Digital-Health-Podcast: Wie sicher sind Krankenhäuser und Medizinprodukte vor Cyberangriffen?

00:00:01: Willkommen beim Digital Health Podcast von Heise Online.

00:00:05: Hier geht es um die Digitalisierung im Gesundheitswesen, von Apps und Medizintechnik bis hin zur Gesundheitspolitik.

00:00:13: Für alle wissen wollen wie sich das Gesundheitswesend digital verändert.

00:00:20: Hallo und herzlich willkommen!

00:00:23: Ich bin Marie-Claire Koch, Redakteurin bei Heise online Und mein Gast heute ist Martin Tättke.

00:00:29: Er hat Medizintechnik an der TU Berlin studiert, anschließend wissenschaftlich zu Software- und Bildgeburt gearbeitet.

00:00:36: Und hat viele Jahre die Zertifizierstelle und die benannte Stelle der Berlins Herzgebenbihar geleitet.

00:00:41: Dort hat er sich vor allem mit IT-Sicherheit von Medizinprodukten beschäftigt.

00:00:46: Heute arbeitet er beim Bundesinstitut für Risikobewertung im Bereich Netzwerk und Sicherheit.

00:00:52: Ganz herzlichen Dank!

00:00:53: Herzlich willkommen – schön dass Sie da sind?

00:00:55: Was sind aus Ihrer Sicht derzeit die größten Risiken, die Organisationen bei ihrer IT-Sicherheit unterschätzen?

00:01:02: Also zum Beispiel Krankenhäuser.

00:01:03: Ich denke grundsätzlich sollte man da keinen großen Unterschied machen zwischen Krankenhäusern und den anderen Sektoren – ich glaube auch für alle gelten die gleichen Risiken!

00:01:13: Ein großer Punkt ist sicherlich das Thema Zero Day Exploits.

00:01:16: Das heißt durch KI & Co hat die Geschwindigkeit in der gefundene Schwachstände ausgenutzt werden unglaublich zugenommen.

00:01:23: Weiterer Punkt sind sicherlich viele Möglichkeiten, die jetzt Mitarbeitern zur Verfügung stehen.

00:01:28: Sprich KI-Sprachmodelle und

00:01:29: Co.,

00:01:29: die von ungeschulten Mitarbeittern teilweise genutzt werden und wo Ergebnisse verwendet werden, wo unklar ist wie valide diese sind?

00:01:36: Wo wären die Folgen eines Cyberangriffs aus ihrer Sicht besonders schwerwiegend also etwa im Gesundheitswesen bei der Energie oder Wasserversorgung oder in der Verwaltung?

00:01:47: Ich glaube, das kann man vorher gar nicht so klar machen.

00:01:49: Ein Angriff auf die Wasserversorgung wäre natürlich kritisch auf die Energienunternehmen, wer kritisch im Krankenhäusern kann ist wie wir wissen auch dadurch zu Todesfällen kommen.

00:01:58: Das heißt ich denke alle Gebiete haben ihr eigenes Risiko.

00:02:02: was betrachtet werden muss und was aus meiner Sicht auch eine der Hauptaufgaben der jeweiligen Organisationen ist dass ihnen halt klar ist was eigentlich passieren würde wenn ein Zeibeangriff auf diese Organisation stattfindet und wie dieser verteidigt werden kann oder was gegebenenfalls Notfallmaßnahmen sind.

00:02:17: Worauf muss ich eine Einrichtung vorbereiten, damit die wichtigsten Abläufe weiterlaufen und welche Rolle spielen da eigentlich die Dienstleister?

00:02:26: Der

00:02:26: wesentliche Punkt ist aus meiner Sicht dass sich die Organisationen unterschiedlich nicht zwischen Krankenhäusern oder anderen kritischen Organisationen das sie sich bewusst sind was bei einem Andriff auf welches System passiert.

00:02:39: Das heißt was haben wir an Systemen, auf welche Prozesse wirken diese Systeme und was würde ein Ausfall denn tatsächlich bewirken?

00:02:46: Das kann was komplett unkritisches sein, wo man sagt okay dann leben wir halt eine Woche ohne unser E-Mail-System oder was so immer ist.

