Das Backup, das nie zurückgespielt wurde: Wiederherstellung im Krankenhaus testen

Fragt man in einem Krankenhaus, ob es ein Backup gibt, lautet die Antwort fast immer ja, und sie stimmt. Fragt man, wann das KIS zuletzt aus diesem Backup vollständig wiederhergestellt wurde und wie lange es gedauert hat, wird es still. Das eine ist eine Sicherung. Das andere ist das, worauf es im Ernstfall ankommt.

Was das Gesetz meint

§ 30 Abs. 2 Nr. 3 BSIG nennt die Aufrechterhaltung des Betriebs als Pflichtbereich und zählt ausdrücklich auf: „Backup-Management und Wiederherstellung nach einem Notfall“. Beides steht nebeneinander, und das ist kein Zufall. Das Backup ist das Mittel. Die Wiederherstellung ist der Zweck.

Dazu kommen zwei Stellen, die oft übersehen werden. Nach § 30 Abs. 1 müssen die Maßnahmen „wirksam“ sein, und ihre Einhaltung ist zu dokumentieren. Und Nr. 6 verlangt Verfahren, um die Wirksamkeit zu bewerten. Für das Backup heißt das: Ein Protokoll, dass die Sicherung jede Nacht grün gelaufen ist, belegt die Sicherung. Dass man damit wieder arbeiten kann, belegt es nicht.

Warum „die Sicherung lief“ nicht reicht

Eine erfolgreich gelaufene Sicherung sagt nur, dass Daten kopiert wurden. Ob diese Kopie im Ernstfall hilft, hängt an Dingen, die in keinem Sicherungsprotokoll stehen.

Ist alles gesichert, was zum Wiederanlauf gebraucht wird? Das KIS besteht nicht nur aus seiner Datenbank. Es braucht Anwendungsserver, Konfiguration, Lizenzen, Zertifikate, den Verzeichnisdienst für die Anmeldung, und die Schnittstellen zu Labor, Radiologie und Abrechnung.

Ist die Sicherung vor dem Angreifer geschützt? Bei Angriffen mit Verschlüsselung gehören die Sicherungen zu den ersten Zielen. Liegt die einzige Kopie im selben Netz, mit denselben Administratorkonten erreichbar, ist sie im Ernstfall mitverschlüsselt. Eine Kopie, die getrennt vom Netz oder unveränderbar gespeichert ist und mit eigenen Zugangsdaten verwaltet wird, ist deshalb dringend zu empfehlen.

Und weiß jemand, wie die Wiederherstellung geht? Oft kennt nur eine Person den Ablauf, und die Anleitung liegt im Wiki, das auf den Servern läuft, die gerade nicht laufen.

Drei Stufen des Tests

Einen Test der Wiederherstellung muss man sich nicht als Großübung vorstellen. Es hilft, ihn in drei Stufen zu denken, die unterschiedlich oft laufen.

Stufe 1: einzelne Dateien und Datensätze. Eine Datei, ein Postfach, ein Datensatz wird aus der Sicherung geholt und geprüft, ob er lesbar und vollständig ist. Das ist schnell gemacht und kann regelmäßig im Betrieb laufen, zum Beispiel jeden Monat an einer anderen Stelle.

Stufe 2: ein ganzes System. Ein System, etwa das LIS oder der Kommunikationsserver, wird in einer getrennten Umgebung vollständig aus der Sicherung aufgebaut, bis es startet und Daten zeigt. Dabei stellt sich heraus, was fehlt: ein Lizenzschlüssel, ein Zertifikat, ein Konfigurationsschritt, der nirgends steht. Und die Zeit wird gemessen, von der Entscheidung bis zum laufenden System.

Stufe 3: ein Versorgungsprozess. Der anspruchsvollste Test fragt nicht nach einem System, sondern nach einem Ablauf: Wann kann die Notaufnahme wieder mit dem KIS arbeiten, einschließlich Anmeldung, Schnittstellen und Druck? Das ist selten als echter Rückspieltest machbar, aber als Kombination aus Tischübung und gemessenen Teiltests aus Stufe 2 schon. Hier treffen Backup und Notfallplanung zusammen, siehe BCM im Krankenhaus nach BSI 200-4.

