Derek Yu
Principal Consultant
MedTech im Fokus von Cyberangriffen auf das Gesundheitswesen
Cyberangriffe auf das Gesundheitswesen sind keine Besonderheit mehr. Sie treten häufig auf, verlaufen heftig und werden zunehmend systematisch. Die Erkenntnisse aus vergangenen Cyber-Vorfällen sind eindeutig: Für MedTech-Unternehmen, die den Schritt in die Cloud gehen, ist Cybersecurity ein strukturelles Thema.
Cybersecurity bei vernetzten Medizinprodukten: anerkannter und regulierter Bestandteil der Produktqualität
Die Sensibilität von Patientendaten und der Bedarf an einem unterbrechungsfreien Betrieb machen den Sektor zum bevorzugten Ziel für Cyberangriffe. Medical Grade Connectivity umfasst die gesamte Infrastruktur, die hinter dem Betrieb von Medizinprodukten (von Wearables bis hin zu bildgebenden Systemen) mit hoher Verfügbarkeit und sicherer Datenverarbeitung steht.
Diese Konnektivität ist für Angreifer aus genau dem Grund attraktiv, der sie im klinischen Alltag so wertvoll macht: Die Geräte müssen rund um die Uhr verfügbar sein, mit unterschiedlichen Systemen und Gerätegenerationen zusammenspielen und für mehrere Stakeholdern gleichzeitig zugänglich sein. Eine Sicherheitslücke lässt sich nicht bis zum nächsten Patch-Zyklus aufschieben, denn jeder Vorfall und jede Unterbrechung greift unmittelbar in die Patientenversorgung ein.
Die Regulierungslandschaft spiegelt diesen Ernst wider. Die EU Medical Device Regulation (MDR), die IEC 81001-5-1, die FDA Cybersecurity Guidance und der EU Cyber Resilience Act (CRA) machen Cybersecurity zur Voraussetzung für den Marktzugang. MDR, FDA und IEC 81001-5-1 bleiben für Hersteller von Medizinprodukten die zentralen Compliance-Anker. Der CRA (seit Dezember 2024 in Kraft) erweitert die Anforderungen auf vernetzte Softwarekomponenten, Apps und Cloud-Services, die zum Ecosystem des Produkts gehören, auch wenn sie selbst nicht als Medizinprodukt eingestuft sind.
Diese Regularien gelten in den meisten Märkten. Für MedTech-Unternehmen lautet die Frage: Ist der eigene Entwicklungsprozess robust und strukturiert genug, um diesen Anforderungen zu genügen?
Cyber-Resilienz bei Medizinprodukten ist eine Lifecycle-Disziplin
Medical Grade Connectivity verlangt, dass technische und prozessuale Anforderungen über den gesamten Entwicklungs-Lifecycle hinweg erfüllt sind. Die wohl wichtigste Entscheidung im MedTech-Unternehmen lautet: Wann kommt Cybersecurity ins Spiel? Von Anfang an oder erst später? Erfolgreiche Teams beginnen früh, verankern Sicherheits-Routinen, vermeiden unsichere technische Schulden und reduzieren teure Nachbesserungen.
Im Folgenden skizzieren wir die zentralen Schritte dorthin.
Schritt 1: Assets bestimmen und realistische Bedrohungen identifizieren
Sicherheit beginnt mit einer Risikobewertung. Daraus leiten Teams die technischen Anforderungen für geeignete Maßnahmen ab. Sie erstellen ein vollständiges Asset-Inventar, dokumentieren ein Threat Model und analysieren die Sicherheitsrisiken mit etablierten Methoden und Standards wie STRIDE, Attack Trees und MITRE ATT&CK. Die so erkannten Risiken steuern jede weitere Entscheidung über Sicherheitsfeatures und den vorgesehenen Einsatz.
Die Risiken, wenn Schritt 1 ausgelassen wird:
Wir haben bereits mit MedTech-Unternehmen gearbeitet, die in der Produktentwicklung auf ein formales Threat Modeling verzichtet haben. Daraufhin bemängelten die Prüfer:innen im Zulassungsverfahren, dass die Einreichung keine dokumentierte Risikoanalyse zur Begründung von sicherheitsrelevanten Entscheidungen enthielt. Die zuvor eingesparte Zeit floss so in kostspielige Redesigns und einen verzögerten Markteintritt.
