Klinikpersonal für IT-Sicherheit sensibilisieren

Medizinische Versorgungseinrichtungen gehören zu den kritischen Infrastrukturen. Das Personal muss entsprechend regelmäßig für IT-Sicherheit sensibilisiert werden, damit ein sachgemäßer Umgang mit der IT-Infrastruktur gewährleistet ist und es nicht zu Ausfällen der medizinischen Versorgung kommt.

Im Interview mit MEDICA.de beschreibt Prof. Luigi Lo Iacono, welche Folgen ein fahrlässiges Verhalten haben kann, wie Personal zurzeit für IT-Sicherheit sensibilisiert wird und wie im Rahmen des Forschungsprojekts "Medical Centre Employee Centered Information Security Awareness (MedISA)" diese Maßnahmen untersucht und neue Ansätze entwickelt werden.

Herr Prof. Lo Iacono, welche Folgen kann es haben, wenn unsachgemäß mit der IT-Infrastruktur umgegangen wird?

Prof. Luigi Lo Iacono: Das können Vorfälle sein, bei denen Daten in falsche Hände gelangen können. Das wäre ein Verlust der Privatheit und wir reden hier von Gesundheitsdaten, die besonders schützenswert sind. Das kann aber auch so weit führen, dass die Krankenhaus-IT von Dritten gekapert wird. In diesem Fall ist die medizinische Versorgung gefährdet. So etwas geschieht, indem die Systeme, zum Beispiel mit in den letzten Jahren dramatisch häufiger gewordenen Ransomware, angegriffen werden. Diese Schadsoftware verschlüsselt die gekaperten Systeme und ermöglicht Erpressungen: Dabei wird man aufgefordert sich die Schlüssel für die Entschlüsselung der Systeme zu erkaufen, was man allerdings auf keinen Fall machen sollte.

Über 80 Prozent der IT-Sicherheitsvorfälle starten mit einer Art von Phishing. Das kann Mitarbeitenden aus der Verwaltung, aber auch Personal in der medizinischen Versorgung passieren, die zum Beispiel Phishing-Mails bekommen und den Anhang öffnen, da sie vielleicht wenig sensibilisiert sind und nicht wissen, was es für Folgen haben kann, wenn ein E-Mail-Anhang eines unbekannten Senders unachtsam geöffnet wird. Nur ein Fehler kann dabei eine gewaltige Lawine lostreten.

Wie wird aktuell vorgegangen, um das Klinikpersonal für IT-Sicherheit zu sensibilisieren?

Lo Iacono: Kliniken müssen Schulungen in diesem Bereich durchführen, da medizinische Versorgungseinrichtungen zu den kritischen Infrastrukturen gehören. Es gibt besondere und spezifische Vorgaben, wie man mit der IT-Sicherheit umgehen muss. Es wird zum Beispiel gefordert, das entsprechende Personal alle zwei Jahre zu schulen und somit zu sensibilisieren.

Maßnahmen können zum Beispiel Posterkampagnen, webbasiertes Training, Videos oder Schulungen vor Ort sein. Aus wissenschaftlicher Sicht weiß man an der Stelle aber eben nicht, wie nachhaltig und passgenau die Wirkung dieser Maßnahmen für die jeweilige Zielgruppe ist. Man muss unterscheiden, ob man zum Beispiel technisches Verwaltungspersonal, therapeutisches oder medizinisches Personal schult, das macht einen Unterschied.

Was sind die konkreten Ziele des Forschungsprojekts MedISA?

Lo Iacono: Wir wollen wissenschaftlich erheben, welche Maßnahmen für die einzelnen Nutzergruppen ideal sind, damit diese möglichst lange nachhalten. Wir haben zwei assoziierte Kliniken mit an Bord, bei denen wir die notwendigen Probanden befragen werden. Diese Kliniken haben schon Maßnahmen ergriffen. Durch Erhebungen in Gesprächen mit Probanden aus verschiedenen Zielgruppen möchten wir herausfinden, wie die Teilnehmenden diese Maßnahmen empfunden, wie zielführend sie sie gefunden haben und woran sie sich noch erinnern können. Wir haben auch eigene Ideen für neuartige Ansätze für Schulungsmaßnahmen im Projekt verankert, die wir wissenschaftlich evaluieren und erproben wollen.

All das wollen wir erheben und schließlich das Ergebnis entsprechend als Handreichung rausgeben, damit sich die verschiedenen medizinischen Versorgungseinrichtungen an diesen Empfehlungen bei der Umsetzung im eigenen Haus orientieren können.

Wie wollen Sie vorgehen, um diese Ziele zu erreichen?

Lo Iacono: Wir haben eine Reihe von Interviews, partizipativen Workshops und Usability-Studien geplant, in denen wir mit den verschiedenen Zielgruppen erarbeiten, wie eigentlich so eine Schulungsmaßnahmen sein muss, damit sie in den Arbeitsalltag passt und effektiv ist. Gemeinsam werden wir dann Maßnahmen daraus erarbeiten, die wir anschließend noch mal evaluieren. Das heißt, wir werden mit diesen Maßnahmen auch Sensibilisierungen in den Pilotkliniken durchführen und entsprechend mit den Teilnehmenden am Ende besprechen und schauen, wie sie funktioniert haben.

Unsere Idee ist eine ganz neue Maßnahme, die es in der Form noch nicht gibt. Wir verwenden dabei Ergebnisse aus einer anderen Disziplin, der Verhaltenspsychologie. Dort gibt es sogenannte Nudging-Ansätze, also "anstupsen". Man "stupst" die Leute so in eine bestimmte Richtung: Wenn sie eine Entscheidung treffen müssen, versucht man diese Entscheidungsprozesse zu beeinflussen. In unserem Fall zu einer Entscheidung, die der Sicherheit und Privatheit zugutekommt. Diese "Stupser" könnte man tief in die IT- oder Kommunikationssysteme einbauen.

Dann würde man regelmäßig, durch die Verwendung der IT-Systeme und diese "Stupser", erinnert, dass man gerade besonders sensible Arbeitsschritte vollzieht. Die Sensibilisierung würde somit nicht an einem Tag erfolgen, sondern dauerhaft. Man wird durch die Verwendung der IT-Systeme sensibilisiert und geschult. Wir hoffen, dass wir in drei Jahren, wenn wir die Ergebnisse haben, sagen können, dass es eine Maßnahme ist, die auch für große Gruppen effizient und nachhaltig funktioniert.