00:02:52: Aber es kann eben auch sowas kritisch sein wie die vernetzte Herzlungenmaschine, die wenn sie ausfällt, dann doch eher einen größeren Impact hat.

00:02:59: Oder wenn man an Strom und Wasser versucht denkt eben tatsächlich genau das gleiche.

00:03:03: Das heißt dieses Beschäftigen damit... Was passiert denn eigentlich durch den Ausfall?

00:03:09: Oder was kann passieren?

00:03:10: Ist ganz wesentlich.

00:03:12: Und Sie haben noch einen ganz wesentlichen Punkt angesprochen, das Thema Supply Chains.

00:03:15: Das heißt dass den Betreibern klar wird wen haben sie eigentlich als Dienstlester drin?

00:03:21: Was bedeuten diese und wie kann ich die gegebenenfalls überwachen?

00:03:24: oder Wie kann ich beurteilen wie die mit dem Thema Cyber Security umgehen?

00:03:28: Das unter Kontrolle zu haben ist glaube ich ein ganz ganz wesentlicher Punkt.

00:03:32: Das heisst zu überlegen.

00:03:33: Ich habe jetzt Software drinnen von siebenundzwanzig Anbietern.

00:03:35: Wie kann nicht denn überprüfen welcher der anbieter tatsächlich mich auch vernünftig informiert wenn dort etwas ist also zum Beispiel über entsprechende S-Bomblisten, dass ich selber auch nochmal überprüfen kann ob da was ist.

00:03:47: Ich glaube in die Richtung muss es tatsächlich gehen das Hersteller von Produkten offener werden, was von ihnen verwendete Komponenten angeht und die kritischen Infrastrukturen besser überprüchen müssen, ob diese denn tatsächlich sicher sind?

00:03:59: Das ist sicherlich ein Punkt den man noch relativ leicht angehen kann.

00:04:03: Und in welcher Verantwortung sehen Sie da die Herstelle?

00:04:07: weil mir immer wieder ähnliche Dinge wo was nicht abgesichert war Und wo auch... also jetzt nur als Beispiel, ich war gestern in einem Krankenhaus und wir hatten einen Hinweis bekommen.

00:04:19: Da war es möglich über ein ungesichertes WLAN ins Netzwerk zu gelangen und dann die Türen von der Notaufnahme und dem OP

00:04:26: usw.,

00:04:27: also waren mehrere Tünen, die man hätte öffnen können.

00:04:33: Der Hinweisgeber hatte schon im Krankenhaus Bescheid gesagt aber die haben seine Hinweise eben ignoriert.

00:04:41: Genau, die werden wir jetzt auch noch damit konfrontieren.

00:04:44: Aber ich frage mich da wessen wer welche Anteile trägt weil zum Beispiel die Standardkonfiguration also admin-admin als Passwort und so der Klassiker halt das man öfter mal sieht vor eingestellt war?

00:05:02: Und deswegen... Da frage ich mich darf ein Anbieter das überhaupt so überlassen?

00:05:09: oder?

00:05:11: viele Häuser sind ja einfach überfordert und beauftragen auch aus den Gründen IT-Dienstleisten.

00:05:17: Ja, ich glaube das Beispiel was Sie da nennen ist ja gleich an mehreren Stellen zu einiges schiefgegangen, wenn nicht an allen.

00:05:22: Wir haben den Anbieter der das installiert, der aus meiner Sicht niemals einen System übergeben durfte mit Standard Credentials.

00:05:30: die müssen immer angepasst sein.

00:05:33: Dann natürlich die Organisation die überhaupt zulässt dass so etwas in einem Netz statt oder Gäste-Wählern verbunden ist mit dem Klinikwählernen.

00:05:41: Das ist eindeutig aus meiner Sicht auch ein Organis... Ja,

00:05:44: die Zugangsdaten stehen tatsächlich sogar in der Anleitung?

00:05:47: Ja!

00:05:48: Das ist aus meiner ich ganz kleinen Organisationsversagen also so was darf einfach nicht passieren.

00:05:52: Netze müssen da sauber getrennt, müssen segmentiert sein.

