FMH

Informationssicherheit 
beim Cloud Computing

Thomas Kessler

DOI: https://doi.org/10.4414/saez.2017.06161
Veröffentlichung: 08.11.2017
Schweiz Ärzteztg. 2017;98(45):1493–1494

Cloud Computing in der (Arzt-)Praxis

Beim Cloud Computing (oder «Rechnen in der Wolke») befinden sich Informatikanwendungen oder Daten nicht mehr lokal beim Anwender, sondern zentral bei einem Cloud-Service-Anbieter. Diese Verschiebung der IT in die Cloud hat auch in der Arztpraxis längst begonnen und lässt sich nicht aufhalten. Das Tempo ist aber für die verschiedenen Anwendungsfälle unterschiedlich:

fullscreen

– Am weitesten verbreitet ist der Datenaustausch über die Cloud. Streng genommen handelt es sich bei einem externen E-Mail-Postfach (z.B. HIN Mail, bluewin oder gmail) bereits um eine Cloud-Lösung mit mehr (oder eben weniger) Sicherheit. Leider werden auch Cloud-Speicher wie Dropbox oder WeTransfer für den Austausch von grossen Datenmengen verwendet, indem der Absender die Daten zwischenspeichert und dem Empfänger die Adresse für den Zugriff (Hyperlink) zustellt.

– Die zeitlich unbefristete Datenablage in der Cloud ist heute in der Konsumelektronik gang und gäbe, wobei gerade das Gesundheitswesen (z.B. Fitness-Tracker) hierbei eine Vorreiterrolle spielt. Auch Hersteller von Laborgeräten und anderen Medizinalgeräten (z.B. für Radiologie) haben diesen Trend aufgenommen und transferieren erfasste Daten auf eigene zentrale Speicher.

– Die Datenverarbeitung in der Cloud über sogenannte Software as a Service (SaaS) Lösungen erlebt derzeit in verschiedenen Branchen einen rasanten Aufschwung, der auch Arztpraxen erfasst hat. Die meisten Hersteller führen heute eine Praxissoftware as a Service im Angebot und forcieren Cloud-basierte Archivierungssysteme. Diese Lösungen dürften sich flächendeckend durchsetzen, sobald noch bestehende Vorbehalte bezüglich Datensicherheit und Netzwerkzuverlässigkeit ausgeräumt sind.

– Der Cloud Desktop, bei dem das Endgerät des Anwenders nur noch als Bildschirm für den beim Cloud- Anbieter betriebenen Arbeitsplatz dient, wäre die wohl konsequenteste Form des Cloud Computing. Ob und wann dies auch für eine Arztpraxis praktikabel wird, lässt sich derzeit allerdings kaum abschätzen.

Sicherheitsrisiken beim Cloud Computing

Grundsätzlich lassen sich drei Risikobereiche unterscheiden:

Sicherheitsrisiken beim Cloud-Service-Anbieter: In den allermeisten Anwendungsfällen werden die Daten nicht vor dem Transfer in die Cloud verschlüsselt. Vertraulichkeit und Integrität der Daten müssen deshalb vom Cloud-Service-Anbieter sichergestellt werden, und zwar auf drei Ebenen: Erstens muss der Cloud-Service-Anbieter sicherstellen, dass seine Mitarbeitenden nur die für ihre Tätigkeit notwendigen Zugriffsrechte erhalten (need-to-know oder least-privilege Prinzip). Zweitens muss er die Anwendungen und Datenbestände seiner Kunden so voneinander isolieren, dass sich Schwachstellen oder Fehler beim einen Kunden nicht auf andere Kunden auswirken können. Und drittens muss er dafür sorgen, dass seine Infrastruktur nicht von anonymen Angreifern aus dem Internet korrumpiert wird. Hinzu kommen gewisse Risiken in Bezug auf die Verfügbarkeit der Daten beispielsweise bei einem Ausfall des Rechenzentrums oder einem Konkurs des Cloud-Service-Anbieters.

– Sicherheitsrisiken bei der Netzwerkverbindung: Beim Cloud Computing kommuniziert der Anwender über ein öffentliches Netzwerk mit dem Cloud Service. Wenn sich die Endpunkte der Kommunikation nicht gegenseitig zuverlässig authentifizieren, dann kann sich ein Dritter den Zugang auf die Daten und Anwendungen in der Cloud verschaffen. Bei einer unverschlüsselten Kommunikationsverbindung besteht zusätzlich das Risiko, dass die transferierten Daten auf einem dazwischenliegenden Netzwerkknoten unbemerkt mitgelesen werden.

Sicherheitsrisiken beim Anwender: Mangelhaft geschützte Endgeräte oder fehlendes Sicherheitsbewusstsein beim Anwender können auch die Sicherheit des Cloud Computing beeinträchtigen: Eine schädliche Verschlüsselungssoftware (Ransomware) auf dem Arbeitsplatz verschlüsselt die Daten auch dann, wenn sie auf einem Cloud-Speicher abgelegt sind. Und auch gegen ein trojanisches Pferd, das Passwörter mitliest und für den späteren Missbrauch abspeichert, sind die Betreiber von Cloud Services weitgehend machtlos.

Cloud Computing ist nicht per se sicherer oder weniger sicher als die herkömmliche lokal betriebene Informatik. Grundsätzlich hat der Betreiber eines Cloud Service eher bessere Voraussetzungen dafür, seine zentralen Systeme laufend zu aktualisieren und nach einem ­hohen Sicherheitsstandard zu betreiben. Die Vernetzung schafft aber zusätzliche potentielle Sicherheitsschwachstellen, die kontrolliert werden müssen.

