Kliniken verbinden klassische IT mit medizinischer Technik und ständigem Publikumsverkehr, eine Kombination, die es in kaum einer anderen Branche in dieser Form gibt.
Offene Eingangsbereiche, viele externe Besucher und Dienstleister: ein Umfeld, das physische Zugangskontrolle strukturell erschwert. Dazu kommt Personal unter Dauerbelastung. Schichtdienst, Personalfluktuation und hohe Arbeitsbelastung senken erfahrungsgemäß die Wachsamkeit gegenüber Phishing und Pretexting.
Am Bett stehen vernetzte Medizingeräte: Infusionspumpen, Monitore, bildgebende Systeme. Diese Geräte werden häufig herstellerseitig gewartet und stehen selten im Fokus klassischer IT-Sicherheitskonzepte.
Weiße Kittel, Klemmbretter und der Satz „Ich bin von der Technik, wegen der Wartung“ öffnen in einer Klinik mehr Türen als in fast jeder anderen Branche. Rezeptionen sind oft zeitweise unbesetzt, viele echte externe Dienstleister (Reinigung, Medizintechnik, Catering) laufen ohnehin unangemeldet durchs Haus, und Personal im Nachtdienst hat selten Zeit, eine Ausweiskarte im Detail zu prüfen. Unsere Physical- und Social-Engineering-Assessments simulieren genau solche Szenarien, kontrolliert und mit vorheriger Abstimmung, wer im Ernstfall informiert wird.
Das Krankenhausinformationssystem ist das zentrale System für Patientenakten, Abrechnung und Stationsabläufe, historisch gewachsen und oft mit vielen Schnittstellen zu Drittsystemen. Jede dieser Schnittstellen ist ein Weg hinein, den in der Regel niemand mehr vollständig im Kopf hat.
Die Medizingeräte von der Station tauchen hier wieder auf, als Netzwerkanbindung, Fernwartungszugang und Frage der Segmentierung. Genau dort prüfen wir sie meist, statt die Geräte selbst aktiv anzugreifen, denn Medizinprodukte dürfen im laufenden Betrieb nicht gefährdet werden.
Ob ein einzelner kompromittierter Rechner ein lokales Problem bleibt, entscheidet die Segmentierung zwischen KIS, IoMT und Verwaltung, zusammen mit Zugriffsrechten und der Härtung des Active Directory. Deshalb gehören beide in jeden Klinik-Pentest.
Anfang September 2024 wurde die Wertachklinik-Gruppe in Bobingen und Schwabmünchen laut Medienberichten Ziel eines Ransomware-Angriffs. Die IT-Systeme wurden vorsorglich vom externen Netz getrennt, um eine weitere Ausbreitung zu verhindern. Die Generalstaatsanwaltschaft Bamberg (Zentralstelle Cybercrime) nahm die Ermittlungen auf. Der Vorfall ist kein Einzelfall: Das BSI-Forschungsprojekt „SiKIS“ (Fraunhofer SIT) hat 2024 systematisch Schwachstellen in deutschen Krankenhausinformationssystemen dokumentiert.
Angaben nach öffentlicher Berichterstattung. accessgranted war an diesem Vorfall nicht beteiligt.
Der B3S ist in Themenfelder gegliedert. Wir zeigen euch direkt, welches Pentest-Modul welches Feld abdeckt, damit euer Nachweis lückenlos ist.
Der Haupteingang ist längst zu, die Notaufnahme nicht. Jemand in Arbeitskleidung, Werkzeugkoffer in der Hand, Ausweiskarte am Band, folgt einer Pflegekraft durch die Tür zur Station und murmelt etwas von einer Störung im Technikraum. Niemand fragt nach, weil gerade drei Klingeln gleichzeitig gehen und weil externe Techniker zu dieser Uhrzeit nichts Ungewöhnliches sind. Wenig später steht die Person allein im Stationszimmer vor einem angemeldeten Rechner oder vor der Tür zum Serverraum.
Genau so testen wir, aber nie ohne Absprache. Vorab steht fest, wer im Haus Bescheid weiß, welche Bereiche tabu sind (zum Beispiel Intensivstation, OP und alles mit direktem Patientenbezug), wie sich unsere Leute auf Nachfrage sofort ausweisen und wer als Notfallkontakt erreichbar ist. Wird der Versuch erkannt und gestoppt, ist das ein gutes Ergebnis, kein peinliches. Und sobald irgendwo die Patientenversorgung berührt würde, brechen wir ab, bevor es dazu kommt.
Patientensicherheit hat immer Vorrang. Deshalb ist unser Vorgehen bei Kliniken enger abgestimmt als bei anderen Branchen.
Gemeinsam legen wir fest, welche Systeme aktiv getestet und welche nur passiv analysiert werden, insbesondere bei Systemen mit direktem Patientenbezug.
Informationssammlung, Netzwerk-Scans und manuelle Prüfung nach vereinbartem Scope, mit definiertem Notfallkontakt und sofortigem Stopp bei unerwarteten Auswirkungen auf produktive Systeme.
Jedes Finding wird nach Schweregrad, Ausnutzbarkeit und Auswirkung auf den Klinikbetrieb bewertet und mit Handlungsempfehlungen, Management-Summary und Zuordnung zum B3S „Medizinische Versorgung“ dokumentiert.
§ 75c und B3S verlangen Nachweise auf mehreren Ebenen zugleich. Diese drei Module greifen dafür ineinander.
Simulierter Zutritt zu Empfang, Stationen und Serverräumen. Deckt die physische Angriffsfläche ab, die auf Kliniken besonders häufig zutrifft.
Phishing- und Pretexting-Simulationen, zugeschnitten auf Schichtbetrieb und hohe Arbeitsbelastung im Klinikalltag.
Netzwerksegmentierung zwischen KIS, IoMT und Verwaltung, Zugriffsrechte und AD-Härtung.
Ab 30.000 vollstationären Fällen pro Jahr gilt euer Haus zusätzlich als KRITIS-Betreiber, mit eigenen Nachweispflichten nach BSI-Gesetz und NIS2. Unsere Compliance-Seiten zeigen, was das konkret bedeutet.