04.04.2017 IT im Krankenhaus

So schützt sich das Klinikum Arnsberg vor Cyber-Attacken

Um die Verfügbarkeit seiner IT sicherzustellen und die Daten der Patienten optimal zu schützen, hat sich das Klinikum Arnsberg zum Aufbau eines Frühwarnsystems gegen Cyber-Attacken entschieden. Kern der Lösung ist das Security-Information- und Event-Management (SIEM) von Logrhythm.

Klinikum Arnsberg

Das Logrhythm-System konnte im Klinikum Arnsberg innerhalb von vier Stunden in Betrieb genommen werden.

IT im Krankenhaus hat eine besonders kritische Bedeutung. Sie muss zuverlässig funktionieren, damit ihr Betreiber Leben retten kann. Im Februar 2016 verzeichnete das Klinikum Arnsberg einen Vorfall, bei dem Angreifer die bereits vorhandenen Sicherheitssysteme überwinden konnten. Malware hatte sich ihren Weg über Links in Social-Engineering-Mails in die IT-Landschaft des Klinikverbunds gebahnt, der aus dem Marienhospital in Arnsberg, dem Karolinen-Hospital in Hüsten und dem St. Johannes-Hospital in Neheim besteht. Um Schäden zu vermeiden, entschloss sich die IT-Leitung, die IT herunterzufahren – auch auf Anraten des eilends konsultierten Landeskriminalamts.

IT außer Betrieb – Kommunikation mit Zetteln


Da die wesentlichen medizinischen Geräte auch ohne Anbindung ans Netz funktionieren, war die Versorgung der Patienten jederzeit uneingeschränkt sichergestellt. Die klinikinternen Kommunikationsprozesse allerdings mussten fast zwei Tage lang mit erhöhtem Aufwand manuell abgewickelt werden. „In unserem Fall haben es die Mitarbeiter mit gewaltigem Engagement geschafft, den Betrieb mittels ‚Zettelwirtschaft‘ über die Ausfallzeit zu retten“, erinnert sich Stefan Peters, Leitung Geschäftsbereich IT beim Klinikum Arnsberg, „aber über einen längeren Zeitraum hinweg hätten wir unsere Arbeit so nicht bewältigen können.“ Neue Patienten etwa konnten nur noch in dringenden Fällen aufgenommen werden. Am Ende verzeichnete das Klinikum einen Schaden in siebenstelliger Höhe.

Entscheidung für technische Assistenz


Um weiteren Attacken dieser Art künftig besser begegnen zu können, entschied sich das Klinikum, neben einer Vielzahl anderer Maßnahmen in ein Frühwarnsystem gegen Cyber-Angriffe zu investieren. Ziel war es, Attacken schneller aufdecken und eingrenzen zu können, etwa um Bereiche der Technik in Zukunft auch sektorenweise außer Betrieb nehmen zu können. Die Aktions- und Kommunikationsfähigkeit sollte in zukünftigen schwierigen Situationen so weit wie möglich erhalten bleiben. Als mögliche Lösung prüfte man früh die Implementierung eines Security-Information- und Event-Management-Systems (SIEM).

Lösungen dieser Art sammeln die Logdaten der verschiedenen IT-Systeme zentral ein und setzen Daten, die auf mögliche Angriffe schließen lassen, zueinander in Beziehung (Korrelation). Aus dieser Perspektive werden auch komplexe schädliche Vorgänge erkennbar, die den Einzelsensoren möglicherweise entgehen – dazu gehören gezielte, direkte Angriffe durch Cyber-Kriminelle oder komplexe Malware-Aktivitäten, wie sie bei Ransomware-Attacken auftreten. Der SIEM-Einsatz hilft, die Angriffsmuster ohne zusätzliches Personal und unter geschickter Auswertung der Daten bereits vorhandener Security-Systeme schnell zu entdecken, effizient zu bewerten und automatisiert zu neutralisieren.

Erfolgreicher Proof of Concept


Da bereits eine Geschäftsbeziehung zwischen dem Dienstleistungspartner DTS und dem Klinikum Arnsberg bestand und man sich häufiger über Security-Themen ausgetauscht hatte, nahm die IT des Krankenhausverbunds Kontakt mit DTS auf. Die nächsten Schritte folgten schnell: Erste gemeinsame Gespräche zusammen mit dem SIEM-Anbieter Logrhythm fanden Anfang 2016 statt, wo eine mögliche Lösung andiskutiert wurde, und im April 2016 traf man sich in Arnsberg, wo bereits ein konkreter Evaluationsprozess vereinbart werden konnte.

Stefan Peters prüfte die angebotene Lösung schließlich auf Herz und Nieren. „Man hört immer, SIEM-Einführungen seien endlos und hoch komplex“, erinnert er sich, „aber das können wir nicht bestätigen: Wir hatten innerhalb kurzer Zeit Resultate vorzuweisen.“ Das Logrhythm-System selbst etwa konnte innerhalb von vier Stunden in Betrieb genommen werden, anschließend begannen die Security-Spezialisten der DTS und des Kunden sofort mit der Anbindung der zuvor ausgewählten Logquellen. Bereits am zweiten Tag war es dann möglich, die ersten Korrelationsregeln einzuschalten und Mehrwerte zu liefern.

Die derart kurzfristig einsetzbaren Erkennungsmechanismen betreffen Bedrohungen, die heute viele Organisationen beschäftigen: So erkennt Logrhythm Ransomware unabhängig von Version oder Variante der Malware anhand des Verschlüsselungsmusters, alarmiert dann die Security-Teams und ermöglich es ihnen, die Attacke innerhalb von wenigen Sekunden weitgehend automatisiert zu stoppen.

Bildquelle: Klinikum Arnsberg

©2017 Alle Rechte bei MEDIENHAUS Verlag GmbH