Der Zugang zur beruflichen Messaging-Plattform des CHU Montpellier basiert auf einer Mehrfaktorauthentifizierung, die mit einem internen Netzwerk verbunden ist, das nach Standorten segmentiert ist. Für einen Krankenhausmitarbeiter besteht die Verbindung nicht nur darin, eine Benutzer-ID und ein Passwort einzugeben: Die Reihenfolge der Vorgänge, die Art des verwendeten Netzwerks und das gewählte Endgerät bestimmen den Erfolg oder Misserfolg jedes Versuchs.
Risiken im Zusammenhang mit Messaging in Gesundheitseinrichtungen
Die Messaging-Plattform ist einer der häufigsten Kompromittierungsvektoren im Gesundheitssektor. Laut der AOCSI ist ein erheblicher Teil der in Gesundheitseinrichtungen analysierten Cyber-Sicherheitsvorfälle mit der Kompromittierung von Konten verbunden, wobei Messaging zu den am häufigsten von Angreifern genutzten Kanälen gehört.
Diese Feststellung hat direkte Konsequenzen für die Mitarbeiter des CHU Montpellier. Die Eingabe von Anmeldedaten auf einem nicht offiziellen Portal setzt das Konto einem sofortigen Diebstahl aus. Phishing-Versuche zielen regelmäßig auf Krankenhauspersonal ab, indem sie Seiten imitieren, die die Anmeldeschnittstelle nachahmen.
Die ANSSI erinnert zudem daran, dass die Sicherheit des Fernzugriffs nicht nur vom Passwort oder der MFA abhängt: Die Geräte, die zum Verbinden verwendet werden, sind ebenso wichtig. Ein Mitarbeiter, der über einen Link, der außerhalb der offiziellen Kanäle der Einrichtung gefunden wurde, auf die Messaging-Plattform des CHU Montpellier für Mitarbeiter zugreift, geht ein Risiko ein, das weder durch die Mehrfaktorauthentifizierung noch durch ein robustes Passwort ausgeglichen werden kann.
| Angriffsvektor | Risiko für den Mitarbeiter | Hauptschutz |
|---|---|---|
| E-Mail-Phishing | Diebstahl von Anmeldedaten über ein gefälschtes Portal | URL vor jeder Eingabe überprüfen |
| Offene Sitzung auf gemeinsam genutztem Arbeitsplatz | Zugriff auf das Konto durch Dritte | Systematische Abmeldung |
| Verbindung über ein unsicheres Netzwerk | Abfangen der ausgetauschten Daten | Internes Netzwerk oder offiziellen Fernzugang nutzen |
| Ungültierte Drittanwendung | Exposition von Gesundheitsdaten | Auf die vom CHU bereitgestellten Tools beschränken |
MFA-Registrierung im internen Netzwerk des CHU Montpellier: Die Falle der ersten Verbindung
Der häufigste Blockierungspunkt tritt bei der allerersten Verbindung auf. Die MFA-Registrierung muss über das interne Netzwerk des CHU erfolgen, das heißt, man muss physisch in einem Dienst präsent sein und mit dem kabelgebundenen oder professionellen WLAN des Unternehmens verbunden sein.
Der Versuch, den Einmalcode über ein Gäste-WLAN, von zu Hause aus oder über eine mobile Internetverbindung zu aktivieren, blockiert das Verfahren. Das System sendet nicht immer eine klare Fehlermeldung, was einige Mitarbeiter dazu bringt, ihre Versuche zu wiederholen und ihr Konto zu sperren.
Konkrete Schritte für eine erfolgreiche Registrierung
- In den eigenen Dienst gehen, an einem Arbeitsplatz, der mit dem internen Netzwerk des CHU verbunden ist (kabelgebunden oder professionelles WLAN, nicht das “Gäste”-Netzwerk)
- Den Prozess zur Verknüpfung des beruflichen Kontos mit der Authentifizierungsanwendung (z. B. Microsoft Authenticator) starten, indem man den Anweisungen auf dem Bildschirm folgt
- Den von der Anwendung generierten Einmalcode validieren, um die Registrierung zu bestätigen
- Sobald dieser Schritt im internen Netzwerk abgeschlossen ist, sind Verbindungen von außen möglich
Eine fehlgeschlagene Registrierung sperrt das Konto ohne klare Warnung. Wenn die Sperrung eintritt, bleibt als einzige Lösung, den IT-Support des CHU zu kontaktieren, um das Verfahren zurückzusetzen.
