// HEISE ONLINE — CYBERSECURITY
Wenn die IT ausfällt: Krisensimulation für Krankenhäuser
Wie Krankenhäuser bei IT-Ausfällen reagieren, testet Nico Brüggemann vom Fraunhofer SIT. Er erklärt, warum Abläufe oft nur auf dem Papier funktionieren.
Cyberangriffe auf Krankenhäuser beginnen oft unspektakulär: mit einer Phishing-Mail, einem schlecht abgesicherten Server oder einer Schwachstelle in ganz normaler Standard-IT. Die Folgen können trotzdem schnell weit über die Technik hinausreichen. Wenn zentrale Systeme ausfallen, stellt sich im Klinikalltag nicht nur die Frage nach dem Angriffsweg, sondern vor allem danach, ob Alarmierung, Kommunikation und Versorgung unter Krisenbedingungen funktionieren.
Genau dafür wird derzeit eine Krisensimulation für Krankenhäuser erprobt. Sie soll nicht nur technische Reaktionen testen, sondern vor allem zeigen, wie belastbar die Abläufe im Ernstfall wirklich sind. Im Interview erklärt Nico Brüggemann vom Fraunhofer-Institut für Sichere Informationstechnologie (SIT) unter anderem, wie das Format aufgebaut ist, warum viele Häuser ihre Alarmierungsprozesse zu selten praktisch üben und warum auch moderne Standards wie FHIR geprüft werden müssen. Außerdem geht es darum, was sich aus den Übungen wissenschaftlich lernen lässt und warum dafür noch weitere Krankenhäuser als Studienteilnehmer gesucht werden.
Sie arbeiten an einer Krisensimulation für Krankenhäuser. Was genau ist die Idee dahinter?
Die Grundidee ist, eine Lage zu simulieren, die sich möglichst nah an der Realität bewegt. Bei der Krisensimulation ist es so, dass die Leute eigentlich keine Rollen spielen sollen. Wenn wir in ein Krankenhaus gehen, soll dort idealerweise wirklich der IT-Administrator sitzen, der im Ernstfall zuständig wäre, dazu die Geschäftsführung, der Vorstand, der Krisenstab. Es geht nicht darum, irgendetwas abstrakt nachzustellen, sondern reale Abläufe mit den echten Verantwortlichen zu üben.
Sie beginnt mit einer kurzen Einführung in die Regeln und den Ablauf. Und dann beginnt das Ganze quasi mit den IT-Leuten. Sie bekommen eine virtuelle Umgebung, in der sie sich durchklicken können. Dort tauchen dann nach und nach sogenannte Indicators of Compromise auf, also Hinweise darauf, dass gerade ein Angriff läuft.
Die IT analysiert das, bewertet es und muss entscheiden, wann sie eskaliert. Irgendwann wird dann der Krisenstab informiert. Ab diesem Punkt wird aus der technischen Analyse eine echte Krisenübung: Dann müssen verschiedene Bereiche zusammen Entscheidungen treffen und kommunizieren.
Was heißt das in der Praxis? Worüber reden die Teilnehmer dann?
Sehr schnell nicht mehr nur über Technik. Natürlich gibt es den technischen Auslöser, etwa ausgefallene Systeme oder verdächtige Aktivitäten. Aber dann kommen die Fragen, die im Krankenhausalltag wirklich relevant sind.
Wir spielen zum Beispiel Ereignisse ein: Das PACS oder das DICOM-System funktionieren nicht mehr. Ein Reporter steht vor der Tür. Der Chefarzt ruft an und will wissen, wie es weitergeht. Und dann kommen ganz praktische Probleme dazu, an die viele am Anfang gar nicht denken: Wie versorgt man Patientinnen und Patienten weiter, wenn die IT heruntergefahren ist? Wie organisiert man Essen, wenn digitale Abläufe ausfallen? Wie geht man mit Allergien oder Diätvorgaben um, wenn Informationen nicht mehr ohne Weiteres abrufbar sind?