Medizinische Geräte aus dem Internet angreifbar ?

Bereits vor einigen Jahren hatte ich über ein grundsätzliches Problem mit vernetzten Medizinprodukten berichtet. Im Kern ging es um das Medizinproduktgesetz und dessen Folgen für die Sicherheit von medizinischen Geräten.

Heise Securitiy berichtete nun in einem Beitrag wiederum über Sicherheitslücken.

Hier wird auf Windows-XP als Sicherheitsproblem hingewiesen. Aus meiner Sicht bleibt – wie damals von mir berichtet – das statische Medizinproduktegesetz das Hauptproblem. Im Einzelfall sind die beschriebenen Probleme noch nicht relevant, da wichtige Medizinprodukte in der Klinik meist nicht mit dem Internet verbunden sind, das grundsätzliche Problem jedoch bleibt.

Den seinerzeitigen Artikel kann man hier finden.

Open Source in der Medizin?

Einer Heise Meldung zu Folge möchte  Medfoss.apfelkraut.org einen umfassenden und strukturierten Überblick über freie Software für das Gesundheitswesen geben. Derzeit sind dort über 120 Projekte vom Krankenhausmanagement bis zu spezieller Software für Zahnärzte gelistet, sortiert sowohl nach Art der Anwendung als auch nach der Funktion im Rahmen einer Praxis oder eines Krankenhauses. Projekte können bewertet und kommentiert werden.

Medfoss beschreibt sich selbst wie folgt:

Medfloss.org should provide a comprehensive and structured overview of Free/Libre and Open Source Software (FLOSS) projects for the health care domain. Moreover it should offer a platform to foster the exchange of ideas, knowledge and experiences about these projects.

Aus meiner Sicht, wie auch aus Sicht eines Kommentators, ist das Problem dabei das Medizinproduktegesetz.  Ein Medizinprodukt ist ein zertifiziertes Produkt, welches einen Patienten nicht gefährden soll. Hierfür gibt es ein kostenpflichtiges Zulassungsverfahren, so dass der Open Source Gedanke damit aus meiner Sicht unterlaufen wird. Beispiele für solche Medizinprodukte sind EKG-Geräte, Röntgensysteme, Ultraschallgeräte und vieles mehr. Alles Systeme, die heutzutage mit Computersystemen ausgestattet sind, fast ausnahemslos also mit Windows Systemen. Jeder neue Patch des Betriebssystems ist eine Änderung des Medizinproduktes, das also neu auf seine Ungefährlichkeit hin zertifiert werden müßte. Die Systeme einfach selbst zu patchen hilft nicht weiter, denn dann verliert man die Herstellerhaftung des Medizinproduktes.

Doch das Hauptproblem, in welchem sich ein Krankenhaus von einem Betrieb unterscheidet, ist der Einsatz von vernetzten Medizinprodukten.

Und hier beginnt das Problem. Wie gesagt ist ein Medizinprodukt  ein zertifiziertes Produkt, welches einen Patienten nicht gefährden soll. Damit dies gelingt, wird das Produkt sozusagen “eingefroren” –  es wird also in einem Zustand ausgeliefert, der zuvor bezüglich des Risikos analysiert und bewertet wurde. Für herkömmliche Produkte ist das auch genau die richtige Methode. Schlimm wird es, wenn wir von “vernetzten Medizinprodukten” reden. Also einer Kombination eines herkömmlichen Medizinprodukts mit einer IT-Komponente die am Netzwerk angeschlossen wird.

Dieses System ist immer noch statisch, da der Hersteller alle Patches (als Änderungen am Produkt) freigeben muss. Wir haben also eine Verzögerung zwischen der Herausgabe eines Patches von einem Softwarehersteller und der Überprüfung und Freigabe des Patches durch einen weiteren Hersteller, dem des Medizinprodukts. Im schlimmsten Fall übrigens ist es so, dass ein Hersteller von Medizinprodukten sein System niemals patched. Was nach meiner Erfahrung eher die Regel, als die Ausnahme ist.

