Die Rolle der IT im Krankenhaus

In den Kliniken sind die zu speichernden Datensätze sowie die Anforderungen an die digitalen Arbeitsplätze in den letzten Jahren rapide gestiegen. Mittlerweile laufen fast alle Verwaltungsprozesse im Krankenhaus über die elektronische Infrastruktur ab. Patientendaten werden elektronisch erfasst, die Personalplanung wird digital verwaltet, und das Entlassungsmanagement agiert auch digital.
Die fortschreitende Digitalisierung soll vor allem eins: Abläufe schneller machen und die Fachkräfte bei der Arbeit unterstützen, damit diese mehr Zeit für ihre Patienten haben. Der Fortschritt hat allerdings eine unangenehme Nebenwirkung: Krankenhäuser müssen sich sehr genau an Datenschutzbestimmungen und IT-Sicherheit halten. Tun sie dies nicht, können Patientendaten nach außen dringen oder Abläufe im Krankenhaus gestört werden oder im schlimmsten Fall sogar ausfallen.

Datenschutz und IT-Sicherheit im Krankenhaus

Krankenhäuser sind durch DSGVO, das SGB V §75c, das BSI-Gesetz (BSIG) und das IT-Sicherheitsgesetz 2.0 dazu aufgefordert, sich in Sachen Datenschutz und Sicherheit zu optimieren. Um die Sicherheit zu gewährleisten, ist ein Information Security Management System – kurz ISMS – in Krankenhäusern Pflicht. Weiter sollen digitale Prozesse dauerhaft überwacht und fortlaufend verbessert werden. Das ISMS wird durch die ISO 27001 kontrolliert.

Die ISO 27001 als Norm für die digitale Sicherheit im Krankenhaus

Krankenhäuser müssen große Mengen hochsensibler Daten empfangen, verarbeiten, weiterleiten und langfristig speichern. Gemäß Bundesdatenschutzgesetz (§§ 4a, 4d u. 28 BDSG) unterliegen diese hochsensiblen Daten einem erhöhten Datenschutz.
Dennoch rückt das Gesundheitswesen immer mehr in das Visier von Cyberkriminellen, denn Hacker können mit gestohlenen Patientenakten viel Geld verdienen. Oft versuchen die Straftäter, Krankenhäuser mit einem infizierten IT-System zu erpressen. Durch solche Angriffe kann beispielsweise der OP-Plan gelöscht oder Patientenakten im Darknet verkauft werden.
Die Gesundheitsbranche ist laut dem IT-Sicherheitsgesetz dazu verpflichtet, hohe Sicherheitsmaßnahmen für ihre Informations- und Kommunikationsstrukturen umzusetzen. Besonders gut dafür geeignet ist ein ISMS mit ISO 27001 als Norm.

Vorteile der ISO-27001-Zertifizierung

Die ISO 27001 zeigt, dass ein Krankenhaus extrem darauf bedacht ist, ein funktionierendes IT-Sicherheitssystem zu haben, und sich an die Datenschutzbestimmungen hält. Ein nach ISO 27001 zertifiziertes ISMS hat folgende Vorteile:

• Alle vertraulichen Daten werden geschützt
• Die Integrität betrieblicher Daten ist sichergestellt
• Die Zuverlässigkeit der IT-Systeme wird gewährleistet
• Bedrohungen werden rechtzeitig erkannt, wodurch das Risiko einer Attacke sinkt
• Ein Datenverlust wird unwahrscheinlicher, und falls es doch zu einem Verlust der Daten kommt, können diese wiederhergestellt werden
• Der Klinikalltag funktioniert auch im Fall einer Cyberattacke wie gewohnt

Das Thema Datenschutz bei der Patientenakte

Die elektronische Patientenakte (ePA) steht seit Anfang 2022 zur Verfügung. Die Gesellschaft für Telematik (Gematik) stellt die Infrastruktur bereit, damit Patient*innen ihre eigenen Gesundheitsdaten vom Handy oder Laptop aus verwalten können. Ärzte, Therapeuten und andere Mediziner können die Daten der Patienten nur einsehen, wenn dies vorher genehmigt wurde.
In der digitalen Gesundheitsakte werden Patientendaten, Befunde, Diagnosen und vieles mehr gespeichert. Die elektronische Patientenakte dient dazu, dass wichtige Daten im Notfall schneller abrufbar sind und Mehrfachuntersuchungen vermieden werden. Bei herkömmlichen Patientenakten kommt es nämlich bei einem Ärztewechsel oft unnötigerweise zu sich wiederholenden Untersuchungen.

Telemedizin: Revolutionär oder ein Datenschutz-Albtraum?

Der Begriff Telemedizin beschreibt den Einsatz unterschiedlicher neuer Medien zur medizinischen Diagnostik, Therapie und Rehabilitation. Viele Patienten finden die Idee gut, dass sie im Bett liegen bleiben und sich per Videochat krankschreiben lassen können. Viele Menschen fürchten aber auch, dass beim Einsatz der neuen Medien empfindliche Daten veröffentlicht werden.

An was für Vorschriften muss sich die Telemedizin halten?

Grundsätzlich muss die Telemedizin sich an alle datenschutzrechtlichen Vorschriften halten, die auch in anderen Bereichen der Medizin gelten. Auch hier zählen die personenbezogenen Daten der Patient*innen als besonders schützenswert. Hinzu kommen Datenschutzvorgaben bzgl. Online-Kommunikation und Datenweitergabe.

