Home » News » Allgemein » Sicherheitsbedrohungen für medizinische Geräte und Systeme

Sicherheitsbedrohungen für medizinische Geräte und Systeme

Das Internet der Dinge (IoT) ist in zahlreichen Branchen vertreten, die Gesundheitsbranche bildet dabei keine Ausnahme. Vernetzte medizinische Geräte und Systeme, die wichtige Gesundheitsdaten sammeln, übertragen und speichern können, eröffnen neue Möglichkeiten der Patientenüberwachung und medizinischen Ferndiagnose. Die Kehrseite ist eine erhöhte Angreifbarkeit.

6 Min. Lesezeit
Foto: © Adobe Stock/metamorworks

Das Internet der Dinge (IoT) ist in zahlreichen Branchen vertreten, die Gesundheitsbranche bildet dabei keine Ausnahme. Vernetzte medizinische Geräte und Systeme, die wichtige Gesundheitsdaten sammeln, übertragen und speichern können, eröffnen neue Möglichkeiten der Patientenüberwachung und medizinischen Ferndiagnose. Die Kehrseite ist eine erhöhte Angreifbarkeit.

Vernetzte medizinische Geräte helfen dabei, Herausforderungen, wie Personalmangel und steigende Gesundheitskosten, durch schnellere Diagnose und Behandlung zu bewältigen und bieten gleichzeitig mehr Komfort für die Patienten. Angesichts dieser Perspektiven wird erwartet, dass der weltweite Markt für Medizinprodukte von 455,34 Milliarden US-Dollar im Jahr 2021 auf 657,98 Milliarden Dollar im Jahr 2028 wächst. Das stellt ein enormes Potenzial für Entwickler und Hersteller dar, bringt jedoch auch große Herausforderungen mit sich. Die offensichtlichste und am häufigsten diskutierte, ist die Sicherheit – zumal Sicherheitslücken in einem an ein Netzwerk-angeschlossenen Gerät Cyberkriminellen ein Tor zu einem viel umfangreicheren Netzwerk öffnen können.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat kürzlich untersucht, inwieweit Medizinprodukte von Cyberangriffen gefährdet sind. Die Experten überprüften verschiedene Medizinprodukte zur Behandlung und Versorgung von Patienten hinsichtlich ihrer IT-Sicherheit – darunter zufällig ausgewählte Herzschrittmacher, Defibrillatoren, Insulinpumpen, Beatmungsgeräte, Infusionspumpen, Patientenmonitore und Heimnotrufsysteme für Senioren, die häufig in der Pflege und Betreuung eingesetzt werden. Sie fanden rund 150 Schwachstellen. Damit steigt das Risiko für Krankenhäuser und andere Gesundheits- oder Pflegeeinrichtungen: Eine nicht gepatchte Sicherheitslücke in einem einzigen Gerät reicht aus, um das gesamte Netzwerk zu kompromittieren, da sich Cyberkriminelle Schritt für Schritt in ein Netzwerk einarbeiten können. Bei einem Ransomware-Angriff auf das Universitätsklinikum Düsseldorf im vergangenen September wurde die Schadsoftware höchstwahrscheinlich nach Bekanntwerden eines Sicherheitsmangels und vor Bereitstellung eines Patches eingeschmuggelt. Die Malware blieb monatelang unbemerkt und verbreitete sich im gesamten IT-Netzwerk.

Bereits heute muss jedes Medizinprodukt mindestens fünf bis zehn Sicherheitsstandards erfüllen, darunter beispielsweise mehrere ANSI/AAMI MEE-Standards, IEC-Standards oder AIM-Standards. Zudem entwickeln sich auch diese Standards ständig weiter, um die Cybersicherheit zu berücksichtigen.

Persönlich identifizierbare Informationen (PII) in Gefahr

Eines der wichtigsten Sicherheitsrisiken ist der Umgang mit personenbezogenen Daten (PII). Derzeit werden Medizinprodukte oft nicht als Produkte angesehen, die PII enthalten und übertragen könnten. Daher werden die gesammelten und in die Cloud oder ein Netzwerk übertragenen Daten nicht gemäß den Regeln der EU-Datenschutzgrundverordnung (DS-GVO), des California Consumer Privacy Act (CCPA) oder des Health Insurance Portability and Accountability Act (HIPAA) behandelt. Diese Vorgaben spezifizieren, wie PII-Daten aufgrund spezifischer Vorschriften in Bezug auf die Datennutzung gesichert, gespeichert und sogar professionell vernichtet werden müssen.