00:05:54: es ist ein absolutes Unding und natürlich auch dass die Organisation etwas entgegen nimmt eine Abnahme macht von einem Produkt das jemand liefert ohne darauf zu achten sind da bestimmte Dinge erfüllt.

00:06:08: Da müsste es eine Checkliste geben, eben zum Beispiel sowas das Standard-Criticals ihnen nie verwendet werden dürften.

00:06:12: Ich würde immer wenn ich so ein Produkt abnehme erwarten dass sich auch die neuen Zugangsdaten mitgeteilt bekommen und wenn nicht der Atmen atmen sie wäre der Dienstleister wahrscheinlich gleich ganz rausgeflogen.

00:06:23: also das ist natürlich von vorne bis hinten eine absolute Katastrophe.

00:06:26: sowas darf nicht passieren.

00:06:27: Es ist halt oft dann auch nicht des Versagen eines Einzelnen sondern die ganze Kette.

00:06:32: Wir haben ja auch die Produkthaftungsrichtlinie, ihr relativ neues im Letzte oder vorletztes Jahr glaube ich ist hier herausgekommen.

00:06:39: Wo ja zumindest in Bezug auf Software-Updates auch ganz klar gesagt wird ein Hersteller von einem digitalen Produkt kommt nicht aus der Haftung, indem er keine Updates mehr einspielt und Ich weiß jetzt nicht ob da etwas zu Standegewinnenschutz steht.

00:06:52: aber Stand der Technik ist natürlich dass sowas überhaupt nicht übergeben werden darf.

00:06:57: WLAN Verwaltungs IT Medizintechnik und Zutritts Steuerung, das müsste eigentlich alles voneinander getrennt sein.

00:07:03: Aus

00:07:03: meiner Sicht absolut!

00:07:04: Es ist einfach Stand der Technik dass man eine IT haben muss die sich mit Angriffen beschäftigt Und die zumindest ich sage mal da sind ja der vielen ja die kompletten Basics.

00:07:12: Ich kann ja nicht in Wlan so aufbauen für Gäste Dass ich in meinen verwaltungs Wlan oder meine verwaltungen jetzt reinkomme übergehen Kann.

00:07:20: Das heißt Da ist eindeutig an der falschen Stelle wahrscheinlich gespart worden, da haben die Mitarbeiter nicht die entsprechenden Mitarbeiter.

00:07:26: Die Mitarbeiter haben nicht die Ressourcen, die müssen wir wahrscheinlich nur feuerlöschen.

00:07:29: Da sehe ich die Klinikleitung tatsächlich auch wirklich in der Haftung ja.

00:07:34: Ja das war tatsächlich kein Gästewähler und es war einfach ein ungesichertes.

00:07:38: Ist ja fast noch schlimmer.

00:07:40: Wobei man natürlich sagen muss, es gibt leider eine Menge Schattenarty wo eben... Das kann natürlich auch sowas sein, wo Leute Sagt mal aus Laboren, aus was auch immer.

00:07:51: Weil vielleicht die Standard-IT nicht hinterher kamen sich selbst Lösungen gebastelt haben und Auch das kann natürlich zu massiv Problem führen.

00:07:57: man stelle sich vor es gibt ein internes Netz Und da das WLAN funktioniert aber für die Mitarbeiter nicht also stecken sich dann eigenen Access point ran.

00:08:05: auch sowas Kann Natürlich theoretisch passieren darf natürlich Nicht Passieren.

00:08:09: eine vernünftige IT würde sowas auch sofort merken dass Da ein neues Gerät ist dass der neue SSD auftaucht was auch Immer Das Neue Mac Adresse im letztes.

00:08:17: Aber so was kann natürlich passieren und sowas muss natürlich auch überwacht werden.

00:08:20: Wie sollte eine Einrichtung bei der Netzwerksekventierung vorgehen?

00:08:24: Wie wird da erfasst, welche Systeme miteinander kommunizieren müssen?

00:08:29: Wie geht man davor damit einem dann nichts durchrutscht?

00:08:33: Ich glaube nicht durchretschen ist ein hieres Ziel.

00:08:35: Man kann nur versuchen es so sicher wie möglich zu machen.

