Original-URL des Artikels: https://www.golem.de/news/sicherheit-und-medizin-hack-den-herzschrittmacher-1512-118231.html    Veröffentlicht: 29.12.2015 13:24    Kurz-URL: https://glm.io/118231

Sicherheit und Medizin

Hack den Herzschrittmacher!

Marie Moe will mehr über das Implantat wissen, das sie am Leben hält: Welche Schnittstellen hat ihr Herzschrittmacher? Wie sieht sein Code aus? Wer kann ihre Daten sehen?

Seit Marie Moe einen Herzschrittmacher implantiert bekommen hat, betrachtet sie sich als Teil des Internets der Dinge. Denn ihr Implantat hat zwei Schnittstellen, von denen eine dazu dient, Daten zu ihrer Herzaktivität über das Internet zu einem Arzt zu senden. Viele Patienten und auch Ärzte dürften das vor allem praktisch finden, weil es die Überwachung des Gesundheitszustands erleichtert. Moe sieht das ein wenig anders.

Die Norwegerin hat zum Thema Informationssicherheit promoviert, sie hat für Norwegens nationales Computer Emergency Response Team (Cert) gearbeitet, heute ist sie Mitglied einer Forschungsgruppe. "In sechs Jahren muss die Batterie meines Herzschrittmachers ausgetauscht werden", sagte sie in ihrem Vortrag auf dem 32. Chaos Communication Congress (32C3) in Hamburg, "und wenn es so weit ist, werde ich eine sehr schwierige Patientin sein". Eine, die ihren Ärzten viele Fragen stellt, die sie vielleicht nicht beantworten können.

Die 37-Jährige stört sich daran, wie undurchschaubar das lebenswichtige Gerät in ihrem Brustkorb für sie ist. Wie sieht die Software aus, was genau tut sie, wo hat sie vielleicht Schwächen? All das möchte sie wissen, weil sie es gewohnt ist, eine informierte Konsumentin zu sein.

Hersteller haben keinen Anreiz zur Transparenz

Informationen über Herzschrittmacher sind aber rar. Hersteller hatten bisher weder einen Anreiz noch einen zwingenden Grund, ihre proprietären Programme zu öffnen und Details zu veröffentlichen. Selbst wenn sie es täten: Wie informiert kann ein Konsument sein, wenn er sowohl etwas von Software, Datensicherheit und Verschlüsselung als auch von Kardiologie wissen muss, um seinen Herzschrittmacher verstehen zu können?

Marie Moe und der Sicherheitsforscher Éireann Leverett wollten mit ihrem Vortrag auf dem 32C3 ein Bewusstsein unter ihresgleichen für diesen Mangel an Information schaffen. Im aufkommenden Internet der Dinge sind solche Wissenslücken keine Seltenheit, werden aber zum Beispiel bei kryptographischen Anwendungen längst nicht mehr hingenommen. Mitunter entwarfen die beiden dabei Bedrohungsszenarien, die sie selbst für unwahrscheinlich halten: Da ging es plötzlich um kriminelle Hacker, die einen Herzschrittmacherträger erpressen könnten. Um andere Forscher wie den 2014 verstorbenen Barnaby Jack, der Träger von Implantaten aus mehreren Metern Entfernung hätte umbringen können. Um "Geschichten über Menschen, die wegen eines Softwarefehlers in ihrem Implantat gestorben sind".

Keine Angst vor Mordversuchen übers Internet

Später stellte Moe auf Nachfrage klar, dass sie nur von einem einzigen Fall wisse, in dem Letzteres passiert sei. Was kaum verwunderlich ist, denn die Hersteller dürften extrem genau auf ihre eigene Software achten. Sollte eine Firma in Verruf geraten, unzuverlässige Herzschrittmacher zu verkaufen, wäre sie sofort aus dem Geschäft.

Dementsprechend macht sich auch Moe darüber nicht die größten Sorgen. "Ich habe auch keine Angst, dass jemand meinen Schrittmacher hackt und mich tötet", sagte sie. Im Gegenteil, sie will ausdrücklich, dass Hacker sich mit den zunehmend vernetzten medizinischen Geräten beschäftigen, um sie sicherer zum Beispiel vor dem unbefugten Zugriff von außen auf persönliche Daten zu machen.

