Im Visier der Hacker
Cyberangriffe: Vernetzte Medizintechnik unter Druck
Ein hochvernetztes System, eine kleine Schwachstelle – und plötzlich steht mehr auf dem Spiel als Daten. Cyberangriffe zielen zunehmend auf digitale Medizintechnik. Warum Cybersicherheit zur Basis vernetzter Medizintechnik wird und was Hersteller jetzt leisten müssen.
Cyberangriffe sind heute oft das Werk professioneller Organisationen, die arbeitsteilig, vernetzt und hoch spezialisiert agieren. »Sie haben eigene HR-Manager, die die besten Hacker einstellen, sie haben Qualifikations- und Trainingsabteilungen und sie haben Marketingabteilungen, die im Darknet Werbung machen. Man kann Angriffe nämlich wie eine Dienstleistung kaufen«, weiß Christian Rosenzweig vom Konstanzer Johner Institut (Bild 2). »Mit klaren Rollen, Verantwortlichkeiten und Gewinnmodellen sind die Cyberkriminellen mittlerweile ähnlich gut organisiert wie unsere Wirtschaft.«
Patientendaten sind ein lukratives Ziel
Und sie haben im Gesundheitssystem ein besonders lohnendes Ziel gefunden. »Man sagt, dass im Darknet fünf US-Dollar gezahlt werden für Standarddatensätze wie Kreditkartendaten, aber 50 Dollar für einen Patientendatensatz. Der Preis ist also um den Faktor zehn höher – und das ermutigt natürlich Angreifer, sich darauf zu spezialisieren«, so Rosenzweig.
Insbesondere menschliche und organisatorische Schwachstellen, erleichtern das Eindringen: schwache Passwörter, versäumte Updates, fehlende Sicherheitsroutinen. Dazu kommt: Medizinische Großgeräte mit hohen Anschaffungskosten bleiben oft zehn bis fünfzehn Jahre im Einsatz, teilweise deutlich länger – während sich IT-Umgebungen und Angriffsmethoden rasant verändern. Genau hier wächst die Angriffsfläche. »Das Problem ist, dass vernetzte Medizingeräte manchmal auf Betriebssystemen laufen, die keine Sicherheitsupdates mehr erhalten«, sagt Rosenzweig. Die Folgen reichen weit über wirtschaftliche Schäden hinaus. Wenn Systeme verschlüsselt werden, Behandlungen ausfallen oder Abläufe kollabieren, wird aus einem Cybervorfall schnell eine Versorgungskrise. »Wenn eine Klinik ihre Patienten nicht mehr aufnehmen kann, ist das nicht einfach ein IT-Problem, sondern eine Gefährdung der Patientensicherheit«, so der Johner-Experte.
Sicherheit endet nicht mit der Zulassung
Um solche Sicherheitslücken zu vermeiden, verpflichtet die Medizinprodukteverordnung (MDR) Hersteller seit 2017, die Cybersicherheit ihrer Produkte von Beginn an mitzudenken. In Anhang I werden die grundlegenden Sicherheits- und Leistungsanforderungen formuliert – darunter der Nachweis, dass Software nach anerkannten Prinzipien des Software-Lebenszyklus, des Risikomanagements und der Informationssicherheit entwickelt wird. Damit wurde der Gedanke des »Security by Design« verbindlich verankert: Sicherheit darf kein Zusatz mehr sein, sondern muss Teil des Entwicklungsprozesses – von der ersten Produktidee bis zum Betrieb und darüber hinaus – sein.
Zusätzlich konkretisiert die internationale Norm IEC 81001-5-1, wie Sicherheit über den gesamten Produktlebenszyklus geplant, umgesetzt und dokumentiert werden muss. Rosenzweig: »Die Norm betrachtet den gesamten Lebenszyklus eines Produkts – von der Wiege bis zur Bahre. Das heißt: Sicherheit endet nicht mit der Zulassung, sondern begleitet das Produkt, solange es im Feld ist.«
Während der Cyber Resilience Act die Medizintechnik ausspart, da ihr bereits über MDR und IVDR gesetzliche Verpflichtungen hinsichtlich Cybersecurity auferlegt wurden, greifen europäische Regelwerke wie die NIS-2-Richtlinie die Infrastrukturseite auf. Sie verpflichtet künftig Unternehmen, die als »wichtige Einrichtungen« gelten, ein strukturiertes Informationssicherheits-Management aufzubauen. Das betrifft nicht nur die IT der Krankenhäuser, sondern auch Cloud-Umgebungen, in denen Backend-Systeme vieler moderner Medizinprodukte betrieben werden.
Gehärtete Software und Penetrationstests
Während sich kleine Anbieter schwerer damit tun, ist für große Unternehmen »Security by Design« inzwischen fester Bestandteil ihrer Innovationskultur. Sie verfügen über eigene Sicherheitsabteilungen, klar definierte Prozesse und eine strategische Verankerung des Themas in der Produktentwicklung.
