Menü
Neue Presse | Ihre Zeitung aus Hannover
Anmelden
Digital Schockierende „Killer-App“ beweist Hacker-Risiko bei Medizintechnik
Nachrichten Digital Schockierende „Killer-App“ beweist Hacker-Risiko bei Medizintechnik
Partner im Redaktionsnetzwerk Deutschland
14:26 19.07.2019
Potenzielle Cyberattacken, etwa auf Computertomographen, stellen ein wachsendes Risiko in der modernen Medizin dar. Quelle: Jürgen Schulzki/picture alliance/imageBROKER
Hannover

Cyber-Experten aus Israel, dem weltweit führenden Land, was Abwehrstrategien gegen digitale Attacken anbelangt, warnen seit Jahren: Die Einfall-Möglichkeiten, die Krankenhäuser und Gesundheits-Infrastrukturen Cyberterroristen und kriminellen Hackern bieten, sind praktisch unbegrenzt. Mögliche Szenarios: Terroristen könnten ganze Patientengruppen durch Manipulation von Medikamentengaben umbringen und so Panik schüren – Erpresser Krankenakten kapern und Lösegeld dafür erpressen. Computertomographen oder Magnetresonanztomographen etwa sind ungeschützt oder erhalten keine regelmäßigen Sicherheitsupdates, so dass nicht nur Patientendaten in Echtzeit ausgelesen, sondern im schlimmsten Fall auch Patienten per Fernzugriff verstrahlt werden könnten. Auch Dialysemaschinen ließen sich leicht manipulieren, ganz zu schweigen von Patientendaten und automatisierten Medikamenten-Dosierungen. Die Liste ließe sich noch endlos fortführen.

Hackerangriffe als Geschäftsrisiko

All das ist längst keine Science-fiction mehr: Allein der WannaCry-Angriff 2017 infizierte in Großbritannien und den USA Tausende MRT- und CT-Geräte. Michael Burkhart, Leiter des Gesundheitsbereiches bei der Beratergesellschaft PwC, sagte im Januar 2019 dem Handelsblatt: „Hackerangriffe haben sich zum zentralen Geschäftsrisiko in der Gesundheitswirtschaft entwickelt.“

Doch auch der ambulante Markt ist mittlerweile von Hackerangriffen bedroht. So entdeckten die amerikanischen Forscher Billy Rios und Jonathan Butts bereits vor zwei Jahren eine Sicherheitslücke bei einigen älteren Modellen der in den USA sehr populären Insulinpumpen MiniMed und MiniMed Paradigm des Unternehmens Medtronic. Angreifer könnten die Pumpen so fernsteuern, dass sie dem Patienten entweder Insulin vorenthalten oder ihm eine tödliche Dosis verabreichen. Nachdem monatelange Verhandlungen mit Behörden und Medtronic über eine Schließung des Datenlecks ergebnislos geblieben waren, griffen die Forscher zu einer drastischen Methode, um auf das Problem aufmerksam zu machen: Sie entwickelten eine Android-App, die durch Manipulation der Pumpen Menschen töten könnte.

Lesen Sie auch:
FaceApp: Lustige Spielerei oder russischer Datenklau?

Erste Hinweise vor zwei Jahren

Rios und Butts, so berichtet das Magazin „Wired“, die für das Sicherheitsunternehmen QED Security Solutions arbeiten, hatten erstmals in einem Vortrag auf der in Cyberabwehrkreisen renommierten „Black Hat“-Konferenz in Las Vegas auf das potenziell tödliche Problem hingewiesen. Zugleich warnten sowohl die amerikanische Gesundheitsbehörde FDA, das Ministerium für Innere Sicherheit und Medtronic selbst Kunden vor dem Sicherheitsmangel der Medtronic-Pumpen. Allerdings gab es weder ein Update der Geräte noch wurden sie zurückgerufen. Erst am 27. Juni 2019, nachdem Rios und Butts Medtronic ihre „Killer-App“ präsentiert hatten, entschloss sich das Unternehmen zu einer freiwilligen Rückrufaktion.

Lesen Sie auch:
Cyberangriffe: Deutsche Mittelständler nehmen es mit der Sicherheit nicht so genau

Das Sicherheitsproblem liegt in der Art, mit der die Insulinpumpe und deren Fernbedienung, mit der man die Insulingabe auslöst beziehungsweise deren Dosierung festlegt, miteinander kommunizieren. Die Frequenz, auf der miteinander kommuniziert wird, sei leicht herauszufinden, so Rios und Butts zu „Wired“. Zudem sei die Funkverbindung zwischen Fernbedienung und Pumpe nicht verschlüsselt. Also programmierten die beiden Forscher einen Code, der die Frequenz des Handsenders automatisch ausliest. Jeder Hacker hätte so mittels Open-Source-Software einen Sender programmieren können, dem die Pumpe vertraut und dessen Kommandos sie umsetzt. Nachdem dieser erste Kontakt hergestellt ist, können Hacker die Verbindung mittels einer schlichten Smartphone-App steuern, um Angriffe auf den Patienten auszulösen. Denn so wie die Fernbedienung der Pumpe funktionell mit einem elektronischen Autoschlüssel zu vergleichen ist, erinnert die „Killer-App“ an handelsübliche Apps, die TV-Fernbedienungen auf dem Smartphone ersetzen.