Schritt 2: Heute schon für die Bedrohungen von morgen entwickeln
Die Produktarchitektur übersetzt das Threat Model in die Systemarchitektor. In diesem Schritt definieren Teams Sicherheitsprinzipien, etablieren Identity and Access Management (etwa durch PKI-Zertifikate zur Authentifizierung von Entitäten), legen kryptographische Mechanismen fest, reviewen Sicherheitsdesigns und erstellen die begleitende Dokumentation für Entwicklung und Compliance.
In modernen kryptographischen Systemen entsteht hier auch die Cryptographic Agility: Die kryptographische Schicht wird so entworfen, dass sie flexibel bleibt, statt fest auf einen einzigen Ansatz festgelegt zu sein, den künftige Fortschritte im Quantum Computing kompromittieren könnten.
Die Risiken, wenn Schritt 2 ausgelassen wird:
Branchenübergreifend sehen wir gelegentlich Geräteflotten, die sich mit einer einzigen Credential authentifizieren. Ein einziges kompromittiertes Gerät kann so zur Übernahme der gesamten Flotte führen. Eine PKI-basierte Identität pro Gerät hätte den Vorfall auf eine einzelne Einheit begrenzt.
Quantum Computing stellt aktuelle Verschlüsselungsstandards vor erhebliche Herausforderungen
Neue Fortschritte rücken Quantum Computing in greifbare Nähe. Bei Lösungen, die über viele Jahre im Einsatz bleiben sollen, beobachten wir zunehmende Fortschritte dabei, kryptographische Implementierungen austauschbar zu halten, ohne das System komplett neu aufzubauen. Häufig sind dabei bereits quantensichere Alternativen vorgesehen, die sich an den entstehenden NIST-Post-Quantum-Standards orientieren, etwa FIPS 203, FIPS 204 und FIPS 205.
Schritt 3: Sichere Geschäftslogik implementieren und Schwachstellen in der Lieferkette managen
Ein ausgereifter Security Development Lifecycle setzt robuste Secure-Coding-Praktiken, Static Application Security Testing (SAST) und Software Component Analysis (SCA) in automatisierten Pipelines voraus. Da moderne Angreifer gezielt verbreitete Bibliotheken und Komponenten ins Visier nehmen, sollten Teams ihre Angriffsfläche reduzieren: Drittkomponenten konsequent prüfen, Konfigurationen anpassen und zeitnah patchen.
Die Risiken, wenn Schritt 3 ausgelassen wird:
Ein Medizinprodukt wird mit unsicheren Default-Konfigurationen ausgeliefert, weil Secure-Coding-Checks und automatisiertes Testing nicht in die Entwicklungspipeline integriert waren. Angreifer nutzen daraufhin Schwachstellen aus, die zum Zeitpunkt der Auslieferung bereits öffentlich bekannt waren. Die Folgen: Notfallmaßnahmen, verzögerte Deployments und Reputationsschäden. Automatisiertes Security Testing und das Anpassen der Konfiguration hätten die Probleme vor der Einführung identifiziert.
Schritt 4: Aus Angreiferperspektive testen
Integration und Tests prüfen die Resilienz vernetzter Medizinprodukte unter realen Angriffsbedingungen. Etablierte Verfahren wie Dynamic Application Security Testing (DAST) decken Schwachstellen während des Betriebs auf, während Fuzz Testing Systeme fortlaufend mit fehlerhaften oder unerwarteten Eingaben konfrontiert, um Abstürze und Edge-Case-Fehler zu identifizieren. Penetration Testing nutzt Angreifer-Techniken, um Schutzmaßnahmen aus deren Sicht zu bewerten. Zusammen offenbaren diese Aktivitäten Laufzeit-Fehler, die statische Analysen allein nicht aufdecken, und ermöglichen die Behebung vor dem Rollout.
Die Risiken, wenn Schritt 4 ausgelassen wird:
Fuzz Testing zeigt, dass ein vernetzter Patientenmonitor bei fehlerhaften Datenpaketen abstürzt. Diese Schwachstelle lässt sich für einen Denial-of-Service-Angriff auf ein lebenswichtiges System ausnutzen. Wird der Fehler in der Testumgebung gefunden, lässt er sich beheben. Wird er erst im Krankenhaus entdeckt, ist die Sicherheit der Patient:innen bedroht.