Welche Systeme in welcher Stufe wie oft geprüft werden, ergibt sich aus der Risikobewertung. Empfehlenswert ist, mit den versorgungskritischen Systemen zu beginnen und jedes davon mindestens einmal im Jahr vollständig zu testen.

Die Reihenfolge des Wiederanlaufs

Bei einem Test in Stufe 2 und 3 zeigt sich fast immer dasselbe: Die Systeme hängen voneinander ab, und die Reihenfolge des Wiederanlaufs ist nirgends aufgeschrieben. Ohne Verzeichnisdienst kann sich niemand anmelden. Ohne Namensauflösung finden sich die Server nicht. Ohne Datenbank startet die Anwendung nicht. Ohne Kommunikationsserver kommen keine Laboraufträge an.

Das Ergebnis des ersten Tests ist deshalb oft keine Zeit, sondern eine Liste: Was muss vor was laufen? Diese Liste gehört auf Papier zum Notfallplan, zusammen mit den Zugangsdaten, die man für die Wiederherstellung braucht, sicher verwahrt und ohne das Netz erreichbar.

Gemessene Zeit gegen geforderte Zeit

Wer die Wiederherstellung misst, bekommt eine Zahl, die man mit einer anderen vergleichen kann: der Zeit, die die Fachseite ohne das System überbrücken kann. Im Beitrag BCM im Krankenhaus nach BSI 200-4 haben wir beschrieben, warum diese zweite Zahl nicht die IT setzt, sondern die Station.

Liegt die gemessene Wiederherstellungszeit über der Zeit, die die Station überbrücken kann, ist das eine benannte Lücke. Sie lässt sich schließen, etwa über schnellere Wiederherstellungswege oder ein Ausfallkonzept, das länger trägt, oder sie wird von der Geschäftsführung bewusst getragen. Beides ist zulässig. Nicht zulässig ist, die Lücke nicht zu kennen, weil nie gemessen wurde.

Die Stellen, die fast immer fehlen

Medizintechnik. Viele Geräte und Modalitäten haben eigene Konfigurationen, eigene Datenbanken, eigene Arbeitsstationen. Ob diese gesichert sind, und ob sie der Hersteller oder das Haus wiederherstellt, ist oft ungeklärt. Das gehört in die Zuständigkeitsliste, die wir in Das Medizingerät im Netz beschrieben haben.

Dienste beim Dienstleister. Liegt ein System in der Cloud oder beim Dienstleister, liegt auch die Sicherung dort. Ob sie getestet wird und wie schnell im Notfall zurückgespielt wird, sollte der Vertrag regeln und ein Nachweis belegen, siehe Lieferantenverträge nach NIS2.

Die Meldepflicht. Muss wegen eines Angriffs wiederhergestellt werden, ist das in aller Regel auch der Moment, in dem die Meldefrist läuft. Und bevor zurückgespielt wird, sollte geklärt sein, ob Spuren für die Aufarbeitung gesichert werden müssen, damit sie nicht überschrieben werden. Beides gehört in den Ablauf, siehe Meldepflicht in 24 Stunden.

Was als Nachweis zählt

Ein Test der Wiederherstellung ist dann ein Nachweis, wenn ein Protokoll zeigt: welches System, aus welcher Sicherung mit welchem Datum, wer getestet hat, wie lange es gedauert hat, was funktioniert hat, was nicht, und was daraus folgt, mit Termin und Verantwortlichem. Eine Seite genügt.

Diese Protokolle sind zugleich eine der ehrlichsten Kennzahlen für die Geschäftsführung: Anteil der kritischen Systeme, die in den letzten zwölf Monaten erfolgreich wiederhergestellt wurden. Dazu mehr im nächsten Beitrag.

Womit Sie diese Woche anfangen können

Wählen Sie ein System, das für die Versorgung wichtig, aber überschaubar ist, zum Beispiel den Kommunikationsserver oder ein Subsystem aus dem Labor. Bauen Sie es in einer getrennten Umgebung aus der Sicherung der letzten Nacht auf. Messen Sie die Zeit, und schreiben Sie jeden Schritt mit, der nicht dokumentiert war.

Am Ende steht eine Zahl, eine Liste der fehlenden Schritte und das erste Protokoll. Das ist mehr, als die meisten Häuser zu diesem Punkt vorlegen können. Wenn Sie einen solchen Test planen oder die Ergebnisse einordnen wollen: Sprechen Sie uns an.