Sie selbst hat verschiedene medizinische Geräte bei Ebay ersteigert und angefangen, diese auf Schwachstellen zu untersuchen. Was sie fand, waren zunächst einmal nicht gelöschte Daten von Vorpatienten. Ihren eigenen Schrittmacher hat sie allerdings noch nicht auf die Probe gestellt.

Die Motivation für ihre Mission ist nicht zuletzt ihre persönliche Erfahrung. Kurz nachdem sie ihren Schrittmacher bekommen hatte, erfuhr sie am eigenen Leib, welche Macht die Maschine in ihrem Brustkorb über sie hat. Sie stieg gerade eine sehr lange Treppe in einem Londoner U-Bahnhof hinauf, da glaubte sie, "vor eine Wand zu laufen". Sie bekam kaum noch Luft und schleppte sich mit letzter Kraft nach oben. Den Warnhinweis, dass Herzpatienten die Treppe nicht benutzen sollten, hatte sie übersehen.

Hackt, um Leben zu retten!

Anschließend wollte Moe wissen, was passiert war. Also fing sie an, Informationen über ihr Schrittmachermodell zu suchen. Mithilfe von Google fand sie die Betriebsanleitung. "Ich war ein bisschen überrascht zu erfahren, dass mein Schrittmacher zwei Drahtlosschnittstellen hat", sagte sie. Sie hatte zuvor nur von einer gewusst. Die nutzt ihr Arzt für Routineuntersuchungen, dazu muss er sein Diagnosegerät nah an ihren Körper halten. Die zweite Schnittstelle ermöglicht es, ein Aktivitätsprotokoll des Schrittmachers zu erstellen und dem Arzt zu schicken. Dazu ist ein Zugangsgerät nötig, das mehrere Meter von der Patientin entfernt stehen kann. Dieses Gerät wiederum kommuniziert über das Internet mit dem Computer des Arztes. "Für mich ist das vor allem eine vergrößerte Angriffsfläche", sagte Moe.

Was den Kollaps auf der Treppe ausgelöst hat, erfuhr sie jedoch erst später beim Arzt: Es stellte sich heraus, dass ihr Schrittmacher so eingestellt war, dass er maximal 160 Schläge pro Minute zuließ, was für einen jungen Menschen nicht besonders viel ist, bei einem Herzpatienten aber ein Anzeichen für einen Infarkt sein kann. Moe hatte diese Marke auf der Treppe erreicht. Der Schrittmacher ging vom Ernstfall aus und halbierte ihren Puls schlagartig. Das war die "Wand".

"Hackt, um Leben zu retten!", rief Moe dem Publikum in Hamburg zu. Sie selbst engagiert sich in der Initiative I Am The Cavalry, einer Gruppe von Freiwilligen, die dazu beitragen wollen, dass vernetzte Geräte für Medizin, Verkehr, Häuser und öffentliche Infrastruktur vertrauenswürdig sind.

Sie wünscht sich fünf Dinge: Open-Source-Medizintechnik, spezielle Kryptographie-Lösungen für die Übertragung medizinischer Daten, eine Netzwerküberwachung für das Monitoring zu Hause, verstärkten Schutz vor Störsendern sowie eine Möglichkeit, forensische Beweise zu sammeln, falls ihr Schrittmacher oder das Monitoring-Equipment eine Fehlfunktion haben.  (zeit-pb)


Verwandte Artikel:
Playstation 4: Firmware 4.55 gehackt und Spiele verwendet   
(01.03.2018, https://glm.io/133090 )
BSA-Studie: Deutschland ist favorisierter Standort für die Cloud   
(06.03.2018, https://glm.io/133175 )
Stiftung Warentest: Zu wenig Datenschutz in Dating-Apps   
(21.02.2018, https://glm.io/132890 )
Soziale Medien: Facebook-Forscher finden Facebook problematisch   
(17.12.2017, https://glm.io/131713 )
Google: Deep-Learning-System analysiert Augenscans nach Krankheiten   
(20.02.2018, https://glm.io/132869 )

© 1997–2019 Golem.de, https://www.golem.de/