Mobile Gesundheits-Geräte: Kaspersky entdeckt 33 Sicherheitslücken

Mobile Gesundheits-Geräte: Kaspersky entdeckt 33 Sicherheitslücken

Beitrag teilen

Die Experten von Kaspersky haben im vergangenen Jahr 33 Schwachstellen gefunden im am häufigsten verwendeten Protokoll für die Übertragung mobiler Gesundheits-Geräte, die zur Fernüberwachung von Patienten eingesetzt werden [1]. Auch Qualcomm Snapdragon betroffen.

Bei 18 Schwachstellen handelt es sich um kritische Schwachstellen. Das sind 10 mehr als im Jahr 2020, viele von ihnen sind noch nicht behoben. Einige dieser Schwachstellen geben Angreifern die Möglichkeit, Daten abzufangen, die online von dem Gerät gesendet werden.

Anstieg der Schwachstellen in 2021

Die anhaltende Pandemie hat zu einer raschen Digitalisierung des Gesundheitssektors geführt. Da Krankenhäuser und Pflegepersonal überlastet sind und viele Menschen zu Hause unter Quarantäne stehen, sind die Organisationen gezwungen, die Art und Weise der Patientenversorgung zu überdenken. Wie eine aktuelle Kaspersky-Studie [2] ergab, haben 92,7 Prozent der Gesundheitsdienstleister in Europa telemedizinische Funktionen implementiert. Diese rasante Digitalisierung hat jedoch neue Sicherheitsrisiken mit sich gebracht, insbesondere wenn es um Patientendaten geht.

Zur Telemedizin gehört auch die Fernüberwachung von Patienten, die mit tragbaren Geräten und Monitoren durchgeführt wird. Diese überwachen kontinuierlich oder in Intervallen die Gesundheitsindikatoren von Patienten, wie etwa die Herztätigkeit.

MQTT-Protokoll bietet keine sichere Datenübertragung

Das MQTT-Protokoll ist das weitverbreitetste Protokoll für die Übertragung von Daten von tragbaren Geräten und Sensoren, da es einfach zu handhaben ist. Deshalb findet man es nicht nur in tragbaren Geräten, sondern auch in fast allen anderen intelligenten Gadgets. Allerdings ist die Authentifizierung bei der Verwendung von MQTT völlig optional und umfasst nur selten eine Verschlüsselung. Das macht MQTT sehr anfällig für Man-in-the-Middle-Angriffe, bei denen Angreifer sich während der Kommunikation zwischen zwei Parteien einschleusen können. Dies hat zur Folge, dass alle über das Internet übertragenen Daten möglicherweise gestohlen werden könnten. Bei tragbaren Geräten können die verarbeiteten und versendeten Informationen jedoch hochsensible medizinische Daten, persönliche Informationen und sogar die Bewegungen einer Person umfassen.

Seit dem Jahr 2014 wurden 90 Schwachstellen in MQTT entdeckt, darunter auch kritische, von denen viele bis heute nicht behoben wurden. 2021 wurden 33 neue Schwachstellen entdeckt, darunter 18 kritische – 10 mehr als im Jahr 2020.

Qualcomm Snapdragon Wearable-Plattform mit Schwachstellen

Kaspersky-Experten fanden Schwachstellen nicht nur im MQTT-Protokoll, sondern auch in einer der beliebtesten Plattformen für Wearable-Geräte: Qualcomm Snapdragon Wearable-Plattform. Seit deren Einführung wurden mehr als 400 Schwachstellen identifiziert, wobei nicht alle gepatcht wurden – darunter einige aus dem Jahr 2020.

Die meisten Wearable-Geräte zeichnen sowohl Gesundheitsdaten als auch Standort und Bewegungen der Nutzer auf. Dies ermöglicht nicht nur Datendiebstahl, sondern auch Stalking. Dr. Peter Zeggel, Gründer und Geschäftsführer des deutschen Telemedizin-Unternehmens arztkonsultation ak GmbH, kommentiert: „Datensicherheit ist eine Grundvoraussetzung für die weitere Etablierung der Telemedizin. Dabei handelt es sich um eine geteilte Verantwortung. Gesetzgeber, Anbieter und Anwender der Telemedizin müssen gleichermaßen auf mehr Sicherheit hinwirken. Jeder Beteiligte kann einen Beitrag leisten!“

