Pentest für Krankenhäuser und Medizintechnik: Wir zeigen, welche Angriffswege die Versorgung erreichen, mit Testfenstern, die auf den Klinikbetrieb abgestimmt sind.
Im Krankenhaus hat die Versorgung Vorrang vor jeder Sicherheitsmaßnahme, und das zu Recht. Ein Test, der die Notaufnahme ausbremst, ist kein guter Test. Daraus folgt eine eigene Prüflogik: klare Ausschlüsse für Geräte im Patienteneinsatz, abgestimmte Zeitfenster und Angriffe, die ihre Wirkung nachweisen, ohne sie auszuüben.
Die Angriffsfläche einer Klinik ist besonders heterogen: Krankenhausinformationssystem, PACS, Labor, Medizingeräte mit langen Laufzeiten, Fernwartungszugänge zahlreicher Hersteller und eine Verwaltung, die an Kostenträger, Zuweiser und Telematikinfrastruktur angebunden ist. In unseren Tests entscheidet weniger die einzelne Schwachstelle als die Frage, ob ein Angreifer vom Verwaltungsarbeitsplatz oder vom Wartungszugang bis in die klinischen Netze gelangen kann.
Verschlüsselt ein Angreifer KIS, PACS oder Labor, muss eine Klinik im schlimmsten Fall Patientinnen und Patienten umleiten und auf Papierprozesse ausweichen. Wir prüfen per Ransomware-Simulation, wie weit ein Angreifer käme und ob Erkennung und Reaktion rechtzeitig greifen.
Reicht ein kompromittierter Verwaltungsarbeitsplatz bis zu Medizingeräten, die der Betreiber nicht selbst aktualisieren darf, steht die Patientensicherheit auf dem Spiel. Wir prüfen die Segmentierung, auf der der Schutz dieser Geräte aufbaut.
Dauerhaft aktive, gemeinsam genutzte Herstellerzugänge können ein direkter Weg ins Kliniknetz sein. Wir prüfen Erreichbarkeit, Authentifizierung und Reichweite dieser Zugänge in Abstimmung mit dem Hersteller.
Fehlen Belege für den Stand der Technik, drohen Feststellungen in der Nachweisprüfung. Die Geschäftsführung kann ihren Gremien dann die Risikolage nicht darlegen. Wir ordnen Befunde nach ihrer Auswirkung auf die Versorgung und dokumentieren Umfang, Methodik und Behebungsstand für den Nachweis.
Fehlen Herstellern Testergebnisse für Gerät, Firmware und Schnittstellen, kann sich die Konformitätsbewertung verzögern. Wir testen aus Angreifersicht und dokumentieren so, dass die Ergebnisse in Ihre technische Dokumentation einfließen.
Nach § 391 SGB V treffen alle Krankenhäuser angemessene Vorkehrungen nach dem Stand der Technik. Orientierung gibt der B3S Medizinische Versorgung. Für KRITIS-Häuser gilt stattdessen das BSIG, weitere NIS2-pflichtige Einrichtungen unterliegen ihm zusätzlich. Hersteller müssen nach Anhang I der MDR Software unter Berücksichtigung der Informationssicherheit entwickeln. IEC 81001-5-1 beschreibt dafür den Sicherheitslebenszyklus mit Sicherheitstests.
Wir prüfen, ob Segmentierung und Zugriffsschutz zwischen Verwaltung, Fernwartung und klinischen Netzen wirken. Die Befunde beschreiben wir so, dass Sie sie in Ihrer B3S-Umsetzung als Beleg verwenden können.
Im Scope stehen Ihre versorgungskritischen Systeme. Der Test kann zugunsten einer realen Bewertung Teil Ihres Verfahrens zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen und bei KRITIS-Häusern Beleg im Nachweis gegenüber dem BSI sein.
Wir testen Gerät, Firmware, Schnittstellen und Begleit-Apps aus Angreifersicht und beschreiben jeden Befund mit seiner möglichen Auswirkung im klinischen Einsatz. Den Bericht übernehmen Sie in die technische Dokumentation.
Wir testen unabhängig von Ihrem Entwicklungsteam und ordnen die Tests den Testarten der Norm zu, von der Schwachstellenprüfung bis zum Penetrationstest. Die Ergebnisse fließen in Ihren Sicherheitslebenszyklus ein.
Den genauen Zuschnitt legen wir gemeinsam mit Ihnen fest. Die meisten Vorhaben in Ihrer Branche beginnen an einem dieser drei Punkte.
Krankenhäuser, Verbünde und andere Einrichtungen, die vor einer Nachweisprüfung wissen wollen, wo sie stehen.
Pentest von außen samt Fernwartungszugängen und im Kliniknetz mit Active Directory, mit Fokus auf die Trennung der klinischen Netze. Zum Abschluss präsentieren wir die Ergebnisse Ihrer Geschäftsführung.
Eine priorisierte Übersicht der Wege in die klinischen Netze, die Geschäftsführung und IT gleichermaßen verstehen.
Häuser, die ihre Reaktionsfähigkeit im Ernstfall belegen wollen, und Medizintechnikhersteller vor einer Konformitätsbewertung.
Für Kliniken Ransomware-Simulation und Tests ausgewählter Medizingeräte, für Hersteller Tests von Gerät, Firmware und Begleit-Apps. Im Technischen Workshop besprechen wir die Befunde mit Ihrer Medizintechnik.
Sie sehen, welche Versorgungsbereiche ein Angreifer erreichen würde und wie schnell Sie es bemerken.
KRITIS- und NIS2-pflichtige Einrichtungen sowie Verbünde mit mehreren Häusern, die ihren Stand regelmäßig belegen wollen.
