(P. Köhler) Das berichtete kürzlich eine von der US-Regierung eingesetztes Expertengruppe. Die meisten Anlagen verwenden Windows und sind mit dem Intranet des Betreibers verbunden, dürfen aber keine Updates, Virenscanner etc. erhalten, um ihre Zertifizierung nicht zu gefährden. Die Zertifikate der FDA sind immer nur für ein bestimmtes Betriebssystem mit einem bestimmten Releasestand ausgestellt. Die ungepatchten Systeme werden immer wieder von Computerviren befallen, berichten die Amerikaner.
Zwar wurde bisher vermutlich noch kein Patient konkret geschädigt, doch sind üble Szenarien denkbar, bei denen z.B. ein zeitkritischer Computerprozeß durch die gleichzeitige Ausführung eines Virus gestört wird. Medizinische Netzwerkschnittstellen wie HL7 und DICOM sind noch vergleichsweise sicher, allerdings unterliegen die meisten modernen Medizingeräte der allgemeinen Vulnerabilität ihrer Betriebssysteme, wenn diese nicht regelmäßig gepatcht werden.
Das Problem gibt es auch in Deutschland. Beispielsweise setzt die Zertifizierung einer bestimmten Software der Kassenärztlichen Vereinigung Baden-Württemberg, die wir benutzen, eine uralte Javaversion (1.6) voraus. Solche Javaversionen im Netzwerk einzusetzten, wäre grob fahrlässig. Die KV-Software läuft auch unter aktuellem, regelmäßig gepatchten Java, das Risiko von Störungen durch ungeregelte Veränderungen im Betriebsystem trägt aber der Anwender, also ich :-(.
Normalerweise ist der Hersteller verpflichtet, für die Anwendungssicherheit seiner Systeme zu sorgen, nach dem Medizinproduktegesetz und der spezifischen Norm IEC 80001. Die Betreiber müssen sich andererseits selbst um ihr Risikomanagement kümmern. Das bedeutet, in Zusammenarbeit mit den Medizintechnik-Herstellern für sichere Software, Updates Firewalls, Virenscanner usw. zu sorgen, ohne dass die Funktion der Geräte beeinträchtigt wird. In Krankenhäusern soll dafür ein "Netzwerkintegrator" bestimmt und zuständig sein. Im Praxiskontext sind die IT-Aufgaben in der Regel an externe Dienstleister delegiert; die Verantwortung für Sicherheitsmaßnahmen bleibt aber beim Arzt.
Soweit ich es bisher überblicke, haben unsere Partnerfirmen sehr unterschiedliche Herangehensweisen an die Problematik, von geplantem Update-Management bis zu vollständiger netzwerktopologischer Abtrennung durch Hardware-Firewalls. Und es gibt auch Firmen, die sich um das Thema gar nicht kümmern – was wohl bedeutet, dass wir künftig dort nichts mehr bestellen sollten.
Update 30.10.: Hacker könnten einen Patienten durch dessen Herzschrittmacher ferngesteuert töten. Nur für den Fall, dass jemand die Angelegenheit nicht ernstnimmt.
