Die Medizintechnik in US-Krankenhäusern ist erschreckend einfach angreifbar.

Medizingeräte in den USA mit gravierenden Sicherheitsmängeln

| Redakteur: Jürgen Sprenzinger

Durch die fehlende Absicherung der medizinischen Geräte könnte ein einziger infizierter Arbeitsplatz-PC einem Hacker Zugriff auf den OP verschaffen.
Durch die fehlende Absicherung der medizinischen Geräte könnte ein einziger infizierter Arbeitsplatz-PC einem Hacker Zugriff auf den OP verschaffen. (Bild: Healthcare Computing)

Es gibt entweder gar keine Authentifizierung oder die verwendeteten Passwörter sind derart trivial, dass sie leicht errraten werden können. Integrierte Webserver und Wartungsschnittstellen verraten die Geräte und machen die Konfiguration zugänglich.Webservices übermitteln Patientendaten unverschlüsselt.

Das Magazin „Wired“ berichtet über gravierende Mängel an medizinischen Geräten in US-Krankenhäusern – sie offenbaren gravierende Sicherheitsmängel. Scott Erven, der bei einem Gesundheitsdienstleister für die IT-Sicherheit ist, prüfte die computer-basierte Medizintechnik in zahlreichen Kliniken. In einem Zeitraum von zwei Jahren stieß er auf ein Horror-Szenario: Ferngesteuerte OP-Roboter, schleichende Vergiftung und tödliche Elektroschocks könnten ohne viel Aufwand schnell zur Realität werden.

Der Gesundheitsdienstleister und Klinikbetreiber „Essential Health“ stellte bei einer Stichprobe Sicherheitslücken an einigen medizinischen Geräten fest. Daraufhin beauftragte man Scott Erven mit einer gründlichen Prüfung sämtlicher Apparate in den eigenen Kliniken. Der Sicherheits-Spezialist stellte unlängst einige Ergebnisse dieser Prüfung unter dem Titel „Just What The Doctor Ordered?“ (Ist es das, was der Arzt verschrieben hat?) auf der Sicherheitskonferenz Thotcon in Chicago vor.

Scott Erven konnte fast alle untersuchten Geräte hacken. Es gab entweder keine Authentifizierung, oder die verlangten Passwörter waren Trivialpasswörter wie „admin“ oder „1234“ – manche davon sogar unveränderlich hinterlegt. Integrierte Webserver und Wartungsschnittstellen verrieten die Geräte und machten die Konfiguration zugänglich. Webservices übermittelten Patientendaten unverschlüsselt und alle Systeme waren zudem direkt von einem Arbeitsplatz-PC aus erreichbar, ein separates VLAN zur Abschottung gab es nicht. Fazit: Ein einziger infizierter Arbeitsplatz-PC würde also einem Hacker Zugriff auf den OP verschaffen.

Todbringende Angriffe ...

Ein Angreifer könnte beispielsweise Blutkonserven unbrauchbar machen, indem er das Kühlsystem abschaltet – und den Alarm, der bei Temperaturänderungen anschlagen soll, gleich mit dazu. Er könnte Lebensrettungssysteme auf die Standardkonfiguration zurücksetzen und Computertomographen schädliche Strahlendosen aussenden lassen. Normalerweise steuern Infusionspumpen die automatische Gabe von Schmerzmitteln, Chemotherapeutika, Antibiotika oder Insulin. Sie ließen sich über ein Web-Interface mittels trivialer Passwörter übernehmen – sofern überhaupt eines verlangt wird – um eine tödliche Dosis abzugeben. Ein Hacker brauche dazu nicht einmal Insiderwissen über die Funktionsweise dieser Geräte.

... und kein Ende

Noch gruseliger geht es bei implantierbaren Defibrillatoren zu (implantierbare Cardioverte Defibrillatoren, ICD). Sie sollen bei Kammerflimmern oder Herzstillstand automatisch kontrollierte Elektroschocks abgeben. Viele diese Geräte sind aus Gründen der Konfiguration per Bluetooth erreichbar. Sie haben in der Regel jedoch viel zu schwache Passwörter, etwa eine vierstellige PIN. Die Geräte könnten dahingehend manipuliert werden, dass sie entweder auf Befehl einen tödlichen Schock erzeugen oder ihre Funktion gerade dann einstellen wenn sie benötigt wird.

Sicherheit ist keine Voraussetzung

Allein chirurgische Roboter haben als einzige Gerätegruppe eine interne Firewall zum Schutz vor Angriffen. Sie erwies sich jedoch als völlig untauglich: Sucht man nach erreichbaren Ports, so stürzt sie ab. Ob man infolge davon den Roboter direkt steuern könne, untersucht Erven momentan noch. Entwarnung gibt es lediglich bei Anästhesiegeräten und Ventilatoren – wegen der fehlenden Vernetzung seien sie nicht angreifbar.

Erven will keine Herstellernamen oder Gerätebezeichnungen nennen, solange noch an der Behebung der Probleme gearbeitet wird. Zur Zeit wird auch noch untersucht, inwieweit sich manche Lücken sogar von außen übers Internet ausnutzen ließen. Selbst ohne spezifische Kenntnisse der Medizintechnik könne ein Hacker erhebliche Kollateralschäden verursachen, etwa durch das Abschalten von Geräten.

Ervens Fazit: Die Sicherheitslücken gingen nicht auf Bugs tief im Softwarequellcode zurück, sondern seien fahrlässige und einfach zu entdeckende Fehler wie triviale Passwörter oder eine fehlende Verschlüsselung.

Lücken sind längst bekannt

Bereits 2013 warnte das ISC-CERT vor Sicherheitslücken in medizinischen Geräten. Erven weist darauf hin, dass Krankenhäuser sich des Risikos meist nicht bewußt seien, weil sie selber keinerlei Tests durchführten. Die amerikanische Zulassungsbehörde Federal Drug Administration (FDA) schreibt für medizinische Geräte keine Sicherheitsanforderungen vor, ein Grund, weshalb sich die Hersteller solcher Geräte logischerweise kaum um ausreichende Sicherheit bemühen.

Kommentar zu diesem Artikel abgeben

Schreiben Sie uns hier Ihre Meinung ...
(nicht registrierter User)

Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
Kommentar abschicken
copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 42670583 / Sicherheit/Datenschutz)