In kaum einer Umgebung treffen so viele unterschiedliche Geräte in einem Netzwerk aufeinander wie in Kliniken, Arztpraxen und Laboren: Verwaltungs-PCs, Laborgeräte mit Steuerrechnern, bildgebende Systeme, Infusionspumpen, Telefonanlage, Gebäudetechnik, Patienten-WLAN und das Tablet für die Visite. Viele dieser Geräte laufen mit Software, die der Hersteller nur selten aktualisiert, manche mit Betriebssystemen, die anderswo längst ausgemustert wurden. Gleichzeitig sind die Daten besonders schützenswert und Ausfälle besonders kritisch. Ein durchdachtes Netzwerk-Sicherheitskonzept für Klinik und Labor ist deshalb keine Kür, sondern Voraussetzung für einen sicheren Betrieb. Wir zeigen, wie ein solches Konzept aufgebaut ist und wo in der Praxis die Knackpunkte liegen.
Die besonderen Herausforderungen
- Nicht patchbare Geräte: Medizin- und Laborgeräte dürfen oft nur mit Freigabe des Herstellers verändert werden. Ein Sicherheitsupdate des Betriebssystems kann die Zulassung berühren.
- Lange Lebenszyklen: Ein Analysegerät oder ein bildgebendes System bleibt oft deutlich länger im Einsatz als ein Büro-PC.
- Fernwartung: Hersteller brauchen Zugang zu ihren Geräten, oft über eigene Verbindungen.
- Rund-um-die-Uhr-Betrieb: Wartungsfenster sind knapp, Ausfälle betreffen unmittelbar die Versorgung.
- Besondere Daten: Gesundheitsdaten gehören zu den besonderen Kategorien personenbezogener Daten und sind entsprechend zu schützen.
- Regulierung: Je nach Größe und Art der Einrichtung gelten zusätzliche Vorgaben, etwa branchenspezifische Sicherheitsstandards für Krankenhäuser, die IT-Sicherheitsrichtlinie für Praxen oder Pflichten aus dem NIS2-Umsetzungsgesetz.
Bausteine eines Netzwerk-Sicherheitskonzepts für Klinik und Labor
1. Inventar: Wissen, was im Netz ist
Ohne vollständige Übersicht geht nichts. Welche Geräte gibt es, welches Betriebssystem läuft darauf, wer ist zuständig, welche Verbindungen brauchen sie? In vielen Einrichtungen tauchen bei der ersten Bestandsaufnahme Geräte auf, von denen niemand mehr wusste, dass sie am Netz hängen. Eine automatische Erkennung neuer Geräte hilft, das Inventar aktuell zu halten.
2. Segmentierung: Zonen statt einem großen Netz
Das Kernstück jedes Konzepts ist die Aufteilung des Netzes in Zonen, zwischen denen eine Firewall nur die Verbindungen erlaubt, die wirklich gebraucht werden.
| Zone | Beispiele | Grundregel |
|---|---|---|
| Verwaltung | Büro-PCs, Abrechnung, E-Mail | Internetzugang mit Schutz, kein direkter Zugriff auf Medizingeräte |
| Klinische Systeme | Praxis- oder Kliniksoftware, Befundserver | Nur definierte Zugriffe aus Verwaltung und Medizingeräte-Zonen |
| Medizin- und Laborgeräte | Analysegeräte, bildgebende Systeme, Monitore | Kein Internet, nur Verbindung zu den benötigten Servern |
| Gebäudetechnik | Lüftung, Zutritt, Aufzüge, Kameras | Strikt getrennt, eigene Wartungszugänge |
| Gäste und Patienten | Patienten-WLAN, Besucher | Nur Internet, keinerlei Zugriff auf interne Netze |
| Verwaltung der IT | Administrationszugänge, Backup | Nur für Administratoren, mit zweitem Faktor |
Wird ein Gerät in einer Zone kompromittiert, kann sich der Angriff nicht ungehindert ausbreiten. Gerade für Geräte, die keine Updates bekommen, ist die Segmentierung der wichtigste Schutz.
