Interview mit Christian Rosenzweig (Johner Institut) – Teil 1
Wer in den vergangenen Wochen krank war, hatte vermutlich mindestens einen Berührungspunkt mit dem Thema E-Health: Arbeitsunfähigkeitsbescheinigungen werden seit Januar 2023 nur noch digital ausgestellt. Auch Rezepte sind seit September 2022 als E-Rezepte digital in Apotheken einlösbar. Die Einführung einer elektronischen Gesundheitsakte wird diskutiert. Gleichzeitig häufen sich Meldungen zu Hacking Vorfällen in Krankenhäusern.
Das wirft die Frage auf, wie es um das Thema IT Security im Bereich E-Health steht und welche Aufgaben hier noch vor uns liegen.
Dazu haben wir mit Dipl.-Ing. Biomed. Technik Christian Rosenzweig vom Johner Institut gesprochen. Er berät Hersteller von Medizinprodukten in Sachen Qualitätsmanagement und Regulatory Affairs. Ein Schwerpunkt ist hierbei das Risikomanagement – insbesondere im Hinblick auf die Informationssicherheit der Produkte.
In diesem ersten Artikel geht es vor allem um die Verbraucher-Perspektive: Wie betrifft mich als Patient oder Verbraucher die Digitalisierung im Gesundheitswesen direkt oder indirekt? Wie sehr diese Thematik uns alle angeht, macht die Anekdote im Video unten eindrucksvoll deutlich.
Im folgenden zweiten Artikel geht es insbesondere um den Aspekt der IT-Sicherheit im Kontext eHealth.
Beim Thema eHealth denken viele Leser vermutlich zuerst an elektronische Gesundheitsakte oder Telemedizin. Welche Bereiche umfasst das Thema eHealth noch? Welche Aspekte hat man als Verbraucher bzw. Patient vielleicht gar nicht auf dem Schirm?
Da kann man aufgrund der Vielzahl an Themen gar nicht alles aufzählen, darum beschränke ich mich auf einige Beispiele. Aus Verbraucher- bzw. Patientensicht sind folgende Bereiche besonders relevant:
Die angesprochene elektronische Gesundheitsakte ist etwas, an dem man seit Jahren arbeitet. Ziel ist es, eine Patientenakte zu erstellen, in der alle Daten eines Patienten unter dessen Hoheit verwaltet werden und auf die alle involvierten Ärzte schreibend und lesend zugreifen können.
Telemedizindienste sollen dabei helfen, Patienten auch zuhause oder unterwegs durch geeignete Spezialisten adäquat überwachen und betreuen zu können.
Auch der Bezug von Arzneimitteln und Medizinprodukten wird für den Endverbraucher in Online-Apotheken verlegt.
Die Themen Selbstversorgung und Krankheitsprävention spielen ebenfalls eine Rolle. Dazu zählen Dienste und Produkte zur Seniorenbetreuung, „Assisted living“, „activity tracking“ und mobile Apps, die gesundheitsbewusste Menschen unterstützen sollen. Gesundheitssoftware und Medizinprodukte auf dem Smartphone oder Arbeitsplatz-PC sind mittlerweile auch erstattungsfähig, wenn sie ärztlich verschrieben werden (DiGA – Digitale Gesundheitsanwendungen).
Netzwerke sind ein weiterer Aspekt: Gesundheitsdaten können in Sozialen Netzwerken geteilt werden. Das „internet oft things“ verbindet alles und jeden, „body area networks“ vernetzen Sensoren und Aktoren am Körper.
Auch Gesundheitsportale im Internet („consumer health informatics“) und Internetmedizin (Gesundheitsfürsorge zur Diagnose, Überwachung, Beratung, Terminvergabe, Verschreibungen) sind wichtige Aspekte im Bereich eHealth.
Im Bereich Hardware gibt es mittlerweile mobile Endgeräte und „Wearables“ mit Sensoren für zahlreiche Körperparameter.
Was man als Patient vielleicht nicht direkt im Blick hat, sind Entwicklungen im Feld eHealth, die eher ärztliche Behandler betreffen. Im Bereich Software und Daten spielen beispielsweise neue Technologien wie „Machine Learning“, Big Data und Bioinformatik eine zunehmende Rolle. Im neuen Wissenschaftszweig „Genomics“ geht es um die Erfassung und Analyse von DNA-Sequenzen. Auch medizinische Geräte werden immer digitaler und vernetzter, wie das Beispiel im Video deutlich zeigt.
Was sind die Vorteile, die mit Digitalisierung im Gesundheitswesen einhergehen?