4000 Geräte in den USA zurückgerufen

Man habe sich zu der Rückrufaktion entschlossen, so Medtronic, obwohl die meisten Pumpen auf dem Markt nicht mehr von dem Cyberproblem älterer Modelle betroffen seien. Die Anzahl der betroffenen Geräte in den USA belaufe sich auf etwa 4000. Damit sei es aber nicht getan, so „Wired“. Denn das Unternehmen habe ähnliche Sicherheitsprobleme auch mit implantierten, fernsteuerbaren Geräten – etwa Herzschrittmachern. Und obwohl die Minimed-Modelle in den Vereinigten Staaten nicht mehr flächendeckend verwendet werden, seien sie weltweit noch stark verbreitet, sagt Suzanne Schwartz von der FDA.

Lesen Sie auch:
Cyber-Angriffe auf kritische Infrastruktur nehmen deutlich zu

Auf Anfrage des RedaktionsNetzwerks Deutschland (RND) sagte Michaela Rau von der deutschen Medtronic GmbH: „Weil Cybersicherheit eine immer größere Bedeutung zukommt, unternimmt Medtronic alles, um denkbare böswillige externe Angriffe auf unsere Medizinprodukte und Produktsoftware auszuschließen. Dazu gehört auch die vorsorgliche, frühzeitige und proaktive Veröffentlichung von Sicherheitshinweisen im Zusammenhang mit vorstellbaren Schwachstellen unserer Produkte. Medtronic hat am 27. Juni 2019 eine solche Information zur Cybersicherheit herausgegeben.“

„Das Risiko ist sehr gering“

Rau schätzt die Wahrscheinlichkeit eines Angriffs allerdings eher gering ein. „Eine unbefugte Person mit besonderen technischen Fähigkeiten könnte sich möglicherweise drahtlos mit einer Insulinpumpe in der Nähe verbinden, um Einstellungen zu ändern und die Insulinzufuhr zu steuern. Das Risiko, dass diese Schwachstellen in der Praxis ausgenutzt werden können, ist sehr gering. Bislang wurden Medtronic keine Cyberangriffe oder Patientenschäden gemeldet. Am 28. Juni hat Medtronic begonnen, mit einer Sicherheitsinformation behandelnde Ärzte und Patienten in Europa vorsorglich über die Schwachstellen und mögliche Vorsichtsmaßnahmen zu informieren.“

Betroffen sind Insulinpumpen der Modelle MiniMed Paradigm 512/712, 515/715, 522/722, MiniMed 508 sowie MiniMed Paradigm Veo 554/754 Pumpen mit der Software-Version 2.6 oder niedriger. Diese Modelle wurden im Jahr 2012 und früher vertrieben. Nicht betroffen sind die Modelle MiniMed Paradigm Veo 554/754 mit der Software-Version 2.7 A oder höher sowie die neueren Modelle MiniMed 640G und MiniMed 670G Insulinpumpen.

Lesen Sie auch:
Cyberattacken gehören in Unternehmen zum Alltag

In Israel übrigens, dem Land, gegen das sich die meisten Cyberattacken weltweit richten, ist das Risiko krimineller oder terroristischer Attacken auf Medizinaltechnik ein ganz reales. Dort werden Insulinpumpen sowie CT- und MRT-Geräte in allen größeren Krankenhäusern bereits vor Cyberangriffen geschützt. Es gibt sogar Unternehmen wie etwa Cynerio, die eigens gegründet wurden, um Medizin- und Krankenhaustechnik vor Hackerangriffen zu schützen.

In Deutschland hingegen fallen erst seit Ende Juni 2017 auch Krankenhäuser unter die „kritische Infrastruktur“ und fallen somit unter das IT-Sicherheitsgesetz. Allerdings nur Kliniken, die mehr als 30 000 Behandlungsfälle pro Jahr nachweisen können. Das ist nur ein Drittel aller Einrichtungen hierzulande.

Von Daniel Killy/RND

Mit Datenhandschuhen lassen sich Bewegungen in virtueller Umgebung visualisieren. Berührungen können sie aber bislang kaum vermitteln. Ein neuer Datenhandschuh gibt Nutzern jetzt auch haptisches Feedback.

19.07.2019

Facebook möchte wieder privater werden. Klassische Fanseiten verlieren an Bedeutung, Gruppen sind im Aufwind. Darin wird über jedes erdenkliche Thema diskutiert – sehr zur Freude des US-Konzerns

19.07.2019

„They are Billions“ ist schon auf dem PC ein Hit gewesen. Jetzt gibt es die Zombie-Apokalypse auch für Playstation 4 und Xbox One. Aber Echtzeit-Strategie mit dem Gamepad – geht das?

19.07.2019