Wenn alles vernetzt ist, ist auch alles angreifbar: Besonders die Medizintechnik ist in Gefahr und rüstet sich nun gegen Attacken. Ein deutsches Unternehmen tut sich besonders hervor.
Die zunehmende Vernetzung aller Lebensbereiche durch das Internet fasziniert Verbraucher nicht nur, sondern macht ihnen auch Angst. Immer, wenn Sicherheitslücken bekanntwerden, werden Nutzer daran erinnert, dass Technik fehlerhaft ist. Wer behauptet, ein System sei nicht angreifbar oder nicht zu überlisten, der irrt. Entwickler stehen ständig vor der Frage, wie sie die Wahrscheinlichkeit minimieren, dass ihre Software attackiert werden kann. Cybersicherheit muss sich immer weiterentwickeln, weil immer neue Angriffsmöglichkeiten entstehen. Je mehr Geräte vernetzt sind, desto mehr potentielle Schwachstellen gibt es.
© Dräger AG/dpaNicht zu knacken:Das Roth-Dräger-Narkosegerät aus dem Jahr 1902, dass den Ruf des Medizintechnikherstellers begründet hat.
Manche Fälle wiegen in der Wahrnehmung besonders schwer: Immer dann, wenn Menschenleben in Gefahr sind. Wenn ein iPhone von Hackern übernommen wird, gehen sehr persönliche Daten verloren. Wenn Kriminelle aber ein vernetztes Auto unter ihre Kontrolle bringen oder wie im jüngsten Fall eine Insulinpumpe des Medizintechnikherstellers Johnson&Johnson ferngesteuert werden kann, werden Sicherheitslücken lebensbedrohlich. Die gute Nachricht für Kunden: Unternehmen lernen gerade mehr und mehr sich zu wehren.
Daniel Busch hat früher für das Sicherheitsunternehmen IOActive gearbeitet, das Geld damit verdient, Schwachstellen in der Software oder den Systemen großer Unternehmen zu finden. Busch hat dabei auch medizinische Geräte untersucht. Heute ist er Teil eines losen Zusammenschlusses von Entwicklern, die Hersteller für Sicherheitsrisiken sensibilisieren wollen. “I am the Cavalry” heißt der Verbund, in dem sich IT-Sicherheitsleute, professionelle Hacker und Entwickler zusammengeschlossen haben, um eine Art Kavallerie für Sicherheit aufzubauen. Sie fokussieren sich vor allem auf vernetzte Autos und Medizintechnik.
“Wir sehen die Bedrohung, die von den Devices ausgeht und dass davon Menschenleben bedroht sind”, sagt Busch. Mit einem ferngesteuerten Herzschrittmacher könnte ein Krimineller dem Opfer nicht nur einen tödlichen Stromstoß verpassen, sondern den Code, mit dem er das Gerät unter seine Kontrolle gebracht hat, sogar wieder löschen. Keinerlei Spuren bleiben. Wenn eine Insulinpumpe manipuliert ist und der Sender an die Pumpe funkt, dass sie mehr Insulin ausschütten soll, als ein Diabetiker verträgt, ist das lebensgefährlich. In der vergangenen Woche hatte Johnson&Johnson Briefe an Ärzte und 11 4000 Patienten geschickt und gewarnt, dass eine vernetzte Insulinpumpe gehackt werden könnte. Zwar sei das Risiko eines unautorisierten Zugangs extrem gering, weil die Pumpe nicht über das Internet mit dem Sender verbunden ist, sondern über Radiofrequenz-Technik kommuniziert. Allerdings werden die Befehle nicht verschlüsselt übertragen und sind somit leichter angreifbar. Das Unternehmen erklärt in dem Brief, wie Patienten die automatisierte Steuerung ausschalten können, um sich vor einem Angriff zu schützen. Es ist das erste Mal, dass ein Hersteller von Medizintechnik solch einen Brief mit Warnhinweisen verschickt hat.
Deshalb ist Jay Radcliffe, der die Sicherheitslücke entdeckt hat, voll des Lobes für den amerikanischen Medizintechnikhersteller. (Link zum Blog mit Fehlererklärung) Radcliffe arbeitet für das IT-Sicherheitsunternehmen Rapid7, er ist selbst Diabetiker. Das Eingeständnis, einen Fehler gemacht zu haben, und seine Patienten zu warnen sei ein gutes Zeichen , sagt Radcliffe. “Nur mit Transparenz können wir Patienten schützen, damit sie verstehen, welche Risiken es gibt.”