Selbst wenn Daten, die PII enthalten können, nach der Verwendung vom medizinischen Gerät selbst gelöscht werden, können die Informationen oft in einem Netzwerk oder in einer Cloud-Umgebung verbleiben. Dies kann einerseits zu zukünftigen Compliance-Problemen führen, wenn die DS-GVO- und/oder CCPA-Vorschriften auf Medizinprodukte in dem sich schnell entwickelnden Markt für das medizinische Internet der Dinge (MIoT) angewendet werden. Andererseits öffnen die ungesicherten Daten die Türen für zusätzliche zukünftige Sicherheitsbedrohungen.

Medizinische Daten fälschen und für Cyberangriffe nutzen

Da immer mehr medizinische Daten über IoT-Geräte gesammelt werden, muss auf jeden Fall gewährleistet werden, dass die Informationen korrekt sind. Das bedeutet, dass die Daten während der Übertragung und im Ruhezustand gesichert werden müssen, um dafür zu sorgen, dass das Gerät nicht kompromittiert wird. Das gilt nicht nur für PII-Daten, sondern für alle Daten, die von Medizinprodukten erfasst werden.

Wenn diese Daten nicht korrekt gesichert sind, könnten die gesammelten medizinischen Informationen selbst für Angriffe verwendet werden. Bei einem Replay-Angriff könnten beispielsweise medizinische Daten an die medizinische Behörde zurückgespielt und dadurch die aktuelle medizinische Datensammlung verfälscht werden.

Das bedeutet ein zweifaches Risiko: Einerseits könnte dies für eine Denial-of-Service-Attacke (DoS) genutzt werden, um einen medizinischen Leistungserbringer oder eine medizinische Behörde handlungsunfähig zu machen. Andererseits stellt dies eine ernsthafte Gefahr für die Gesundheit von Patienten dar, da der behandelnde Arzt keine Kenntnis über die aktuelle Situation/den aktuellen medizinischen Status seiner Patienten hat.

Biometrische Authentifizierung

Authentifizierungen durch Fingerabdrücke, Gesichtserkennung oder Iris-Scans gelten als besonders sicher und werden auch in der Multi-Faktor-Authentifizierung verwendet. Zum Einsatz kommen sie unter anderem, um den Zugang zu Gebäuden, Autos, mobilen Geräten oder Daten abzusichern. Wenn es um die Erfassung hochsensibler Gesundheitsinformationen durch medizinische Geräte und Wearables geht, schlagen Experten von Ingenieur- und Technologieverbänden wie dem IEEE vor, biometrische Authentifizierung zu verwenden, um die Nutzung und den Zugriff zu sichern. Weitere Vorteile wären, dass ein intelligentes Endgerät („Smart Device“) den Benutzer erkennt und das Serviceprofil anpassen kann – genau wie Autos der neuesten Generation den Fahrer durch biometrische Erkennung identifizieren und Sitz- sowie Airbag-Positionen für die Sicherheit anpassen oder den Zugriff auf persönliche Informationen über das Infotainmentsystem ermöglichen, etc.

Auf der anderen Seite könnten in Zukunft auch Biosignale selbst missbraucht werden. Durch die Erhebung medizinischer Daten über einen längeren Zeitraum können Informationsprofile erstellt werden, mit denen eine Person identifiziert werden kann. Das mag nach Science-Fiction klingen, aber es gibt mehrere Studien zur Verwendung von EKG-Profilen als Grundlage zur Identifikation von Einzelpersonen. Laut einem Bericht des MIT Technology Review testet das Pentagon bereits einen Laser, der Menschen anhand ihres Herzschlags identifizieren kann. Andere biometrische Techniken wie die Ganganalyse („Gait Analysis“), die Personen anhand ihres Gangs identifiziert, wurden verwendet, um berüchtigte Terroristen vor einem Drohnenangriff zu identifizieren. Aber die Art, wie wir uns bewegen, ist, ebenso wie die Gesichtserkennung, nicht immer unverwechselbar genug für eine sichere Identifizierung. Die Herzsignatur einer Person ist jedoch einzigartig, wie eine Iris oder ein Fingerabdruck. Und obwohl es zweifellos legitime Szenarien gibt, eine Herzsignatur als Identifikator zu verwenden, gibt es leider auch Möglichkeiten, diese Informationen zu missbrauchen. Dies bringt uns zurück zu der Überlegung, warum medizinische Daten mit den höchsten Sicherheitsstandards behandelt werden müssen.