Quelle:

Heise Meldung

früherer Artikel zum Thema Medizinprodukte

Kritische Lücken in Microsoft Betriebssystemen – Gefahren für Krankenhäuser?

Jeder Anwender von Microsoft Betriebssystemen kennt das: Microsoft hat einen Patch für eine neue Sicherheitslücke bereitgestellt, die als „kritisch“ einstuft wird. Jeden zweiten Mittwoch im Monat wird man zum Download und Installation der neuen patches aufgefordert.

„Kritisch“ ist bei Microsoft hierbei wie folgt definiert: „Eine Schwachstelle, die für die Verbreitung eines Internet-Wurms ausgenützt werden kann, ohne dass hierfür spezielle Aktionen des Benutzers erforderlich sind.“

Während normale Unternehmen die Firewall überprüfen, den Patch möglichst schnell am lokalen Server durchwinken und hoffen, dass sie kein Bastelsystem (für die gelten nämlich meisten Sonderregeln) vergessen haben, sieht das für die Krankenhäuser anders aus.

Gründe hierfür sind wie folgt:
– Der technische Stand der IT ist um Jahre zurück (gegenünber Unternehmen)
– angespannte Finanzlage lässt keine ausgeprägten IT-Sicherheitsmaßnahmen zu
– gewachsene Strukturen – Umsturkturierungen sind sehr teuer
– keine Verpflichtung, IT-Krisenmanagementpläne vorzuhalten

Doch das Hauptproblem, in welchem sich ein Krankenhaus von einem Betrieb unterscheidet, ist der Einsatz von vernetzten Medizinprodukten.

Und hier beginnt das Problem. Ein Medizinprodukt ist ein zertifiziertes Produkt, welches einen Patienten nicht gefährden soll. Damit dies gelingt, wird das Produkt sozusagen „eingefroren“ –  es wird also in einem Zustand ausgeliefert, der zuvor bezüglich des Risikos analysiert und bewertet wurde. Für herkömmliche Produkte ist das auch genau die richtige Methode. Schlimm wird es, wenn wir von „vernetzten Medizinprodukten“ reden. Also einer Kombination eines herkömmlichen Medizinprodukts mit einer IT-Komponente die am Netzwerk angeschlossen wird.

Dieses System ist immer noch statisch, da der Hersteller alle Patches (als Änderungen am Produkt) freigeben muss. Wir haben also eine Verzögerung zwischen der Herausgabe eines Patches von einem Softwarehersteller und der Überprüfung und Freigabe des Patches durch einen weiteren Hersteller, dem des Medizinprodukts. Im schlimmsten Fall übrigens ist es so, dass ein Hersteller von Medizinprodukten sein System niemals patched. Was nach meiner Erfahrung eher die Regel, als die Ausnahme ist.

Beispiele für solche Medizinprodukte sind EKG-Geräte, Röntgensysteme, Ultraschallgeräte und vieles mehr. Alles Systeme, die heutzutage mit Computersystemen ausgestattet sind, fast ausnahemslos also mit Windows Systemen.

Jeder neue Patch des Betriebssystems ist eine Änderung des Medizinproduktes, das also neu auf seine Ungefährlichkeit hin zertifiert werden müßte. Die Systeme einfach selbst zu patchen hilft nicht weiter, denn dann verliert man die Herstellerhaftung des Medizinproduktes.

Schwierig wird es mit den Unmengen von vernetzten Medizinprodukten werden. In diesem Fall sind die Auswirkungen bestenfalls ein Ausfall des Systems (denn dann haben die Mediziner wenigstens einen definierten Status) aber auch im schlimmsten Fall ein unentdeckt inkorrekt laufendes System, welches falsche Diagnosen liefert, erstellte Röntgenbilder nicht mehr abspeichert oder Alarme bei Vitalmonitoren nicht mehr weitergibt.

Wer hat schon einmal als Arzt oder IT Spezialist im Krankenhaus Erfahrungen mit diesem Problem gemacht? Kommentare erwünscht!

via XING – Gruppen – Meine Gruppen – Medizin – IT – Artikelbaum „Neue kritische Microsoft Lücke – besondere Gefahren für die Krankenhäuser“