Cyberangriffe auf medizintechnische Geräte – und was man dagegen tun kann

Cyberangriffe treten in vielen unterschiedlichen Formen in Erscheinung. Wenn sie sich allerdings gegen medizinische Einrichtungen, Dienste oder Geräte richten, sind die möglichen Folgen besonders schwerwiegend – für die Patienten sowie Einrichtungen und Behörden im Gesundheitswesen. [...]

Wenn man überprüfen will wie hoch das Cybersicherheitsrisiko für Patienten ist muss man drei Komponenten berücksichtigen: medizinische Einrichtungen, Dienste und die Geräte selbst, denn sie sind der Verbindungspunkt zum Patienten. Alle drei sind unter dem Dach des Internet of Medical Things (IoMT) vereint. Versagt eine der Komponenten, ist der Patient einer Gefahr ausgesetzt, die erhebliche Auswirkungen haben kann. Den Verlust personenbezogener Daten, körperliche Schäden oder sogar den Tod.

Wie geht ein solcher Cyberangriff vonstatten?

Medizinische Einrichtungen verwalten Hunderte, möglicherweise Tausende von Geräten in ihren Krankenhäusern oder Kliniken. Das Arsenal reicht von Geräten zur bildgebenden Diagnostik wie dem MRT, über Infusionspumpen zur Medikamentengabe bis hin zu sehr viel persönlicheren, implantierten Geräten wie Herzschrittmachern oder implantierbaren Kardioverter-Defibrillatoren (ICDs). In einem Krankenhaus in den USA sind es durchschnittlich zwischen 10 und 15 vernetzte Geräte pro Bett. Hacker bevorzugen natürlich ältere Geräte mit teilweise überholten Betriebssystemen, die längst nicht so gut geschützt sind wie neuere Medizintechnik, die mit aktuellen Sicherheitsfunktionen aufwartet. Dazu kommt, dass die Geräte einen vergleichsweise langen Lebenszyklus haben. Das macht Remote-Updates zu einem Problem und die Geräte zu einem bevorzugten Ziel für Hackerangriffe. Man kann jedes medizinische Gerät hacken, sei es am Krankenbett, in der Bildgebung oder in der Brust eines Patienten.

Zusätzlich kommuniziert jedes vernetzte Gerät entweder über das Netzwerk der Einrichtung oder über einen Gateway, der eine direkte Verbindung zur Cloud herstellt. Netzwerke und Gateways sind gleichermaßen angreifbar. Das gefährdet Datenintegrität und Datenschutz. Auch telemedizinische Dienste, die vernetzte Geräte zur Fernüberwachung von Patienten oder Medikation benutzen, sind anfällig.

Worst-Case-Szenarien

Wie schwer ein Angriff letztlich ist hängt von der Absicht des Hackers ab. Personenbezogene Daten wie elektronisch geschützte Gesundheitsdaten (ePHI), personenbezogene Daten (PII) oder elektronische Patientenakten (EPAs) sind für Hacker ein lukratives Ziel. Datenschutzverletzungen bei Kreditkarten sind ziemlich kurzlebig, Kreditkartenunternehmen überwachen inzwischen engmaschig Schwachstellen und Anzeichen, die auf eine Datenschutzverletzung hindeuten.

In der Gesundheitsbranche dauert es aber oft Monate bis eine Datenschutzverletzung entdeckt wird. Hacker haben dann sehr viel länger die Gelegenheit ihr Ziel auszunutzen, bevor der Angriff offenkundig wird.

Wenn es einem Angreifer darum geht, körperliche Schäden zu verursachen, reicht es, eine beliebigen Punkts in der IoMT-Kette zu infiltrieren, Geräte, Netzwerke oder Gateways. Alle sind geeignet genau dieses Ziel zu erreichen.

Eine andere Form des Cyberangriffs besteht darin, ein medizinisches Gerät zu kapern (auch MEDJACK genannt) mit dem Ziel, eine Hintertür einzurichten. Wenn Hacker die Kontrolle über eine Infusionspumpe für Medikamente bekommen und gefährliche Medikamentendosen verabreichen, fügt das einem Patienten unter Umständen schweren Schaden zu. Erlangt jemand die Kontrolle über einen Herzschrittmacher, kann das tödlich enden. Ein Stoff für unzählige Filme und Dramaserien.

Auch die Geräte in der bildgebenden Diagnostik sind in letzter Zeit zu einem beliebten Angriffsziel geworden. Anfang dieses Jahres haben die Experten von Cylera eine Schwachstelle im weltweit anerkannten DICOM-Bildformat aufgedeckt. Das ist ein Standard, der seit über 30 Jahren zur Speicherung von medizinischen Bildern verwendet wird. Dieser veraltete Standard ermöglicht es Hackern, Malware direkt in CT- und MRT-Bilder einzubetten. Wenn Bilder weitergegeben werden, wird gleichzeitig die Malware verbreitet und verteilt sich auf den Workstations, wo die Bilder analysiert werden ebenso wie auf die Handys und Tablets, mit denen sie angesehen werden. Cylera berichtet, dass die Malware „Patientendaten und Malware effektiv miteinander verschmilzt“. Das erschwert es, die Schadsoftware zu entfernen, weil man dabei möglicherweise Patientendaten zerstören würde. Patientendaten unterliegen was ihre Gefährdung oder Vernichtung anbelangt strengen HIPAA-Vorschriften. Die Verantwortlichen befinden sich in einer Zwickmühle.

