Black Hat

Die Insulinspritze wird zur tödlichen Waffe

Ein Sicherheitsexperte hat auf der Black-Hat-Konferenz auf Sicherheitslücken bei Medizintechnik hingewiesen: Er konnte per Funk aus größerer Entfernung die Kontrolle über medizinische Geräte für Diabetespatienten übernehmen.

Artikel veröffentlicht am 5. August 2011, 17:20 Uhr, Werner Pluta

Blutzuckermonitor: Medizinische Geräte fernsteuern (Bild: Getty Images)

Jerome Radcliffe, Sicherheitsexperte aus den USA, hat auf der Sicherheitskonferenz Black Hat eine Situation erläutert, die einem Spionagethriller entnommen zu sein scheint: Ein Angreifer kann aus der Ferne die Kontrolle über eine Insulinpumpe übernehmen und dem Träger eine tödliche Dosis des Hormons verabreichen.

Menschliches Scada-System

Radcliffe ist selbst Diabetiker und trägt deshalb ständig zwei Geräte bei sich: eine Insulinpumpe und einen Glukosemonitor. Diese Gerätekombination mache aus ihm ein menschliches Scada-System, schreibt er. Radcliffes Kollegen hatten auf der Konferenz bereits auf Sicherheitslücken in Scada-Systemen hingewiesen.

Beide Geräte können über Funk kommunizieren. Radcliffe fand jedoch heraus, dass die Kommunikation nicht verschlüsselt ist. Er konnte diese abhören und mit stärkeren Signalen manipulieren. So brachte er den Glukosemonitor dazu, einen falschen Insulinwert anzuzeigen. Reagiert der Patient darauf und stellt an der Pumpe die Dosis um, bringt er sich in große Gefahr. Schlimmstenfalls kann das seinen Tod bedeuten.

Insulinpumpe kontrollieren

Radcliffe konnte aber auch direkt die Pumpe selbst manipulieren. Sie wird mit einer Fernsteuerung bedient. Er konnte die Pumpe dazu bringen, auf eine andere, fremde Fernbedienung zu reagieren.

Der Sicherheitsexperte experimentierte mit einer Insulinpumpe und zwei verschiedenen Glukosemonitoren und konnte auf alle drei Geräte drahtlos zugreifen. Das funktionierte auch noch aus über einem halben Kilometer Entfernung. Um welche Geräte es sich handelte, verschwieg er bei der Präsentation wohlweislich und teilte mit, die Hersteller informieren zu wollen.