|
03.09.2026 10:49 Uhr |
Vernetzte Medizinprodukte bestehen heute nur noch zu einem Bruchteil aus selbst geschriebenem Code. Frameworks, Bibliotheken und Komponenten Dritter bilden das Fundament und mit ihnen wächst eine Angriffsfläche, die viele Hersteller unterschätzen. Kommt eine Schwachstelle in einer weit verbreiteten Bibliothek ans Licht, stellt sich die Frage: Steckt sie auch in unserem Produkt? Und wer entscheidet dann, wie schnell reagiert werden muss?
Sebastian Wittor ist Senior Project Manager Medical Engineering bei BAYOOMED, einem auf Medizinsoftware und digitale Gesundheitsanwendungen spezialisierten Unternehmen. Seine Schwerpunkte liegen in den Bereichen Cybersecurity, sichere Softwareentwicklung und Datenschutz. Im Interview erklärt er unter anderem, weshalb externe Penetrationstester einen entscheidenden Perspektivwechsel bringen, wie Usability und Sicherheit zusammenhängen und warum Transparenz das Vertrauen nach einem Vorfall sogar stärken kann.
Das ist wichtig, weil moderne Software fast nie vollständig selbst entwickelt wird. Sie besteht aus vielen Abhängigkeiten. Wenn irgendwo in dieser Kette eine Sicherheitslücke auftaucht, muss ich wissen, ob mein Produkt betroffen sein könnte.
Aber auch dann beginnt die eigentliche Arbeit erst: Eine bekannte Schwachstelle in einer Bibliothek bedeutet nicht automatisch, dass mein Produkt verwundbar ist. Vielleicht nutze ich genau die betroffene Funktion gar nicht. Man muss die Ergebnisse also fachlich bewerten und priorisieren.
Das größte Problem ist oft nicht das fehlende Tool. Viele Unternehmen haben inzwischen Übersichten und Scans. Schwieriger ist die Frage: Was passiert mit den Ergebnissen? Wer entscheidet, ob Handlungsbedarf besteht? Wie schnell wird reagiert? Und wie dokumentiert man das nachvollziehbar?
Jede zusätzliche Abhängigkeit kann später Pflegeaufwand bedeuten. Sie muss beobachtet, bewertet und gegebenenfalls aktualisiert werden. Cybersecurity sollte deshalb nicht erst am Ende eines Projekts dazukommen. Sie gehört in Architekturentscheidungen – also in die Frage, wie ein Produkt von Anfang an technisch aufgebaut wird.
KI / heise medien
Deshalb ist der Zeitpunkt vor der Veröffentlichung so kritisch. Sicherheit muss dann nicht nur dokumentiert sein, sondern sich auch praktisch bewährt haben.
Ich bin besonders bei komplexen Medizinprodukten ein Freund davon, externe Penetrationstester einzubeziehen. Sie bringen einen frischen Blick mit und denken anders als das Entwicklungsteam, das ein System seit Monaten oder Jahren kennt.
Bei einem Whitebox-Test erhalten die Tester möglichst viele Informationen über das System. Das klingt erst einmal kontraintuitiv, ist aber sinnvoll: Je mehr Schwachstellen ich vor einem potenziellen Angreifer finde, desto besser. Dann kann ich sie schließen, bevor ein Produkt breit eingesetzt wird.
Deshalb gehört Usability unbedingt zur Cybersecurity. Gute Sicherheitskonzepte helfen Menschen, korrekt zu handeln, statt sie mit Fehlermeldungen und komplizierten Abläufen allein zu lassen.
Ein gutes Beispiel sind auch PINs. Viele denken: Je mehr Stellen, desto sicherer. Das stimmt mathematisch auch, wenn die Zahlen zufällig gewählt werden.
In der Praxis wählen Menschen aber oft Muster, die sie sich leicht merken können. Bei sechs Stellen liegt ein Datum nahe: Geburtstag, Hochzeitstag oder das Geburtsdatum eines Kindes. Dann wird aus einer theoretisch stärkeren PIN schnell eine vorhersehbare. Deshalb muss man bei Sicherheitskonzepten immer auch berücksichtigen, wie Menschen Systeme tatsächlich nutzen.
