Die Vernetzung von Medizinsystemen führt zu einer Zunahme von cyberkritischen Bedrohungen. Einer, der sich damit auskennt, ist Steffen Zimmermann von der AG Produkt- und Know-how-Schutz, VDMA Informatik.

Mit „Medjack“ geistert ein neues Kunstwort für das Medical Device Hijacking nicht nur durch die Fachpresse. Wie ernst ist diese Bedrohung tatsächlich?

Medjack, also das Medical Device Hijacking, ist leider keine wissenschaftliche Herausforderung mehr, sondern Realität. Im Bereich Healthcare ist Medizintechnik das Angriffsziel der Wahl – nicht zuletzt durch die zunehmende Anzahl an Schnittstellen. Das macht den Hackern das Leben immer leichter.

Mit welchen Angriffen wir bereits jetzt rechnen müssen, zeigen die „Erfolge“ in den USA, wo sich die organisierte Kriminalität längst auf den Handel mit Patientendaten spezialisiert hat. Mit 5,6 Mrd. US-Dollar ist das ein echtes Milliardengeschäft mit entsprechend hohem Schaden. Ein Healthcare-Datensatz bringt im Darknet bis zu 40,- US-Dollar, für einen Kreditkartendatensatz gibt es nicht einmal mehr 2,- US-Dollar. Aufdeckte Hacks von Infusionspumpen, Röntgen- und BGA-Geräten beweisen, dass sich Hersteller der Cyberbedrohung stellen müssen.

Und wie können Medtech-Hersteller darauf reagieren?

Eine sachliche Einordnung der Bedrohungen ist auch im Bereich Medizintechnik notwendig. Zuerst einmal gilt es, die Anforderungen an die Sicherheit von Patienten, Personal, Krankenhäusern, Ärzten und Herstellern herauszufinden. Cyber Security für Medizintechnik bedarf insbesondere eines ganzheitlichen Ansatzes, der Security bereits während der Entwicklung der Medizinprodukte berücksichtigen muss – also Security by Design. Zudem müssen Hersteller auch im Lebenszyklus der Geräte die notwendigen Sicherheitsupdates bereitstellen. Nur verkaufen reicht für die digital vernetzten Geräte nicht mehr aus.

Genügt das im Sommer in Kraft getretene IT-Sicherheitsgesetz, um Schaden abzuwenden?

Ein Gesetz verhindert keine Angriffe. Der Schutz kritischer Infrastrukturen vor Cyberangriffen ist etwas, das wir als Bürger einfordern. Insofern ist das Gesetz ein wichtiger Schritt, dem Hersteller und Betreiber von Infrastrukturen nun auch mit innerem Antrieb folgen müssen. Leider entdecken die meisten erst eine Affinität zur Security, wenn es zu spät ist. Als potenzieller Patient hoffe ich, dass sich diese Wahrheit für Krankenhäuser nicht erfüllt.

Die Fragen stellte Peter Reinhardt

pks.vdma.org/security