00:08:37: tatsächlich im Bereich Medizinprodukte waren wir als benannte Stelle eher Produkt bezogen, das heißt wir haben geschaut sind die Produkte die als Medizinprodukte entwickelt werden.

00:08:46: Sind sie sicher entsprechend im Stand der Technik?

00:08:49: Sowohl in Bezug auf Klinischleistung also auch in Bezugs auf Cyber Security.

00:08:53: Das Thema Netze Betriebsumgebung Infrastruktur war eher am Rande.

00:08:57: Das heißt da schaut man dann im Rahmen von Audits mal drauf.

00:09:00: Das ist aber nicht der primäre Fokus des Audits.

00:09:02: Das is was wo man mit drauf gucken muss weil sowohl die QM-Norm für Medizinprodukte, also die drei sind vier acht fünf.

00:09:08: Als auch die entsprechenden Normen für die Produktentwicklung spielen auf sichere IT-Infrastruktur und Wirkungsumgebung ab.

00:09:15: Aber das ist nie der Fokus,

00:09:16: d.h.,

00:09:17: da schaut man nur haben die Grundsätzlich was, was im Groben und Ganzen korrekt ist.

00:09:21: Meine Rolle jetzt ist halt... Da schaue ich genau von der anderen Seite drauf.

00:09:23: Da schau' ich eben tatsächlich von der Netzseite drauf, von der Infrastruktureseite, von den Diensteseiten.

00:09:30: Insofern, dass es ein wesentlicher Unterschied.

00:09:33: Man muss sich Gedanken machen, na klar.

00:09:35: Man muss bei jedem System was man integriert und das spielt... Das schließt an des vorigen Beispiels an.

00:09:40: Muss man sich überlegen wie kann ich dieses System so integrieren dass meine Netzintegrität erhalten bleibt?

00:09:46: D.h.,

00:09:46: dass ich vernünftig getrennte Netze habe nach Aufgaben, Nach Berechtigungen, nach Zugriffstufen, Dass ich einen Leastpivillage-Prinzip hab' ,dass die Leute wirklich nur auf das zugreifen können, auf das sie sollen.

00:09:57: Aber dazu muss ich halt die Zeit haben, muss halt auch das Team haben Was das kann was entsprechend plant.

00:10:04: und ich sage mal, ich kenne es auch aus Kliniken.

00:10:06: Da kommt jetzt ein neues Gerät.

00:10:08: da muss schnell gehandelt werden.

00:10:09: das gerät hat so und so für millionen gekostet.

00:10:11: die it wusste vorher nicht bescheid.

00:10:13: dann sagt der chef war zu wird jetzt sofort angeschlossen in diesem Sinne Und da können natürlich immer Fehler passieren.

00:10:18: also ohne Planung ist immer schlecht.

00:10:20: Die zeit für die planung muss da sein und die IT sollte immer frühestmöglichst integriert werden.

00:10:25: um eben tatsächlich sich überhaupt überlegen zu können wie kann denn dieses gerät sicher angegangen werden?

00:10:30: brauche ich vielleicht bei Monitoren, die Patienten überwachen eigenes Netz.

00:10:34: Was eben sicher von allem anderen getrennt ist, dass ich immer ein sauberes Monitoring habe... Aber das kann nicht nur wenn ich die entsprechende Zeit hab und wenn die IT frühestmöglich eingebunden wird.

00:10:44: Und haben Sie irgendwelche Veränderungen bemerkt?

00:10:47: Über den Zeitraum wo sie angefangen haben sich mit dem Themen zu befassen bis heute

00:10:52: Im Bereich Medizinprodukte ja auf jeden Fall was die Bedrohungslage angeht.

00:10:56: Die bedrohungslage die ändert sich schon massiv.

00:10:59: also wir haben früher Wenn es CVE gab, hatte man quasi genug Zeit den zu patchen.

00:11:05: Heute ist es eher so dass in dem Moment wo der veröffentlicht wird Man sich die Frage stellen muss wohl ich nicht schön getriffen das heißt von den zero day exploits die bekannt werden?