Cyber-Resilienz bei Medizinprodukten ist eine Lifecycle-Disziplin
Schritt 5: Proaktiv bleiben, resilient bleiben
Sicherheit endet nicht mit dem Go-live und beginnt auch nicht erst nach einem Vorfall. Vernetzte Medizinsysteme verlangen kontinuierliches Monitoring und Schutz über ihren gesamten Lebenszyklus. Wer Veränderungen im Umfeld mit SIEM-Funktionen (Security Information and Event Management) und SOAR-Funktionen (Security Orchestration, Automation and Response) überwacht und beantwortet, dehnt Cybersecurity sowohl auf das Gerät als auch auf die vernetzte Infrastruktur aus. Moderne Lösungen kombinieren KI-gestützte Anomalieerkennung mit vordefinierten Incident-Response-Playbooks. Resiliente Lösungen rechnen mit dem Worst Case und pflegen erprobte Disaster-Recovery-Prozesse.
Die Risiken, wenn Schritt 5 ausgelassen wird:
An einem ausgerollten Gerät wird ungewöhnlicher Outbound-Traffic erkannt, doch ein Incident-Response-Plan fehlt. Das Team zögert zwischen zwei Optionen: das Gerät isolieren und damit die Patientenüberwachung gefährden oder zunächst nichts tun. Die Verzögerung verschafft den Angreifern Zeit für Lateral Movement. Mit SIEM-Erkennung und SOAR-basierten Playbooks lässt sich schädlicher Datenverkehr in Minuten blockieren und betroffene Komponenten isolieren, ohne den klinischen Betrieb zu unterbrechen.
Sie arbeiten mit der Cloud?
Sehen Sie sich unseren Virtual Health Talk mit Dräger, dem Universitätsklinikum Schleswig-Holstein und AWS dazu an, wie sich Medical Grade Connecticity erreichen und aufrechterhalten lässt.
Sehen Sie sich hier die Aufzeichnung anKI verschärft die Anforderungen an die Datensicherheit im Gesundheitswesen
Künstliche Intelligenz verändert die Ökonomie von Cyberangriffen. Auf Systemebene macht sie das Aufspüren und Ausnutzen von Schwachstellen in einer bisher unbekannten Größenordnung möglich. Auf der menschlichen Seite erleichtert KI-gestütztes Phishing präzise zielgerichtete Angriffe in großem Maßstab. In der Folge ist das Bedrohungsniveau, dem jedes vernetzte MedTech-System standhalten muss, deutlich gestiegen. Hinzu kommt: KI-Modelle, die Patientendaten verarbeiten, bringen neue Angriffsflächen mit. Adversarial Input Contamination, Prompt Injection und Training Data Exposure schaffen Angriffsvektoren, die es in früheren Gerätegenerationen nicht gab.
Genauso wichtig ist der defensive Einsatz von KI. Cybersecurity ist ein dauerhafter Wettkampf zwischen Angreifern und Verteidigern. Wenn Angreifer KI einsetzen und Verteidiger nicht, entsteht ein gefährliches Ungleichgewicht. KI-gestützte Anomalieerkennung lernt das normale Verhalten einer Geräteflotte und erkennt Abweichungen in einer Geschwindigkeit und Größenordnung, die kein menschliches Analystenteam erreichen kann. Wird KI von Anfang an als Teil des Product Security Incident Response Teams (PSIRT) verstanden, werden agentenbasierte Response-Workflows zum entscheidenden Werkzeug im Security-Betrieb.
Unsere Position zu KI ist klar: den Hype ignorieren, die Grundlagen sauber aufsetzen und das volle Potenzial von Daten und KI sicher erschließen. Für Cybersecurity heißt das: Die KI-Integration darf keine neuen Angriffsflächen schaffen, während KI-Funktionen in der Verteidigung systematisch ausgerollt werden.
Cyber-Resilienz ist Teil moderner Business Continuity
Cybersecurity im Bereich Medical Grade Connectivity ist komplex, entwickelt sich rasant und hat weitreichende Konsequenzen. Die regulatorischen Anforderungen werden strenger, das Bedrohungsumfeld wird schärfer. Hinzu kommt: KI verändert Angriff und Verteidigung gleichzeitig. Die Folgen eines Versagens reichen in diesem Ecosystem über finanzielle Schäden und Reputationsverluste hinaus, bis hin zur realen Patientensicherheit.
Doch Cybersecurity ist beherrschbar, wenn sie systematisch angegangen wird, von der Risikoanalyse bis zum Betrieb. Unternehmen, die in diesem Umfeld erfolgreich navigieren, gehen über die reine Erfüllung von Compliance-Vorgaben hinaus und behandeln Sicherheit als Kerndisziplin von Produktqualität und Business Continuity.
Machen Sie den ersten Schritt zu Security by Design. Kontaktieren Sie unsere Expert »