Ein großer Vorteil ist die Verfügbarkeit von benötigten Daten für jeden (Behandler, aber auch Betroffene) jederzeit und an jedem Ort. Dies führt auch zu einer geringeren Belastung durch schädliche Diagnostikverfahren (z. B. Röntgen), weil keine Wiederholungen nötig sind, wenn jeder auf bereits verfügbare Daten zugreifen kann. In dieser Hinsicht wäre beispielsweise eine elektronische Gesundheitsakte ein Gewinn.
Der Zugriff auf riesige Datenmengen („big data“) ermöglicht, dass Krankheiten besser erkannt und prognostiziert werden können. Auch Modelle zur Krankheitsvorhersage und Therapie sind so besser möglich.
Machine Learning ist mittlerweile so ausgereift, dass in manchen Bereichen bessere Diagnosen als durch einen Menschen möglich sind. Beispielsweise erkennt Künstliche Intelligenz (KI) in Röntgenbildern Tumoren früher als menschliche Diagnostiker.
Mit Digitalisierung geht zudem eine Verlagerung im Gesundheitssystem von der Krankheitsbehandlung zur Prävention bzw. frühen Erkennung einher. Sie bietet durch Datenzugriff und Transparenz für Laien die Möglichkeit, selbst Verantwortung für die eigene Gesundheit zu übernehmen zu können. Dabei hilft die Verfügbarkeit von Unterstützungssystemen.
Wir machen immer wieder deutlich, dass Digitalisierung immer auch mehr Schnittstellen und damit mehr potenzielle Angriffsvektoren mit sich bringt. Wer Digitalisierung macht, muss daher Cyber Security zwingend mitdenken. Welche Gefahren sehen Sie speziell im Bereich eHealth, wenn IT Security nicht in ausreichendem Maße integriert wird?
Die Gefahren betreffen vor allem die drei klassischen Schutzziele der Informationssicherheit: Vertraulichkeit, Integrität und Verfügbarkeit von Daten.
Im Bereich eHealth spielt die Vertraulichkeit von Daten aufgrund ihrer Sensibilität eine besonders wichtige Rolle: Persönliche Daten, Diagnosen, Krankheitsverläufe und Prognosen können in die Hände unberechtigter Personen gelangen, die daraus Profit schlagen (z. B. Versicherungen, Arbeitgeber, Erpresser).
Die Integrität von Gesundheitsdaten ist ebenfalls von enormer Bedeutung: Wenn Diagnose-/Behandlungsdaten manipuliert werden oder durch technische Einflüsse keine Richtigkeit mehr haben, können gravierende Auswirkungen auf die Gesundheit entstehen (z. B. veränderte Medikationsvorschrift des Arztes, die zu einer tödlichen Dosis führt). Die Integrität solcher Daten kann durch technische Fehler, Kriminelle (Erpressung) oder sogar durch politisch motivierte Angreifer (Kriegsführung) kompromittiert werden.
Auch die Verfügbarkeit von Daten hat im eHealth eine besondere Relevanz: Ein Arzt, der in einer Notfallsituation nicht auf notwendige Daten zugreifen kann, kann nicht richtig behandeln. Ein Krankenhaus, das durch einen „Ransomware-Angriff“ seine kompletten Daten und damit Systeme verloren hat, kann nicht mehr funktionieren.
Ein frappierendes Beispiel ist der Ransomware-Angriff auf die Uni-Klinik Düsseldorf, die deshalb ihre Notaufnahme schließen musste. Das hatte den Tod eines Unfallopfers wegen zu später Behandlung zur Folge.
Im zweiten Teil des Interviews klären wir, wo das Gesundheitswesen derzeit in Sachen IT Security steht, welche Anforderungen Medizinproduktehersteller in dieser Hinsicht erfüllen müssen und welche Rolle Penetration Tests dabei spielen. Hier geht es zu Teil 2!
Nach dem Cyberangriff auf die Kryptobörse Coinbase zeigt sich: Insider können die größte Bedrohung für Unternehmen darstellen. Nicht nur technische, sondern vor allem menschliche Schwachstellen ermöglichen Cyberkriminalität. Dieser Artikel zeigt auf, warum Insiderbedrohungen ein besonderes Risiko darstellen und welche Maßnahmen Unternehmen ergreifen können.
Der jüngste Cyberangriff auf die Bundesagentur für Arbeit zeigt, selbst kleine Schwachstellen können zu massivem Schaden führen. Der Vorfall wirft wichtige Fragen bezüglich der Unternehmensstrategien zur Prävention solcher Szenarien auf.
Ein Microsoft-Sicherheitsupdate hat unerwartet eine neue Sicherheitslücke geschaffen, die Unternehmen in Gefahr bringt. Diese nicht dokumentierte Nebenwirkung könnte dazu führen, dass Windows-Updates von Nutzern blockiert und Systeme von zukünftigen Sicherheitsupdates abgeschnitten werden. Ein potentieller Albtraum für IT-Sicherheit und Geschäftsführung.