Das Ergebnis: Patientendaten und die Pflege der Daten sind potenziell gefährdet. Durch die Verbreitung der Malware werden wahrscheinlich personenbezogene Patientendaten herausgeschleust. Wenn man infizierte Bilddateien bemerkt, kann man sie in Quarantäne verschieben, löschen oder anderweitig dafür sorgen, dass sie nicht mehr verfügbar gemacht werden. Das verhindert, dass sich die Malware im gesamten HDO-System verbreitet. Schließlich ist auch noch Ransomware in der Lage einen Host selbst zu infizieren und vollständig zu deaktivieren. Handelt es sich dabei um ein kritisches, lebensrettendes Gerät, hat das für einen Patienten katastrophale Folgen.

Cyberangriffe im Gesundheitswesen verhindern

Patienten sind einzigartig und werden individuell behandelt, um bestmögliche Ergebnisse innerhalb der Gesundheitsversorgung zu gewährleisten. Einen Ansatz, den man auch bei HDO-Geräten, Netzwerken, Gateways und Einrichtungen beherzigen sollte. Es geht um Identität, Authentifizierung, Autorisierung und Datenschutz. Integriert man eine Sicherheitsebene wie PKI verringert man die insgesamt die Angriffsfläche, schreckt Angreifer ab und schützt die Verbindung des Patienten zu lebensrettenden Geräten, Diensten und die Datenkommunikation, die für eine optimale Pflege erforderlich ist.

• Identität, Authentifizierung, Autorisierung und Datenschutz werden über eine verschlüsselte Public-Key-Infrastruktur (PKI) mit eindeutig identifizierbaren Geräteidentitäten bereitgestellt. Eine PKI-Infrastruktur verwendet Verschlüsselung, um Daten (im gespeicherten Zustand oder während der Übertragung) zu schützen, Geräteidentitäten zu verwalten und Datenschutz zu gewährleisten. Und das für Geräte, Netzwerke und Gateways oder für extern bereitgestellte Dienste.
• Die Bereitstellung einer Geräteidentität bietet die Möglichkeit, jedes Gerät durch Binden eines digitalen Zertifikats mit einer starken, eindeutigen Kennung eindeutig zu identifizieren
• Mit Gerät ist hier jeder vernetzte Endpunkt gemeint. Das kann eine Infusionspumpe für Medikamente sein ebenso wie ein CT. Es kann sich auch um einzelne Komponenten eines Geräts oder sogar eine integrierte Schaltung innerhalb einer verbauten Komponente handeln. Gleiches gilt für Gateways und Netzwerkverbindungen. Eindeutige Geräteidentitäten bieten die zur Authentifizierung und Autorisierung erforderliche Identifikation.
• Eine PKI überprüft den Status großer elektronischer Geräte mit langer Lebensdauer wie CT-Scanner und MRTs. Sie aktualisiert das Betriebssystem auf die aktuellste und sicherste Version und sie fordert beim Update der Betriebssystemsoftware einen signierten Code. Die Codesignatur verifiziert, dass das Update nicht von Dritten kompromittiert wurde. Das wiederum schützt Benutzer vor dem Herunterladen kompromittierter Software, verhindert Manipulationen und bietet vertrauenswürdige Sicherheit durch Authentifizierung.
• Wenn man die Verwaltung von Geräten, Netzwerken und Gateways vereinfachen will bietet sich eine Kombination aus einer Informationsplattform für medizinische Geräte (wie etwa von CapsuleTech) und einer integrierten PKI-basierten Geräteidentitätsinfrastruktur an.

Es ist nicht ganz trivial für Ärzte, Krankhäuser und andere Einrichtungen im Gesundheitswesen mit den Entwicklungen im IoMT und den wachsenden Compliance-Anforderungen gleichermaßen Schritt zu halten. Die FDA hat dazu beispielsweise Materialien rund um das Management der Cybersicherheit bei Medizinprodukten zusammengestellt. Jeder Schritt zur Verbesserung der Sicherheit bei Geräten, Gateways und Netzwerken ist ein Schritt für eine sicherere physische Versorgung der Patienten. Letztendlich sind eine qualitativ bessere Patientenversorgung und entsprechende Behandlungsergebnisse das Ziel von IoMT, HDO, Ärzten, Gesundheitsdienstleistern und Pflegepersonal.

*Nisarg Desai ist Director of Product Management bei GlobalSign.