Die Sicherheit von Medizingeräten wird in der Fachpresse immer wieder diskutiert. Dabei zeigt sich, dass auf verschiedenen Ebenen Herausforderungen bestehen, die das Etablieren von robusten Produkten erschweren. Im Artikel von Marc Ruef für Medinside mit dem Titel Lebensgefahr durch Sicherheitslücken in Medizingeräten beschreibt er, welche Probleme gegeben sind und zeigt mögliche Ansätze auf, wie diese zukünftig angegangen werden können. Der Artikel steht sowohl auf Deutsch als auch auf Französisch zur Verfügung.

Computerviren in Schweizer Kliniken

Zu Beginn des Jahres wurde bekannt, dass im Rahmen einer Sicherheitsüberprüfung schwerwiegende Schwachstellen in Kliniksystemen gefunden wurden. Dies überrascht nicht, denn das Risiko ist unter Spezialisten seit Jahrzehnten bekannt. Damit umzugehen ist jedoch erstaunlich schwierig. Hersteller, Kliniken und Regulatoren müssen hier gemeinsam nachbessern.

Unser Unternehmen ist spezialisiert auf Sicherheitsüberprüfungen von IT-Systemen. Unter anderem fokussieren wir uns auf die Analyse von Medizingeräten. In der Vergangenheit konnten wir eine Vielzahl an Schwachstellen finden und zusammen mit Herstellern und Kliniken adressieren. Dies ist jedoch eine schwierige und vor allem auch undankbare Aufgabe.

Hersteller

Das Problem beginnt mit der Entwicklung von Medizingeräten. Diese werden traditionell durch Firmen umgesetzt, die nicht oder nur indirekt aus dem IT-Bereich stammen. Produktentwickler und Ingenieure legen weniger den Fokus auf Cyber-Risiken. Die Marktzulassung für Medizingeräte kann sich nicht auf einer tiefen technischen Ebene mit den IT-Gefahren auseinandersetzen, weshalb hier keine echte Verbindlichkeit gegeben ist. Die Risiken werden entweder vernachlässigt oder unterschätzt. Als Argumente wird vorgetragen, dass sowieso niemand ein Interesse an einem Angriff habe und dessen Umsetzung sich ob der exotischen Technologien sowieso besonders schwierig gestalten würde. Das stimmt nicht.

Kliniken

Die Geräte werden dann von Kliniken evaluiert, eingekauft und installiert. Das Kriterium «Cybersicherheit» spielt dabei eine untergeordnete Rolle. Funktionalität und Preise sind die typischen Treiber. So werden auch keine vertraglichen Pflichten bezüglich Sicherheit durch die Hersteller durchgesetzt (z.B. wie wird mit Schwachstellen umgegangen, bis wann werden diese adressiert). Die Kliniken wollen und müssen die Produkte dann auch möglichst uneingeschränkt nutzen können. Da Anpassungen an den Geräten nicht ohne weiteres möglich sind, müssten sie in bestehende Sicherheitsumgebungen eingebettet werden. Doch selbst übliche Mechanismen wie Netzwerksegmentierung und Firewalling werden nach Möglichkeiten vermieden. Sie könnten unerwartete Effekte im Betrieb einführen und gar zu kritischen Situationen führen. Werden konkrete technische Schwachstellen in Medizinprodukten gefunden und den Herstellern gemeldet, reagieren diese entweder gar nicht oder abweisend. In der Regel besteht der Erstkontakt mit Anwälten, die einschüchtern wollen. Der Hersteller scheut sich nämlich vor dem Aufwand, die Schwachstelle zu beheben und sich erneut um die Marktzulassung zu kümmern.

Patienten

Die Kliniken sind den säumigen Herstellern oftmals. Wenn diese ein Problem nicht beheben wollen, kann die Klinik selten das Adressieren der Schwachstellen erzwingen, oft keine Massnahmen eigenmächtig umsetzen oder mal eben auf ein alternatives Produkt wechseln. Die Kliniken gehen diesen Konflikten konsequent aus dem Weg. Vor allem auch, da sie mit zusätzlichen Investitionen verbunden sein könnten. Die Leidtragenden, die sich gar nicht wehren können, sind die Patienten. Diese werden an die Geräte angeschlossen oder sind anderweitig von ihnen abhängig. Die Manipulation einer vernetzten Infusionspumpe kann zu einer Überdosis und damit zum Tod führen. Und das Unterdrücken von Warnmeldungen auf einem Patientenmonitor verhindert, dass dieser rechtzeitig erkannt wird. Dies alles sind Schwachstellen, die in gewissen Produkten schon gefunden und publiziert wurden.

Was kann sich ändern

Das Ändern dieses Zustands gestaltet sich schwierig. Es gibt keine alleinige Massnahme, die zu einer merklichen Verbesserung führen kann. Stattdessen muss auf allen Ebenen ein Umdenken stattfinden: Die Marktzulassung muss sich auch mit technischen Fragen auseinandersetzen und kurzfristige Anpassungen bei Sicherheitsproblemen vorsehen. Kliniken müssen bei der Wahl der Geräte das Thema Cybersicherheit mitberücksichtigen und die Hersteller in die Pflicht nehmen.

Wenn wir Schwachstellen in Medizingeräten finden und mit der üblichen Sturheit der Hersteller kämpfen, gibt es einen Verbündeten, auf den wir zählen können: Die FDA (Food and Drug Administration) ist in den USA für die Marktzulassung von Medizingeräten zuständig. Die Behörde reagiert höchst allergisch, wenn ein Marktteilnehmer seinen Pflichten nicht nachkommen will. Oft dauert es nur wenige Tage, bis sich die Hersteller für ein offenes Gespräch bereit erklären. Es ist schade, dass es meist diesen Druck braucht, um das Richtige zu tun.

Links

• https://www.medinside.ch/fr/failles-de-securite-des-dispositifs-medicaux-des-vies-en-jeu-20250217
• https://www.medinside.ch/lebensgefahr-durch-sicherheitsluecken-in-medizingeraeten-20250217

Tags