Wie w\u00fcrden Sie reagieren, wenn jemand Ihnen mitteilen w\u00fcrde, dass Ihr Produkt derma\u00dfen gehackt werden k\u00f6nnte, dass es zu Todesf\u00e4llen f\u00fchren k\u00f6nnte? Diese Frage ist nicht aus der Welt gegriffen: Der Hersteller von Herzschrittmachern Medtronic wurde gewarnt und ist f\u00fcr 18 Monate unt\u00e4tig geblieben. Ist das unverantwortungsvolles Verhalten, oder ist die von den Sicherheitsforschern beschriebene Situation v\u00f6llig \u00fcberzogen?<\/p>\n
Das ist nicht das erste Mal, dass solche Situationen aufgetreten sind, auch wenn es selten so direkt um Menschenleben geht. Und Anfgriffssicherheit<\/a> ist heute aktueller denn je. Doch egal, was die Fakten sind: Wenn Management, Rechtsabteilung, Produktentwicklung und PR-Abteilung nicht richtig miteinander kommunizieren, dann ist die Bedrohung f\u00fcr die Firma unter Umst\u00e4nden h\u00f6her als die f\u00fcr die Nutzer.<\/p>\n <\/p>\n Um den Medtronic-Fall zu verstehen, schauen wir uns zun\u00e4chst den Standpunkt der zwei Parteien an:<\/p>\n Die Forscher Billy Rios ver\u00f6ffentlichte diesen Fall\u00a0mit seinem Kollegen Jonathan Butts auf der Sicherheitskonferenz Black Hat in Las Vegas. Die Forscher zeigten, dass ein Herzschrittmacher und eine Insolinpumpe der Firma mehrere Angriffspunkte zur Manipulation bieten. Dazu geh\u00f6rten unter anderem unverschl\u00fcsselte HTTP-Verbindungen und im Programm verankerte, auslesbare VPN-Logindaten<\/a>.<\/p>\n Die Forscher benachrichtigten das Unternehmen und sind nun mit den Ergebnissen an die \u00d6ffentlichkeit getreten, da die Firma innerhalb von 18 Monaten diese Schwachstellen nicht \u00fcber ein Update gesichert hat.<\/p>\n Medtronic hat auf die Forscher reagiert. Jedoch \u2013 laut Aussage der Forscher \u2013 sehr langsam und mit wenig Enthusiasmus. Letzen Endes kam Medtronic zu dem Ergebnis, dass „die L\u00fccke keinen Einfluss auf das Wohl der Patienten [hat]. Daher sehe man keine Notwendigkeit, die L\u00fccke per Update zu schlie\u00dfen.“<\/p>\n Mit mehr Detail geht Medtronic auf die Warnung in deren Security Bullet<\/a> ein. Dort wird eine fachlich saubere Risikoanalyse vorgestellt. Das Ergebnis dieser ist, dass „diese Schwachstellen kein neues potenzielles Sicherheitsrisiko darstellen“. Als Begr\u00fcndung wird zum Beispiel darauf hingewiesen, dass die von den Forschern identifizierten Logindaten nur lesenden Zugriff zulassen. Weiterhin werden Ma\u00dfnahmen empfohlen, bei denen es aber lediglich um die Handhabung geht. Zum Beispiel soll der Zugriff auf das (physikalische) Schreibger\u00e4t gesch\u00fctzt sein.<\/p>\n Es ist die falsche Frage sich damit auseinanderzusetzen, wer Recht hat. Dazu gibt es mehrere Gr\u00fcnde:<\/p>\n Zun\u00e4chst werden harmlose Angriffspunkte h\u00e4ufig f\u00fcr weiterf\u00fchrende Angriffe benutzt<\/strong>. Allein schon lesenden Zugriff auf ein System zu haben kann der erste Schritt sein, schreibenden Zugriff zu bekommen. Wie das genau passieren k\u00f6nnte ist in der Regel gar nicht abzusehen. Daher sollten grunds\u00e4tzlich bei Sicherheitsfragen auch als unproblematisch eingestufte Schwachstellen beseitigt werden.<\/p>\n Der zweite Punkt ist Haftung<\/strong>. Falls die Schwachstelle nun doch missbraucht werden sollte, kann dies f\u00fcr Medtronic teuer werden. Die Haftung wird sicherlich dadurch abgeschw\u00e4cht, dass eine Risikoanalyse durchgef\u00fchrt wurde. Dennoch w\u00e4re eine Sicherung der Schwachstelle bez\u00fcglich Haftungsrisiko die bessere Alternative gewesen.