Das Projekt
Abschlussveranstaltung mit Herrn Prof. Pinkwart im Mai 2022
Unter der Konsortialführung von MedEcon Ruhr entwickelten und erprobten G-Data-Advanced Analytics, Visus Health IT und die radprax Gesellschaft für medizinische Versorgungszentren gemeinsam mit Forschern der Ruhr-Universität Bochum und der FH Münster sowie der Krankenhausgesellschaft NRW neue Lösungen, Sicherheitstools und -Dienstleistungen für die rund 340 Krankenhäuser in Nordrhein-Westfalen.
In der Einführungsphase erarbeiteten die Experten der Cybersecurity, der Medizinsoftwareentwicklung und der Anwendung gemeinsam die spezifischen Konfigurationen, Herausforderungen und Sicherheitsproblemen der medizinischen Datenkommunikation. Eine durchgeführte Studie zur IT-Sicherheitslage in den NRW-Krankenhäusern vertiefte die Einblicke um Einschätzungen aus den Krankenhäusern selbst.
Zur Testung neuer und bereits im Markt befindlicher Medizinsoftware wurde der MITS-Fuzzer entwickelt, welcher in einer Test-Krankenhausumgebung Softwareanwendungen auf Sicherheitslücken und Stabilitätsprobleme untersucht. Erstmalig wurden auch die für die medizinische Datenkommunikation wichtigen Protokolle DICOM und HL7 in die Schwachstellenanalyse einbezogen.
Die Ergebnisse aus dem Softwarefuzzing und den medizinischen Protokollanalysen wurden dem neu entwickelten Netzwerkscanner für dessen Analyse der Krankenhausumgebung (im Realbetrieb, innen) implementiert. Der MITS-Scanner wurde auf Basis bestehender Netzwerkscanner im Projektverlauf um die Ergebnisse der Softwareanalyse erweitert und gemeinsam mit Krankenhaus-IT-Leitungen auf notwendige Einsatzvoraussetzungen angepasst (Systemstabilität, Suchgeschwindigkeiten, spezifische Konfiguration,…).
In Ergänzung des MITS-Scanners für den Einsatz im Krankenhaus wurde der Large Scale Scanner für eine Verwundbarkeitsbewertung von Angriffen von außen entwickelt. Basierend auf der neu gewonnenen Projektexpertise in Bezug auf die spezifischen Konfigurationen und Internetverbindungen medizinischer Geräte und Software, werden ungenügende Sicherheitsvorkehrungen, offene Ports und fehlerhafte Konfigurationen aufgezeigt.
Bereits in der Projektlaufzeit konnten bisher unbekannte Sicherheitsprobleme an die Industrie oder die zuständigen Behörden gemeldet werden. Eine große Zahl von offenen Angriffswegen konnten über das Projekt identifiziert und in Zusammenarbeit mit der gematik und dem BSI bereits geschlossen werden.
Alle Projektergebnisse finden Sie: hier.