Sicherheitslücken bei Klinikinformationssystemen festgestellt
Mehrere Schweizer Spitäler weisen in ihren Klinikinformationssystemen über 40 gravierende Sicherheitslücken auf.
Die Klinikinformationssysteme mehrerer Schweizer Spitäler weisen gravierende Sicherheitslücken auf. In den drei vom Nationalen Testinstitut für Cybersicherheit untersuchten Systemen wurden mehr als 40 mittlere bis schwere Schwachstellen identifiziert.
Dies teilte das Nationale Testinstitut für Cybersicherheit (NTC) am Donnerstag zur Veröffentlichung seines Berichtes mit. Klinikinformationssysteme (KIS) bilden laut NTC das Herzstück moderner Spitäler. Sie steuern den Informationsfluss, verarbeiten sensible Patientendaten und sorgen für reibungslose Abläufe im Spitalumfeld.
In der Schweiz kommen laut dem NTC im Wesentlichen drei bis fünf KIS-Lösungen zum Einsatz. Diese seien speziell auf die Anforderungen und Besonderheiten des schweizerischen Gesundheitswesens zugeschnitten und würden von nahezu allen grösseren Schweizer Spitälern eingesetzt. Drei davon hatte das NTC untersucht.
Veraltete Architekturen gefährden Cybersicherheit in Schweizer Spitälern
Besonders anfällig seien Lösungen, die auf veralteten Architekturen basierten, hiess es in der Mitteilung weiter. Die Cybersicherheit dieser für die Spitäler essentiellen Systeme sei in vielen Fällen unzureichend, hiess es weiter. Einige der identifizierten Schwachstellen ermöglichten innerhalb weniger Stunden den vollständigen Zugriff auf Patientendaten und Systeme.
Während die meisten relevanten Schwachstellen inzwischen behoben oder durch Massnahmen entschärft worden seien, erforderten einige grundlegende Probleme eine umfassende Neugestaltung der Softwarearchitektur, teilte das NTC weiter mit. Dies werde laut den Herstellern mehrere Jahre in Anspruch nehmen.
Im Bericht werde bewusst auf die Nennung von Details zu den Schwachstellen verzichtet. Das NTC sprach zudem technische und organisatorische Empfehlungen für die Verantwortlichen für Cybersicherheit in den Spitälern aus. Darunter sollten diese unter anderem die Kontrolle der Cybersicherheit von Systemen bereits bei der Beschaffung durchführen. Zudem sollten regelmässig Schwachstellenanalysen und Updates durchgeführt werden.
