?Viele unterschätzen den Aufwand“: Cybersecurity bei Medizinprodukten

Was geschehen ist – die Kernmeldung ausführlich

Die moderne Medizintechnik steht vor einer massiven Herausforderung: Vernetzte Medizinprodukte bestehen heute nur noch zu einem geringen Teil aus eigenentwickeltem Quellcode. Stattdessen bilden Frameworks, Bibliotheken und externe Softwarekomponenten das technologische Fundament. Diese Abhängigkeiten schaffen eine erweiterte Angriffsfläche, die von vielen Herstellern in der Praxis unterschätzt wird. Wenn in einer weit verbreiteten Software-Bibliothek eine Schwachstelle entdeckt wird, stehen Unternehmen vor der komplexen Aufgabe, den eigenen Bestand zu prüfen und eine Strategie für die Reaktion zu entwickeln. Sebastian Wittor, Senior Project Manager Medical Engineering bei BAYOOMED, betont, dass die Sicherheit dieser Produkte nicht erst am Ende eines Entwicklungsprozesses stehen darf. Vielmehr muss sie bereits in die grundlegenden Architekturentscheidungen einfließen. Das Problem ist dabei nicht primär ein Mangel an Werkzeugen, sondern die Frage, wie die gewonnenen Erkenntnisse aus Sicherheitsanalysen bewertet, priorisiert und dokumentiert werden. Die Branche muss sich darauf einstellen, dass die Komplexität der Software-Lieferketten den Aufwand für Wartung und Absicherung signifikant erhöht, was insbesondere bei langlebigen Medizinprodukten zu einer kritischen Daueraufgabe wird.

Die Einzelheiten – Zahlen, Namen und Orte

Sebastian Wittor leitet den Bereich Cybersecurity und Künstliche Intelligenz bei BAYOOMED in Darmstadt, einem Unternehmen der BAYOONET-Gruppe, das sich auf digitale Gesundheitsanwendungen spezialisiert hat. Er unterstützt Hersteller bei der Marktzulassung. Die MedConf Herbst, auf der diese Themen diskutiert werden, findet am 24. und 25. November 2026 in München-Unterhaching statt. Ein zentrales Werkzeug für die Transparenz ist die Software Bill of Materials (SBOM), eine detaillierte Komponentenliste, die aufzeigt, welche Bibliotheken und Frameworks in einem Produkt verbaut sind. Während früher eine SBOM vielleicht zehn bis zwanzig Einträge umfasste, bestehen moderne Softwareprojekte heute oft aus hunderten oder tausenden Abhängigkeiten. Wittor unterstreicht, dass eine SBOM lediglich eine Landkarte darstellt; der eigentliche Prozess erfordert kontinuierliches Monitoring und eine fachliche Bewertung der Ergebnisse. Ein besonderes Augenmerk liegt auf der Usability: Sicherheitskonzepte müssen so gestaltet sein, dass sie Fehlbedienungen durch den Nutzer minimieren, etwa durch intuitive biometrische Anmeldeverfahren statt unsicherer, vorhersehbarer PIN-Muster, die oft auf Geburtsdaten basieren.

Hintergrund – Die Entwicklung der IT-Risiken

Die digitale Transformation in der Medizin hat dazu geführt, dass Geräte heute über Jahrzehnte hinweg in einem technologischen Umfeld operieren, das sich rasant verändert. Medizinprodukte haben oft Lebenszyklen von 20 bis 30 Jahren. Während diese Langlebigkeit aus medizinischer Sicht sinnvoll ist, stellt sie die IT-Sicherheit vor enorme Probleme. Viele Bestandsgeräte wurden in einer Ära entwickelt, in der vernetzte Systeme und moderne Verschlüsselungsstandards noch keine zentrale Rolle spielten. Diese Altgeräte nutzen teilweise Protokolle, die heute als veraltet gelten. Während neue Produkte strengere regulatorische Anforderungen erfüllen müssen, bleibt bei den Bestandsgeräten die drängende Frage, wie lange ein sicherer Betrieb überhaupt noch möglich ist. Oft ist eine nachträgliche Anpassung der Sicherheitsarchitektur wirtschaftlich nicht sinnvoll, sodass Unternehmen vor der Entscheidung stehen, Produkte vom Markt zu nehmen oder durch Nachfolger zu ersetzen. Die regulatorischen Rahmenbedingungen erlauben den Weiterbetrieb alter Produkte nur unter sehr spezifischen Bedingungen und Übergangsregelungen, was den Druck auf Hersteller erhöht, ihre Sicherheitsstrategien grundlegend zu überdenken.

