Kritische Lücken in Microsoft Betriebssystemen – Gefahren für Krankenhäuser?

Jeder Anwender von Microsoft Betriebssystemen kennt das: Microsoft hat einen Patch für eine neue Sicherheitslücke bereitgestellt, die als „kritisch“ einstuft wird. Jeden zweiten Mittwoch im Monat wird man zum Download und Installation der neuen patches aufgefordert.

„Kritisch“ ist bei Microsoft hierbei wie folgt definiert: „Eine Schwachstelle, die für die Verbreitung eines Internet-Wurms ausgenützt werden kann, ohne dass hierfür spezielle Aktionen des Benutzers erforderlich sind.“

Während normale Unternehmen die Firewall überprüfen, den Patch möglichst schnell am lokalen Server durchwinken und hoffen, dass sie kein Bastelsystem (für die gelten nämlich meisten Sonderregeln) vergessen haben, sieht das für die Krankenhäuser anders aus.

Gründe hierfür sind wie folgt:
– Der technische Stand der IT ist um Jahre zurück (gegenünber Unternehmen)
– angespannte Finanzlage lässt keine ausgeprägten IT-Sicherheitsmaßnahmen zu
– gewachsene Strukturen – Umsturkturierungen sind sehr teuer
– keine Verpflichtung, IT-Krisenmanagementpläne vorzuhalten

Doch das Hauptproblem, in welchem sich ein Krankenhaus von einem Betrieb unterscheidet, ist der Einsatz von vernetzten Medizinprodukten.

Und hier beginnt das Problem. Ein Medizinprodukt ist ein zertifiziertes Produkt, welches einen Patienten nicht gefährden soll. Damit dies gelingt, wird das Produkt sozusagen „eingefroren“ –  es wird also in einem Zustand ausgeliefert, der zuvor bezüglich des Risikos analysiert und bewertet wurde. Für herkömmliche Produkte ist das auch genau die richtige Methode. Schlimm wird es, wenn wir von „vernetzten Medizinprodukten“ reden. Also einer Kombination eines herkömmlichen Medizinprodukts mit einer IT-Komponente die am Netzwerk angeschlossen wird.

Dieses System ist immer noch statisch, da der Hersteller alle Patches (als Änderungen am Produkt) freigeben muss. Wir haben also eine Verzögerung zwischen der Herausgabe eines Patches von einem Softwarehersteller und der Überprüfung und Freigabe des Patches durch einen weiteren Hersteller, dem des Medizinprodukts. Im schlimmsten Fall übrigens ist es so, dass ein Hersteller von Medizinprodukten sein System niemals patched. Was nach meiner Erfahrung eher die Regel, als die Ausnahme ist.

Beispiele für solche Medizinprodukte sind EKG-Geräte, Röntgensysteme, Ultraschallgeräte und vieles mehr. Alles Systeme, die heutzutage mit Computersystemen ausgestattet sind, fast ausnahemslos also mit Windows Systemen.

Jeder neue Patch des Betriebssystems ist eine Änderung des Medizinproduktes, das also neu auf seine Ungefährlichkeit hin zertifiert werden müßte. Die Systeme einfach selbst zu patchen hilft nicht weiter, denn dann verliert man die Herstellerhaftung des Medizinproduktes.

Schwierig wird es mit den Unmengen von vernetzten Medizinprodukten werden. In diesem Fall sind die Auswirkungen bestenfalls ein Ausfall des Systems (denn dann haben die Mediziner wenigstens einen definierten Status) aber auch im schlimmsten Fall ein unentdeckt inkorrekt laufendes System, welches falsche Diagnosen liefert, erstellte Röntgenbilder nicht mehr abspeichert oder Alarme bei Vitalmonitoren nicht mehr weitergibt.

Wer hat schon einmal als Arzt oder IT Spezialist im Krankenhaus Erfahrungen mit diesem Problem gemacht? Kommentare erwünscht!

via XING – Gruppen – Meine Gruppen – Medizin – IT – Artikelbaum „Neue kritische Microsoft Lücke – besondere Gefahren für die Krankenhäuser“