Neue Daten zeigen, dass der Gesundheitssektor bei der Vorbereitung auf den Übergang zur Post-Quanten-Kryptografie weiterhin zurückliegt, obwohl praktische Quantencomputer künftig möglicherweise Verschlüsselungsalgorithmen brechen können, die Patientendaten schützen. Besonders deutlich ist der Rückstand bei vernetzten medizinischen Geräten: Nur 6 % von ihnen verfügen über einen geeigneten Schutz gegen künftige Quantenangriffe, verglichen mit 50 % der IT-Systeme.
Die Threat-Research-Einheit des Unternehmens Forescout analysierte mehr als 2,5 Millionen Geräte in mehr als 50 Gesundheitseinrichtungen. Die Analyse umfasste Geräte wie Infusionspumpen und Patientenüberwachungsgeräte sowie Arbeitsstationen und Server. Obwohl IT-Systeme 66 % der vernetzten Geräte in Gesundheitseinrichtungen ausmachen, können medizinische Geräte aufgrund der schwierigen Aktualisierung und ihrer direkten Bedeutung für die Versorgung einen erheblichen Schwachpunkt darstellen.
Langlebige Daten sind ein attraktives Ziel
Medizinische Unterlagen, diagnostische Bilder, Laborergebnisse und die Verschreibungshistorie gehören zu den am stärksten gefährdeten Datentypen, da sie über lange Zeit sensibel und wertvoll bleiben. Der Bericht ergab außerdem, dass nur 31 % von mehr als 5.500 über das Internet erreichbaren Gesundheitssystemen, etwa Patientenportalen und einigen Programmierschnittstellen, ein Verschlüsselungsprotokoll unterstützen, das Post-Quanten-Kryptografie aufnehmen kann.
Das bedeutet nicht, dass Angreifer bereits morgen Quantencomputer einsetzen werden, um Krankenhäuser anzugreifen. Daniel Trevillito, Vizepräsident für Lösungen für operative Technologien und das Gesundheitswesen sowie für Cybersicherheitsrisiken bei Forescout, warnte jedoch vor der Strategie „Jetzt sammeln, später entschlüsseln“. Dabei werden heute gestohlene verschlüsselte Daten gespeichert, in der Hoffnung, sie entschlüsseln zu können, sobald das Quantencomputing dazu in der Lage ist.
Was ändert sich in der Praxis?
Forescout empfiehlt Einrichtungen, zunächst eine Bestandsaufnahme der besonders gefährdeten Anlagen und Systeme durchzuführen und die Quantenbereitschaft in Technologieaktualisierungen, Beschaffungszyklen und den Austausch von Systemen zu integrieren, statt auf das Auftreten praktischer Quantencomputer zu warten. Das National Institute of Standards and Technology (NIST) bietet einen bestehenden Ausgangspunkt, nachdem es 2024 die erste Reihe von Standards für Post-Quanten-Kryptografie veröffentlicht hat.
Dieser Schritt gewinnt in einem Sektor, der bereits umfangreichen Angriffen ausgesetzt ist, zusätzliche Bedeutung. Forescout verzeichnete im Zeitraum von Januar bis August des genannten Jahres weltweit 461 öffentliche Meldungen über Ransomware-Angriffe auf Gesundheitseinrichtungen, 47 % mehr als im selben Zeitraum des Vorjahres. Mehr als 60 % davon richteten sich gegen Einrichtungen in den Vereinigten Staaten. Laut IBM belaufen sich die Kosten von Datenschutzverletzungen im Gesundheitswesen im Durchschnitt auf etwa 6,64 Millionen US-Dollar.
Die redaktionelle Schlussfolgerung lautet nicht, dass eine Quantenkrise unmittelbar bevorsteht, sondern dass die lange Lebensdauer medizinischer Daten und die schwierige Aktualisierung von Geräten den Übergang zu einem langsamen Prozess machen, dessen Planung nicht aufgeschoben werden kann. Ungeklärt ist weiterhin, ob die Aufsichtsbehörden dem Gesundheitssektor konkrete Anforderungen an die Post-Quanten-Kryptografie auferlegen oder diese in bestehende Cybersicherheitsverpflichtungen integrieren werden.