Die Sicherheit der Patient:innen und ihrer Daten sowie Datenintegrität sind heute zentrale Themen, die eng mit Cyber Security verbunden sind. Zugleich steigt der regulatorische Druck auf Inverkehrbringer, der verlangt, dass ihre Produkte nicht nur effektiv und zuverlässig arbeiten, sondern auch gegen Cyberbedrohungen gewappnet sind. In Zukunft wird es daher für sie unerlässlich sein, Cyber Security fest in die Entwicklungs- und Betriebsprozesse zu integrieren, um sowohl den gesetzlichen Anforderungen gerecht zu werden als auch das Vertrauen der Patient:innen zu wahren.
Identifizieren. Bewerten. Behandeln.
Die mit Abstand wichtigste Maßnahme zur Sicherstellung von Cyber Security in einem Medizinprodukt ist das Cyber Security-Risikomanagement. Die Praxis zeigt jedoch, dass genau das in Projekten oft vernachlässigt oder zu spät initiiert wird – oft aus Budgetgründen. Ein Trugschluss, denn die Folge sind hohe Kosten bei der nachträglichen Realisierung von zusätzlichen Anforderungen. Trotz der existierenden Normen und regulatorischen Vorgaben, wie der IEC 81001-5-1, der Medical Device Regulation (MDR) und den Richtlinien der US-amerikanischen FDA, fehlen oftmals detaillierte Informationen für die praktische Umsetzung des Cyber Security-Risikomanagements. Deshalb ist es entscheidend, dass Unternehmen die Anforderungen in ihren Prozessen präzise ausarbeiten, um Systematik und Nachvollziehbarkeit sicherzustellen. Die Umsetzung der meisten durch die IEC 81001-5-1 geforderten Aktivitäten wird – auch wenn ihre Harmonisierung in der EU erneut um vier Jahre verschoben wurde – von der Mehrheit der benannten Stellen inzwischen erwartet, wie sich aktuell verstärkt in Audits zeigt.
Empfehlenswert ist daher ein Cyber Security-Risikomanagementprozess, der einen klar strukturierten Ansatz zur Identifikation, Bewertung und Behandlung von Risiken bietet. Das beginnt mit der Identifikation von Risiken, bei der die sog. STRIDE-Systematik (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) angewendet werden kann. Diese Methodik ermöglicht es, über die Erstellung von Datenflussdiagrammen potenzielle Bedrohungen systematisch zu identifizieren und somit eine umfassende, aber gleichzeitig effiziente Risikoanalyse durchzuführen. Die Audit-Praxis zeigt, dass ein systematisches Vorgehen Grundvoraussetzung ist für die Akzeptanz bei den benannten Stellen.
Nach der Identifikation werden die gefundenen Risiken in einer Risikomatrix bewertet. Hierbei kommt bei ITK Engineering ein an das Common Vulnerability Scoring System (CVSS) angelehntes Verfahren zum Einsatz, um eine quantitative Einschätzung der Risiken hinsichtlich ihrer Eintrittswahrscheinlichkeit und potenziellen Auswirkungen zu ermöglichen. Diese Einordnung ist entscheidend, um die Risikoakzeptanz zu bewerten und gezielt Maßnahmen zur Risikominderung festzulegen. Für Risiken, die als nicht akzeptabel eingestuft werden, werden entsprechende Risikobeherrschungsstrategien entwickelt. Diese risikomindernden Maßnahmen werden in das Medizinprodukt und dessen Infrastruktur integriert, um die Sicherheit des Medizinprodukts zu gewährleisten.
Ein weiterer wichtiger Aspekt im Risikomanagementprozess ist die Verwendung mehrerer Identifikationstechniken. Da keine einzelne Methode eine vollständige Abdeckung aller potenzieller Risiken garantieren kann, empfiehlt es sich, verschiedene Ansätze zu kombinieren. Neben der STRIDE-Systematik kann beispielsweise ein CVE-Scan der verwendeten Softwarekomponenten durchgeführt werden, um bekannte Schwachstellen in den eingesetzten Technologien zu identifizieren, zu bewerten und gezielt zu adressieren.
Letzte Sicherheitslücken aufdecken
Ein weiterer essenzieller Baustein zur Sicherstellung der Cyber Security ist das Penetration Testing (kurz Pentesting). Es handelt sich um eine methodische Sicherheitsprüfung, die gezielt Schwachstellen in einem Produkt aufdecken soll und von der Norm IEC 81001-5-1 explizit eingefordert wird.
