Hacker entwickeln App, die Menschen töten kann

Die Sicherheitsforscher Billy Rios und Jonathan Butts haben eine Smartphone-App entwickelt, mit der tragbare Insulinpumpen ferngesteuert werden können. So wäre es potenziell möglich, aus der Ferne eine tödliche Dosis Insulin zu verabreichen oder zu verhindern, dass ein Diabetes-Patient im Notfall eine lebensnotwendige Insulin-Dosis erhält.

Die App wurde entwickelt, um Druck auf den Hersteller Medtronic auszuüben. Dieser wurde bereits im Vorjahr von Rios und Butts über diese Angriffsmethode in Kenntnis gesetzt. Der Hersteller veröffentlichte aber nur eine Sicherheitsinformation. Updates oder gar ein Rückruf wurden nicht veranlasst.

Daraufhin entwickelten die Sicherheitsforscher die „Killer-App“ für Android-Smartphones und demonstrierten diese der US-Behörde FDA und dem Hersteller. Eine Woche später folgte der freiwillige Rückruf der betroffenen Geräte. Allein in den USA sollen 4.000 der betroffenen MiniMed-Insulinpumpen im Umlauf sein. Die betroffenen Modelle sind aber laut Medtronic weltweit deutlich stärker verbreitet, weswegen auch in anderen Ländern Maßnahmen folgen werden.

Die Geräte sollen gegen neue Modelle ausgetauscht werden. Die futurezone hat beim Unternehmen angefragt, wie diese Rückrufaktionen hierzulande aussehen werden und wie viele Betroffene es in Österreich gibt. Das Unternehmen gab daraufhin an, dass man Ende Juni damit begonnen habe, "mit einer Sicherheitsinformation behandelnde Ärzte und Patienten in Europa vorsorglich über ein potenzielles Cybersicherheitsrisiko in einer Insulinpumpenreihe sowie mögliche Vorsichtsmaßnahmen zu informieren". Ein Austausch sei nicht geplant, die betroffenen Insulinpumpen können "grundsätzlich weiterverwendet werden".

Leicht auszutricksen

Für die Insulinpumpen gibt es kleine Funk-Fernbedienungen, mit denen Krankenpfleger, Ärzte oder Eltern diese aus der Ferne kontrollieren können. Doch der Komfort hat seinen Preis. Wie die Sicherheitsforscher herausgefunden haben, wurden die Funksignale nicht verschlüsselt. Zudem lassen sich die Befehle relativ einfach mitlesen, wodurch ein Angreifer bereits mit simplen Mitteln eine eigene Fernbedienung basteln kann.

Eigentlich muss der Angreifer die Seriennummer des Geräts kennen, um die Befehle zustellen zu können. Doch die Sicherheitsforscher umgehen das mit einer relativ simplen Methode. Wer die Seriennummer nicht kennt, kann alle möglichen Seriennummer-Kombinationen per Skript automatisch durchprobieren. Auch das Problem der Reichweite lässt sich mit einer Richtantenne umgehen. Eigentlich sind die Fernbedienungen nur für kurze Distanzen – weniger als ein Meter – ausgelegt, durch entsprechendes Equipment könnte man die gefährlichen Befehle aber auch aus mehreren Metern Entfernung verschicken.

Sicherheitslücken als Vorteil

Rios und Butts sind nicht die ersten Sicherheitsforscher, die auf die Gefahren der Insulinpumpe mit Fernbedienung aufmerksam machen. Bereits Ende 2011 gab es konzernintern erstmals Bedenken, laut Medtronic habe man aber die Sicherheit seitdem verbessert. Ein Verbot aller alten Modelle wäre nicht möglich, so die FDA, da viele Kunden diese gerade wegen der Funkverbindung nutzen. Diese kombinieren etwa die Geräte mit Blutzuckermessgeräten, um automatisiert Insulin-Dosen zu verabreichen. Offiziell ist diese Kombination nicht zugelassen, die Behörden dulden diese „Looper“ genannten Systeme jedoch.