00:11:14: wir hatten ja gerade Vor ein paar Wochen das Thema mit GitHub Wo eben tatsächlich cvoes zugruf auf System Dateien erlaubt haben.

00:11:23: Wie viel wie viele hersteller setzen das ein?

00:11:25: bei wie vielen ist das im Netz zugänglich?

00:11:27: da muss man sich schon Die frage stellen was ist an Daten abhand gekommen?

00:11:32: zwei, drei Tage später?

00:11:33: patchen war wahrscheinlich in dem Zeitpunkt dann schon viel zu spät.

00:11:36: Also das heißt man muss schon ein Team haben was sich da intensiv mit beschäftigt und was auch wenn sowas groß ist wie dass eben tatsächlich bekannt wird sich die Frage stellt gab es früher schon Zugrefforge und auch im Stande ist Logs auszulesen, Logs zu analysieren um einfach sagen zu können wir waren bis zum jetzigen Zeitpunkt noch safe.

00:11:52: Notfalls musst unser System halt einfach mal schnell vom Netz genommen werden wenn so etwas bekannt wird.

00:11:56: Und welche Erfahrungen nehmen Sie aus Ihrer vorherigen Stelle mit?

00:12:01: Weil ich kann mir noch nicht so ganz vorstellen, was jetzt genau beim BFR macht.

00:12:06: Also

00:12:07: eigentlich sind die Unterschiede gar nicht so groß, ob wir jetzt ein Medizinprodukt haben, das sicher in einem Netz integriert werden soll?

00:12:14: Ich war auch bei meiner vorigen Stelle primär für Software als Medizin-Produkten vernetzte Medizin Produkte zuständig.

00:12:20: Ob ich das Produkt einbinde im Netz oder ob ich das Netz betrachte ist halt letztendlich die gleiche Thematik nur von anderen... von der anderen Seite betrachtet.

00:12:29: Das heißt alles was wir an Regeln aufgesteuert haben um Produkte sicher zu kriegen, um Netze sicherzukriegen gilt genauso wenn ich von einer anderen Seite schaue.

00:12:37: das heißt dass ist schon sehr nah beisammen auch wenn mir so ein bisschen hier im Moment der Entwicklungsbereich noch.

00:12:44: also wie wird eine Software entwickelt?

00:12:46: den habe ich nicht sondern eben tatsächlich eher drauf.

00:12:49: Was liefert der Herrsteller mit?

00:12:51: um feststellen zu können, ist das Ding halbwegs sicher oder nicht.

00:12:54: Sie halten trotz ihres Arbeitgeberwechsels auch auf der Sci-Sec-Maid einen Vortrag also einer der beiden Medizintechnikkonferenzen die wir übernommen haben?

00:13:02: Ist es für sie so eine Art Brücke zwischen ihrer früheren und ihre heutigen Arbeit?

00:13:07: Genau!

00:13:07: Also tatsächlich ist das quasi der Übergang von meinem Leben im Bereich Medizinprodukte zu meinem Leben in dem Bereich IT Infrastruktur, IT Sicherheit wie gesagt betrifft beides.

00:13:20: Es ist auch, wenn man sich anschaut was kann denn passieren gar nicht groß anders.

00:13:24: Also wie werden Krankenhäuser angegriffen?

00:13:25: Sie werden genauso angegriffene wie ein Land Berlin wo wir es ja gerade gesehen haben.

00:13:31: Insofern die Erfahrungen ergänzen sich sehr gut und insofern gilt das gleiche Was ich hier sehe auch für Krankenhäuser, für Hersteller von Medizinprodukten im System, da gibt grade erwähnt Das ist etwas was tatsächlich wie ich sehe oft einfach auch im Bereich Medizin Produkte noch nicht in der notwendigen Ernsthaftigkeit gesehen wird.

00:13:50: Aber das betrifft eben nicht nur die Medizinprodukte, sondern viele Bereiche.

00:13:54: Viele haben einfach noch nicht verstanden, dass die Uhr heute deutlich schneller tickt und man einen Team braucht oder entsprechend geschulte Leute, die im Notfall schnell reagieren können.

00:14:08: Wo sollen sie herkommen?