Das primäre Ziel des Pentestings ist es, potenzielle Schwachstellen zu identifizieren, die trotz eines sorgfältigen Risikomanagements und sicherer Implementierung möglicherweise übersehen wurden. Darüber hinaus bietet es eine wertvolle Gelegenheit, die Sicherheit des Produkts durch einen weiteren Blickwinkel zu überprüfen, was vor allem gegen Ende der Entwicklung sinnvoll ist. In der Praxis hat sich hierbei eine Kombination aus Blackbox- und Whitebox-Testing bewährt.#
Cyber Security in der Praxis: Sichere Authentifizierung für den Gangtrainingroboter THERY
Und wie kann dieses theoretische Szenario dann in der Praxis umgesetzt werden? Ein Gangtrainigroboter kann das veranschaulichen. Das Startup TEDIRO hat mit dem Gangtrainingroboter THERY ein innovatives Medizinprodukt entwickelt, das zur Rehabilitation von Patient:innen eingesetzt wird, die nach einer Operation am Geh-Apparat wieder das Laufen erlernen müssen. THERY stellt Patient:innen gezielt Bewegungsaufgaben und überwacht die Fortschritte. Grundlage hierfür sind Videoaufnahmen und die Datenanalyse und -bewertung daraus. Das System gibt dann Feedback sowohl an die Patient:innen als auch an die Pflegekräfte.
Im Rahmen der Entwicklung dieses Produkts unterstützte ITK Engineering TEDIRO sowohl beim Cyber Security-Risikomanagement als auch bei einem umfassenden Pentest der ersten Produktversion. Dabei lag der Fokus darauf, Sicherheitsrisiken systematisch zu identifizieren und zu bewerten. Ein zentraler Aspekt bei einem solchen Produkt ist die Authentifizierung der Nutzer:innen. Hier wurden verschiedene Ansätze untersucht und bewertet. Das Ergebnis des Risikomanagementprozesses war die Einführung einer Authentifizierung mittels NFC-Tokens. Dabei wurden unterschiedliche Tokens für Patient:innen, Pflegekräfte und Administrator:innen implementiert, die jeweils unterschiedliche Zugriffsrechte bieten. Diese Lösung gewährleistet eine hohe Sicherheitsstufe, ohne die Safety oder Usability des Produkts negativ zu beeinträchtigen. Der durchgeführte Pentest bestätigte anschließend, dass die implementierten Sicherheitsmaßnahmen robust sind und den festgelegten Anforderungen entsprechen. Es wurde zudem festgestellt, dass keine der getesteten Risikokontrollmaßnahmen umgangen werden konnte, was ihre Wirksamkeit deutlich untermauerte. Darüber hinaus identifizierte der Pentest zusätzliche Angriffsvektoren, die im initialen Risikomanagement nicht berücksichtigt wurden. Diese Schwachstellen konnten in einem weiteren Entwicklungsschritt behoben werden, noch bevor sie in der Praxis zu einem Problem werden konnten.
Diese Fallstudie zeigt, wie durch systematisches Cyber Security-Risikomanagement verbunden mit Pentesting Sicherheitslösungen entwickelt werden können, die den hohen Anforderungen an medizinische Produkte gerecht werden, ohne die Benutzerfreundlichkeit zu beeinträchtigen.
Cyber Security-Strategien kontinuierlich anpassen und zukunftssicher machen
Das Cyber Security-Risikomanagement und Pentesting sind aus der Entwicklung von Medizinprodukten nicht wegzudenken. Durch systematische Ansätze und praxisnahe Methoden, wie oben erläutert, können Sicherheitsrisiken effektiv identifiziert und mitigiert werden. Es ist bereits absehbar, wie zunehmende Migration in die Cloud sowie KI-basierte Systeme die Anforderungen an Cyber Security weiterwachsen lassen. In Europa steigen zudem die regulatorischen Hürden durch Einführung des Cyber Resilience Act (CRA) und des AI Act (AIA). Um diesen Herausforderungen zu begegnen, ist die kontinuierliche Anpassung von Cyber Security-Strategien auch in Zukunft unerlässlich.
Autor
Dr. Joachim Wilke, Cyber Security Specialist Healthcare bei der ITK Engineering GmbH
Kontakt: Joachim.Wilke(at)itk-engineering.de