Praxisbeispiel Krankenhausverbund: Mikrosegmentierung für über 2.000 Server
Mehr als 2.000 Server, Terminalserver-Farmen und zentrale Load Balancer, verteilt über mehrere Häuser: KAEMI hat bei einem deutschen Krankenhausverbund Zero-Trust-Mikrosegmentierung eingeführt. Den Rahmen setzten §75c SGB V und das Krankenhauszukunftsgesetz.
Die Ausgangslage
Für die IT-Sicherheit deutscher Krankenhäuser ist §75c SGB V das zentrale Gesetz, eingeführt mit dem Patientendaten-Schutz-Gesetz: Seit Januar 2022 sind zugelassene Krankenhäuser verpflichtet, angemessene technische und organisatorische Schutzmaßnahmen nach dem Stand der Technik zu treffen. Dazu kommt das Krankenhauszukunftsgesetz, das die Digitalisierung fördert und dabei einen Teil der Mittel für Informationssicherheit vorsieht. Aus beidem entstand der Auftrag, die Ausbreitungswege im Netz systematisch zu schließen.
Die Umgebung des Verbunds: mehr als 2.000 Server über mehrere Häuser, vom Krankenhausinformationssystem bis zum Abrechnungsverfahren, Terminalserver-Farmen für Pflege und Verwaltung, davor zentrale Load Balancer. Kein Kubernetes, dafür eine gewachsene, heterogene Landschaft mit Medizintechnik, die sich nicht einfach patchen lässt. Den Ost-West-Verkehr zwischen all dem sah niemand vollständig.
Der Auftrag an KAEMI: Sichtbarkeit über den gesamten Verbund herstellen, ein Segmentierungsmodell für Server, Terminalserver und Load Balancer entwerfen und es einführen, ohne die Patientenversorgung an irgendeiner Stelle zu unterbrechen. Wie bei Referenzen aus dem Gesundheitswesen üblich, nennen wir den Kunden hier nicht namentlich.
Das Projekt im Überblick
- Branche
- Gesundheitswesen: Krankenhausverbund
- Sitz
- Deutschland
- Umgebung
- Über 2.000 Server, Terminalserver-Farmen, zentrale Load Balancer
- Treiber
- §75c SGB V (PDSG), KHZG
- Leistung
- Professional Services: Analyse & Design, Rollout, Übergabe an die Verbund-IT
Auf Wunsch des Kunden anonymisiert.
Der rechtliche Rahmen
Was §75c SGB V und das KHZG von der IT-Sicherheit verlangen
Gesetz und Förderrahmen schreiben kein Produkt vor. Sie formulieren aber Anforderungen, zu denen Segmentierung einen wesentlichen Beitrag leisten kann, gerade in einer Umgebung mit Medizintechnik und langen Gerätelaufzeiten.
§75c SGB V (PDSG)
Seit Januar 2022 sind zugelassene Krankenhäuser verpflichtet, angemessene technische und organisatorische Vorkehrungen nach dem Stand der Technik zu treffen, für Verfügbarkeit, Integrität und Vertraulichkeit ihrer Systeme. Als Orientierung dient der branchenspezifische Sicherheitsstandard (B3S) Medizinische Versorgung, der unter anderem eine Trennung der Netze nach Schutzbedarf vorsieht.
Krankenhauszukunftsgesetz (KHZG)
Das KHZG fördert die Digitalisierung der Häuser und verknüpft sie mit Informationssicherheit: Ein Teil der Fördermittel ist für IT-Sicherheit vorgesehen, zusätzlich ist sie ein eigener Fördertatbestand. Wer digitalisiert, kommt am Thema Segmentierung kaum vorbei.
Medizintechnik und Altsysteme
Viele Systeme im Krankenhaus lassen sich nicht einfach patchen: Herstellerfreigaben, Zulassungen und lange Gerätelaufzeiten stehen im Weg. Segmentierung wirkt hier als kompensierende Maßnahme, sie begrenzt, wen ein verwundbares System überhaupt erreichen kann.
Verfügbarkeit der Versorgung
Angriffe auf Kliniken zielen auf die Verfügbarkeit: Verschlüsselte Systeme bedeuten verschobene Behandlungen. Eindämmung ist deshalb keine Compliance-Übung, sondern Versorgungsschutz. Ein Vorfall in einem Haus darf nicht zum Vorfall des ganzen Verbunds werden.