Das Management der Informationssicherheit wird aber auf jeden Fall anspruchsvoller, weil mehrere Parteien involviert sind und zusätzliche Schnittstellen bestehen. Dies trifft insbesondere auf das Risiko eines Kollateralschadens zu, wenn entweder der Betreiber des Cloud Service oder ein mangelhaft isolierter anderer Kunde Opfer eines Angriffs wird.

Handlungsempfehlungen

Vermeiden Sie die unbewusste Nutzung von Cloud Services

Klären Sie bei der Kommunikation mit Patientinnen, Spitälern oder anderen Leistungserbringern, auf welchen IT-Systemen Ihre Daten zwischenge­speichert werden, und meiden Sie öffentliche Cloud- Speicher wie Dropbox oder WeTransfer für den Austausch von Patientendaten. Informieren Sie sich darüber, ob Ihre Praxissoftware oder Laborgeräte Daten ungefragt in einen Cloud-Speicher kopieren.

Stellen Sie sicher, dass die Daten in der Schweiz verbleiben

Das Schweizer Strafrecht und insbesondere das ärztliche Berufsgeheimnis nach Art. 321 StGB kann nur durchgesetzt werden, wenn sich die Daten und alle auf die Daten zugreifenden Personen in der Schweiz befinden. Dies kann bei ausländischen Anbietern von Cloud Services kaum sichergestellt werden.

Wählen Sie Ihre Cloud-Service-Provider sorgfältig aus

Als Anwender eines Cloud Service bleiben Sie für die Sicherheit Ihrer Daten verantwortlich, auch wenn Sie keinen direkten Einfluss auf die vom Anbieter getroffenen Sicherheitsmassnahmen haben. Dies ist beim Vertragswerk angemessen zu berücksichtigen und erfordert ein hohes Mass an Vertrauen. Stellen Sie jedem potentiellen Anbieter die in der Tabelle 1 aufgelisteten 10 Fragen, bevor Sie sich für sein Angebot entscheiden.

Tabelle 1: Zehn Fragen an Ihre potentiellen Cloud Service Provider
 1 Werden meine Daten ausschliesslich innerhalb der Schweiz gespeichert und 
verarbeitet?
 2 Genügt die Vertragsgestaltung den rechtlichen Anforderungen aus dem 
Arztgeheimnis?
 3 Wie kann ich sämtliche Daten eines einzelnen Patienten konform zum 
Datenschutzgesetz löschen?
 4 Unterstehen alle Personen mit Zugriff auf meine Daten der ärztlichen 
Schweigepflicht?
 5 Kann ich jederzeit eine Liste aller Personen einfordern, die Zugriff auf meine 
Daten haben?
 6 Wie wird die Datensicherheit überprüft und kann ich die Prüfberichte jederzeit 
einsehen?
 7 Wer ist mein Ansprechpartner für Sicherheitsfragen und wie werde ich über 
Vorfälle informiert?
 8 Wie sind meine Daten von den Daten und Anwendungen anderer Kunden isoliert?
 9 Wie erhalte ich ein tägliches Backup meiner Daten, das ich auch andernorts 
einspielen kann?
10 Sind alle Verbindungen verschlüsselt und wie aktiviere ich eine 2-Faktor- 
Authentifizierung?
Halten Sie eine Kopie Ihrer Daten als Backup

Wird die Cloud nur für den Datenaustausch verwendet, dann können Sie im Fehlerfall wieder auf das Original zurückgreifen. Bei allen anderen Anwendungsfällen kann ein Fehler beim Cloud-Service-Anbieter dazu führen, dass Ihr Praxisbetrieb nachhaltig beeinträchtigt wird. Es ist deshalb essentiell wichtig, dass Sie lokal bei sich oder bei einem zweiten Cloud Service eine Kopie Ihrer Daten aufbewahren, auf die Sie nötigenfalls zurückgreifen können.

Aktivieren Sie die starke Authentifizierung beim Zugriff auf Cloud Services

Passwörter bieten keinen ausreichenden Schutz gegen Angriffe aus dem Internet, wenn es um den Zugriff auf Patientendaten geht. Verlangen Sie deshalb von Ihrem Cloud-Service- Anbieter, dass er Ihnen eine sichere und benutzerfreundliche 2-Faktor-Authentisierungslösung zur Verfügung stellt.

Nutzen Sie nur verschlüsselte Kommunikationsverbindungen

Achten Sie darauf, dass alle Kommunikationsverbindungen zwischen Ihren Endgeräten und dem Cloud Service verschlüsselt sind. Dies betrifft auch die Maschine-zu-Maschine-Kommunikation von Laborgeräten und anderen medizinischen Einrichtungen.

Sichern Sie Ihre Arbeitsplätze

Auch die sicherste Cloud-Lösung kann wenig gegen eine auf dem Arbeitsplatz des Benutzers installierte Schadsoftware ausrichten. Es ist und bleibt deshalb wichtig, dass Sie Ihre lokalen Geräte sicher konfigurieren und stets auf dem aktuellen Stand halten.

Thomas Kessler

Thomas Kessler studierte Physik an der ETH Zürich und ist seit mehr als 25 Jahren in der Informationssicherheit tätig. Er ist Geschäftsführer der
TEMET AG in Zürich.

Kopfbild: © FMH

Korrespodenz:
Thomas Kessler
Partner und Geschäftsführer
TEMET AG
Basteiplatz 5
CH-8001 Zürich
Tel: +41 79 508 25 43
thomas.kessler[at]temet.ch