Herzliche Hacker oder wie man einen Defibrillator knackt

Redaktion, 08. April 2008 10:42

Schrittmacher werden moderner und damit eröffnen sich auch Sicherheitslücken, an die man nicht gedacht hat

Computerexperten der US-Universitäten von Washington und Massachusetts haben in einer neuen Studie "Pacemakers and Implantable Cardiac Defibrillators: Software Radio Attacks and Zero-Power Defenses" auf die Gefahren bei aktuellen Herzschrittmachern hingewiesen. Die Geräte würden zwar immer moderner, leichter bedienbar und flexibler, sind sie doch mit drahtlosen Funkschnittstellen ausgestattet, aber genau diese bergen auch ein Sicherheitsrisiko.

Hack mein Herz

Über die Funkschnittstellen sollen ÄrztInnen ohne nochmalige operative Eingriffe Zugriff auf die protokollierten PatientInnen-Daten und Funktionen des Geräts haben. Es ist zudem auch möglich, den Takt des Herzschrittmacher abzuschalten oder ihn zu Testzwecken hoch- oder runterzufahren und zu verändern. Genau in dieser Möglichkeit beziehungsweise eher in der schelchten Absicherung dieser Funktionen liegt nun auch das große Problem. Hacker können die Übertragungsprotokolle nicht nur abfangen, sondern auch Zugriff auf den Schrittmacher erhalten.

Abstand muss sehr gering sein

Die Sicherheitsproblematik ist zwar eher theoretischer Natur, da ein wesentlicher Aspekt für einen "erfolgreichen" Hack ein geringer Abstand zwischen Patient und Auslesegerät vorhanden sein muss, zeigt aber auf, wie gefährlich es werden kann, wenn man den Sicherheitsaspekt nicht berücksichtigt. Einige Implantat-Hersteller haben bereits reagiert und bringen nun neue Sicherheits- und Kryptografiefunktionen.

Sicherheits- und Datenschutzaspekte

Für die Untersuchungen zu Sicherheits- und Datenschutzaspekten haben die Forscher einen ICD vom Typ "Maximo" des Herstellers Medtronic verwendet. Dieser sei ein typisches Beispiel für derzeit gängige Geräte. Diese werden alleine in den USA von hunderttausenden Patienten bis hin zu Vizepräsident Dick Cheney genutzt. Der Ausstoß von für einen realen Patienten potenziell fatalen Stromstößen war die spektakulärste Manipulation am ICD, die den Forschern in ihren Versuchen gelungen ist. Mit der dabei genutzten Telekommunikationsausrüstung konnten sie auch vom Implantat drahtlos übermittelte Patientendaten abfangen. Diese seien unverschlüsselt übertragen worden, kritisieren die Sicherheitsexperten. Das Problem fehlender Kryptografie werde durch das Fehlen einheitlicher Standards für Datenübermittlung im medizinischen Bereich und die Frage der Entfernung relativiert, heißt es von Medtronic Deutschland.

Keine realen Angriffe

Implantierbare medizinische Geräte haben in der Regel keine starken Sender, die für die Datenübermittlung auf große Entfernungen geeignet wären. "Die Sendeleistung ist für den unmittelbaren Nahbereich ausreichend", meint Andreas Bohne, Leiter Presse- und Öffentlichkeitsarbeit Metronic Deutschland, im Gespräch mit pressetext. In vielen Fällen müsse der Empfänger praktisch direkt an die Haut gehalten werden. "Es ist schwerlich vorstellbar, dass es zu einer Manipulation kommt", meint Bohne. Auch die US-Forscher geben an, dass sich ihre Versuchsausrüstung in unmittelbarer Nähe des Maximo-ICDs befand. Mit größeren Entfernungen zwischen Antenne und Implantat, wie sie für reale Angriffe wohl nötig wären, wurde nicht experimentiert. Reale Hackerangriffe auf medizinische Implantate sind den Forschern bislang nicht bekannt.

