„Kondom“ für den PC soll durch „Physik und nicht durch Software“ schützen

Cyberangriffe auf Krankenhäuser gehören inzwischen zu den größten Risiken im Gesundheitswesen. Verschlüsselte Systeme, gestohlene Patientendaten und tagelange Ausfälle sind längst Realität geworden. Gleichzeitig wächst die Bedrohung durch KI-gestützte Angriffswerkzeuge rasant. Ein deutsches Start-up, die VISS GmbH, will mit einer speziell angefertigten Hardware helfen, die externe Inhalte physisch vom eigentlichen Kliniksystem trennt, die das Unternehmen selbst als „Kondom für den PC“ bezeichnet.

Vorgestellt wurde die sogenannte VISS-Box von Geschäftsführer Maximilian von Lonski auf der Herbsttagung der Krankenhaus-IT-Leiterinnen und -Leiter gemeinsam mit Alexandra Heimel, IT-Leiterin des Klinikums Mittelbaden, das die Technologie derzeit im Pilotbetrieb testet. Im Klinikalltag entstehen Heimel zufolge ständig Situationen, für die es bislang keine wirklich zufriedenstellende Sicherheitslösung gibt. „Irgendein Patient kommt mit einem nervigen USB-Stick, mittlerweile auch noch aus anderen Ländern, in irgendwelchen kyrillischen Sprachen, und dann geht die Suche los“, schilderte sie die Realität vieler Radiologien. Der bisherige Ablauf sei kompliziert und ineffizient: „USB-Stick einstecken, Rechner vom Netzwerk trennen, verschiedene Scanner drüber laufen lassen und dann trotzdem noch mit so einem mulmigen Gefühl zurück zur Radiologie: ‚Ich denke, er ist sauber.‘“

Das eigentliche Problem sei dabei weniger die Theorie als vielmehr die Praxis. Denn Krankenhäuser arbeiten unter enormem Zeitdruck. Untersuchungen laufen im Dauerbetrieb, Patienten warten auf Diagnosen und die IT-Abteilungen können nicht permanent jede einzelne Datei manuell analysieren. Heimel verdeutlichte, welche Folgen das haben kann: „Die Systeme sind belegt. Was für den Patienten auch zusätzliche Belastung heißt. Weil ich muss vielleicht ein MRT, was ich schon gemacht habe [...] nochmal machen, weil das Ding abgelehnt wurde.“ Gleichzeitig seien genau diese Prozesse ein enormes Sicherheitsrisiko. „Wir wissen, dass wir da einen Gap haben“, sagte Heimel offen. „Teilweise haben wir auch offene USB-Ports, weil einfach zum Beispiel auch externe Referenten irgendwelche Daten mitbringen.“ Häufig würden Risiken im Alltag schlicht akzeptiert oder Sicherheitsvorgaben umgangen. „Da wird schon nichts passieren. Ich stecke den einfach mal ein“, beschrieb sie die Mentalität, die man in vielen Einrichtungen beobachten könne.

Genau an dieser Stelle setzt die VISS-Box an. Statt Malware immer besser erkennen zu wollen, versucht das System, gefährliche Inhalte grundsätzlich vom eigentlichen Zielsystem fernzuhalten. Die Idee dahinter sei entstanden, weil softwarebasierte Schutzmechanismen zunehmend an ihre Grenzen stießen. „Softwarebasierte Systeme sind nicht mehr Herr der Lage. Gerade im Zeitalter von KI und täglichen Zero Days wird es immer schwieriger, bestehenden softwarebasierten Systemen vollumfänglich zu vertrauen“, erklärte von Lonski.

Die VISS-Box verfolgt deshalb einen radikal anderen Ansatz. Externe Dateien werden niemals direkt auf dem eigentlichen Kliniksystem geöffnet. Stattdessen landen sie in einer isolierten Umgebung, die intern sogar ausdrücklich als kompromittierbar betrachtet wird. Dort dürfen Dateien ausgeführt, Webseiten geöffnet oder Inhalte verarbeitet werden. Anschließend wird lediglich die visuelle Darstellung der Inhalte an das eigentliche Zielsystem übertragen. „Nur betrachten, keine Ausführung. Kein Rückkanal, der eure Systeme verschlüsseln könnte“, sagte von Lonski.

Ergänzend zur Sicherheitsarchitektur

Die Lösung basiert dabei auf mehreren getrennten Modulen. Ein sogenanntes Opfermodul verarbeitet die externen Inhalte, während ein weiteres Modul die Informationen visuell überträgt. Schadcode soll dadurch niemals direkten Zugriff auf das eigentliche Netzwerk bekommen. Die Entwickler sprechen deshalb bewusst von physikalischer Isolation statt klassischer Software-Sicherheit. Ein zentrales Element der VISS-Box ist nämlich die sogenannte physikalische Trennung der Datenströme über eine „Lichtschranke“. Die Inhalte werden in der isolierten Umgebung verarbeitet und anschließend nicht direkt digital an das eigentliche Kliniksystem übertragen, sondern optisch erfasst.

Von Lonski beschrieb das Prinzip so, dass die Inhalte „abgefilmt“ werden. Konkret werden die einzelnen Bildinformationen des isolierten Systems visuell aufgenommen und anschließend auf der sicheren Seite wieder dargestellt. Dadurch entsteht kein direkter Datenkanal zwischen der potenziell kompromittierten Umgebung und dem eigentlichen Kliniknetz. Zusätzlich würden die Pixel laut den Entwicklern sogar gegen mögliche steganografische Angriffe behandelt – also gegen den Versuch, Schadcode oder versteckte Informationen in Bilddaten einzubetten. Ziel sei es, jeglichen Rückkanal zu verhindern, über den Schadsoftware doch noch in das geschützte System gelangen könnte.