Die Beteiligten – Wer entscheidet und wer handelt

Im Zentrum der Debatte stehen die Hersteller von Medizinprodukten, die für die Absicherung ihrer Systeme verantwortlich sind. Unterstützt werden sie dabei von Experten wie Sebastian Wittor, der als Senior Project Manager bei BAYOOMED fungiert. Auch externe Penetrationstester spielen eine entscheidende Rolle, da sie durch einen "frischen Blick" Schwachstellen identifizieren, die dem internen Entwicklungsteam aufgrund der langen Beschäftigung mit dem System entgehen könnten. Auf der anderen Seite stehen die Krankenhäuser als Betreiber, die für die Infrastruktur, die Netzwerksegmentierung und die Konfiguration der Geräte verantwortlich sind. Die Verantwortung ist somit geteilt: Während der Hersteller das Produkt absichern muss, trägt das Krankenhaus die Verantwortung für die Einbettung in das eigene Netzwerk. Bei extern gehosteten Diensten, wie etwa einer Abrechnungssoftware, verlagert sich die Verantwortung stärker auf den jeweiligen Dienstleister. Die Kommunikation zwischen diesen Parteien, insbesondere im Falle von Sicherheitsvorfällen, ist laut Wittor ein wesentlicher Faktor für das Vertrauen, wobei Transparenz gegenüber den Nutzern und Betreibern unerlässlich ist.

Einordnung – Die Bedeutung der Sicherheitskultur

Einzuordnen ist die aktuelle Situation so, dass Cybersecurity in der Medizintechnik längst kein reines IT-Thema mehr ist, sondern ein integraler Bestandteil der Patientensicherheit. Den Berichten zufolge ist die Vorstellung einer fehlerfreien Software eine Illusion; Transparenz nach einem Vorfall kann das Vertrauen sogar stärken, sofern sie lösungsorientiert und verständlich erfolgt. Ein wesentlicher Punkt ist die Verzahnung von Usability und Sicherheit. Sicherheitssysteme, die den Nutzer überfordern oder zu Fehlbedienungen verleiten, sind in der Praxis wirkungslos. Die Automatisierung von Angriffen durch den Einsatz von Künstlicher Intelligenz verschärft die Bedrohungslage zusätzlich. Die Branche befindet sich in einem Lernprozess, in dem Sicherheit nicht als statischer Zustand, sondern als kontinuierlicher Prozess verstanden werden muss, der von der ersten Zeile Code bis zur Außerbetriebnahme des Geräts reicht. Die Risikobewertung muss dabei immer den konkreten Kontext des Einsatzes berücksichtigen, da nicht jede Schwachstelle in einer Bibliothek zwangsläufig zu einer realen Verwundbarkeit des gesamten Systems führt.

Offene Fragen – Was der Quelltext nicht beantwortet

Der Quelltext lässt einige Fragen offen, die für die Praxis von hoher Relevanz sind. So wird nicht konkret benannt, welche spezifischen regulatorischen Übergangsfristen für welche Klassen von Bestandsgeräten gelten. Auch bleibt unklar, wie genau die Haftung bei komplexen Lieferketten-Angriffen rechtlich zwischen Software-Zulieferern, Geräteherstellern und Klinikbetreibern aufgeteilt wird, wenn ein Vorfall auftritt. Der Text erwähnt zwar, dass KI-gestützte Angriffe zunehmen, nennt aber keine konkreten Beispiele für bereits erfolgte, nachgewiesene Schadensfälle durch Cyberangriffe auf spezifische medizinische Endgeräte, da diese laut Experten schwer von medizinischen Störungen zu unterscheiden sind. Zudem wird nicht erläutert, welche konkreten finanziellen Auswirkungen die Nachzertifizierung von Altgeräten für mittelständische Unternehmen im Vergleich zu großen Konzernen hat. Die Frage, ab welchem Punkt eine Sicherheitslücke als "kritisch genug" für einen sofortigen Rückruf eingestuft wird, bleibt ebenfalls auf einer abstrakten Ebene der Risikobewertung, ohne konkrete Schwellenwerte oder behördliche Vorgaben zu definieren.

Wie es weitergeht – Ausstehende Schritte und Termine

Die Branche blickt auf den 20. September 2026, den Stichtag für die Einreichung von Beiträgen für die MedConf Herbst. Diese Konferenz, die Ende November 2026 in München-Unterhaching stattfindet, wird ein zentraler Ort für den Austausch über diese Sicherheitsfragen sein. Für Hersteller bedeutet die Zukunft vor allem eine kontinuierliche Auseinandersetzung mit der Software-Wartung. Da die Angriffe schneller und skalierbarer werden, müssen Unternehmen ihre Prozesse zur Schwachstellenanalyse professionalisieren. Es bleibt abzuwarten, wie sich die regulatorischen Anforderungen an die Dokumentation von Sicherheitsvorfällen weiterentwickeln und ob es zu einer Standardisierung der Kommunikation bei Sicherheitslücken kommt. Die Hersteller sind angehalten, Sicherheitskonzepte nicht nur zu dokumentieren, sondern deren Wirksamkeit unter realen Bedingungen nachzuweisen. Die Entwicklung hin zu mehr Transparenz bei Sicherheitsvorfällen wird vermutlich ein fortlaufender Prozess sein, bei dem die Branche lernen muss, dass Offenheit gegenüber den Nutzern und Betreibern ein notwendiger Bestandteil der professionellen Verantwortung ist, um das Vertrauen in vernetzte medizinische Systeme langfristig zu sichern.