Diverse Schwachstellen machen Herzschrittmacher & Co. angreifbar

Sicherheitsforscher haben vor fatalen Konsequenzen gewarnt, die Sicherheitslücken in medizinischen Implantaten nach sich ziehen können. Bei einer Untersuchung aktuellster Geräte hätten sich diverse Schwachstellen gezeigt, die lebensbedrohlich sein können. Laut einem Bericht der BBC wurden von Experten der Universitäten Leuven (Belgien) und Birmingham (Großbritannien) zehn verschiedene Implantate einer genaueren Prüfung unterzogen. Darunter befanden sich beispielsweise Herzschrittmacher mit Funkschnittstellen, die Ärzten eigentlich genaue Informationen über den Gesundheitszustand des Trägers liefern sollen.

Das kleinste Problem besteht hier noch darin, dass Angreifer aufgrund von Sicherheitslücken auf solche Systeme zugreifen und hochsensible Daten über den jeweiligen Patienten abgreifen können. Im schlimmsten Fall kann es sogar gelingen, die Einstellungen zu verändern oder die Geräte schlicht ganz abzuschalten.

Verstecken hilft nicht

Die Hersteller der fraglichen Systeme waren offenbar der Auffassung, dass es ausreicht, bei der Kommunikation auf proprietäre Protokolle zu setzen, für die es keine öffentliche Dokumentation gibt. Das ist aber keine Sicherheitsgarantie. Die Sicherheitsforscher konnten per Reverse Engineering problemlos nachvollziehen, wie die Datenübertragung umgesetzt ist und Schwachstellen in den Protokollen finden.

Etwas zweifelhaften Schutz bietet lediglich die Reichweite von wenigen Metern, die zumindest verhindern dürfte, dass Angreifer auf gut Glück Implantate angreifen. Keine Sicherheit bietet dies hingegen, wenn eine ausreichend technisch bewanderte Person auf das Erbe des ohnehin nicht besonders geliebten Onkels aus ist, der bei der Familienfeier im Nebenraum sitzt.

Die untersuchten Implantate stammten nach Angaben der Forscher alle von einem Hersteller. Dass ausgerechnet diese untersucht wurden, ergab sich aus der Tatsache, dass der Anbieter zu den führenden Herstellern gehört und die Geräte bereits in größerem Umfang eingesetzt werden. Aus nachvollziehbaren Gründen wurde der Name des fraglichen Unternehmens nicht veröffentlicht, dieses aber über die Ergebnisse informiert.