Geringes Risiko

"Die Risiken für Patienten sind derzeit sehr gering, aber ich mache mir Sorgen, dass sie ansteigen könnten", meint Tadayoshi Kohno, Forscher der University of Washington, gegenüber den New York Times. Die Verbreitung von implantierbaren medizinischen Geräten aller Art, die drahtlos mit der Außenwelt kommunizieren, steigt an. Die Fragen der Sicherheit und des Datenschutzes fänden bei solchen Geräten zu wenig Beachtung, glauben die Forscher. Ihre Untersuchungen sollen helfen, das zu ändern. Dabei haben sie auch drei Ansätze vorgeschlagen, wie ohne Energiebedarf die Sicherheit verbessert werden könnte. Einer davon ist eine Warnung vor Kommunikationsversuchen, beide andere umfassen Kryptografieaspekte.

Ergebnisse

Zwar erfolgt die offizielle Publikation der Forschungsergebnisse erst anlässlich des 2008 IEEE Symposium on Security and Privacy im Mai. Das Forschungspaper wurde aber bereits jetzt auf http://www.secure-medicine.org veröffentlicht. Eine Verwendung der Ergebnisse für Attacken sei auszuschließen. "Wir haben spezifisch und absichtlich methodologische Details aus unserem Paper weggelassen", heißt es auf der Webseite. (red/pte)

Links

Medtronic

Zur Studie "Pacemakers and Implantable Cardiac Defibrillators: Software Radio Attacks and Zero-Power Defenses"

derStandard.at/Web auf Facebook
Kommentar posten
Posting 1 bis 25 von 29
«‹›»
1 2
STOPPT DEN ZENSURWAHN DER POLITIKER - JETZT!
10.06.2010 15:37
dass entfernung keine rolle beim einstellungen setzen spielt, müsste doch wohl klar sein

wenn man die sendeleistung entsprechend hochdreht, kann man gigantische entfernungen überwinden.

klar, mit einem walkie talkie wirst ned 1 km weit senden können, flugzeugfunk funktioniert aber trotzdem...

richtfunk hilft auch - gezielte tötungen sind ejtzt schon möglich, wenn man sich das nötige equipment besorgt.

"fehler im herzschrittmacher" ist doch eine absolut harmlos klingendemeldung, da wird man den mörder nie verdächtigen und ganz zu schweigen von finden ...

BastianBalthasarBux
 
20.03.2008 02:19
Also wirds auch in der Medizin

endlich Antivirika geben. hihi
Dachte nicht, dass ich das nochmal erlebe.

michael streuleitner
17.03.2008 13:15
...

das mit der entfernung hams bei bluetooth-hacks auch gesagt, bis die erste blue-rifle mit einer antenne entickelt wurde. die schiesst über einen kilometer.
:D

Wishmaster
15.03.2008 20:33
Das ist ein Überfall! Geld her oder ich drücke Enter! :-)

Hans E. Meister
14.03.2008 22:33
Klarer Fall...

...für Windows Mobile. Oder heisst das dann Windows Health? Ist halt blöd wenn das mit der Aktivierung nicht hinhaut weil der SM keine Onlineverbindung hat. Und erst die Sache mit den Patches. Zum "Patchday" müssen dann alle ins Krankenhaus, oder?

BastianBalthasarBux
 
20.03.2008 02:16

nö, geht ja automatisch, d.h. am Patchday stellen alle die Patschen auf! ;) hrhr

krosser pruter
13.03.2008 02:54
frage:

mein vater hatte einen schrittmacher, der beschränkte die herzfrequenz, ist das jetzt einstellbar nach oben und unten, kann man jetzt selbst "per fernbedienung" und nach LUST und laune seine frequenz einstellen?

Badewasser
13.03.2008 06:56

Ein Herzschrittmacher tritt in Aktion, wenn die Eigenfrequenz der Kammer in Relation zum momentanen Bedarf des Patienten zu langsam ist. Die Funktion der s.g. rate response (Bewegungssensor), die heute jeder moderne SM hat, entscheidet, ob der Patient eine höhere Frequenz benötigt als seine eigene, wenn er z.B. gerade die Stufen zum 3. Stock hinaufsteigt. Eine Beschränkung der Herzfrequenz nach oben kann nur über bremsende Medikamente erfolgen, z.B. Beta-Blocker. Es gibt allerdings SM, welche bei Vorhofflimmern(nicht Kammer!) versuchen, sich in die hohe Vorhoffrequenz stimulativ einzuklinken und sie langsam auf normales Niveau "herunterzuholen".

Die Einstellung des SM erfolgte bisher und auch weiterhin ausschliesslich durch den Arzt.