Auch Fehlermeldungen sind ein Sicherheitsfaktor. Statt nur „Keine Internetverbindung“ anzuzeigen, sollte ein System erklären, was das bedeutet: Sind Daten verloren gegangen? Muss der Nutzer etwas tun? Oder werden die Daten automatisch synchronisiert, sobald die Verbindung wieder da ist?
Eine verständliche Meldung nimmt Stress aus der Situation. Gerade bei medizinischen Anwendungen ist das entscheidend.
Die Herausforderung ist: Die digitale Welt hat sich verändert. Viele Geräte wurden entwickelt, als vernetzte Systeme, moderne Verschlüsselung oder Cybersecurity-Anforderungen noch eine ganz andere Rolle spielten. Manche nutzen Protokolle oder Komponenten, die heute als veraltet gelten.
Bei neueren Produkten ist Cybersecurity inzwischen wesentlich stärker in den regulatorischen Anforderungen verankert. Bei älteren Bestandsgeräten bleibt aber oft die Frage: Wie lange lassen sie sich sicher betreiben, wann muss man sie nachrüsten oder durch Nachfolgeprodukte ersetzen?
Der Hersteller eines Medizinprodukts trägt Verantwortung dafür, sein Produkt angemessen abzusichern. Das Krankenhaus wiederum muss seine Infrastruktur, Netzwerksegmentierung und Konfiguration im Blick haben. Ein Router oder Switch lässt sich nicht losgelöst vom Gesamtsystem bewerten – entscheidend ist, wie alles zusammenspielt.
Anders sieht es bei klar abgegrenzten, extern betriebenen Diensten aus. Wenn etwa eine Abrechnungssoftware als eigenständiger, über das Internet erreichbarer Dienst betrieben wird, liegt die Verantwortung beim Anbieter deutlich stärker in dessen eigenem Bereich.
Am Ende braucht es immer eine risikobasierte Betrachtung: Was ist die Komponente? Wo ist sie angebunden? Welche Folgen hätte ein Ausfall oder ein Angriff? Und wer kann realistisch welche Schutzmaßnahmen umsetzen?
Wenn ein Hersteller transparent, lösungsorientiert und nachvollziehbar kommuniziert, kann das das Vertrauen sogar stärken. Nutzer und Betreiber müssen wissen: Was ist passiert? Bin ich betroffen? Was muss ich jetzt tun? Welche Maßnahmen laufen bereits?
Das ist auch eine Frage des Respekts. Hinter den Systemen stehen Menschen – in Kliniken, bei Herstellern und auf Seiten der Patienten. Kommunikation darf deshalb nicht nur juristisch abgesichert, sondern muss auch praktisch hilfreich sein.
Aber die grundsätzliche Entwicklung ist klar: Viele Angriffe werden schneller, skalierbarer und professioneller. KI kann Angreifern dabei helfen, Schwachstellen automatisiert zu suchen, Phishing-Angriffe glaubwürdiger zu machen oder Angriffswege schneller auszuprobieren.
Die Frage ist deshalb nicht, ob sich die Bedrohung verändert, sondern wie schnell Hersteller und Betreiber darauf reagieren.
Ich sehe aber auch, dass das Thema bei Herstellern deutlich präsenter geworden ist. Die Anforderungen steigen, die Prüfungen werden genauer und viele Unternehmen investieren heute ernsthafter in Sicherheit als noch vor einigen Jahren. Meine Hoffnung ist, dass wir nicht erst auf einen großen, öffentlich sichtbaren Schaden warten müssen, bevor alle Beteiligten handeln.
Oft merken junge Unternehmen erst spät, dass ihr Produkt technisch vielleicht weit entwickelt ist, aber die Nachweise und Prozesse drumherum noch fehlen. Dann müssen Dokumentation und Sicherheitskonzept nachträglich aufgebaut werden. Das verursacht häufig deutlich mehr Aufwand.
Cybersecurity ist kein Thema, das ein Unternehmen allein lösen kann. Hersteller, Kliniken, Sicherheitsforscher, benannte Stellen und Behörden müssen voneinander lernen. Die besten Lösungen entstehen oft nicht durch eine weitere Checkliste, sondern durch ehrliche Gespräche über reale Probleme.
(mack)