<\/p>\n Der dritte Punkt ist das Ansehen, der Ruf der Firma<\/strong>. Ein Fall wie dieser hat das Potential, dem Streisand-Effekt<\/a> zum Opfer zu fallen. Wenn dieser Fall in der gemeinen Presse behandelt wird, werden viele Leser die Details nicht verstehen. Sie werden sich daran erinnern, dass Medtronik eine potentielle t\u00f6dliche Softwareschwachstelle nicht entfernt hat.<\/p>\n Ich habe ethische bewusst zur\u00fcckgestellt. Es w\u00e4re zu w\u00fcnschen, dass gerade im medizinischen Umfeld Firmen ethisch handeln sollten. Das ist jedoch schwer einzufordern. Dennoch w\u00e4re es w\u00fcnschenswert, wenn Firmen nicht nur aus Angst vor Haftung, sondern auch aus \u00dcberzeugung sichere Produkte bauen.<\/p>\n Die Entwicklungen im Fall Medtronic deuten auf unzureichende Kommunikation innerhalb der Firma hin. Bestimmt haben die Autoren der Risikoanalyse nach bestem Wissen und Gewissen gehandelt. Es ist allerdings erstaunlich, dass die PR-Abteilung von Medtronic das so ver\u00f6ffentlicht hat. Es ist auch erstaunlich, dass das Management nicht ein Softwareupdate verlangt hat, das zumindest kosmetisch die L\u00fccken abdeckt, oder w\u00fcnschenswerter die L\u00fccken in der Tiefe schlie\u00dft.<\/p>\n Sicherheit ist Chefsache. Punkt. [tweetthis]Sicherheit ist Chefsache. Punkt.[\/tweetthis]<\/p><\/blockquote>\n Gerade der letzte Aspekt ist wichtig: In Firmen, bei denen Menschenleben auf dem Spiel stehen, muss Sicherheit Chefsache sein. Abgesehen von der Ethik macht dies auch gesch\u00e4ftlich Sinn. Denn Sicherheitsschw\u00e4chen sind auch dann gef\u00e4hrlich, wenn sie noch nicht ausgenutzt wurden (PR-Desaster). Und wenn sie genutzt werden, kann es das Ende der Firma bedeuten.<\/p>\n How would you react if someone told you that your product could be hacked to such an extent that it could lead to fatalities? This question is not out of the question: Pacemaker manufacturer Medtronic was warned and failed to act for 18 months. Is this irresponsible behavior, or is the security researcher-described...<\/p>","protected":false},"author":1,"featured_media":1790,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_kad_post_transparent":"","_kad_post_title":"","_kad_post_layout":"","_kad_post_sidebar_id":"","_kad_post_content_style":"","_kad_post_vertical_padding":"","_kad_post_feature":"","_kad_post_feature_position":"","_kad_post_header":false,"_kad_post_footer":false,"_kad_post_classname":"","footnotes":""},"categories":[72,43],"tags":[200,349,347,346,348],"class_list":["post-1787","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-fallbeispiel","category-industrie","tag-angriffssicherheit","tag-ethik","tag-herzschrittmacher","tag-medtronic","tag-schwachstelle"],"_links":{"self":[{"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/posts\/1787","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/comments?post=1787"}],"version-history":[{"count":0,"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/posts\/1787\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/media\/1790"}],"wp:attachment":[{"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/media?parent=1787"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/categories?post=1787"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.se-trends.de\/en\/wp-json\/wp\/v2\/tags?post=1787"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Die Fakten<\/h2>\n
Die Forschungsergebnisse<\/h3>\n
Die Antwort von Medtronic<\/h3>\n
Wer hat Recht?<\/h2>\n
Ethik<\/h2>\n
Was tun?<\/h2>\n