„Die Pandemie hat zu einem starken Wachstum des Telemedizin-Marktes geführt, dabei geht es nicht nur um die Kommunikation mit dem Arzt per Videosoftware. Es betrifft eine ganze Reihe komplexer, sich schnell entwickelnder Technologien und Produkte, darunter spezialisierte Anwendungen, tragbare Geräte, implantierbare Sensoren und cloudbasierte Datenbanken“, kommentiert Maria Namestnikova, Leiterin des russischen Global Research and Analysis Teams (GReAT) bei Kaspersky. „Viele Krankenhäuser nutzen jedoch immer noch ungeprüfte Dienste von Drittanbietern, um Patientendaten zu speichern, und Schwachstellen in tragbaren Geräten und Sensoren im Gesundheitswesen bleiben offen. Bevor solche Geräte zum Einsatz kommen, sollten Unternehmen sich jedoch so umfassend wie möglich über deren Sicherheitsniveau informieren, um die eigenen Daten und die der Patienten zu schützen.“

Kaspersky-Tipps für Gesundheitsdienstleister zum Schutz von Patientendaten

Sämtliche Anwendungen und Geräte, die im Krankenhaus oder der medizinischen Einrichtung Zum Einsatz kommen auf ihre Sicherheit hin überprüfen. Die von Telemedizin-Apps übertragenen Daten auf ein Minimum begrenzen. So sollte etwa die Standortübertragung deaktiviert werden, wenn diese nicht benötigt wird.
Stets alle Standardpasswörter ändern und Verschlüsselung nutzen, wenn das entsprechende Gerät dies unterstützt.

Mehr bei Kaspersky.com

 


Über Kaspersky

Kaspersky ist ein internationales Cybersicherheitsunternehmen, das im Jahr 1997 gegründet wurde. Die tiefgreifende Threat Intelligence sowie Sicherheitsexpertise von Kaspersky dient als Grundlage für innovative Sicherheitslösungen und -dienste, um Unternehmen, kritische Infrastrukturen, Regierungen und Privatanwender weltweit zu schützen. Das umfassende Sicherheitsportfolio des Unternehmens beinhaltet führenden Endpoint-Schutz sowie eine Reihe spezialisierter Sicherheitslösungen und -Services zur Verteidigung gegen komplexe und sich weiter entwickelnde Cyberbedrohungen. Über 400 Millionen Nutzer und 250.000 Unternehmenskunden werden von den Technologien von Kaspersky geschützt. Weitere Informationen zu Kaspersky unter www.kaspersky.com/


[1] https://securelist.com/telehealth-report-2020-2021/105642/
[2] https://media.kasperskycontenthub.com/wp-content/uploads/sites/43/2021/11/22125239/Kaspersky_Healthcare-report-2021_eng.pdf

 

Passende Artikel zum Thema

Telemedizin: 25 Prozent der Daten werden kompromittiert

Kaspersky-Studie: Über ein Drittel europäischer Healthcare-Dienstleister (36 Prozent) bestätigt, dass ihr medizinisches Personal nicht genau weiß, wie Daten von Patienten ➡ Weiterlesen

Scanner für Cloud Native Security

Der Scanner für Cloud Native Vulnerability and Risk bietet ab sofort neue Funktionen, die es Anwendern ermöglichen, Cloud Native Security ➡ Weiterlesen

Hacking-Wettbewerb deckt 25 Zero-Day-Schwachstellen auf 

Trend Micros Pwn2Own bringt namhafte Technologiehersteller zusammen und fördert Schwachstellenforschung. Der Hacking-Wettbewerb erhöht somit die Sicherheit für etwa 1 Milliarde ➡ Weiterlesen

BSI: Schwachstellen-Kombination macht VMware-Produkte angreifbar

Das BSI meldet, dass eine kombinierte Ausnutzung von kritischen Schwachstellen die Übernahme von ausgewählten VMWare-Produkten ermöglichen kann. Das Problem hat ➡ Weiterlesen

Cyberangriffe: Industrie am stärksten betroffen

Erstmals seit fünf Jahren gibt es mehr Cyberangriffe auf die Fertigungsindustrie. Damit hat sie die Finanz- und Versicherungsbranche bei der ➡ Weiterlesen

Malwarebytes mit Vulnerability Assessment und Patch Management

Neue Funktionen der Malwarebytes Nebula Cloud-Konsole optimieren das Bedrohungsmanagement in einer einzigen Cloud-Plattform. Malwarebytes vereinfacht Bedrohungsmanagement durch neue Module für Vulnerability Assessment ➡ Weiterlesen

IoT und 5G: Chancen und Risiken für Unternehmen 

Zahlreiche Unternehmen befinden sich inmitten des digitalen Wandels, der auch wesentlich durch das Internet-of-Things (IoT) vorangetrieben wird. Allerdings haben IoT-Geräte ➡ Weiterlesen

Ransomware-Report 2022: Zero-Day-Schwachstellen

Hacker nehmen zunehmend Zero-Day-Schwachstellen und die Lieferkette ins Visier. 29 % mehr Ransomware assoziierte CVEs und 26 % mehr Ransomware-Familien im ➡ Weiterlesen