Medizintechnik im Internet: Geht aus Sicherheitsgründen nicht

Medizintechnik ist wichtig, sollte zuverlässig sein, nicht ausfallen, nicht gehackt werden können und die Daten des Patienten nicht in falsche Hände gelangen lassen. Jetzt gibt es eine Studie, die zeigt, wie leicht sich die in amerikanischen Krankenhäusern eingesetzten Medizin-Geräte hacken lassen.

In einer über zwei Jahre angelegten Studie durfte Sicherheitsspezialist Scott Erven Krankenhäuser im mittleren Westen der USA besuchen und die dort vorhandenen medizinischen Geräte auf Sicherheitsprobleme untersuchen. Er erwartete, dass er in Krankenhäusern auf IT-Sicherheitsprobleme stoßen würde. Das Ergebnis war aber geradezu schockierend – fast das gesamte medizinische Gerät in den Krankenhäusern war auf einfachste Weise zu hacken.

Erven und sein Team fanden Infusionspumpen, die sich remote steuern ließen, so dass man die Dosierung jederzeit und unkontrolliert ändern konnte. Defibrillatoren mit Bluetooth-Anbindung ließen sich per Bluetooth-Gerät aktivieren, um Schocks beim Patienten auszulösen – oder einen Einsatz des Defibrillators zu verhinden. Röntendaten ließen sich über ein Krankenhaus-Netzwerk von Außenstehenden einsehen, Temperatureinstellungen in Kühleinrichtungen für Blutplasma, Medikamente oder Proben ließen sich aus der Ferne zurücksetzen. Und als Tüpfelchen auf dem i konnten die Sicherheitsfachleute auf Krankenakten zugreifen und diese manipulieren.

Manche Geräte scheinen mit Windows zu laufen – jedenfalls konnte das Team dort Blue Screens auslösen oder die Konfigurierung löschen. Ich frage mich, wie diese Geräte durch die medizinische Zulassung der US Food and Drug Administration (FDA) kommen konnten. Von Evens wurden wohl keine Hersteller und Gerätetypen genannt, weil man erst die größten Probleme fixen will.

Das wir im Internet nicht sicher sind, abgehört, gehackt und abgezockt werden, ist ja spätestens seit den NSA-Veröffentlichungen und der Heardbleet-Geschichte klar. Gibt zwar Leute, die an die heilsame Wirkung von Patches glauben – aber der beste Schutz gegen solche Gefahren ist immer noch "Stecker ziehen und offline bleiben".

Evens und sein Team verfügten über keine Informationen, ob solche Geräte an das Internet angeschlossen waren. Aber in Ami-Land ist ja der Trend "was nicht im Internet ist, taugt nix" – von wegen Internet of Things – da muss die letzte Steckdose noch am Internet hängen. Ein Freundtag für Hacker. Man muss daher ausgehen, dass ein Teil dieser höchst angreifbaren Medizintechnik per Internet gehackt werden kann. Das Team um Evens plant nun Tests, um herauszufinden, ob und welche Technik am Internet hängt. Die gesamte Geschichte könnt ihr bei wired.com lesen.