00:14:10: Ich glaube es gibt viel zu wenig Personal an allen Ecken und Enden und das finanzielle ist ja sowieso nochmal ein anderes Thema... Das

00:14:16: ist sicherlich wahr!

00:14:17: Aber ich muss mir die Frage stellen, wenn nicht ein Produkt sicher haben will.

00:14:22: Dann brauche ich auch die Leute, die das können.

00:14:25: Ich sehe tatsächlich aus meinem Purigenberuf weniger des Problems bei kleinen Start-ups.

00:14:30: Die sind oft sehr... denen ist oft sehr klar was sie da eigentlich machen und was Risiken sind, die durch Dienste, die im Internet erreichbar sind entstehen.

00:14:41: Was über nicht genügend gesicherte Netze oder Entwicklungsumgebungen passieren kann.

00:14:47: ein größeres Problem bei Herstellern und das betrifft letztendlich genauso Betreiber, die schon lange, lange aktiv sind.

00:14:55: Die sagen es hat ja immer so funktioniert.

00:14:57: Warum soll ich denn jemanden einstellen?

00:14:59: Es hat bisher nicht Sicherheitsverkommnisse gegeben Und ich glaube dass ist tatsächlich ein riesengroßer Fehler weil über das Thema KI sehr schnell eben tatsächlich reagiert wird und die Angriffe sich doch wahnsinnig häufen.

00:15:14: Ich glaube, dass diese Hersteller eben tatsächlich sich sehr warm anziehen müssen und schnell überlegen wo kriegen sie entsprechende Leute her.

00:15:21: Ich glaube schon das die Leute gibt.

00:15:23: ich glaube nur dass viele nicht bereit sind oder nicht verstehen dass diese Leute eben auch ein gewisses Geld haben wollen.

00:15:30: So LLMs in Tropik und so weiter von in Tropic und also es ist ja gerade total das Ding sag' ich jetzt mal für Sicherheitsexperten damit Schwachstellen zu finden.

00:15:43: Also man kann es ja teilweise gar nicht mehr überblicken, was die alles finden.

00:15:47: Und wenn dir jetzt irgendwie in irgendeinem Netzwerk eine Backdoor installieren, was vielleicht so ein bisschen verweist ist, sag ich jetzt mal.

00:15:54: Kannst du mir das so sagen kann?

00:15:56: Sieht das eigentlich ziemlich düster aus, die Zukunft, wenn wir das alles gar nicht so überblücken, wenn's schon an grundlegenden Dingen scheitert?

00:16:04: Grundsätzlich

00:16:05: könnte man da zustimmen... Du seh' ich nicht sehr gerne düster!

00:16:10: Sie haben vollkommen recht.

00:16:11: Die Modelle werden sicherlich auch mehr und mehr eingesetzt von Leuten, die damit kriminelles Formen in Netze eindringen wollen.

00:16:19: Andererseits kann man natürlich überlegen ob man sie selber einsetzt um dass man sich vor Ort in den jeweiligen Organisation entsprechend Personal heranzieht was selber solche KX ein setzt um die eigenen Netze zu überprüfen.

00:16:34: Man muss halt versuchen schneller zu sein als die Angreifer sicherer zu sein und zu sagen Ich guck da weg, funktioniert sicherlich nicht mehr.

00:16:43: Da stimm ich vollkommen

00:16:43: zu.".

00:16:46: Und man hört ja immer diese Nachrichten sind ins Netzwerk eingedrohen.

00:16:49: ist es dann schon zu spät?

00:16:51: oder kann man sich das wie so ein Feuer vorstellen was ausbricht wo man aber noch an irgendeiner Stelle löschen und die Wege abschneiden kann?

00:17:00: Da kommt halt wieder drauf an wie gut ist das Netz segmentiert?

00:17:03: wenn sie einen Netz haben was sehr gut segmentiertes wo nicht irgendwelche Übergänge vielleicht aus der Historie noch da sind, die kommen noch einer kennen, die die dann ausnutzen können.

00:17:13: Dann kann man das vielleicht wenn man es gut gemacht hat auf ein gewisses Netzsignal beschränken.