Individueller Ansatz erforderlich

Mit der weltweiten Zunahme von IoT- und MIoT-Geräten (tragbare und miteinander verbundene medizinische Objekte, die eine Fernüberwachung des Gesundheitszustands ermöglichen) sind sich alle Experten einig, dass die Sicherheitsmaßnahmen verbessert werden müssen. Gesundheitsdaten sind hochsensibel und ziehen die Aufmerksamkeit von Angreifern auf sich(vi). Medizinprodukte sind ein lohnendes Ziel für Hacker, da sie in der Regel leicht zu kapern sind. Ein Grund für ihre Anfälligkeit ist die vergleichsweise lange Lebensdauer der Geräte. Da Medizinprodukte lange Zertifizierungsprozesse durchlaufen müssen, werden zu Beginn des Zertifizierungsprozesses häufig Konfigurationseinstellungen auf der verwendeten Firmware- und Betriebssystemversion eingefroren. Entwickler müssen einen Weg finden, die Sicherheitsmaßnahmen während der Lebensdauer des Geräts zu aktualisieren, ohne die Zertifizierungen zu beeinträchtigen.

„Ein offensichtlicher Schritt in die richtige Richtung ist, dass Gesundheitsdaten daher in den Geltungsbereich von DS-GVO, CCPA oder HIPAA fallen müssen. Hersteller und Geräteentwickler müssen verstehen, dass die Daten PII sind und als solche behandelt werden müssen“, erklärt Lösungsarchitekt Hannu Juopperi von Bittium. „Andere nützliche Ansätze umfassen die Implementierung des Sicherheitsbedrohungsmodells „STRIDE“ – Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service und Elevation of Privilege. Aufgrund unterschiedlicher Konstruktionen und Anwendungsarten von Medizinprodukten gibt es jedoch keinen einheitlichen Weg, um alle notwendigen Sicherheitsmaßnahmen zu implementieren. Jedes Gerät muss individuell hinsichtlich der medizinischen Datensicherheit bewertet werden. Wenn ein Hersteller von Medizinprodukten oder ein Entwickler-Team nicht über die erforderliche Expertise im Bereich Forschung und Entwicklung (F&E) oder die Testeinrichtungen im eigenen Haus verfügt, kann sich die Zusammenarbeit mit einem F&E-Spezialisten mit dem erforderlichen Know-how rentieren.“

Foto: Hannu Juopperi, Lösungsarchitekt bei Bittium

Andere interessante News

Mann vor Laptop macht einen erfolgreichen Check

Wie KMUs ihre IT-Sicherheit checken können

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Partner haben den CyberRisikoCheck entwickelt, um kleine und mittlere Unternehmen (KMU) bei der Steigerung ihrer Cyberresilienz zu unterstützen. Über 60 IT-Dienstleister wurden erstmals für die Anwendung dieses Verfahrens geschult.

Security Awareness Schulung

Security-Awareness-Schulungen nur Mumpitz?

Eine aufschlussreiche Umfrage enthüllt alarmierende Schwachstellen in den IT-Sicherheitsstrategien deutscher Unternehmen. Erstaunlicherweise betrachten fast die Hälfte der Geschäftsführungen Security-Awareness-Schulungen als überflüssig.

IoT - Internet of Things Security

Was für den Schutz vernetzter IoT-Geräte nötig ist

Seit dem ersten netzwerkverbundenen Verkaufsautomaten im Jahr 1982 hat sich in der Entwicklung von IoT-Geräten viel verändert. Die Verbindung von Geräten mit dem Internet hat zu großen Innovationen in verschiedenen Bereichen geführt. Allerdings bringen diese Technologien auch erhebliche Risiken mit sich.