Embex Cybersecurity als Maßanzug: Praxiserfahrungen zur Entwicklung vernetzter Geräte

Auch renommierte Anbieter von Medizintechnik unterschätzen häufig die Gefahr der Manipulation ihrer Produkte durch Hacker. Die Entwicklung sicherer Geräte gelingt mit dem systematischen Betrachten des Produkts aus IT-Systemsicht, fundierter Kenntnis der technischen Möglichkeiten von Hackern und applikativen Branchenkenntnissen.

Anbieter zum Thema

FAULHABER Antriebssysteme

CAQ AG Factory Systems

EPflex Feinwerktechnik GmbH

embeX GmbH

• Medizinische Geräte ein ideales Ziel für Hacker

• Gesundheitseinrichtungen sind selten ausreichend geschützt

• Notwendigkeit einer aussagekräftigen Risikoanalyse

• Cyber-Security schon während der Produktentwicklung erforderlich

Medizinische Geräte müssen häufig sehr schnell einsatzbereit sein. Ihre Nutzung darf dann nicht durch Authentifizierungsmaßnahmen oder Verschlüsselungen, die im IT-Umfeld selbstverständlich sind, beeinträchtigt oder gar blockiert werden. Außerdem werden die Geräte in der Regel in wenig oder gar nicht gesicherten Bereichen verwendet. So ist entgegen der allgemeinen Meinung selbst der Zugang zu Operationssälen selten durch wirksame Maßnahmen vor einem potenziellen Angreifer geschützt. Oft trifft man auf die völlig unrealistische Auffassung, das Krankenhauspersonal könne sicherstellen, dass kein Hacker physischen Zutritt zu LAN-Ports erhält. Das ist aber auf Grund der Personalstärke und des Besucherverkehrs in den Krankenhäusern gar nicht möglich. Die medizinischen Geräte sind damit ein ideales Ziel für Hacker.

Krankenakten sind attraktiv für den Schwarzmarkt

Ein weiteres Risiko entsteht darin, dass ihre Bediener, egal ob Ärzte, Pflege-, Reinigungs- oder Hausverwaltungskräfte, häufig mit den Geräten nicht so umgehen, wie vom Hersteller vorgesehen, und bei einer Fehlbedienung nicht die möglichen Folgen für die IT-Security im Auge behalten. Diese Situation stellt für mögliche Angreifer einen enormen Reiz dar: Eine einzige Krankenakte lässt sich auf dem Schwarzmarkt für durchschnittlich 25 US-Dollar verkaufen. Es sind auch Preise bis 1.000 US-Dollar pro Akte möglich, je nach Patient und Inhalt der Akte. Bedenkt man die große Anzahl der im Krankenhaus-Netzwerk hinterlegten Datensätze und addiert die möglichen Erträge durch eine nachträglich ausgeführte Infrastrukturverschlüsselung durch einen Erpressungs-Trojaner hinzu, kann die Motivation von Hackern auch sehr einfach finanziell beziffert werden.

Trägt der Hersteller die Verantwortung für die IT-Security?

Für den Hersteller von medizinischen Geräten stellt sich angesichts dieser Probleme die Frage, ob er tatsächlich die komplette Verantwortung für die IT-Security tragen und alle damit einhergehenden Risiken entsprechend tiefgehend betrachten und bewerten kann und will. Versagt er, kann ein unsicheres Gerät, das ein Einfallstor für einen Angreifer war, schließlich einen beträchtlichen Image-Schaden des Herstellers zur Folge haben.

Normativ betrachtet, müssen in der Produktentwicklung Prozesse zur sicheren Implementierung geschaffen und – aufbauend auf einer vollumfänglichen IT-Security-Risiko-Bewertung mit entsprechend weitreichendem Threat-Modeling – etabliert werden. Wird hierbei nur ein einziges Glied in der Kette übersehen, kann dies zur Kettenreaktion und final zu einer ausnutzbaren Schwachstelle führen. Es ist also nicht ausreichend, lediglich einen Kommunikationsweg zu betrachten und beispielsweise auf die Sicherheit einer Verschlüsselung zu hoffen. Gerade in Krankenhäusern ist etwa eine MitM-(Man-in-the-Middle)-Attacke nicht auszuschließen. Eine deutlich tiefere Betrachtung der Kommunikationspartner, Schnittstellen, Protokolle, der implementierten Bibliotheken und der bis dahin bekanntgewordenen Schwachstellen je Versionsstand ist somit die zwingende Voraussetzung für eine aussagekräftige Risikoanalyse.