00:17:17: aber man muss natürlich erst mal davon ausgehen dass viel kontaminiert ist, dass viel abgeschaltet, dass viele neu gemacht werden muss.

00:17:24: Sauberer Aufbau hilft einem da aber natürlich total, das ist gar keine Frage.

00:17:29: Auch deine Einrichtung für Netzwerksicherheit eine eigene Fachkraft oder ... Zum Beispiel ein geschulter Security Experte übernehmen.

00:17:37: Es

00:17:37: kommt wahrscheinlich auf den Security-Experten an, wer sich mit Netzsegmentierung beschäftigt und wer wirklich in der Security lebt, der sollte das schon können.

00:17:45: Wenn er sauberes Netzwerkdiagramm aufbohrt und sich wirklich mal überlegt was brauchen wir denn?

00:17:50: Was muss man mit jedem sprechen?

00:17:51: Und wenn ich eine Netzaufbau habe zum Beispiel auch sicherzustellen dass die die IMZ eben nicht nach Innen kommunizieren kann, Kommunikation immer nur in eine Richtung stattfindet dann kann da es schon jemanden der entsprechend geschult ist.

00:18:02: Ich glaube nicht, dass man da jetzt je nach Größe der Organisation siebenundzwanzig neue Leute einstehen muss.

00:18:07: Sicherlich muss man sich überlegen, reichen die Kapazitäten der Leute, die ich habe?

00:18:11: sind die fit genug?

00:18:12: Sind die geschult genug?

00:18:14: Darum also darum herumkommen, da entsprechend für Personal zu sorgen?

00:18:18: das tut man auf keinen Fall.

00:18:20: Müssten gerade Krankenhäuser das Thema jetzt nicht ein bisschen ernsthafter angehen?

00:18:24: Gerade

00:18:24: in so Organisationen wie Krankenhäusern sehe ich es absolut ja.

00:18:29: Wenn man hört schon, dass es da ein offenes WLAN gibt und weiß man schon das ist definitiv organisatorisch so einiges schiefgegangen.

00:18:35: Vielleicht ist es dann so, dass die sich einfach mal überleben müssen, wen sie sich daran ziehen, wen Sie kaufen können?

00:18:42: Und letztendlich jeder Sicherheitsvorfall kostet einen Vielfaches von einem, zwei, drei neuen Mitarbeitern.

00:18:48: Das muss man sich auch bewusst machen!

00:18:49: Wenn im Krankenhaus die Radiologie für eine Woche ausfällt was ich selber erlebt habe in dem Krankenhaus Dann sind das Kosten, die sind natürlich immens.

00:18:57: Ein Mitarbeiter, der das verhindern kann ist dann sein Geld definitiv wert.

00:19:01: Das Problem ist halt wie eine IT.

00:19:02: so oft, dass solange alles funktioniert fragt man sich wozu brauche ich denn die IT?

00:19:07: und sobald irgendwas nicht funktioniert kriecht die IT den ganzen Ärger ab.

00:19:12: Sicherheitsmitarbeiter, der gut arbeitet, denen wird man im besten Fall gar nicht bemerken sondern wird einfach nur feststellen, dass die Angriffe an einem vorbeiziehen.

00:19:20: Das habe auch auf den Krankenhaus-IT-Leitertagen gehört.

00:19:24: Keiner bemerkt die IT wenn alles läuft.

00:19:26: Das ist so ein grundsätzliches IT-Problem, glaube ich tatsächlich.

00:19:30: So im Sinne von Warum brauche ich denn eine Putzfreude des Hauses doch immer sauber?

00:19:33: Warum bezahle ich die denn?

00:19:34: Ja wenn alles läuft sieht man auch gar nicht wie viel Arbeit dahinter steckt.

00:19:39: Vielen Dank fürs Gespräch.

00:19:40: Wir sind uns dann in München.

00:19:42: Darauf freue ich mich sehr.

00:19:43: Mich hat es auch gefreut und vielen dank für ihre Zeit.

00:19:47: Ganz herzlichen Dank für die Möglichkeit des Interviews.

00:19:49: Ich bin mich sehr gefreud

00:19:50: Und an alle anderen vielen Dank fürs Zuhören und bis zum nächsten Mal.