Die Umgebung
Drei Welten, ein Segmentierungsmodell
Jede der drei Welten bringt eine eigene Schwierigkeit mit. Beantwortet wurden sie mit einem Modell, das überall dieselbe Sprache spricht, auch dort, wo Load Balancer den Blick auf die echten Kommunikationsbeziehungen verstellen.
Über 2.000 Server
Vom Krankenhausinformationssystem über PACS und Labor bis zu den Fachverfahren der Verwaltung, verteilt über mehrere Häuser. Die versorgungskritischen Anwendungen erhielten zuerst ein Ringfencing, durchgesetzt direkt am Workload. Auch Systeme im selben Netzsegment erreichen sie nur noch mit ausdrücklicher Regel.
Terminalserver
Pflege, Ambulanz und Verwaltung arbeiten auf gemeinsamen Terminalservern; welche Verbindung legitim ist, entscheidet dort nicht die Adresse des Servers, sondern die Rolle der Session. Also gelten nutzer- und gruppenbasierte Regeln: Jede Session erreicht die Anwendungen ihrer Rolle, eine kompromittierte Session findet keinen Weg weiter ins KIS.
Zentrale Load Balancer
Die Load Balancer bündeln den Verkehr vieler Anwendungen auf wenigen virtuellen Adressen. Dahinter verschwimmt, wer wirklich mit wem spricht. Die Abhängigkeits-Karte muss den Weg vom Client über die virtuelle Adresse bis zum realen Server auflösen, Regeln gelten vor und hinter dem Balancer, und die Health-Checks brauchen eigene Freigaben. Sonst meldet der erste scharfe Regelsatz den Pool als ausgefallen.
Das Vorgehen
In vier Phasen zur durchgesetzten Segmentierung
In einem Krankenhaus gibt es kein Wartungsfenster für die Versorgung. Deshalb wird keine Regel scharf geschaltet, deren Wirkung nicht vorher in der Simulation sichtbar war.
-
Sichtbarkeit zuerst
Sensorik über alle Häuser des Verbunds ausgerollt, danach mehrere Wochen echten Verkehr beobachtet. Die Karte löste dabei auch die Pfade über die Load Balancer auf: welcher Client welche virtuelle Adresse nutzt und welche realen Server dahinter antworten.
-
Modell und Simulation
Ein Tag-Modell nach Standort, Umgebung, Anwendung und Rolle, keine IP-Listen. Ringfencing von KIS, PACS und den übrigen versorgungskritischen Anwendungen zuerst, dann feinere Regeln. Alles im Simulationsmodus: Die Plattform zeigt, was eine Regel blockieren würde, bevor sie es tut.
-
Schrittweise Durchsetzung
Scharf geschaltet wurde Haus für Haus und Anwendung für Anwendung, jeweils erst, wenn die Simulation keine legitimen Verbindungen mehr meldete. Die Patientenversorgung lief dabei ohne Unterbrechung weiter: keine Wartungsfenster, keine Ausfälle.
-
Übergabe an die Verbund-IT
Zum Abschluss Dokumentation, Runbooks und Schulung: Die IT des Verbunds übernahm die Führung der Plattform mit klaren Prozessen für neue Systeme, neue Häuser und Ausnahmen.
Das Ergebnis
Was der Verbund heute hat
- Eine Kommunikationskarte über mehr als 2.000 Server und alle Häuser des Verbunds, die laufend gepflegt wird.
- KIS, PACS und die übrigen versorgungskritischen Anwendungen im Ringfence, durchgesetzt am Workload.
- Rollenbasierte Regeln auf den Terminalservern von Pflege, Ambulanz und Verwaltung.
- Die Pfade über die Load Balancer sind vollständig im Policy-Modell abgebildet, Health-Checks eingeschlossen.
- Belastbare Nachweise für §75c SGB V und B3S-orientierte Prüfungen: Karte, Policies, Änderungshistorie.
- Ein Vorfall in einem Haus hat deutlich weniger Wege, auf den restlichen Verbund überzugreifen.
IT-Sicherheit nach §75c SGB V konkret machen
Im gemeinsamen Analyse-Workshop machen wir sichtbar, wo sich ein Angreifer in Ihrer Umgebung ausbreiten würde, und zeigen, welchen Beitrag Segmentierung zu den Anforderungen aus §75c SGB V und B3S leisten kann. Unverbindlich und auf Ihre Häuser bezogen.