DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | ZIELGRUPPENSPEZIFISCHE ERKENNTNISSE UND LÖSUNGEN Medizinprodukten müssen als potenzielle Einfallstore für Kriminelle gesehen werden. Ihre Ausnutzung könnte die Vertraulichkeit, die Integrität und die Verfügbarkeit von Daten betreffen und möglicherweise zu gesundheitlichem Schaden oder im schlimmsten Fall sogar zum Tod von Patientinnen und Patienten führen. Daher ist die Diskussion zur Cyber-Sicherheit von Medizinprodukten ein Thema, das weltweit nicht nur Hersteller und Betreiber, sondern auch Patientinnen und Patienten bewegt. Das BSI sieht sich in der Verantwortung, die CyberSicherheit im Bereich der vernetzten Medizinprodukte, beispielsweise durch Projekt- oder Gremienarbeit und Publikationen, mitzugestalten und voranzutreiben. Das BSI-Projekt ManiMed – Manipulation von Medizinprodukten - soll im Folgenden näher beleuchtet werden, da eine solche Untersuchung bisher weder auf nationaler noch internationaler Ebene durchgeführt wurde und die Ergebnisse möglicherweise wegweisend für diesen Bereich des Gesundheitswesens sein können. ManiMed – Manipulation von Medizinprodukten Das Projekt ManiMed startete Anfang 2019 und hat den Anspruch bis zum Projektende (Q4/2020), die CyberSicherheitslage von vernetzten Medizinprodukten möglichst realistisch abzubilden. Darüber hinaus soll es dazu beitragen, dass sowohl die Kooperation zwischen allen Beteiligten (Hersteller, Sicherheitsforscher und Behörden) als auch alle Prozesse, die zu einem Coordinated Vulnerability Disclosure (CVD, koordinierte Offenlegung von Schwachstellen in IT-Produkten) gehören, aktiv vorgelebt werden. Dadurch wird die Sensibilität für und die Handhabbarkeit von Schwachstellen gestärkt und so ein Beitrag dafür geleistet, die Cyber-Sicherheit im Bereich von vernetzten Medizinprodukten langfristig auf einem hohen Niveau zu halten. Je zwei Produkte aus fünf unterschiedlichen Gerätegruppen wurden zur IT-sicherheitstechnischen Untersuchung ausgewählt. Diese sollten im Idealfall eine hohe Anzahl an Schnittstellen aufweisen (große Angriffsoberfläche) und erst innerhalb der letzten fünf Jahre in Deutschland in den Verkehr gebracht worden sein. Es wurden Produkte aus den folgenden Geräteklassen ausgewählt: • • • • • Implantierbare Herzschrittmacher oder Defibrillatoren und deren Zubehör, Insulinpumpen, Beatmungsgeräte, Patientenmonitore, Infusionspumpen. zogen und die gefundenen Schwachstellen in Form eines detaillierten Prüfberichts dem Hersteller übermittelt. Im Anschluss wurden diese in vertrauensvoller Zusammenarbeit mit dem Hersteller, den Sicherheitsforschern und dem BSI diskutiert. Der Hersteller erarbeitet aus dem vorliegenden Prüfbericht eine Risikoeinschätzung und leitet ggf. weitere interne Prozesse ein. Das Vorgehen im Projekt orientiert sich an einem CVD, bei dem die gefundenen IT-Sicherheitslücken vorerst nicht veröffentlicht werden (mind. 90 Tage), damit der Hersteller Zeit hat, sie zu beheben und entsprechende Sicherheitsupdates zu entwickeln, zu überprüfen und auszurollen. Sollte der Hersteller anhand der gefundenen Schwachstellen jedoch ein Patientenrisiko im Zuge seiner Risikoeinschätzung erkennen können, so wird das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) als zuständige Aufsichtsbehörde für Medizinprodukte-Vigilanz hinzugezogen. Die Kommunikation zwischen allen Beteiligten und das Sicherstellen von gegenseitigem Vertrauen während der Zusammenarbeit ist, neben der technischen Expertise, ein eminent wichtiger Aspekt in diesem Projekt. Der transparente und offene Umgang mit Schwachstellen und der entsprechende Kommunikationsaustausch in diesem Bereich sind notwendig, um dieses Vertrauen langfristig aufzubauen, zu halten und zu stärken. Erst wenn die Schwachstellen behoben sind, werden sie, in Absprache mit dem Hersteller, veröffentlicht und gegebenenfalls auf einschlägigen IT-Sicherheitskonferenzen vorgestellt. Von den insgesamt zehn Produkten, die im Rahmen des Projekts untersucht werden, konnten die meisten Produkte durch Teststellungsverträge mit den entsprechenden Herstellern zur Verfügung gestellt werden. Das BSI begrüßt die Bereitschaft der Hersteller, ihre Produkte auf Cyber-Sicherheitseigenschaften testen zu lassen und mit Sicherheitsforschern und dem BSI zusammenzuarbeiten. Die aktuellen und teils kritischen Ergebnisse zeigen bereits, dass Schwachstellen bestehen, die durchaus häufiger auftreten, und dass bereits zum Projektende konkrete Aussagen zur Cyber-Sicherheitslage von Medizinprodukten getroffen werden können. In der abschließenden IT-Sicherheitsbetrachtung sollen die Ergebnisse des Projekts in verständlicher Form dargestellt werden. Das Projekt soll dazu beitragen, dass die Gefährdungslage bezüglich der Cyber-Sicherheitseigenschaften von vernetzten Medizinprodukten besser eingeschätzt werden kann. Idealerweise fließen die Ergebnisse, die sich aus den Tests ergeben, in die Standardisierung ein und helfen dem BSI bei der Erstellung Technischer Richtlinien und weiterer Publikationen. Die Produkte wurden tiefgehenden IT-sicherheitstechnischen Prüfungen durch die ERNW Research GmbH unter- 45