Infusionssysteme in US-Krankenhäusern angeblich manipulierbar

Der Sicherheitsforscher Billy Rios wirft dem Medizingerätehersteller Hospira vor, seine Geräte seien angreifbar und er reagiere nicht auf bekannte Sicherheitslücken. Dabei handle es sich um ein lebensbedrohliches Risiko: In den USA sind hunderttausende Infusionssysteme von Hospira im Einsatz, die Medikamente mit der ärztlich verordneten Geschwindigkeit und Dosis intravenös zuführen. Rios zufolge ermöglichen Schwachstellen in der Firmware Dritten, die Dosis zu verändern.

Angeblich hochsicheres Infusionssystem der Reihe Lifecare PCS (Bild: Hospira)Rios testet nach eigenen Angaben seit Jahren Krankenhausprodukte, auch von Hospira. Im Mai 2014 hatte er dem Heimatschutzministerium und der Food and Drug Administration (FDA) Schwachstellen in Infusionssystemen des Typs Hospira PCA 3 gemeldet. Diese Pumpsysteme werden vorkonfiguriert, um eine Überdosis durch eine menschliche Fehlleistung auszuschließen. Das Pflegepersonal gibt die Dosierung zusätzlich durch Scannen eines Barcodes ein. Im Fall einer Abweichung oder eines Fehlers ertönt ein Alarm.

Laut Riots damaliger Meldung können Hacker ohne Authentifizierung in die zugehörige Datenbank eindringen und die Dosierungshöchstgrenze erhöhen. Dieses Problem hat Hospira trotz einer Warnung durch die FDA im Mai 2015 bisher nicht behoben. Zudem informierte der Sicherheitsforscher zu diesem Zeitpunkt das Unternehmen, dass auch andere Infusionssysteme betroffen sein könnten. Er erhielt nach eigenen Angaben die Antwort, Hospira sei an solchen Nachforschungen nicht interessiert.

Seit der ersten Meldung sind somit über 400 Tage vergangen. Jetzt meldet sich Rios in einem Blogbeitrag erneut zu Wort: Er hat demnach aus Eigeninitiative weitere Pumpen analysiert und identische sowie noch schwerwiegendere Sicherheitslücken gefunden. So sind die Zugangsdaten für ganze Gerätereihen identisch und nicht wechselbar. Zudem lässt sich die Firmware ohne Zertifikat oder anderen Berechtigungnachweis per seriellem Kabel wechseln. Ein Angreifer könnte so vollständige Kontrolle über das System erlangen, benötigt dafür aber natürlich physikalischen Zugang.

Zudem meldet Riot über 100 Anfälligkeiten und Sicherheitsprobleme aufgrund veralteter Software. Sein Fazit lautet, wenn Hersteller von Medizintechnik sich nicht für Schwachstellen in ihren Geräten interessierten, müsse man eine Alternative zu den bisher vorgeschriebenen Sicherheitskontrollen solcher Geräte finden. Er hoffe aber auf Einsicht.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Kennen Sie die Geschichte der Computerviren? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de