Fernzugriff auf die Mitarbeiter-Messaging-Plattform: Netzwerk, Terminal und Sicherheitsabstimmungen
Sobald die MFA-Registrierung validiert ist, wird der Zugang von außerhalb des CHU funktionsfähig. Die Verbindung erfolgt über das offizielle Webportal der Einrichtung (erreichbar über das Extranet des CHU Montpellier). Zwei Punkte verdienen besondere Aufmerksamkeit, je nach verwendetem Terminal.
Persönlicher Arbeitsplatz oder gemeinsamer Arbeitsplatz
An einem gemeinsamen Arbeitsplatz (Behandlungsraum, Bereitschaftsbüro) kann der Browser vorschlagen, das Passwort automatisch zu speichern oder eine Sitzung offen zu halten. Das Speichern des Passworts abzulehnen und die Sitzung nach jeder Nutzung zu schließen bleibt der einzige zuverlässige Schutz gegen unbefugten Zugriff auf das Konto.
An einem persönlichen Arbeitsplatz zu Hause ist das Risiko anders. Der Mitarbeiter hat die Kontrolle über die Umgebung, aber das Heimnetzwerk bietet nicht den Schutz des internen Krankenhausnetzwerks. Die ausschließliche Nutzung der vom CHU bereitgestellten Fernzugänge (und nicht einer Suchmaschine, um die URL für die Anmeldung zu finden) begrenzt die Exposition gegenüber Phishing.
Mobiler Zugriff: Bequemlichkeit gegen Vertraulichkeit
Die berufliche Messaging-Plattform über ein Smartphone zu konsultieren, ist verlockend für einen Mitarbeiter, der zwischen mehreren Standorten des CHU mobil ist. Die Wahl zwischen mobilem Browser und dedizierter Anwendung erfordert eine Abwägung. Die offizielle Anwendung bietet einen verschlüsselten Kanal, während der mobile Browser von der Konfiguration des Telefons abhängt (Updates, Zertifikate, keine Malware).
In beiden Fällen schützt die MFA die anfängliche Verbindung. Der Unterschied liegt in der Dauer der Sitzung: Eine Anwendung kann einen längeren offenen Zugriff aufrechterhalten als ein Browser-Tab, was das Risiko erhöht, wenn das Telefon verloren geht oder gestohlen wird.
Abgelaufenes Passwort oder desynchronisierte MFA: Häufige Blockaden lösen
Zwei Situationen verursachen die Mehrheit der Anrufe beim IT-Support des CHU.
Die erste betrifft das abgelaufene Passwort. Die Sicherheitsrichtlinien im Krankenhaus verlangen eine regelmäßige Erneuerung. Ein Mitarbeiter, der sich seit mehreren Wochen nicht angemeldet hat, kann feststellen, dass sein Passwort nicht mehr gültig ist. Die Erneuerung des Passworts erfordert oft den Zugang zum internen Netzwerk, was bedeutet, dass man physisch vor Ort sein muss, wenn das Verfahren zur Fernzurücksetzung nicht zuvor konfiguriert wurde.
Die zweite betrifft die Desynchronisation der MFA. Den Wechsel des Telefons, das Zurücksetzen der Authentifizierungsanwendung oder einfach das Deinstallieren und anschließende Neuinstallieren dieser Anwendung bricht die Verbindung zwischen dem Konto und dem Codegenerator. Das Verfahren zur erneuten Registrierung erfolgt über den IT-Support, der die Identität des Mitarbeiters überprüft, bevor er das Konto entsperrt.
- Abgelaufenes Passwort: sich über das interne Netzwerk anmelden, um es zu erneuern, oder den Support kontaktieren, wenn die Fernzurücksetzung nicht verfügbar ist
- MFA desynchronisiert nach Telefonwechsel: den Support kontaktieren für eine erneute Registrierung
- Konto nach mehreren Versuchen gesperrt: auf die automatische Entsperrzeit warten oder den Support anrufen
Die Messaging-Plattform des CHU Montpellier basiert auf einem Gleichgewicht zwischen Zugänglichkeit und dem Schutz von Gesundheitsdaten. Jede technische Einschränkung (Registrierung im internen Netzwerk, MFA, Ablauf des Passworts) reagiert auf eine dokumentierte Bedrohung im Gesundheitssektor. Diese Schritte, insbesondere die anfängliche Registrierung und die Sicherung der MFA-Konfiguration bei einem Gerätewechsel, im Voraus zu planen, vermeidet die Mehrheit der von den Mitarbeitern gemeldeten Blockaden.