Gleichzeitig betonen sie ausdrücklich, dass die VISS-Box keine vollständige Sicherheitsarchitektur ersetzt. „VISS ist wirklich eine Ergänzung und kein Ersatz von bestehenden IT-Sicherheitsprinzipien und Software“, erklärte von Lonski. Auch menschliche Fehler könnten weiterhin nicht ausgeschlossen werden. „Wenn ich zum Beispiel über die VISS-Box eine E-Mail öffne, eine Phishing-Attacke und ich gebe mein Passwort ein, dann geht das natürlich genauso auch an den Deal auf der anderen Seite. Das ist dann halt menschliches Versagen, vor dem wir nicht schützen können.“

Das Klinikum Mittelbaden testet die Technologie derzeit vor allem in der Radiologie. Dort entstehen besonders häufig Situationen, in denen externe Bilddaten schnell verarbeitet werden müssen. „Das war tatsächlich nicht so einmal in der Woche, sondern das kommt relativ häufig vor“, erklärte Heimel. Das Produkt werde kontinuierlich weiterentwickelt. „Die Box wird auch immer kleiner“, sagte sie. Schnell würden neue Anforderungen aus dem Klinikalltag aufgenommen. So hätten Radiologien weiterhin regelmäßig mit CDs und DVDs zu tun. „Es kam die Anfrage CD, DVD, auch abzulesen, weil das ein gängiges Format ist. Wir dachten: ‚Okay, Steinzeit.‘ Aber nein“, sagte von Lonski.

Grünes Licht für geschützte Umgebung

Die Bedienung selbst soll dabei möglichst unkompliziert bleiben. „Man muss keine Atomphysik studieren, um das Ding anzuschließen“, sagte Heimel. Der Ablauf sei bewusst einfach gehalten: „Hier oben ist verbunden mit dem Rechner, hier kommt der Stick rein. Fertig.“ Ein Lichtsystem signalisiert zusätzlich, ob sich der Nutzer gerade in der geschützten Umgebung befindet. Von Lonski bezeichnete diesen Bereich als „USB Safe Zone“, in der man „in der isolierten Zone Dateien öffnen“ könne.

Gleichzeitig denken die Beteiligten bereits über weitere Einsatzmöglichkeiten nach. Besonders relevant seien künftig auch Upload-Szenarien, etwa in der Tele-Radiologie oder bei Patientenportalen. „In dem Moment, wo der Patient wirklich die Möglichkeit hat, Daten hochzuladen, wird das Problem umso größer“, warnte Heimel. Langfristig sieht sie zahlreiche weitere Einsatzfelder – von der Kardiologie bis hin zu kritischen medizinischen Systemen. „Kardiologie wäre ein Thema“, sagte sie. Geplant sei perspektivisch sogar, sämtliche Radiologie-Arbeitsplätze entsprechend auszustatten: „Dass tatsächlich in allen Radiologie-Rechnern das entsprechend eingesetzt wird.“

Noch befindet sich die Technologie allerdings in einer frühen Phase. „Das ist noch keine Massenfertigung“, betonte von Lonski. Die Systeme würden derzeit gemeinsam mit Pilotpartnern entwickelt und seien „aktuell nicht zu verkaufen“. Dennoch gibt es bereits konkrete Planungen. „Wir haben tatsächlich 30 bis 50 Boxen besprochen, die wir in den nächsten drei bis vier Jahren ausrollen wollen würden“, erklärte Heimel. Besonders kritische Bereiche sollen zuerst ausgestattet werden. „Die Stroke Unit wäre eine der ersten Einheiten, die ich ausstatten würde.“

Unterstützt wird das Unternehmen unter anderem von Forschungseinrichtungen und NATO-nahen Innovationsprogrammen. „Wir sind von der NATO unterstützt über das Diana-Programm“, erklärte von Lonski. Gleichzeitig betonte er die Bedeutung europäischer Technologien im Sicherheitsbereich: „Das ist sehr wichtig, dass wir so eine Lösung nicht abhängig von den USA oder von Israel, die ja die großen Cyber-Security-Anbieter normalerweise sind, machen.“ Kurz nach der Patenterteilung sei ein Ministerium auf von Lonski zugekommen und habe ihn gebeten, daraus ein reales Produkt zu entwickeln.

BMG verspricht Milliarden für Cybersicherheit

Politisch bekommt das Thema IT-Sicherheit zunehmend Rückenwind. Von Lonski verwies auf neue regulatorische Vorgaben wie das KRITIS-Dachgesetz und steigende Fördermittel. „Die Bundesregierung hat gerade eine 94-fache Steigerung gegenüber dem letzten Bundeshaushalt beschlossen für Förderung von IT-Sicherheitstechnologien.“ Ab dem kommenden Jahr sollen laut seinen Angaben insgesamt rund eine Milliarde Euro über drei Jahre in entsprechende Maßnahmen fließen.

Die VISS-Box zeigt damit einen Ansatz, der sich deutlich von klassischen Security-Produkten unterscheidet. Während viele Lösungen versuchen, Schadsoftware immer präziser zu erkennen, setzt die Hardware aus Baden-Württemberg auf einen vergleichsweise einfachen Grundgedanken: Gefährliche Inhalte sollen kritische Systeme möglichst niemals direkt erreichen. Gerade in Krankenhäusern, wo alte Systeme, Zeitdruck und sensible Daten zusammentreffen, könnte genau dieser pragmatische Ansatz künftig eine deutlich größere Rolle spielen.

(mack)