Bedrohungsanalyse als Mittel zur IT-Sicherheit im Gesundheitswesen

Connext Communication unterstützt Einrichtungen und Träger der Sozial- und Gesundheitswirtschaft mit innovativen IT-Lösungen. Die hauseigene Softwarefamilie Vivendi stellt dabei Werkzeuge für das Management von ambulanten, stationären und teilstationären Pflege- und Betreuungseinrichtungen bereit. Diese werden ständig weiterentwickelt, um neuen Anforderungen der Kunden und des Markts gerecht zu werden.

Mit »Vivendi Mobil« bietet Connext dem Pflegepersonal eine umfassende Dokumentationslösung an, die mit verschiedenen Diensten des Smartphones den Pflegealltag erleichtert. Besonders der mobile Einsatz der Android-basierten App und der Zugriff auf sensible Daten wie Medikationspläne oder Patientenbilder stellen hohe Anforderungen an die Sicherheit der Software. Erschwerend kommt hinzu, dass das Pflegepersonal eine Vielzahl von Endgeräten und Android-Versionen nutzt. Um diesen Herausforderungen zu begegnen, wollte Connext innovative Ansätze zur Bedrohungsanalyse kennenlernen, um ggf. bisher unentdeckte Schwachstellen aufzudecken und geeignete Schutzmaßnahmen zu ergreifen.

Dafür wurde für die Vivendi Mobil App zunächst eine systematische Analyse und Bewertung der IT-Sicherheitsbedrohungen durchgeführt. In moderierten Workshops stellten die App-Entwickler gemeinsam mit den Experten des Fraunhofer IEM ein umfassendes Bedrohungsmodell auf. Dieses berücksichtigte u.a. Softwareschnittstellen, Schutzziele und schützenswerte Assets. Im Fokus standen Fragen wie: Welche Daten werden wie zum Smartphone übertragen und gespeichert? Welche Informationen sind besonders sensibel und wie müssen sie abgesichert werden? Basierend auf diesen Informationen wurden nach der STRIDE-Methode mögliche Sicherheitslücken identifiziert und wirksame Schutzmaßnahmen, wie z.B. zeitbeschränkt gültige Passwörter, erarbeitet. Anschließend wurde das Risiko jeder Bedrohung bewertet, um die nächsten Schritte zur weiteren Absicherung der App zu priorisieren.

Durch die Zusammenarbeit mit dem Fraunhofer IEM erlernten die Entwickler ein neues Vorgehen zur systematischen, tool-unterstützten Bedrohungsanalyse und Risikobewertung. Die gewonnenen Erkenntnisse haben das Sicherheitsbewusstsein der Entwickler geschärft und das Sicherheitsniveau der Software weiter erhöht. In einem Folgeprojekt will Connext das Prinzip Security by Design im eigenen Hause verankern und maßgeschneiderte Sicherheitsmaßnahmen im gesamten Entwicklungsprozess integrieren.