Risiken und Nebenwirkungen
Besonders in der Medizintechnik müssen Risiken und Nebenwirkungen ständig abgewogen werden. Umso erstaunlicher mag es zunächst erscheinen, dass J&J sogar von der Konkurrenz gelobt wird. “Wie J&J über seine Schwachstelle informiert hat, ist eigentlich kein Grund zum Aufregen, sondern zum Feiern”, sagt Hannes Molsen. Der Informatiker kümmert sich für den deutschen Medizintechnikhersteller Dräger um Sicherheit aller Produkte. Denn jeder Hersteller, der ein Risikobewusstsein und den Willen habe, seine Sicherheitssysteme jederzeit anzupassen und weiterzuentwickeln, sei ein Gewinn für die Branche. Dräger wird von “I am the Cavalry” gelobt, dass es eines der vorbildlichsten Unternehmen sei, wenn es um Produktsicherheit gehe. So folgt der Konzern aus Lübeck etwa dem speziellen Hippokratischen Eid für Medizingeräte, den das Sicherheitsnetzwerk entwickelt hat. Dieser gibt Empfehlungen für den Umgang mit Software und Sicherheitslücken in einer digital vernetzten Welt.
“Alle Hersteller haben damit zu kämpfen, dass es Systeme gibt, die 30 Jahre alt sind”, sagt Molsen. Gerade medizinische Geräte sind so komplex und dadurch teuer, dass sie – anders als Smartphones – nicht alle zwei Jahre ausgewechselt werden. Dieses Geräte sind heute von Sicherheitsrisiken bedroht, von denen früher noch niemand Ahnung hatte. Technischer Fortschritt bringt nicht nur bessere Geräte mit sich, sondern macht es auch leichter, sie zu hacken. Radcliffe etwa hat die Befehle seiner Insulinpumpe mit Technik auslesen können, die sich heute jeder für wenig Geld im Internet bestellen kann. Als die Pumpe im Jahr 2008 auf den Markt kam, gab es Vergleichbares noch nicht. Das lernen auch die Regulatoren: Die FDA, die amerikanische Lebens- und Arzneimittelbehörde, hat Anfang des Jahres ein Dokument mit Empfehlungen herausgegeben, wie Medizintechnikhersteller Risikomanagement betreiben sollten, wenn ein Produkt auf dem Markt ist.
Technik, die heute sicher ist, wird in Zukunft leicht zu entschlüsseln sein
Trotzdem stehen die Unternehmen vor einem Dilemma: Auch Technik, die heute entwickelt wird und auf dem neuesten Stand der Sicherheit ist, wird in Zukunft vielleicht leicht zu entschlüsseln sein. Doch immerhin hat sich das Problembewusstsein verbessert. Während früher vor allem Autohersteller schnell geklagt haben, wenn Hacker sie auf Sicherheitslücken in vernetzten Autos hinwiesen, ermuntern Konzerne wie Tesla heute sogar dazu, nach Schwachstellen zu suchen, damit Systeme sicherer werden. “Früher oder später wird jedes Unternehmen von einer Sicherheitslücke betroffen sein”, sagt Molsen. Wichtig sei, wie die Hersteller damit umgingen. J&J habe es mit dem transparenten Brief vorbildlich gemacht, lobt der Dräger-Sicherheitsexperte. Natürlich ist es für jedes Unternehmen weniger peinlich, wenn sie Schwachstellen selbst finden und nicht darauf hingewiesen werden. Deshalb bezahlen alle großen Unternehmen professionelle Hacker dafür, dass sie die Systeme angreifen. Penetrationstests gehören zur Entwicklung dazu.
Die zunehmende Vernetzung auch der Medizintechnik bringe neben größeren Risiken allerdings auch Nutzen. “Hersteller digitalisieren ja nicht, weil es so unglaublich cool ist, sondern weil es Anwendungsmodelle gibt”, sagt Molsen. Etwa wenn Ärzte nicht ständig Quarantänezimmer betreten müssten, um die Daten von fünf Maschinen abzulesen, weil sie auf einem Gerät zusammengefasst werden. Helfen kann Vernetzung auch bei der sogenannten Alarmmüdigkeit. In Krankenhäusern piepst und schellt es ständig, Ärzte nehmen wichtige Alarme mitunter nicht mehr wahr. Wenn Maschinen nun miteinander kommunizieren und sich absprechen, dass nur ein Gerät klingelt, dafür aber laut, könnten Leben gerettet werden. Dass solch eine Vernetzung mehr Sicherheit braucht, kommt im Problembewusstsein der Hersteller langsam an. Und das ist, bei allem Risiko, doch ein gutes Zeichen für die Patienten.
