GE Healthcare B450- und B850-Sicherheitsexploits

Einer der ersten Vorteile der Technologie war die Entwicklung von Technologien, die Leben retten und Krankheiten besser beherrschbar machen können. GE Healthcare ist ein multinationales Unternehmen der Gesundheitselektronik mit Sitz in den Vereinigten Staaten von Amerika und wurde 1994 gegründet.

Vor kurzem hat das Unternehmen einige neue medizinische Elektronik namens  CARESCAPE Monitor B450  und CARESCAPETM Monitor B850 auf den Markt gebracht, die beide für die Überwachung von Patienten gedacht sind und sich auch leicht mit den Patienten bewegen lassen.

CRESCAPET Monitor B450 Funktionen

Der CARESCAPET Monitor B450 ist ein Monitor, der die Sehschärfe eines Patienten überwacht und verfolgt sowie alle Aktivitäten beim Bewegen eines Patienten verfolgt. Das Gerät ist so konstruiert, dass es nicht zu schwer oder sperrig ist, um es mit dem Patienten zu transportieren. Es wurde speziell für den Einsatz in Notfällen oder chirurgischen Eingriffen entwickelt. Es verfügt auch über eine Option für eine drahtlose Verbindung, damit medizinisches Personal problemlos auf Patienteninformationen zugreifen kann, sowie über ein Multiparametermodul mit hämodynamischen Messungen und ein zusätzliches Messmodul mit einfacher Breite.

Benutzer können Alarm- und Erinnerungssysteme einrichten, die ihren Bedürfnissen entsprechen. Es ermöglicht einen einfachen Zugriff auf physiologische Informationen über Patienten, die ihnen helfen, Entscheidungen über die Behandlung schneller zu treffen, und verwendet Algorithmen und Methoden, die Ärzten bei der Diagnose helfen können. Es kann je nach Bedarf der Einheit oder Anzahl und Art der Patienten konfiguriert werden, und die Informationen können über das CARESCAPE Gateway vom KIS/EMR abgerufen werden. Mit diesem Gerät bleiben sowohl Benutzer als auch Ärzte verbunden und es kann zur einfachen Patientenverwaltung auch mit Aufzeichnungsgeräten, Druckern usw. verbunden werden.

CARESCAPETM Monitor B850 Funktionen B

Der CARESCAPETM Monitor B850 hingegen kann Atemaktivitäten und Gase überwachen und verwendet den Marquette* EKG-Algorithmus mit einzigartigem Anästhesiekonzept für eine maßgeschneiderte Anästhesie. Es ermöglicht auch die Verbindung und Datenüberwachung, die auch der CARESCAPETM Monitor B450 bietet, und bietet unter anderem klinische Intelligenz aus Telemetrie, früher Medikation, Labortestergebnisdaten über das Kardiologie-Datensystem.

Es kann auch an externe Anzeigegeräte zur Datenverwaltung angeschlossen werden.

Validierungsprobleme

Beide Maschinen sind sehr einfach zu bedienen, was die Schulung des Personals, vom Erfahrenen bis zum Praktikum, sehr einfach macht. Auch die Benutzeroberfläche ist sehr intuitiv und leicht verständlich. Aber so erstaunlich und unterstützend diese Maschinen auch sind, Studien haben gezeigt, dass sie auch Sicherheitsprobleme mit hohem Risiko aufweisen. Laut einigen Studien der US-amerikanischen Cybersecurity and Infrastructure Agency (CISA) wurden einige der festgestellten Probleme darin begründet, dass die gespeicherten Daten und Anmeldeinformationen nicht geschützt waren. Dies bedeutete, dass jeder Dritte darauf zugreifen konnte.

Außerdem wurde die Validierung der Eingaben nicht ordnungsgemäß validiert und erforderte eine zusätzliche Validierung. Es gibt einige Patienteninformationen, die nur dem Arzt zugänglich sein sollten. Die können auf Informationen benötigte zweistufige Überprüfungen durchführen, die ihr fehlten. Bei den GE Healthcare-Monitoren fehlten auch Authentifizierungssysteme für sehr wichtige Aktivitäten, was bedeutet, dass jeder auf diese Funktionen zugreifen und alle Dokumente in die Patientendatenbank hochladen kann, was die Integrität der Informationen in der Monitorkonsole gefährdet. Es gibt keine Verschlüsselung, um die Daten der Patienten zu schützen, und es ist leicht, sie zu hacken.

Was diese Probleme für Patienten bedeuten

All dies auf den ersten Blick mag nicht lebensbedrohlich erscheinen, aber sie sind es. Wenn die Monitore einem Angriff zum Opfer fielen, können leicht verheerende Änderungen an der Gerätesoftware vorgenommen werden, die wiederum die Funktionsweise verändern und tödlich sein können. Alarm- und Erinnerungseinstellungen können auch gemildert werden, was zu Terminüberschreitungen führen kann. Informationen über Patienten können auch dem Internet zugänglich gemacht werden.

Eines der wichtigsten und gefragtesten Dinge im Gesundheitssystem nach einer erfolgreichen Behandlung ist Diskretion. Das kann man Patienten jedoch nicht versprechen, wenn die Software, mit der sie behandelt werden, nicht vor Cyber-Angriffen sicher ist. Medizinische Informationen, die in die falschen Hände geraten, vertrauen nicht nur Veilchen, sondern sind auch sehr beängstigend. Die in diesen Geräten gefundenen Fehler und  Schwachstellen  wurden von einem CyberMDX-Forscher namens Elad Luz wiederhergestellt, der diese Probleme dann im September 2019 in „MDhex“ in GE und CISA umbenannte. Die meisten Probleme wurden zuerst in CIC Pro entdeckt, einem anderen elektronischen Gerät von GE Healthcare Gerät, das von medizinischem Personal zum Speichern von Cardio-Daten von Patienten verwendet wird.

Das System lief bei der Analyse mit einer Version von Webmin, die als sehr gefährlich und unsicher bezeichnet wurde. Als sie sich den CARESCAPETM Monitor B850 und den CARESCAPETM Monitor B450 ansahen, stellten sie auch einige Probleme mit den Geräten fest. Und obwohl beide Geräte erstklassig sind und erstaunliche medizinische Arbeit leisten, können sie nicht als sicher bezeichnet werden, wenn sie nicht gegen Cyberangriffe immun sind.

Diese Ergebnisse wurden an das Team von GE Healthcare, das 2019 an dem Projekt arbeitete, gemeldet. Das Unternehmen versprach, stärkere und weniger anfällig für Cyberangriffe zu veröffentlichen.