Hackerangriff auf Insulinpumpen: Kein Grund zu Panik

Nicht nur Fernseher und Garagentore, auch medizinische Geräte wie Insulinpumpen lassen sich per Fernbedienung steuern. Macht sie das anfällig für Manipulationen? Das fragte sich der amerikanische Sicherheitsexperte Jerome Radcliffe, selbst Diabetiker und Pumpenträger.

Der amerikanischen Nachrichtenagentur Associated Press zufolge gelang es ihm, eine Funksteuerung für seine Insulinpumpe zu konstruieren, mit der sich die Pumpe genauso bedienen lässt, wie mit der dazugehörigen Fernbedienung. Seinen Glukosesensor, ein Gerät, das den Zuckergehalt im Gewebe misst, konnte er dazu bringen, einen falschen Wert anzuzeigen.

Im August präsentierte Jerome Radcliffe seine Entdeckungen auf einer Hacker-Konferenz in Las Vegas. Und setzte damit eine Diskussion über die Sicherheit von Insulinpumpen im Gang. Sind Pumpenträger tatsächlich der Gefahr eines gezielten Hacker-Angriffs ausgesetzt? Darüber sprachen wir mit Dr. Dr. Wulf Quester, Diabetologe am Herz- und Diabeteszentrum Bad Oeynhausen und Beiratsmitglied der Arbeitsgemeinschaft für diabetologische Technologie.

Herr Dr. Quester, müssen Pumpenträger jetzt fürchten, dass sich Hacker an ihrer Pumpe zu schaffen machen?
Bislang soll es nur einem einzigen Menschen gelungen sein, noch dazu einem absoluten Spezialisten, seine eigene Pumpe zu manipulieren. Das ist meiner Meinung nach kein Grund, sich als Pumpenträger vor Hackerangriffen zu fürchten. Das sagte übrigens auch Jerome Radcliffe selbst. Dennoch hat er die von ihm entdeckten Schwachstellen dem Hersteller mitgeteilt.

Was könnte denn ein Pumpen-Hacker schlimmstenfalls anrichten?
Theoretisch könnte er die Pumpe dazu bringen, eine hohe Insulindosis abzugeben und so eine schwere Unterzuckerung auslösen. Oder die Insulinabgabe der Pumpe stoppen, sodass sich wegen des Insulinmangels eine gefährliche Stoffwechselentgleisung (Ketoazidose) entwickelt. Bei Pumpenträgern, die einen Glukosesensor tragen, der die Zuckerkonzentration im Gewebe überwacht, könnte eine Manipulation der Messwertanzeige dazu führen, dass der Pumpenträger als Reaktion auf einen veränderten Wert eine falsche Insulindosis abruft. Aber selbst wenn solche Manipulationen gelängen: Der Pumpenträger würde sie in der Regel sofort bemerken.

Wie denn?
Wenn man an der Pumpe eine Insulindosis (Bolus) einstellt, muss man die  Höhe des Bolus per Tastendruck bestätigen. Erst danach startet die Insulinabgabe. Die erfolgte Insulinabgabe wird durch ein Signal bestätigt. Wenn die Pumpe gestoppt wurde, gibt sie regelmäßig Alarmsignale. Außerdem spüren die meisten Diabetiker, wenn ihr Blutzucker stark steigt oder fällt. Und gerade Pumpenträger sind gut geschult und wissen sich bei Blutzuckerentgleisungen zu helfen. Es kann ja bei einer Pumpe auch einmal passieren, dass der Katheter verstopft und kein Insulin mehr durchlässt oder dass die Kanüle aus der Haut rutscht. Solche grundsätzlichen Risiken kennen Pumpenträger in der Regel und haben sie im Auge. Im Übrigen entgleist der Blutzucker nicht von einer Minute auf die andere. Spätestens bei der nächsten Blutzuckermessung würde der Pumpenträger merken, dass etwas nicht stimmt und könnte gegensteuern.

Was ist mit Diabetikern, die einen Glukosesensor tragen?
In Deutschland sind das nur wenige hundert. Und die dürfen sich ohnehin nicht alleine auf den Sensor verlassen, sondern müssen wie gehabt ihren Blutzucker am Finger messen, bevor sie auf zu hohe oder zu tiefe Werte reagieren. Deswegen sehe ich hier überhaupt keine Gefahr.

Wie ist eigentlich gewährleistet, dass sich mit der Fernbedienung nur die eigene Pumpe steuern lässt?
Die Pumpen-Fernbedienungen (Funk oder Bluetooth) funktionieren nach dem gleichen Prinzip wie die Fernbedienungen mit denen sich Autos  öffnen lassen. Die Funkübertragung ist codiert. Das bedeutet, dass die Funksignale so verändert wurden, dass sie nur vom zugehörigen Empfänger gelesen werden können. Genau wie man mit seinem Autoschlüssel nur den eigenen Wagen offnen kann, kann man mit der Fernbedienung nur seine eigene Pumpe steuern.

Autos lassen sich ja schon von der anderen Straßenseite aus öffnen. Hat die Pumpen-Fernbedienung eine ähnliche Reichweite?
Nein. Genau genommen, ist die Fernbedienung für die Pumpe gar keine Fernbedienung. Denn die Funksignale reichen nur maximal zwei Meter weit.

Das heißt, selbst wenn ein potentieller Hacker den Funk-Code knacken würde, müsste er direkt vor einem stehen, um die Pumpe zu bedienen?
Genau. Wer jetzt immer noch Angst hat, sollte sich fragen, wie viele Leute es gibt, die sich so gut auskennen mit der Technik, dass sie die Pumpe manipulieren können. Und wie viele davon auf die Idee kommen würden, jemandem damit zu schaden. Wäre die Gefahr realistisch, würden die Pumpenhersteller sofort Gegenmaßnahmen ergreifen, um die Pumpen sicherer zu machen.

Haben Sie trotzdem noch einen Tipp für ängstliche Pumpenträger?
Wenn jemand eine Pumpe verordnet bekommt, hat das einen guten Grund: Mit der Spritzentherapie lassen sich die Blutzuckerwerte nicht beherrschen. Deswegen sollte man auf keinen Fall auf diese Therapieform verzichten, nur weil man fürchtet, Opfer eines Hackerangriffes zu werden. Die Gefahr dass man durch schlechte Blutzuckerwerte seiner Gesundheit schadet, ist viel höher. Übrigens ist das Manipulieren von Funksignalen eine Straftat. Wer so etwas tut, begeht ein Verbrechen, das unter Strafe steht, selbst wenn dabei niemand zu Schaden kommt.