Der Gedanke an unsichere Medizin- und Pflegeprodukte ist befremdlich. Gerade in einem sensiblen Bereich wie dem Gesundheitswesen vertraut man doch als Betroffener auf die bestmögliche Hilfe. Doch gerade bei der fortschreitenden Digitalisierung und Vernetzung im Gesundheitswesen tauchen zunehmend Schwachstellen in vernetzten Medizin-, IoT- und Altenpflegeprodukten auf. Werden solche Schwachstellen entdeckt oder sogar ausgenutzt, stellt dies für Nutzer und Hersteller dieser Produkte oft ein großes Problem dar.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat daher die Projekte “ManiMed – Manipulation von Medizinprodukten” und “eCare – Digitalisierung in der Pflege” initiiert, um die IT-Sicherheit ausgewählter Produkte bewerten zu können.
Die nunmehr veröffentlichten Studien des BSI ermöglichen es Herstellern, die IT-Sicherheitseigenschaften ihrer Produkte zu verbessern. Zudem werden die Anwender von Medizinprodukten darüber informiert, welche IT-Sicherheitseigenschaften kritisch sein könnten. Verbesserte IT-Sicherheitseigenschaften stärken das Vertrauen der Patientinnen und Patienten sowie der Ärzte und Ärztinnen in die Sicherheit vernetzter Medizinprodukte. In der Studie wurden insgesamt sechs Produkte aus unterschiedlichen Kategorien IT-sicherheitstechnisch untersucht.
An der Erstellung der eCare-Studie hat SRC maßgeblich mitgewirkt. Im Fokus der Studie standen vernetzte Produkte (sowohl Medizin- als auch IoT-Produkte), die im Bereich der Alten- oder Krankenpflege Anwendung finden. Hierzu zählen beispielsweise Geräte zur Vitaldatenmessung oder ein Tablet für Senioren. Es wurden insgesamt sechs Produkte aus unterschiedlichen Kategorien IT-sicherheitstechnisch untersucht.
Die Ergebnisse der Studie finden Sie auf der Webseite des BSI zum Download.
Zusammenfassend lässt sich das IT-Sicherheitsniveau der untersuchten Produkte mit schlecht bis sehr schlecht bewerten. Die Ergebnisse lassen belastbar vermuten, dass keines der untersuchten Produkte samt seiner Schnittstellen, Apps etc. einer professionellen Sicherheitsevaluierung, einem unabhängigen Penetrationstest oder ähnlichem unterzogen worden ist.