Entwicklungsprozesse müssen an die Systeme angepasst werden

Ist ein System zu „eng geschnitten“, kann beispielsweise eine vermeintlich sicher wirkende Verschlüsselung unter gezielten Angriffsbedingungen die Hardware überlasten und zum Zusammenbruch führen. Entsprechend kann es fatale Folgen haben, eine Verbindung und Abhängigkeiten zwischen Hardware, Software und Kommunikationsschnittstellen zu übersehen und nur jeden Aspekt separat und ohne Abhängigkeiten zu bewerten. Ist das System wiederum zu „weit geschnitten“, kann eine scheinbar ungefährliche Schwachstelle zu weitaus größeren, vermeintlich kontrollierten Schwachstellen führen und das gesamte System dennoch gefährden. Die genannten Probleme und Zusammenhänge machen deutlich, dass ein sicherer Entwicklungsprozess im Unternehmen nur durch Anpassung der bisherigen Prozesslandschaft erreicht werden kann.

Um außerdem konform zu FDA-Guidelines, BSI-Vorgaben oder IEC/ISO-Normen zu sein, kommt für Hersteller erschwerend hinzu, dass ein Produkt aus Security-Sicht niemals fertig entwickelt sein kann, solange es nicht ordnungsgemäß außer Betrieb genommen worden ist. Das bedeutet, dass IT-Security bereits am Anfang der Planungsphase einer Entwicklung berücksichtigt werden muss – direkt nach der Erstellung des Lastenheftes.

Entwicklung sicherer Security-Produkte erfordert fundierte Kenntnisse

Die Entwicklung sicherer Produkte in Bezug auf Security erfordert fundierte Kenntnisse in den Bereichen Hardware- und Software-Entwicklung, Embedded-Devices im IT-Umfeld, Gerätevernetzung und Schwachstellenanalyse. Ausgeprägtes Know-how in der Usability-Gestaltung und ein hohes Maß an Kreativität während der Schwachstellenfindung sind in der Produktentwicklung zwingend erforderlich, denn nur benutzerfreundliche Geräte werden auch wie vorgesehen genutzt. Erschwert beispielsweise eine Security-Maßnahme die Nutzung des Gerätes, wird es über kurz oder lang entweder einen „selbstgebastelten Workaround“ der Nutzer geben – mit einhergehendem Risiko der Sicherheitslücke – oder das Gerät endet in der hintersten Ecke des OPs und verstaubt. Das ist in keinem Fall im Sinne des Herstellers.

Abschließend sei daran erinnert, dass Cyber-Security nicht nur einmalig während der Produktentwicklung betrachtet werden darf. Schwachstellen in implementierten Bibliotheken werden regelmäßig veröffentlicht und müssen behoben werden. Neue Features müssen hinzugefügt werden können, um auch ältere Systeme an die schnell wechselnde IT-Infrastruktur anzubinden und weiterhin Kompatibilität und einen sicheren Betrieb zu gewährleisten. Entsprechend muss ein Lifecycle- und Patchmanagement für das Produkt erstellt werden. Für den Hersteller medizinischer Geräte bedeutet das unter Umständen die Notwendigkeit von Investitionen und der Aufstockung von Personal – Maßnahmen, die sich mittel- und langfristig aber sicher rentieren werden.

Lesen Sie auch

Wibu-Systems

Wegbereiter für Produktschutz und neue Lizenzierungsmodelle

Vernetzt? Aber sicher! Safety, Security und Privacy in der Medizintechnik

Weitere Artikel über die Entwicklung sicherer Medizingeräte finden Sie in unserem Themenkanal Konstruktion.

* Der Autor: Lukas Fey ist IT-Security Consultant bei der Embex GmbH.

(ID:45765361)