Cybersecurity: Keine stabile Sicherheitsstruktur bei Endgeräten

Mehr als eine Million untersuchte Endgeräte im Gesundheitswesen zeigen: Es fehlt an stabilen Sicherheitsstrukturen, die allerdings ohne großen Aufwand aufgebaut werden könnten.

Der US-Sicherheitsdienstleister Absolute Security hat eine neue Studie zur Cyber-Resilienz im Gesundheitswesen veröffentlicht. Für den Bericht haben die Analysten nach eigenen Angaben mehr als eine Million PCs analysiert, die in Gesundheitsorganisationen eingesetzt werden. Dass sie dabei auf erhebliche Sicherheitslücken gestoßen sind, dürfte nicht überraschen. Dass allerdings bei 15 Prozent der untersuchten Rechner entweder die Sicherheitskontrollen nicht den internen Richtlinien entsprachen oder sogar vollständig fehlten, ist erschreckend – ebenso wie die Erkenntnis, dass die Organisationen im Schnitt mit kritischen Patches 48 Tage im Rückstand waren. Ein weiteres Problem, dass die Untersuchung nun offengelegt hat: Schatten-KI Endgeräte werden im Gesundheitswesen für den Zugriff auf generative KI-Plattformen verwendet, die als hochriskant gelten. Kurz: Das Gesundheitswesen macht es Cyberkriminellen an zu vielen Stellen nach wie vor viel zu einfach.

98 Prozent mehr Resilienz mit einfachen Mitteln

Was der Report außerdem unterstreicht: Mit relativ einfachen Mitteln ließe sich die Cyberresilienz um fast 98 Prozent erhöhen. Dafür müssten lediglich die Sicherheitskontrollen wie Endpoint Protection, Security Service Edge, VPN oder Vulnerability Management Lösungen Richtlinienkonform installiert sein.

Um es weniger abstrakt zu machen, zieht der Report eine Parallele zum Gesundheitswesen. Endpunkte, also die untersuchten PCs, seien Patienten in einer Klinik. Wären 15 von 100 Patienten mit einer gefährlichen und hoch ansteckenden Erkrankung infiziert, wäre das ein Grund zur Besorgnis und könnten einen umfassenden Krankheitsausbruch nach sich ziehen. Genauso verhalte es sich in der digitalen Welt. Die ungeschützten PCs könnten zu einem „katastrophalen Ransomware-Ausbruch“ führen und das gesamte Netzwerk lahmlegen.

Patching elementar

Was mit Blick auf das Patching zunächst positiv hervorzuheben ist: Immerhin sind die Verzögerungen im Vergleich zur letzten Erhebung im April 2024 zurückgegangen. Damals waren die untersuchten Organisationen noch 77 Tage hinterher. Die in der aktuellen Studie ausgewerteten Endgeräte liefen nahezu zu 100 Prozent unter Windows, heißt es von Absolute Security. Wobei 53 Prozent mit Windows 10 und 45 Prozent mit 11 arbeiteten. Das Patching verzögerte sich im Durchschnitt um 48 Tage, wobei Windows-10-Rechner 57 Tage und Windows-11-PCs 40 Tage im Rückstand waren. Das sei zwar besser und entspreche ungefähr dem Durschnitt anderer Branchen mit 53 Tagen, stelle aber nach wie vor ein erhebliches Risiko dar, das verhältnismäßig einfach zu beheben sei.

Um das Risiko besser zu veranschaulichen: Aktuell gäbe es mehr als 52.000 sogenannter CVEs – Common Vulnerabilities and Exposures – also Schwachstellen und Gefährdungen. Und genau diese Sicherheitslücken seien für die meisten erfolgreichen Cyberangriffe verantwortlich – darunter 32 Prozent aller Ransomware-Angriffe. Und während die Organisationen im Gesundheitswesen relativ langsam sind, diese Lücken zu schließen, nutzen sie Cyberkriminelle ziemlich schnell aus – in der Regel innerhalb von 24 Stunden nach ihrer Bekanntgabe.

KI-Tools als Sicherheitsrisiko

Ein weiterer Aspekt, den sich die Sicherheitsexperten von Absolute genauer angeschaut haben, sind KI-Tools. Hier stecke ohne Zweifel großes Potenzial für das Gesundheitswesen. Allerdings würden nach Schätzungen etwa 60 Prozent der Mitarbeiter die Sicherheitsrichtlinien ignorieren und eine KI-Plattform ihrer Wahl zur Ausführung von Aufgaben nutzen. Genau deshalb haben die Analysten untersucht, wie häufig PCs über einen Zeitraum von 90 Tagen verschiedene der aktuell beliebten KI-Webseiten aufgesucht haben – darunter ChatGPT, Claude.ai, Deepseek, Beautiful.ai oder Jasper.ai.

Die Telemetrie gab zwar keinen Aufschluss darüber, ob die besuchten Websites von den Organisationen, die die untersuchten Geräte verwalten, sanktioniert oder verboten sind. Bemerkenswert war aber, dass die am häufigsten besuchte Website mit 97 Prozent ChatGPT ist. Den Grund vermuten die Studienmacher nicht in der Beliebtheit der KI-Lösung, sondern vor allem in der Konformität mit dem Health Insurance Portability and Accountability Act in den USA.

Obwohl die anderen beobachteten Websites weitaus seltener besucht werden, könnte DeepSeek die größte Besorgnis hervorrufen, da sie von den USA und anderen Regierungen wegen sicherheitsbezogener Verbote ins Visier genommen wird und einige offizielle Behörden gerade das Gesundheitswesen schon vor der Nutzung warnen.

Auf Basis der nun gewonnenen Erkenntnisse rät Thomas Lo Coco, Sales Manager Central Europe bei Absolute Security, Kliniken und Gesundheitsdienstleister, sich mit einem proaktiven Cyberresilienz-Ansatz auseinander zu setzen: „So können Kliniken und Gesundheitsdienstleister Risikolücken schließen, regulatorische Verstöße vermeiden und sich nach einem Cyberangriff oder IT-Vorfall schnell wieder erholen.“