Schwachstellen bei Wearables mit medizinischen Teilfunktionalitäten

Der BSI-Bericht zum Projekt „Sicherheit von Wearables mit medizinischen Teilfunktionalitäten“ (SiWamed) hebt hervor, dass viele der getesteten Geräte potenziell anfällig für Angriffe sind. Schwachstellen in der Verschlüsselung, unzureichend gesicherte Kommunikationskanäle und mangelhafte Authentifizierungsmechanismen können es Angreifern ermöglichen, sensible Gesundheitsdaten abzufangen oder zu manipulieren. Gleichzeitig wächst der Markt für Wearables mit medizinischen Teilfunktionalitäten rapide, wodurch das Risiko für sicherheitsrelevante Vorfälle steigt. Wearables, die für die Anwendung am Menschen bestimmt sind und diagnostischen oder therapeutischen Zwecken dienen, gelten als Medizinprodukte gemäß der europäischen Medizinprodukteverordnung.

Personenbezogene Cyberkriminalität

„In den letzten Jahren werden zunehmend Sensoren in sogenannten Wearables zur Erfassung des Gesundheits- und Fitnesszustands genutzt. Wearables sind kleine Computersysteme, die direkt am Körper getragen werden. So ist es  heute möglich, unter anderem die Herzfrequenz, den Blutdruck, den Blutzuckerspiegel, die Sauerstoffsättigung im Blut, das Schlafverhalten oder den Kalorienverbrauch zu messen oder zu berechnen. Wearables verfügen in der Regel über mehrere Schnittstellen und erlauben die Einbindung in Netzwerke. Ebenso sind Wearables häufig mit mobilen Anwendungen (Apps) zur Auswertung und Verwaltung von sensiblen Daten und Erstellung von Statistiken verknüpft“, so das BSI im Abschlussbericht. „Schwachstellen in und an Geräten zur Erfassung von Gesundheits- und Fitnessdaten eröffnen Kriminellen eine neue Form der personenbezogenen Cyberkriminalität. So wäre es zum einen denkbar, dass Wearables gezielt für Angriffe auf Personen verwendet werden, die über eine entsprechende Sensorik verfügen. Auch könnten gezielt Angriffe zur Störung der Genesung von Erkrankten stattfinden, wenn diese beispielsweise ihrer Medikation basierend auf  Sensordaten anpassen.

Robuste technische Schutzmaßnahmen

„Hersteller von Wearables mit medizinischen Teilfunktionalitäten stehen in der Verantwortung, die Datensicherheit ihrer Produkte auf höchstem Niveau zu gewährleisten. Dies erfordert sowohl robuste technische Schutzmaßnahmen als auch regelmäßige Prüfungen durch unabhängige Dritte“, sagt Florian Hockel vom TÜV SÜD, der Hersteller und Anbieter von Wearables mit medizinischen Teilfunktionalitäten mit Test- und Zertifizierungsdienstleistungen unterstützt. Dazu gehören unter anderem Penetrationstests und Schwachstellenanalysen, die Evaluierung der Datenverschlüsselung, Konformitätsbewertungsverfahren sowie Sicherheitsaudits für Cloud- und App-Umgebungen. „Nur durch systematische Sicherheitsprüfungen und kontinuierliche Verbesserungen können alle Beteiligten das Vertrauen in digitale Gesundheitstechnologien stärken“, sagt Florian Hockel.

Die Ergebnisse des BSI-Berichts zeigen: Cybersicherheit ist für Hersteller von Wearables mit medizinischen Teilfunktionalitäten kein optionaler Zusatz, sondern eine zentrale Anforderung. Unternehmen, die frühzeitig in Sicherheitsprüfungen investieren, können die gesetzlichen Anforderungen erfüllen und sich auch einen entscheidenden Wettbewerbsvorteil sichern.