Ein Programm für den ganzen Verbund mit vergleichbaren Ergebnissen aller Häuser, Begleitung, bis alle Befunde geschlossen sind, und eine jährliche Prüfbescheinigung für den regelmäßigen Nachweis.
Ein belastbarer Nachweiszyklus, der die Häuser des Verbunds vergleichbar und über alle Standorte steuerbar macht.
Wir beginnen dort, wo sich Klinikbetrieb und Angreifer treffen: an den Übergängen zwischen Verwaltung, Fernwartung und klinischen Netzen.
Vom Verwaltungsarbeitsplatz aus verfolgen wir den Weg über das Active Directory zu KIS, PACS und Labor und zeigen, wo die Trennung nachgibt.
Wir prüfen vernetzte Medizintechnik aus zwei Perspektiven: als Betreiber die Einbettung ins Kliniknetz, als Hersteller Gerät, Firmware und Schnittstellen.
Patientenportale, Fernwartungszugänge und Anbindungen an Zuweiser sind von außen erreichbar. Wir prüfen, was davon offen ist und wie gut es geschützt ist.
Wir spielen den Weg bis zur Verschlüsselung kontrolliert durch und prüfen, ob ein Angreifer Ihre Sicherungen erreichen könnte und wann er auffällt.
Geschäftsführung und Aufsichtsgremien erhalten ein Bild der Risikolage für die Versorgung, auf dessen Grundlage sie Maßnahmen und Budget entscheiden.
Für KRITIS- und NIS2-Nachweise belegt die Prüfbescheinigung Scope, Zeitraum und Methodik. Weitergehende Beratung zu ISMS und B3S übernimmt ProSec Governance.
[ein Satz]
[ein Satz]
[ein Satz]
„[Zitat, freigegeben]“
Wir beziehen IT, Medizintechnik und Geschäftsführung früh ein und klären gemeinsam Scope, Testfenster und die Darstellung für Ihre Gremien.
Für das Beratungsgespräch müssen Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Im Gespräch klären wir, welche Systeme und Abläufe in den Test gehören und wie tief wir prüfen.
Wir wählen aus, wer fachlich zu Ihrem Anliegen passt. Diese Person meldet sich bei Ihnen. Ab der Beauftragung übernimmt eine feste Projektleitung aus dem Fachbereich bis zum Retest.
Diese Fragen erreichen uns aus Ihrer Branche am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Darauf ist unsere Testplanung ausgelegt. Geräte im Patienteneinsatz schließen wir von aktiven Tests aus oder prüfen sie nur in abgestimmten Fenstern und an Referenzgeräten. Für jeden Test gibt es Abbruchkriterien und einen jederzeit erreichbaren Ansprechpartner aus Medizintechnik oder Betrieb.
Wir prüfen, welche Zugänge von außen erreichbar sind, wie sie authentifiziert werden und wohin man von dort im Netz gelangt. Den Hersteller beziehen wir vorab ein, damit Verträge und Gewährleistung nicht berührt werden. Häufig zeigt sich dabei, dass ein Zugang weiter reicht, als die Wartung es verlangt.
Wir liefern den technischen Teil: Penetrationstests von Gerät, Firmware, Schnittstellen und Begleit-Apps, dokumentiert so, dass sie in Ihre technische Dokumentation und Ihren Sicherheitslebenszyklus nach IEC 81001-5-1 einfließen. Die regulatorische Bewertung bleibt bei Ihnen und Ihrer Benannten Stelle.
§ 391 SGB V schreibt keinen Penetrationstest ausdrücklich vor, verlangt aber angemessene Vorkehrungen nach dem Stand der Technik. Ob Segmentierung und Zugriffsschutz wirken, lässt sich durch einen Test aus Angreifersicht direkt belegen. KRITIS-Häuser weisen ihre Umsetzung zudem regelmäßig dem BSI nach. Dafür sind Testergebnisse ein zentraler Beleg.
Vor allem eine Übersicht der Netzsegmente und eine Liste der Geräte im Patienteneinsatz, die ausgeschlossen oder nur eingeschränkt getestet werden. Dazu kommen Ansprechpartner aus IT, Medizintechnik und Betrieb, die während des Tests erreichbar sind, und die Information der Hersteller mit Fernwartungszugang. Alles Weitere klären wir im Scoping.
Die Klinik testet als Betreiberin, wie Geräte und Systeme in ihr Netz eingebettet sind. Der Hersteller testet das Produkt selbst. Bei Kliniken stehen Segmentierung, Fernwartung und der Weg in die klinischen Netze im Vordergrund. Bei Herstellern prüfen wir Gerät, Firmware, Schnittstellen und Begleit-Apps und dokumentieren für die technische Dokumentation.
Wir melden sie sofort an den vereinbarten Ansprechpartner und nicht erst im Bericht. Da der Betreiber das Gerät oft nicht selbst verändern darf, schlagen wir kompensierende Maßnahmen wie engere Segmentierung und Zugriffsbeschränkung vor. Die dauerhafte Behebung stimmen Sie mit dem Hersteller ab. Die technischen Details liefern wir dafür.
Ein jährlicher Test ist ein sinnvoller Grundrhythmus. Dazu kommen Tests nach größeren Änderungen, etwa einem neuen KIS, einer Netzumstellung oder neuen Fernwartungszugängen. KRITIS-Häuser stimmen den Rhythmus zusätzlich auf ihren Nachweiszyklus gegenüber dem BSI ab.
Vor allem von der Zahl der Standorte und Netzsegmente, der Menge an Fernwartungszugängen und davon, ob Medizingeräte oder eine Ransomware-Simulation einbezogen werden. Enge Testfenster verlängern die Laufzeit, weil aktive Tests nur zu abgestimmten Zeiten laufen. Ein Lagebild für Ihre Einrichtung dauert je nach Umfang wenige Wochen.