Wie sicher ist das WLAN im Krankenhaus?

Oft wird das WLAN im Krankenhaus als Besucher-WLAN bezeichnet. Dieses Netzwerk ist meistens nicht verschlüsselt. Das hat zur Folge, dass Straftäter gezielt in diesem Netzwerk nach sensiblen Arbeitsdaten suchen können.

Medizinische Geräte können gehackt werden

Auch wenn die Gefahr, dass ein Herzschrittmacher oder eine Insulinpumpe in einem Krankenhaus tatsächlich gehackt wird, klein ist, besteht sie doch. Denn oftmals sind die medizinischen Geräte in einem Krankenhaus das Ziel von Hackerangriffen. Dabei haben es Cyberkriminelle vor allem auf Überwachungsgeräte abgesehen.
Der Begriff Gerätesicherheit bedeutet im Kontext der Medizintechnik vor allem – Patientensicherheit. Deshalb unternehmen Krankenhäuser große Anstrengungen, um die Gerätesicherheit zu gewährleisten. Und deshalb ist ein Risk-Management-System wie das ISMS in Verbindung mit einer Verifizierung nach der ISO 27001 so wichtig. Ebenso müssen Technologien stets auf den neuesten Stand gebracht werden.

Steuerungssicherheit von empfindlichen Geräten

Hacker haben es aber nicht nur auf die Daten der Patienten und des Krankenhauses abgesehen. Auch empfindliche Gerätschaften wie OP-Licht, Hygiene-Luft, Notaggregate etc. können ein Ziel für einen Angriff sein.
Vor einem solchen Angriff können sich Krankenhäuser nur mit einer guten und aktuellen Sicherheitssoftware schützen. Falls ein Krankenhaus nicht die notwendige Sicherheit bietet und es zu einem Ausfall kommt, stehen die Leben von Patienten auf dem Spiel. Deswegen geben Krankenhäuser viel Geld für eine gute IT-Sicherheit aus.

Warum benötigen Schnittstellen eine besondere Sicherheit?

Moderne Schnittstellen (APIs) haben viele Vorteile. Sie verbinden die Programme des Krankenhauses und das Internet der Dinge (IoT). Sie werden genutzt, um Dienste und Daten sowohl intern als auch extern bereitzustellen.
Mittlerweile gibt es allerdings so viele Schnittstellen, dass leicht aus Unachtsamkeit eine Sicherheitslücke entstehen kann. Eine Schwachstelle von Schnittstellen ist ihre Sichtbarkeit, weshalb ihr Schutz besonders wichtig ist.

Womit können Krankenhäuser ihre Schnittstellen sichern?

Damit die Schnittstellen nicht Ziel von Hackern werden, sollten Krankenhäuser eine API Security haben. Diese sorgt dafür, dass nur berechtigte Personen darauf zugreifen können und sensible Patientendaten vor unberechtigten Zugriffen geschützt sind.
Die Schnittstellen müssen verwaltet und es muss eine API-Sicherheitsstrategie entwickelt werden. Im Anschluss müssen Schwachstellen ausfindig gemacht und beseitigt werden. Um die Daten zu schützen, können Krankenhäuser Protokolle wie TLS (Transport Layer Security) verwenden. Diese verschlüsseln und nutzen Signaturen, um die Daten zu sichern.

Was ist ein Krankenhausinformationssystem?

Krankenhausinformationssysteme sind Programme, welche dazu imstande sind, Daten der unterschiedlichen Netzwerke verfügbar zu machen und darzustellen. In einem Krankenhaus werden alle Netzwerke, Server und alle mobilen sowie festen Arbeitsplätze mit einem solchen System zusammengefasst.
Die Anforderungen an den Datenschutz machen Krankenhausinformationssysteme zu hochkomplexen Systemen. So darf zum Beispiel die reine Administration eines Krankenhauses keinen Zugang zu den Patientenakten haben. Das Krankenhausinformationssystem hat die Aufgabe, für jeden Angestellten alle relevanten Nutzer so darzustellen, dass der Datenschutz immer gewährt bleibt.

Prozessoptimierung mit dem Krankenhausinformationssystem

Das Krankenhausinformationssystem hat neben dem alltäglichen Anwendungsbedarf noch eine andere Aufgabe. So trägt es auch zur Optimierung der verschiedenen Prozesse und vor allem zur Qualitätssicherung bei. Aus dem Krankenhausinformationssystem kann diese Qualitätssicherung bundesweit zur Verfügung gestellt werden. So können sich Kliniken anhand der eigenen Standards immer wieder bewerten und verbessern.

Arzneimitteltherapien und Langzeit-Patienten-Analysen

Die Arzneimitteltherapie mit den ausgestellten Rezepten ist ein beliebtes Angriffsziel von Hackern. Dabei werden oft Langzeit-Analysen der Patienten mitgestohlen. Auch die Pflege- und Behandlungsleistungen in Kliniken werden über Informationssysteme verwaltet und entwickelt. Durch den multiplen Zugriff auf alle diese Daten kommt es zu einem hohen Sicherheitsrisiko und Datenschutzproblemen. Durch technische und organisatorische Maßnahmen muss gewährleistet sein, dass nur befugte Personen Zugriff auf die Daten haben können.

Fazit