Medizin: Sicherheitslücken in Infusionspumpen entdeckt
Sicherheitsforscher von McAfee haben gemeinsam mit der IT-Sicherheitsfirma Culinda Schwachstellen bei Pumpen(öffnet im neuen Fenster) des Medizintechnikherstellers B. Braun entdeckt. Durch die Sicherheitsprobleme seien Pumpen manipulierbar gewesen, die nicht in Benutzung waren. Ein Patient könnte so etwa eine andere Dosis erhalten als vorgesehen, während das Display die vorgesehene Menge anzeigt. Das demonstrieren die Forscher in einem Video(öffnet im neuen Fenster) .
McAfee fand fünf verschiedene Sicherheitslücken und teilte diese im Januar B. Braun mit. Die Sicherheitsprobleme ermöglichten es beispielsweise, unverschlüsselt übertragene Konfigurationsinformationen mitzuschneiden. Die Pumpe authentifizierte zudem Datenübertragungen nicht immer ausreichend. Um die Pumpen zu erreichen, müssten sich Angreifer vorher Zugriff auf das lokale Krankenhausnetzwerk verschaffen.
B. Braun sagte dem IT-Magazin Wired(öffnet im neuen Fenster) , das Unternehmen teile nicht die Ansicht von McAfee, dass es sich bei dem beschriebenen Angriff um ein realistisches Szenario handele. Die Probleme beträfen wenige Geräte mit älteren Software-Versionen. Es gebe außerdem keine Hinweise darauf, dass die Schwachstellen in einem realen Szenario ausgenutzt wurden.
Regelmäßige Sicherheitsaudits für Medizintechnik
In einem Sicherheitshinweis aus dem Mai(öffnet im neuen Fenster) wies B. Braun auf die Schwachstellen hin und erklärte dazu, diese würden auf Schwachstellen aus früheren Software-Versionen beruhen, die im Oktober 2020 bekannt wurden. B. Braun forderte die Anwender auf, die neueste Software-Version aus dem letzten Oktober zu nutzen und empfahl Maßnahmen zur Netzwerksicherung.
McAfee bestätigt, dass die Entwicklung eines Exploits zeitaufwändig und komplex war. Der erste Netzwerk-Angriffsvektor sei in der neuesten Pumpenversion entfernt worden, "trotzdem bräuchte ein Angreifer lediglich eine weitere netzwerkbasierte Schwachstelle, und alle übrigen festgestellten Techniken und Schwachstellen könnten genutzt werden, um die Pumpen zu kompromittieren" , heißt es in McAfees Zusammenfassung(öffnet im neuen Fenster) . Steve Povolny von McAfees Advanced Threat Research Group sagte Wired(öffnet im neuen Fenster) , dass sich bereits mit dem ersten Schritt aus der Angriffskette Schaden anrichten und beispielweise Ransomware verteilen lassen würde.
McAfee ruft zu regelmäßigen, unabhängigen Sicherheitsaudits für medizinische Geräte auf. "Ransomware mag im Moment wahrscheinlicher sein, aber wir können nicht ignorieren, dass es so etwas gibt. Alles, was es braucht, ist buchstäblich ein einziges Mal - eine politische Person, ein Attentatsversuch - und wir werden denken, dass wir das verhindern hätten können" , so Povolny.