Software-Anbieter und Betreiber von softwaregesteuerten Medizinprodukten sind in der Pflicht, Medizinprodukte gegen Eindringlinge in Form von Viren, Würmern und Trojanern abzusichern. Wie, erläutert Marcus Wenzel vom ZVEI.
Herr Wenzel, ist die Krankenhaus-IT besonders anfällig für Schadsoftware ?
Die so genannte „schädliche Software“ ist für einen privaten Anwender sehr ärgerlich. Doch im Klinikalltag kann sie ganz andere Auswirkungen haben: Als geheime Daten gedachte Informationen können plötzlich für jedermann ersichtlich sein. Oder Geräte und Maschinen funktionieren nicht mehr. Das heißt, im vernetzten Gesundheitswesen hat Malware unter Umständen Einfluss auf die Diagnose, Therapie und die Gesundheit von Patienten.
Auf welche Art und Weise kann Schadsoftware in ein medizinisches Netz gelangen?
Häufig wird sie sogar durch den Anwender selbst eingebracht, etwa über USB-Speichermedien, E-Mail-Anhänge oder Internet-Verbindungen ohne ausreichenden Virenschutz. Um diesen Gefahren zu begegnen, ergreifen Betreiber häufig Schutzmaßnahmen, ohne sich bewusst zu sein, dass sie gerade damit das ordnungsgemäße Funktionieren der IT-Systeme gefährden. Unkontrollierte oder automatische, vom Medizinproduktehersteller nicht autorisierte Softwareupdates können die ins Netzwerk eingebundenen Medizinprodukte in ihrer Funktion beeinträchtigen und somit möglicherweise Patienten gesundheitlich schädigen.
Wer muss denn letztlich dafür sorgen, dass Schadsoftware außen vor bleibt?
Zum einen müssen sich die Anwender, also die Kliniken, darum kümmern, aber genauso die Hersteller von Medizinprodukten und Software.
Welche gesetzlichen Vorgaben müssen Hersteller hier erfüllen?
Sie müssen in Europa die Anforderungen MDD, Anhang I (1) beachten. Zudem gelten die jeweiligen Regelungen zur Produkthaftung.
Was heißt das konkret für Softwareentwickler?
Hersteller von Medizinprodukten, die Software beinhalten oder reine Software-Produkte sind, müssen bereits während des Designs mögliche Risiken, die an den Schnittstellen denkbar sind, hinsichtlich ihres Gefährdungspotenzials bewerten und entsprechende Minimierungsmaßnahmen definieren und implementieren. Sollte dies technisch nicht möglich sein, dann muss der Anwender beziehungsweise der Patient hinreichend über diese Gefährdung informiert werden, etwa in der Gebrauchsanweisung. Dies ist eine wichtige Vorgabe des Medizinproduktegesetzes.
Können Sie dafür ein Beispiel nennen?
Ein Hersteller kann vorgeben, dass nur durch ihn geschulte und autorisierte Anwender Software-Installationen auf seinem Produkt durchführen dürfen. Betroffen sind davon vor allem vom Betriebssystem-Hersteller vorgesehene Patches oder Release-Wechsel. Diese werden dem Betreiber nach Freigabe durch den Gerätehersteller auf CD geschickt. Wichtig ist außerdem der Hinweis, dass der Hersteller ständig beobachtet, inwiefern sein Produkt durch Malware bedroht ist.
- Sabine Koll Fachjournalistin in Böblingen
- Weitere Informationen Der Arbeitskreis Medical IT & Communication Systems im ZVEI-Fachverband Elektromedizinische Technik stellt auf seiner Internet-Seite ein Informationsblatt zum Thema „Schadsoftware/Malware“ zur Verfügung, das Anwender und Betreiber von Medizinprodukten über die Gefahren und Verantwortungen infomiert. www.zvei.de/medtech
Unsere Whitepaper-Empfehlung
Lesen Sie, warum Medizintechnikunternehmen ihre Testprozesse für die Validierung von Software optimieren müssen und wie sie dabei die Erfahrung der Automobilbranche für sich nutzen können.
Teilen: