Projekt Smart Hospitals

Sichere Digitalisierung bayerischer Krankenhäuser

Vorstellung der Ergebnisse einer Online-Umfrage zur Erfassung des Status quo

Eckdaten der Umfrage

Durchführung über forsa, 18.03.2019 bis 18.04.2019
21 Fragen in fünf Blöcken:
- Allgemeine Angaben
- IT-Sicherheit in den letzten 12 Monaten
- IT-Sicherheitsmaßnahmen
- Zukünftige Entwicklung der IT-Sicherheit
- Digitalisierung im Krankenhaus
376 Krankenhäuser über 226 Geschäftsleitungen zur Teilnahme aufgerufen
81 Rückläufer, nach Bereinigung 68 Datensätze ausgewertet

Zur Erfassung des Status quo bezüglich IT-Sicherheit und Digitalisierung wurde eine ca. 15 Minuten dauernde Online-Umfrage im März und April 2019 durchgeführt. Die technische Umsetzung erfolgte über die Plattform des Meinungsforschungsinstitut forsa.marplan.

Zielgruppe der Umfrage waren die IT-Leitungen aller bayerischen Krankenhäuser; durch Krankenhausverbünde, zu denen mehrere Krankenhäuser gehören, ist die Zahl der Ansprechpartner deutlich geringer als die der Krankenhäuser. 226 Geschäftsleitungen von 376 bayerischen Krankenhäuser wurden gebeten, die einmalig gültigen Links zur Teilnahme an die Leitung der IT-Abteilungen weiterzugeben.

Insgesamt haben 81 Personen an der Umfrage teilgenommen. Diese Rückläufer wurden bereinigt, insbesondere wurden „Durchklicker“ mit weniger als 7 Minuten Teilnahmedauer entfernt. Somit konnten die Antworten von 68 Personen ausgewertet werden.

Die 21 Fragen wurden in der Umfrage zu fünf Blöcken gebündelt; die Ergebnisse werden nachfolgend in dieser Struktur vorgestellt.

Fragenblock A

Allgemeine Angaben

Größe der teilnehmenden Krankenhäuser

Externe Dienstleister für IT-Sicherheit

Fragenblock B

IT-Sicherheit in den letzten 12 Monaten

IT-Sicherheitsvorfälle in den letzten 12 Monaten

Zunächst wurden die Teilnehmenden gebeten, die Anzahl der IT-Sicherheitsvorfälle in den letzten 12 Monaten anzugeben.

Angesichts des recht unscharfen Begriffs „IT-Sicherheitsvorfall“ wurde die Frage dahingehend präzisiert, dass nur Vorfälle gezählt werden sollten, die eine manuelle Bearbeitung des Vorfalls, z.B. durch die Neuinstallation eines betroffenen PCs, erforderten; nicht gezählt werden sollten hingegen Vorfälle, die aufgrund vorhandener Automatismen (z.B. Anti-Virus-Software entfernt Schadsoftware) keinen wesentlichen Aufwand verursachten.

Das Ergebnis zeigt, dass die Mehrheit der teilnehmenden bayerischen Krankenhäuser angeben, dass sie im entsprechenden Zeitraum keine manuell zu bearbeitenden IT-Sicherheitsvorfälle zu verzeichnen hatten; rund 13% haben keine Angabe gemacht.

Rund ein Drittel der Befragten gibt an, von mindestens einem IT-Sicherheitsvorfall betroffen gewesen zu sein. Die Anzahl alleine ist dabei allerdings nicht besonders aussagekräftig und bewegt sich durchaus im üblichen Rahmen größerer IT-nutzender Organisationen.

Auswirkungen der Sicherheitsvorfälle

23 der teilnehmenden Krankenhäuser gaben an, dass sie in den vergangenen 12 Monaten von einem Sicherheitsvorfall betroffen waren. Diese Gruppe wurde gebeten, resultierende Auswirkungen aus der folgenden Liste auszuwählen:

Die Versorgung von Patienten wurde beeinträchtigt
IT-Systeme wurden als Teil eines Botnets ferngesteuert
Ransomware wurde installiert
Über die IT des Krankenhauses wurden Spam-E-Mails verschickt
Über die IT des Krankenhauses wurden Kryptowährungen generiert
Auf öffentlichen Webservern wurden Daten verändert
Zentrale Dienste waren zeitweise nicht erreichbar

Das Ergebnis zeigt, dass Ransomware (Erpressung durch Schadsoftware, die Daten verschlüsselt und IT-Systeme unbrauchbar macht) am häufigsten als Auswirkung genannt wird, die IT-Sicherheitsvorfälle in der jüngeren Vergangenheit verursachten.

Gründe für IT-Sicherheitsvorfälle

Die 23 teilnehmenden Krankenhäuser, die von mindestens einem IT-Sicherheitsvorfall betroffen waren, wurden ferner gebeten, die aus ihrer Sicht vorliegenden Gründe dafür auszuwählen:

Nicht rechtzeitig installierte Software-Updates
Fehlkonfiguration von Systemen
IT-Geräte mit fest vorgegebenen oder nicht geänderten Default-Passwörtern
Unbeabsichtigtes Fehlverhalten von Mitarbeitern
Sicherheitsmängel bei Herstellern, Zulieferern oder Partnern
Unbeaufsichtigte IT ohne Zugangsschutz

Das Ergebnis zeigt, dass ein unbeabsichtigtes Fehlverhalten des Personals, z.B. das unvorsichtige Öffnen von Schadsoftware in Dateianhängen von E-Mails, als mit Abstand häufigster Grund von IT-Sicherheitsvorfällen genannt wird.

Fragenblock C

IT-Sicherheitsmaßnahmen

Orientierung an Standards, Good Practices und Gesetzen

Die teilnehmenden Krankenhäuser wurden zunächst gebeten, anzugeben, an welchen der folgenden Standards, Good Practices und Gesetze mit Bezug zur IT-Sicherheit sie sich bei ihrer Arbeit orientieren. Zur Auswahl standen:

ISO/IEC 27001
IT-Grundschutz des BSI
Technische Richtlinien des BSI, z.B. BSI-CS 132 (netzwerkfähige Medizinprodukte)
IT Service Management nach ISO/IEC 20000-1 oder ITIL
Deutsches IT-Sicherheitsgesetz (IT-SiG)
Datenschutz-Grundverordnung (EU-DSGVO)

Das Ergebnis zeigt, dass die EU-DSGVO und der IT-Grundschutz des BSI zu den am häufigsten genannten Arbeitsgrundlagen gehören.

Dokumentierte Prozesse und Richtlinien

Anschließend sollte angegeben werden, welche der nachfolgend aufgelisteten Prozesse und Richtlinien in schriftlich dokumentierter Form vorliegen:

IT-Sicherheitsrichtlinie
IT-Risikomanagement-Prozess
Datenschutzrichtlinie
Sicherung und Wiederherstellung von Daten (Backup)
Wiederanlaufplan nach einem Komplettausfall der IT
Umgang mit IT-Sicherheitsvorfällen (Security Incident Response)
Richtlinie zur sicheren Entsorgung von Datenträgern

Analog zur vorherigen Frage zeigt das Ergebnis auch hier, dass die vorrangig dem Thema Datenschutz zuzuordnenden Bereiche – sichere Entsorgung von Datenträgern, Sicherung von Daten (Backup) und eine Datenschutzrichtlinie – ganz überwiegend genannt werden.

Technische Maßnahmen zum Schutz der Datennetze

Bei dieser Frage nach technischen IT-Sicherheitsmaßnahmen für Datennetze wurden die teilnehmenden Krankenhäuser gebeten, die bei ihnen eingesetzten Maßnahmen aus folgender Liste auszuwählen:

Netzsegmentierung durch Zonenbildung
Firewall am Übergang zum Internet
Firewalls an internen Zonengrenzen
Erkennung von Angriffen durch ein Intrusion Detection System
Zentrale Auswertung von Sicherheitsmeldungen durch ein Security Information & Event Management System (SIEM)
Network Admission Control, um nur bekannte Geräte ans Netz anschließen zu können
Redundanz wichtiger Dienste

Das Ergebnis zeigt, dass Firewalls am Übergang zum Internet, die heutzutage als Standard-IT-Sicherheitsmaßnahme gelten können und der Prävention erfolgreicher Angriffe dienen, auch bei den befragten Krankenhäusern fast flächendeckend eingesetzt werden. Auch die Einteilung der Datennetze in verschiedene Segmente bzw. Zonen und Hochverfügbarkeitsmaßnahmen für wichtige Dienste kommen bei über 70% zum Einsatz. Dedizierte Maßnahmen zur Angriffserkennung, z.B. durch Intrusion Detection Systeme oder die zentrale Auswertung von Daten durch SIEM-Systeme, wurden von den Teilnehmenden hingegen weniger häufig genannt.

Technische Maßnahmen zum Schutz der Anwendergeräte

Während sich die vorherige Frage auf den Schutz der Datennetze bezog, sollte nun angegeben werden, wie häufig bestimmte technische Maßnahmen zum Schutz mobiler und fest installierter Anwendergeräte verwendet werden:

Zugangsschutz über Passwort, Smartcard, PIN oder biometrische Authentisierungsverfahren
Software-Updates werden automatisch lokal angestoßen
Software-Updates werden zentral angestoßen
Verschlüsselung von Festplatten bzw. eingebauten Speichermedien
Schutz vor Malware durch Antivirus-Software
Schutz vor Malware durch Whitelisting ausgewählter Anwendungen
Deaktivierung von Schnittstellen

Für jede Maßnahme sollte angegeben werden, ob sie immer, häufig, eher selten oder nie zum Einsatz kommt.

Das Ergebnis zeigt wiederum, dass auch in diesem Bereich Standardmaßnahmen wie Antivirus-Software praktisch flächendeckend im Einsatz sind, andere Maßnahmen jedoch selektiver eingesetzt werden.

Awareness-Maßnahmen

Den Fragenblock abschließend sollte angegeben werden, welche Maßnahmen ergriffen werden, um das Personal für Fragen der IT-Sicherheit zu sensibilisieren.

Dabei sollten nur Maßnahmen angegeben werden, die nicht nur einmalig, sondern mindestens einmal pro Jahr bzw. mit regelmäßig aktualisierten Inhalten umgesetzt werden:

Rundschreiben
Belehrungen gegen Unterschrift
Vorträge
Verpflichtende Schulungen
Informationsplakate zum Thema IT-Sicherheit
Interne Webseiten zum Thema IT-Sicherheit
Bereitstellung von Videoclips zum Thema IT-Sicherheit
Durchführung von Planspielen

Das Ergebnis zeigt, dass die meisten Krankenhäuser ihr Personal per Rundschreiben auf das Thema IT-Sicherheit hinweisen; mehr als ein Drittel führt zudem verpflichtende Schulungen durch.

Fragenblock D

Zukünftige Entwicklung der IT-Sicherheit

Die wichtigsten IT-Sicherheitsthemen in den nächsten 12 Monaten

Die Befragten wurden gebeten, aus der folgenden Liste bis zu zwei Themen rund um IT-Sicherheit auszuwählen, die aus ihrer Sicht besonders wichtig in den nächsten 12 Monaten sein werden:

Datenschutzkonforme Informationsflüsse und Datenweitergabe
Sicherheit aus dem Internet erreichbarer Systeme, z.B. Webserver, Mailserver
Maßnahmen zur Steigerung des IT-Sicherheitsbewusstseins
Notfall- und Wiederanlaufmaßnahmen bzw. Reaktion auf IT-Sicherheitsvorfälle
IT-Risikomanagement
Verbesserte Absicherung von Endgeräten

Das Ergebnis zeigt, dass eine weitere Steigerung des IT-Sicherheitsbewusstseins und die Planung von Wiederanlaufmaßnahmen nach IT-Sicherheitsvorfällen als die beiden wichtigsten Themen für die kommenden 12 Monate genannt werden.

Größte Herausforderungen für die IT-Sicherheit in den nächsten 12 Monaten

Ferner wurden die Befragten gebeten, aus der folgenden Liste bis zu zwei Antwortmöglichkeiten auszuwählen, die aus ihrer Sicht die größten praktischen Herausforderungen für den Themenbereich IT-Sicherheit in den nächsten 12 Monaten darstellen.

Zu wenig Budget für IT-Sicherheit
Zu viele neu aufkommende Bedrohungen und Angriffsformen
Zu wenige effizient nutzbare Informationsquellen
Zu komplexe IT-Infrastruktur
Zu wenige Sicherheitsmaßnahmen, die ohne großen Aufwand zielgerichtet einsetzbar sind
Zu geringe Benutzerakzeptanz der vorhandenen Sicherheitsmaßnahmen
Zu wenig Fachpersonal

Neben den auch viele andere Sektoren betreffenden Herausforderungen , dass zu wenig Budget und Fachpersonal für die IT-Sicherheit verfügbar ist, ist im Ergebnis erkennbar, dass auch die Schnelllebigkeit der IT-Sicherheit und die Einschränkungen für die Benutzerfreundlichkeit der IT-Geräte, die mit IT-Sicherheitsmaßnahmen einhergehen können, als die größten praktischen Problemen genannt werden.

Fragenblock E

Digitalisierung im Krankenhaus

Im letzten der fünf Fragenblöcke sollten zunächst 28 Themen aus dem Bereich Digitalisierung dahingehend beurteilt werden, ob sie in den kommenden 10 Jahren alltäglich im eigenen Krankenhaus sein werden. Sie wurden in die folgenden fünf Themengebiete kategorisiert:

Papierlose Daten
Online-Interaktion Arzt/Patient
Automatisierung der Arbeitsabläufe
Transparenz und Entscheidungsunterstützung
Patientenselbstbehandlung

Abschließend sollten aus allen Themen, die aus Sicht der Befragten innerhalb von 10 Jahren wahrscheinlich alltäglich sein werden, bis zu vier Themen genannt werden, die mit besonderen Herausforderungen für die IT-Sicherheit verbunden sind.

Digitalisierungsbereiche der kommenden 10 Jahren

Die teilnehmenden Krankenhäuser wurden gebeten, anzugeben, für wie wahrscheinlich sie es halten, dass die hier aufgelisteten Maßnahmen innerhalb der kommenden 10 Jahre im Krankenhaus alltäglich sein werden.

Das Diagramm umfasst alle 28 vorgeschlagenen Digitalisierungsbereiche, die in fünf Fragenblöcken (ein Fragenblock für ein Themengebiet) beurteilt wurden.

Themengebiet
1. Papierlose Daten:

Einheitliche elektronische Patientenakte
Elektronische Rezepte, die bspw. in Echtzeit an Apotheken übermittelt werden können
Digitale krankenhausinterne Mitarbeiterkommunikation, die bspw für papierlose Koordination der Krankenhausmitarbeiter genutzt wird
Virtuelle Arztassistenz, die bspw. automatisch gesprochene Befunde in Schrift überträgt oder Text vorliest (Text-to-Speech, Speech-to-Text)

Themengebiet
2. Online-Interaktion Arzt/Patient:

Teleberatung, also webbasierte Interaktion von Arzt und Patient.
Fernüberwachung der klinischen Parameter von Hochrisikopatienten.
E-Triage, um bspw. vorab zu klären, ob Versorgung im Krankenhaus notwendig ist.

Themengebiet
3. Automatisierung der Arbeitsabläufe:

Mobile Vernetzung des Pflegepersonals, also bspw. digitaler Zugang zu Patientenakten für Personal in der häuslichen Pflege, Dokumentation von Befunden
Barcodebasierte Verabreichung von Medikamenten
RFID-Tracking zur Ortung der Krankenhausausstattung (wie Betten oder Diagnosewerkzeuge)
Fernüberwachung der Vitalwerte von Patienten auf der Intensivstation (eICU)
Roboter für Krankenhauslogistik, die Aufgaben wie Bestandsauffüllung oder Warentransport übernehmen
Prozessautomatisierung mittels Robotik für einfache Aufgaben wie bspw. Probenbehandlung
Operationsroboter, die bspw. Chirurgen während der Operation unterstützen
E-Überweisungen, um bspw. Entlassungsinformationen an den übernehmenden Arzt weiterzuleiten
Aufnahme-Terminals für Patienten im Krankenhaus, ähnlich eines automatischen Flughafen Check-ins
Elektronische Terminvereinbarung, bei der Patienten bspw. online einen Termin in der Klinik buchen können

Themengebiet
4. Transparenz und Entscheidungsunterstützung:

Leistungs-Dashboards, die intern Auskunft über die Leistungen der Ärzte geben
Softwarebasierte Steuerung der Patientenströme, bspw. mit einer Navigations-App, die Patienten durch die Stationen des Krankenhauses leitet
KI-basierte Software für Behandlungsempfehlungen, die bspw. individuelle Patientendaten und klinische Nachweise verwendet
Erweiterte Kostenträgeranalyse, um bspw. unrechtmäßige Patientenansprüche leichter aufzudecken
Genetische Tests zu Behandlungsentscheidungen auf Basis von genomischen Patientendaten

Themengebiet
5. Patientenselbstbehandlung:

Tools für das Management chronischer Erkrankungen, bspw. digitales Stimmungstagebuch bei psychisch erkrankten Patienten
Medizinische Chatbots, bspw. um einfache Anfragen an das Krankenhaus online zu beantworten
Tools zur Vorbeugung von Erkrankungen, bspw. Trainer Apps oder Fitnesstracker
Patientenunterstützende Netzwerke, um bspw. Erfahrungen zu bestimmten Krankheiten oder Therapien online auszutauschen
Digitale Diagnosetools, die bspw. Ferndiagnose ermöglichen
Virtual Reality für Schmerzbehandlungen

IT-sicherheitskritische Digitalisierungsthemen

Übersicht Digitalisierungsthemen und ihre Herausforderung für die IT-Sicherheit

Kontakt

Vielen Dank für Ihr Interesse an den Ergebnissen der Umfrage, die im Rahmen des Projekts

Smart Hospitals – Sichere Digitalisierung bayerischer Krankenhäuser

durchgeführt wurde.

Bei Fragen wenden Sie sich bitte per E-Mail an

projekt-smarthospitals@unibw.de