„Das wäre Geheimdienstniveau“: ICD-Hacking wie im „Tatort“ wenig wahrscheinlich

Berlin – Hackerangriffe auf implantierbare Defibrillatoren (ICD) sind in der Realität nahezu ausgeschlossen. Programme oder Updates zu manipulieren, ist sehr aufwendig. Das haben Fachleute in Reaktionen auf den ARD-„Tatort“ („Kammerflimmern“) betont. In der Folge wurden ICD durch einen Hacker manipuliert, zahlreiche Menschen starben.

„Ein Hackerangriff, wie er im Tatort gezeigt wurde, ist unter realen Bedingungen nahezu ausgeschlossen“, wird Dirk Westermann, Ärztlicher Direktor der Klinik für Kardiologie und Angiologie am Universitätsklinikum Freiburg, in einer Mitteilung des Klinikums zitiert.

Implantierbare Defibrillatoren seien sichere, lebensrettende Medizinprodukte, die „durch mehrere Sicherheitsebenen geschützt“ seien. Bislang sei kein Fall bekannt, bei dem Patientinnen und Patienten durch eine Manipulation zu Schaden gekommen seien.

Die Deutsche Gesellschaft für Kardiologie (DGK) teilt zum aktuellen „Tatort“ mit: „Cyberrisiken bestehen zwar, stellen für Patientinnen und Patienten bislang aber kein akutes Gefährdungsszenario dar.“ Im Jahr 2022 wurden in Deutschland laut Deutschem Herzschrittmacher- und Defibrillator-Register (DGK) 73.235 Herzschrittmacher und 19.980 ICD neu eingesetzt.

Angriff mit extrem hohem Aufwand verbunden

Es sei enorm aufwendig, die Programme von ICD und Herzschrittmachern oder deren Updates zu manipulieren, ordnet Christoph Saatjohann, der an der FH Münster zu Cybersicherheit im Medizinumfeld forscht und das dortige Labor für Embedded Security leitet, im Gespräch mit dem Deutschen Ärzteblatt ein.

„Das wäre Geheimdienstniveau. Man müsste Lieferketten durchdringen und Zertifizierungsprozesse umgehen. Das kann kein Hobbyhacker.“ Schließlich durchliefen die Programme viele Tests und Zertifizierungen.

Neben den technischen Hürden sieht Saatjohann auch nicht wirklich ein Motiv für einen solchen Angriff. Oft geht es bei Cyberattacken um Geld. Doch es gäbe aus seiner Sicht viel einfachere Wege, um beispielsweise von Herstellern medizinischer Geräte Geld zu erpressen. Er verweist auf Ransomwareangriffe, bei denen Daten auf einem IT-System verschlüsselt und erst gegen Zahlung eines Lösegeldes wieder freigegeben werden.

Im „Tatort“ ging es um einen Angriff auf sehr viele Geräte, indem ein Update des Herstellers manipuliert worden war. Theoretisch denkbar wäre auch ein gezielter Angriff auf einzelne Geräte. Doch auch das sei schwierig, sagt Saatjohann.

Zum einen müsse man bis auf wenige Meter herankommen, um eine Funkverbindung zu einem ICD oder Schrittmacher herstellen zu können. Zudem müsste der Funkkontakt auch für mehrere Minuten bestehen bleiben. „Das ist einfach kein realistisches Szenario.“

Anders könnte die Lage bei sehr exponierten, gefährdeten Personen sein, wo Angreifer möglicherweise einen extrem großen Aufwand in Kauf nehmen würden. So hatte der frühere US-Vizepräsident Dick Cheney einmal in einem Interview erzählt, dass er die Fernsteuerungsfunktion an seinem Herzschrittmacher aus Angst vor einem Anschlag deaktivieren ließ.

Auch DGK reagiert auf Tatort

Die DGK zitiert in einer Mitteilung mehrere Fachleute. So sagt David Duncker, Leiter des Hannover Herzrhythmus Centrums an der Medizinischen Hochschule Hannover: „Die Systeme sind vielfach gesichert, benötigen physischen oder sehr spezifischen digitalen Zugang, und die Industrie arbeitet kontinuierlich an Sicherheitsupdates.“ Wichtiger seien im Alltag technische Herausforderungen wie Batterie- oder Elektrodenkomplikationen.

Theoretische Verwundbarkeiten sind zwar bekannt – in Tests wurde gezeigt, dass Manipulationen prinzipiell möglich sind. Doch die Hürden für reale Angriffe gelten als extrem hoch.

„Der Tatort greift das Thema auf, weil es aktuell ist und ein Risiko zeigt, das auch in der Realität nicht völlig ausgeschlossen werden kann“, so Stefan Schulz, Psychologe und Leiter der Abteilung Verhaltensmedizin an der Universität Trier, laut DGK-Mitteilung.

Für Schulz ist dieser Aspekt von Cybersicherheit auch Forschungsgegenstand: Mit einer Arbeitsgruppe der Uni Trier forderte er 2024 im Fachblatt PLOS Digital Health, Patientinnen und Patienten, die ein Herzimplantat erhalten, standardmäßig auch über die Risiken eines Cyberangriffs zu informieren (2024; DOI: 10.1371/journal.pdig.0000507).

„Moderne Herzimplantate, die kabellose Informationen übertragen, verbessern zwar die Lebensqualität und Autonomie der Patienten, aber können auch neue Gefahren durch Cyberangriffe mit sich bringen“, erklärte Leanne Torgersen, Hauptautorin der Studie, damals. Cyberrisikofaktoren sollten in die Einwilligungserklärung der Patienten aufgenommen und laufend überprüft werden, wenn neue Risikoinformationen verfügbar werden.

Aufklärung mit Augenmaß

Tatsächlich empfiehlt auch die DGK in ihrer Mitteilung zur „Tatort“-Folge, Cyber-Risiken aktiv in der Aufklärung von Patienten anzusprechen – allerdings „mit Augenmaß“. Wichtig sei eine ehrliche Information, ohne unnötig Ängste zu verstärken – der Nutzen des Implantats stehe klar im Vordergrund.

„Wir sollten Patientinnen und Patienten klar und verständlich erklären, dass es zwar theoretische Verwundbarkeiten gibt, diese aber extrem unwahrscheinlich sind“, fasst Duncker zusammen. Wichtiger sei, dass Herzschrittmacher und Defibrillatoren zuverlässig funktionieren und Leben retten: „Es braucht gute Informationsmaterialien, die auf Fakten beruhen – für Ärztinnen und Ärzte ebenso wie für Patientinnen und Patienten. So können wir Sorgen ernst nehmen und gleichzeitig Vertrauen schaffen.“

„Man sollte sich nicht vom Tatort und auch nicht von einzelnen Studien verunsichern lassen“, sagt Cybersicherheits-Experte Saatjohann von der FH Münster. Es wäre schlimm, wenn Forschung über mögliche Sicherheitslücken dazu führen würde, dass sich Menschen keine ICD oder Schrittmacher mehr einsetzen ließen.

IT-Sicherheit fordert ständige Wachsamkeit

„Klinisch müssen wir dennoch wachsam bleiben, was die IT-Infrastruktur insgesamt betrifft – insbesondere an den Schnittstellen zwischen Implantaten, Fernüberwachung und Kliniksystemen“, betont Duncker. „Gerade Krankenhaus-IT-Strukturen waren in der Vergangenheit immer wieder Angriffsziele für Hacker, was uns in der Patientenversorgung und Forschung viel konkreter bedroht.“ Hier sollten Kliniken, Länder und Bund in den Schutz der Klinikinfrastrukturen investieren.

all/fri