Wie ein solcher Ansatz aussehen kann, beschreibt Dr. Dennis Sturm, Product Security Manager bei Dräger – bekannt für Beatmungsgeräte, Anästhesie- und Patientenüberwachungssysteme sowie Sicherheitstechnik. »Das Mitdenken von Security ist schon in der Konzeptphase ein wichtiges Thema. Jeder Projektmitarbeiter gestaltet die Sicherheit eines Produktes mit, und es gibt für jedes Produkt mindestens einen Product Security Engineer, der diese Aktivitäten im Projekt steuert.«
Dräger-Geräte nutzen sogenannte »gehärtete« Software, die durch gezielte Maßnahmen weniger Angriffsflächen bietet und Sicherheitslücken minimiert. Sie wird zudem regelmäßig internen und externen Checks, etwa Penetrationstests, unterzogen. »So können wir unsere Produkte auf aktuelle Angriffsszenarien hin prüfen und dagegen schützen. Letztlich ist es die gemeinsame Aufgabe von Medizinprodukteherstellern und Betreibern, unser Gesundheitssystem und die Patienten zu schützen«, so Sturm.
Sicherheit für IoMT und Hospital at Home
Mit »Hospital at Home«-Konzepten und häuslicher Fernüberwachung verlagert sich Versorgung in Richtung häusliches Umfeld – und damit auch die Angriffsoberfläche. Das von der EU finanzierte Projekt CYMEDSEC, koordiniert vom Else Kröner Fresenius Zentrum (EKFZ) an der TU Dresden, adressiert genau diese neue Lage.
»Eine Behandlung im häuslichen Umfeld entspricht dem Wunsch vieler Patientinnen und Patienten, senkt Kosten, reduziert Umweltbelastungen und bringt klare medizinische Vorteile. Allerdings entsteht dadurch eine neue digitale Angriffsfläche«, so Prof. Dr. Stephen Gilbert vom EKFZ und Koordinator des Projekts CYMEDSEC.
CYMEDSEC arbeitet an der Robustheit und Sicherheit von IoMT-Infrastruktur und entwickelt Verfahren zur Risikobewertung vernetzter Medizinprodukte zur laufenden Überwachung sowie zu Schutz- und Update-Mechanismen. Ziel des Projekts ist es, neue Standards und Werkzeuge zu entwickeln, die deren Risiken messbar machen und den klinischen Nutzen einbeziehen.
IT-Sicherheit verändert sich ständig
Das ist auch deshalb relevant, weil sich die Bedrohungslage weiter zuspitzt. Angreifer nutzen bereits heute generative KI für Social Engineering oder zur systematischen Suche nach Schwachstellen. Gleichzeitig entstehen neue Verteidigungsansätze – etwa automatisierte Anomalieerkennung und adaptive Zugriffskontrolle. Christian Rosenzweig betont, dass Unternehmen diese Dynamik aktiv begleiten müssen: »Richtig verstandene IT-Sicherheit verändert sich ständig. Das Ziel verschiebt sich, sobald man es erreicht hat.«
Mittelfristig rückt zudem Post-Quanten-Kryptografie in den Fokus: Hersteller sollten schon heute Strategien entwickeln, wie verschlüsselte Kommunikationskanäle, Signaturen und Schlüsselmanagement auf quantenresistente Verfahren umgestellt werden können. Denn: »Wenn die Quantencomputer eines Tages marktreif werden, dann werden die ganzen Verschlüsselungsalgorithmen, die jetzt verwendet werden, obsolet sein. Die kann man in kurzer Zeit knacken. Viele Produkte sind darauf nicht vorbereitet«, so Rosenzweig.
Die Techniken und Taktiken von Angreifern entwickeln sich sehr schnell weiter. Durch Fortschritte in der KI oder bei Quantencomputern kann diese Weiterentwicklung noch beschleunigt werden. Wie gut die Anpassung an sich verändernde Herausforderungen gelingt, wird dabei – wie sollte es anders sein – nicht zuletzt durch die Bereitstellung von Budgets entschieden. »Gesundheitsdienstleister sollten mit ausreichend finanziellen und personellen Mitteln ausgestattet werden, damit die Cybersicherheit steigt und die Attraktivität der Branche für Cyberkriminelle sinkt«, sagt Sturm.
Cybersicherheit bei der MedtecLIVE 2026
Cybersicherheit ist in der Medizintechnik nicht allein von einzelnen Herstellern zu bewältigen. Von Entwicklern und Betreibern über Benannte Stellen bis hin zu Behörden und Forschungseinrichtungen – ein Zusammenspiel vieler Akteure ist notwendig. Nur wenn Erfahrungen, Schwachstellenanalysen und Sicherheitskonzepte systematisch geteilt werden, entsteht die Resilienz, die das Gesundheitswesen braucht.
Wie eng Innovation und Verantwortung verbunden sind, zeigt sich in der Medizintechnik besonders deutlich. »Sicherheit ist kein Selbstzweck«, sagt Silke Ludwig, Deputy Director der Medizintechnik-Leitmesse MedtecLIVE. »Sie entscheidet darüber, ob digitale Medizinlösungen Vertrauen schaffen – bei Anwendern, Patienten und Partnern. Und sie ist ein wichtiger Maßstab dafür, wie zukunftsfähig die Medizintechnik als Branche insgesamt ist.« (uh)
Die MedtecLIVE, die vom 5. bis 7. Mai 2026 in Stuttgart stattfindet und das umfangreiche Rahmenprogramm zu Cybersicherheit und Künstlicher Intelligenz zeigen, welche Cybersicherheits-Lösungen die Branche bereits entwickelt – und welche Fragen noch offen sind, wenn es darum geht, Medizintechnik sicher, vernetzt und vertrauenswürdig zu gestalten.
