive Lösung sein. Eine Möglichkeit wäre, dass dazu zentral, zum Beispiel auf Ebene des Versicherungsverbands, eine Empfehlung ausgesprochen wird. Ein Zertifikat etwa in Form einer ISO-Norm kann als Modul in den Risikodialogen helfen. 

Frank Schultz: Branchenorganisationen wie die DKG sind gefragt, sich hier zu engagieren. Ein branchenweiter Standard wäre zu begrüßen!

Frank Schultz: Cloud und Web Services sind kein Problem für die Versicherungswirtschaft. Relevant für die Bewertung ist der Aufbau etwa hinsichtlich Schutzmechanismen usw. – der Cloud-Dienstleister muss diese offenlegen.

Henning Weibezahl: In Versichererdialogen ist die Cloud gern gesehen! Cloud-Anbieter haben vertrauensbildende Größe, ihre Zertifizierung ist leicht prüfbar. Natürlich sind jedoch DSGVO-Themen zu beachten. Die großen Cloud-Anbieter haben ihren Sitz außerhalb der EU und gehören aus diesem Grund zu den sogenannten unsicheren Drittländern. Deshalb sind Zertifikate und technische Standards umso wichtiger, damit die Dienstleistungen auch genutzt werden dürfen.

Henning Weibezahl: In Bezug auf Cyberkriminalität ist die Aufmerksamkeit der Mitarbeitenden der wesentliche Faktor. Das muss von oben vorgelebt und die Mitarbeitenden müssen entsprechend geschult werden. Kampagnen hierzu sind eine geeignete Investition – so ist schon viel gewonnen. Schließen Sie das größte Einfallstor!

Frank Schultz: Informationssicherheit ist kein Projekt mit einem Endtermin, sondern ein Dauerbrenner, der uns über die kommenden Jahrzehnte begleiten wird. Im Kontext der technischen Weiterentwicklung kommen immer weitere Herausforderungen dazu. Lassen Sie diesen Fokus nie aus dem Auge, setzen Sie die nötigen Ressourcen ein!