Cybersicherheit – eine echte Bedrohung für medizinische Geräte

Die FDA hat kürzlich eine Sicherheitsmitteilung zu Cybersicherheitslücken des Hospira Symbiq Infusionssystems herausgegeben. Das Hospira Symbiq Infusionssystem ist eine computergesteuerte Pumpe für die kontinuierliche Verabreichung allgemeiner Infusionstherapien an ein breites Patientenspektrum. Die Pumpe wird hauptsächlich in Krankenhäusern oder anderen Einrichtungen der akuten und nicht-akuten Gesundheitsversorgung wie Pflegeheimen und ambulanten Pflegezentren eingesetzt. Das Infusionssystem kann über eine kabelgebundene oder kabellose Verbindung über die Netzwerkinfrastruktur der Einrichtung mit einem Krankenhausinformationssystem (KIS) kommunizieren.

Leider scheint es möglich zu sein, über ein Netzwerk aus der Ferne auf diese Pumpe zuzugreifen. Dadurch können Unbefugte die Pumpe steuern und die Dosierung ändern, was dem Patienten potenziell schaden könnte. Obwohl es bei diesem Produkt offenbar keinen unbefugten Zugriff gab und Hospira es nicht mehr vertreibt, ist die Cybersicherheit weiterhin ein ernstes Problem. Da immer mehr Geräte per Fernzugriff mit Gesundheitsnetzwerken verbunden werden, ist es für Hersteller unerlässlich, entsprechende Sicherheitsvorkehrungen zu treffen.

Im Juni 2013 skizzierte die FDA bewährte Verfahren zur Cybersicherheit von Medizingeräten und Krankenhausnetzwerken. In dieser Mitteilung empfiehlt die FDA Herstellern von Medizingeräten und Gesundheitseinrichtungen, geeignete Sicherheitsvorkehrungen zu treffen, um das Risiko von Ausfällen durch Cyberangriffe zu verringern. Diese können durch die Einschleusung von Schadsoftware in die Medizingeräte oder den unbefugten Zugriff auf Konfigurationseinstellungen von Medizingeräten und Krankenhausnetzwerken ausgelöst werden.

Da medizinische Geräte zunehmend auf vernetzte Kommunikation angewiesen sind, wird die Cybersicherheit zu einem noch größeren Problem. Die FDA hat bereits folgende Verstöße festgestellt:

• Mit dem Netzwerk verbundene/konfigurierte medizinische Geräte, die durch Malware infiziert oder deaktiviert wurden;
• Das Vorhandensein von Schadsoftware auf Krankenhauscomputern, Smartphones und Tablets, die auf mobile Geräte abzielt, die drahtlose Technologie verwenden, um auf Patientendaten, Überwachungssysteme und implantierte Patientengeräte zuzugreifen;
• Unkontrollierte Verbreitung von Passwörtern, deaktivierten Passwörtern, fest codierten Passwörtern für Software, die für den privilegierten Gerätezugriff vorgesehen ist (z. B. an Verwaltungs-, Technik- und Wartungspersonal);
• Nicht rechtzeitige Bereitstellung Updates und Patches für Sicherheitssoftware auf medizinische Geräte und Netzwerke und zur damit verbundene Schwachstellen in älteren Medizingerätemodellen (Legacy-Geräten);
• Sicherheitslücken in Standardsoftware, die einen unbefugten Geräte- oder Netzwerkzugriff verhindern soll, wie etwa Klartext oder keine Authentifizierung, fest codierte Passwörter, dokumentierte Servicekonten in Servicehandbüchern und schlechte Codierung/SQL-Injection.

Als Hersteller medizinischer Geräte ist es wichtig, dass Sie die mit Ihren Geräten verbundenen Risiken identifizieren. Die FDA erwartet von Ihnen, geeignete Maßnahmen zu ergreifen, um unbefugten Zugriff auf das Gerät zu verhindern. Benötigen Sie Unterstützung bei der Implementierung von Sicherheitsvorkehrungen für Ihre Geräte? Wir helfen Ihnen gerne dabei, Produktrisiken zu minimieren.