Ein eigener Krankenhausaufenthalt war für den IT-Experten Johannes Rundfeldt eine Art Schlüsselerlebnis. Nach einer Operation wurden Rundfeldt mittels einer Infusionspumpe Opiate gegen die Schmerzen verabreicht. Rundfeldt war während der Prozedur langweilig, weshalb er den werksseitigen Sicherheitscode im Handbuch des Gerätes recherchierte. Rundfeldt wurde fündig und hätte die Pumpe eigenmächtig verstellen können, wie er der „Neuen Zürcher Zeitung“ berichtete. Als er den behandelnden Arzt darauf ansprach, habe dieser erstaunt reagiert, so Rundfeldt weiter.

Die Anekdote wirft ein Schlaglicht auf ein Problem, das im Gesundheitswesen im besseren Fall zu wenig bekannt ist, im schlimmeren geleugnet oder gar vertuscht wird. Wie sicher sind lebenswichtige Medizinprodukte wie Insulinpumpen oder Herzschrittmacher? Kleiner Spoiler: weniger als man hoffen und wünschen kann.

Krankenhäuser im Visier von Cyberkriminellen

Dabei ist der Gesundheitssektor in jüngster Zeit vermehrt ins Visier von Cyberkriminellen geraten. Im Oktober 2024 etwa griffen Hacker das Evangelische Johanesstift in Berlin mit einer Ransomware-Attacke an und legten die meisten IT-Systeme der Klinik lahm. Nur dank eines Notfallkonzepts konnte der Betrieb einigermaßen aufrechterhalten werden. Schlimmer war ein Hackerangriff in Finnland. Dort drangen Kriminelle in das Datennetz eines Betreibers einer Software von Psychotherapiesitzungen ein und entwendeten Gesprächsprotokolle. Anschließend erpressten sie Patienten mit intimen Details aus den Sitzungen.

Bis vor einigen Jahren sei es für Cyberkriminelle ein moralisches Tabu gewesen, das Gesundheitswesen anzugreifen, sagt Rundfeldt. Dies habe sich mittlerweile geändert. Dennoch scheint das Problembewusstsein bei Krankenhausbetreibern und bei Behörden nur gering ausgeprägt zu sein. Das bayerische Gesundheitsministerium etwa wiegelte auf Anfrage der Münchner „Abendzeitung“ ab: In Bayern müssten sich Patientinnen und Patienten keine Sorgen machen, heißt es lapidar. Infos zu Notfallplänen der Krankenhäuser habe man nicht. Für die Sicherheit von Medizinprodukten seien die Hersteller verantwortlich.

Genau da scheint allerdings das Problem zu liegen. In der Branche wird bei Nachfragen gerne gemauert. Auf Anfrage der „NZZ“ lehnte der Hersteller Medtronic ein Interview ab und versicherte stattdessen schriftlich, alles zu unternehmen, um „böswillige externe Angriffe auf Medizinprodukte und deren Software auszuschließen“.

Dabei ist es beispielsweise Experten aus den USA längst gelungen, Herzschrittmacher oder Insulinpumpen zu manipulieren, indem sie in die Programmiercodes eindrangen. So hätten sie die Geräte nach Belieben verstellen und Patienten beispielsweise mit einer Überdosis leicht töten können. Ähnliches gilt für Herzschrittmacher. Auch diese können manipuliert werden. „Damit hätten sie (die Experten, Anmerkung der Redaktion) eine lebensbedrohliche Stimulierung des Herzens auslösen können“, konstatiert der Medizinische Dienst Bund.

Hersteller von Medizinprodukten in der Pflicht

Dabei lässt sich nicht einmal behaupten, dass von staatlicher Seite nichts gegen Manipulationsversuche getan würde. Das Bundesamt für Sicherheit in der Informationstechnik wurde zum Beispiel aktiv, als der berüchtigte Virus WannaCry 2017 weltweit auch die Systeme von Krankenhäusern angriff. Das Bundesamt veröffentlichte im Jahr darauf die Empfehlung „Cyber-Sicherheitsanforderungen an netzwerkfähige Medizinprodukte“, das die Hersteller verpflichtet, Sicherheitsrisiken zu ermitteln, zu bewerten und geeignete Maßnahmen zu ergreifen. Schwerwiegende Vorkommnisse müssten laut einer EU-Verordnung an das Bundesinstitut für Arzneimittel und Medizinprodukte gemeldet werden.

Die Hersteller reagieren unterschiedlich. Viele stellen Patches oder Updates zur Verfügung, um ihre Geräte sicherer zu machen. Bei älteren Modellen, die immer noch in Betrieb sind, funktioniere dies aber oft nicht. Darauf weist der Medizinische Dienst Bund hin. Manchmal hilft auch nur der Druck aus dem Ausland, etwa durch die amerikanische Zulassungsbehörde FDA. Wie die „NZZ“ berichtet, habe diese einem Insulinpumpenhersteller mit dem Entzug der Zulassung für das Produkt gedroht, wenn nicht nachgebessert werde. Dieses Vorgehen zeigte Wirkung. Mithilfe einer Cybersecurity-Firma wurden Sicherheitslücken doch noch geschlossen.