3. Zugangskontrolle am Netzwerkanschluss
Wer ein fremdes Notebook in eine Netzwerkdose im Wartebereich steckt, sollte nicht im internen Netz landen. Mit einer Netzwerkzugangskontrolle werden Geräte anhand von Zertifikaten oder Merkmalen erkannt und automatisch der richtigen Zone zugeordnet, unbekannte Geräte landen in einem Quarantänebereich.
4. Fernwartung kontrollieren
Fernwartung ist nötig, aber ein häufiges Einfallstor. Bewährt hat sich ein zentraler, abgesicherter Zugang, über den alle Hersteller arbeiten: freigeschaltet nur auf Anfrage, zeitlich begrenzt, mit persönlicher Anmeldung und Protokollierung. Eigene Modems oder dauerhaft offene Verbindungen der Hersteller sollten der Vergangenheit angehören. Die Anforderungen gehören in die Wartungsverträge.
5. Überwachung und Protokollierung
Ungewöhnlicher Datenverkehr, etwa ein Laborgerät, das plötzlich Verbindungen ins Internet aufbauen will, muss auffallen. Eine zentrale Sammlung der Protokolle und eine Alarmierung bei Auffälligkeiten sind deshalb Teil des Konzepts, ebenso wie eine Person, die die Alarme auch bewertet.
6. Ausfallsicherheit und Notbetrieb
Redundante Kernkomponenten, unterbrechungsfreie Stromversorgung für Netzwerkschränke und eine durchdachte WLAN-Abdeckung für mobile Geräte gehören zur Grundausstattung. Mindestens genauso wichtig ist der Plan für den Ernstfall: Wie arbeiten Station, Praxis oder Labor weiter, wenn die IT ausfällt? Papierformulare, Notfall-Arbeitsplätze und eine klare Meldekette sollten regelmäßig geübt werden.
Beim Kauf neuer Geräte mitdenken
Sicherheit beginnt bei der Beschaffung. Fragen Sie vor dem Kauf eines neuen Medizin- oder Laborgeräts: Wie lange liefert der Hersteller Sicherheitsupdates? Welche Netzwerkverbindungen braucht das Gerät? Wie funktioniert die Fernwartung? Gibt es eine Beschreibung der Sicherheitseigenschaften? Für die Einbindung von Medizingeräten in IT-Netzwerke gibt es mit der Normenreihe IEC 80001 zudem einen Rahmen für das Risikomanagement, der die Zusammenarbeit von Medizintechnik, IT und Herstellern strukturiert.
Umsetzung im laufenden Betrieb
Niemand kann eine Klinik oder ein Labor für eine Umbauwoche schließen. Die Segmentierung wird deshalb Schritt für Schritt umgesetzt. Zuerst wird der Datenverkehr eine Zeit lang beobachtet, um zu verstehen, welche Verbindungen tatsächlich gebraucht werden. Dann werden Zonen eingerichtet und die Regeln zunächst nur protokolliert, nicht durchgesetzt. Erst wenn klar ist, dass nichts Wichtiges blockiert würde, werden sie scharf geschaltet, Bereich für Bereich und abgestimmt mit den Verantwortlichen der Medizintechnik. Das dauert länger als ein Umbau auf der grünen Wiese, vermeidet aber böse Überraschungen am Montagmorgen.
Checkliste für Ihre Einrichtung
- Vollständiges Geräteinventar mit Zuständigkeiten vorhanden
- Netz in Zonen aufgeteilt, Regeln dokumentiert
- Medizin- und Laborgeräte ohne direkten Internetzugang
- Patienten- und Gäste-WLAN vollständig getrennt
- Fernwartung nur über zentralen, protokollierten Zugang
- Netzwerkzugangskontrolle für offene Netzwerkdosen
- Protokolle zentral gesammelt und ausgewertet
- Notbetrieb geplant und geübt
- Sicherheitsanforderungen in Beschaffung und Wartungsverträgen verankert
Wir helfen Ihnen gerne
Sie betreiben eine Praxis, ein Labor oder eine Klinik und möchten Ihr Netzwerk sicherer aufstellen? Das IT-Team der Mittelstandsoptimierer erstellt mit Ihnen ein Netzwerk-Sicherheitskonzept, plant die Segmentierung im laufenden Betrieb und stimmt sich mit Medizintechnik und Herstellern ab. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