Dante Alighieri
13.03.2008 03:27

Naja, im Prinzip ist es ja sinnvoll und kostensparend wenn ein Schrittmacher für alle Frequenzen geeignet ist und halt einfach entsprechend eingestellt wird. Das Problem ist natürlich wenn diese Einstellung nicht ausreichend abgesichert ist.

Roland Schweiger
12.03.2008 20:47
an update is available for your heart, would you like to install it?

WARNING:
After the update has completed, it is necessary that you reboot your heart. Make sure you close any applications before doing so.
If the reboot process takes more than 3 minutes,
please contact your undertaker ...

xv22
12.03.2008 19:27
Nähe ein Problem

Dann wirds wohl bald die ersten Ubahn-Mörder geben, die sich mit digitaler Sendeausrüstung in die Ubahn wagen und den Leuten die Sender ans Herz halten - fällt in so nem verstopften Ding eh keinem auf

cosintan
12.03.2008 17:30
Die Rückkehr..

Die Rückkehr des Ping Of Death, wer hätte sich das gedacht *hehe*

Monsterbarbie
12.03.2008 15:52
dazu fällt mir was ein:

DDOS auf die schnittstelle und schon ist soviel power verbraucht, dass der schrittmacher auf seine funktion "vergisst".

1000 Kopfläuse können nicht irren
12.03.2008 15:25
Dann wird ein Prozess gegen einen Hacker ein Mordprozess!

Kakadu89
12.03.2008 14:59
Wer macht denn da den Bug-Report? :-)

yophen
12.03.2008 14:51
Deadlock

:-)

ram shackle
12.03.2008 14:44

format h:

roc nathan
12.03.2008 14:04
"hack mein herz"???

bissi brutal, oder? :-P

btw, ich hab sowas schon vor jahren angekündigt - nicht, dass ma dazu ein hellseher sein muss. <klopf, klopf>

sentencedx
12.03.2008 13:53
firmware update für den schrittmacher?

selten hat man bei einem software update so geschwitzt...

"an unknown error has occurred. please contact the administrator and/or the undertaker"

Ununpentium
12.03.2008 14:30

"Software-Update erfolgreich ausgeführt.
Damit das Update wirksam wird, müssen Sie das Herz neustarten. Wollen Sie Ihr Herz jetzt neu starten?

Erik the Red
 
12.03.2008 18:11

Der Testzeitraum des Plugins ist jetzt abgelaufen. Um Ihr Herz neu zu starten registrieren Sie sich bitte!

Alexander Forst-Rakoczy
12.03.2008 15:26

Ist ctrl-alt-delete nicht eh die korrekte Position für die Hände bei der Herzmassage?

definitive undefinable
 
12.03.2008 14:29

Na hoffen wir, dass möglich nötige Neustarts nicht zwei Minuten dauern. ;)

King of Avalon
12.03.2008 14:09

Der Kommentar ist genial - mein persönlicher Lacher des Tages :-)

roc nathan
12.03.2008 14:07
deppat is,

wenn das ganze von MS is, und deine polnische MS heart(TM)-firmware eine illegale serial hat.

"...wird im eingeschränkten modus ausgeführt. bewegungen von mehr als 0,5 km/h sind im eingeschränkten modus nicht möglich/lethal".

Kommentar posten
Posting 1 bis 25 von 29
«‹›»
1 2

Die Kommentare von Usern und Userinnen geben nicht notwendigerweise die Meinung der Redaktion wieder. Die Redaktion behält sich vor, Kommentare, welche straf- oder zivilrechtliche Normen verletzen, den guten Sitten widersprechen oder sonst dem Ansehen des Mediums zuwiderlaufen (siehe ausführliche Forenregeln), zu entfernen. Der/Die Benutzer/in kann diesfalls keine Ansprüche stellen. Weiters behält sich die derStandard.at GmbH vor, Schadenersatzansprüche geltend zu machen und strafrechtlich relevante Tatbestände zur Anzeige zu bringen.

© derStandard.at GmbH 2012 - Impressum

Alle Rechte vorbehalten. Nutzung ausschließlich für den privaten Eigenbedarf.
Eine Weiterverwendung und Reproduktion über den persönlichen Gebrauch hinaus ist nicht gestattet.