Gebäudesteuerung: Luxusklinik vergaß IT im Netz
Eine Luxusklinik im idyllischen Schweizer Bergpanorama, die Ausstattung ist nur vom Feinsten. Doch ein wichtiger Punkt hatte beim Neubau offenbar keine Priorität: die Absicherung der eigenen Gebäudesteuerung.
Das Krankenhaus Klinik Gut liegt inmitten idyllischer Berglandschaft im kleinen Ort Fläsch in der Schweiz, nahe der Grenze zu Liechtenstein. Die durchgestylte Klinik hat, vertraut man einem Video des Betreibers, wenig mit dem üblichen sterilen Charme eines Krankenhauses zu tun. Selbst die Kantine gleicht eher einem Sternerestaurant mit polierten Weingläsern und hellen Holzpanelen. Nur in einem Punkt war das Design nicht komplett durchdacht: bei der IT des Hauses.
- Gebäudesteuerung: Luxusklinik vergaß IT im Netz
- Schaltpläne für Spione
- Testlauf ist keine Entschuldigung
Bei ihrer regelmäßigen Suche nach Schwachstellen im Internet fanden die Sicherheitsforscher Tim Philipp Schäfers und Sebastian Neef heraus, dass die IT des modernen Neubaus aus dem Internet zu erreichen war. Dabei konnten die beiden Betreiber des Projekts Internetwache.org ohne jede Zugangssicherung auf die gesamte Gebäudesteuerung zugreifen - vom Licht über die Lüftungsanlage bis hin zum Medizingas im Operationssaal. Zuvor war es ihnen bereits gelungen, Schwachstellen in Ampelanlagen, Wasserwerken und in anderer kritischer Infrastruktur zu finden.
Probleme mit der IT-Sicherheit in Krankenhäusern sind grundsätzlich nichts Neues. Viele teure Geräte laufen über viele Jahre hinweg, Anlagen wie Magnetresonanztomographen (MRT) sind häufig noch mit Windows XP und anderen veralteten Betriebssystemen ausgestattet. Auch Patches für Sicherheitslücken gibt es meist nicht. Im vergangenen Jahr gab es erfolgreiche Ransomware-Angriffe auf mehrere Krankenhäuser. Im aktuellen Fall aber handelt es sich um ein ganz neues Haus, das eigentlich alle verfügbaren Absicherungen einsetzen sollte.
Zugriff über die IP-Adresse
"Wir waren wirklich überrascht", sagte Tim Philipp Schäfers Golem.de. "Nachdem wir die verwundbaren Geräte im Netz gefunden hatten, brauchten wir nur die IP-Adresse in den Browser kopieren und hätten vollen Zugriff auf die Anlagen bekommen können." Zahlreiche Screenshots dokumentieren, wie umfangreich der Zugriff auf die smarte Klinik theoretisch hätte sein können.
Dokumentiert ist neben der Regelung der Luftzufuhr von Küche, Korridor und den Operationssälen die "Notlüftung Dachzentrale (SS2)". Auch Alarmmeldungen für Batterie, Netzausfall oder Wechselrichter konnten über das System angesteuert werden. Deutlich problematischer aber ist, dass die Steuerung den Zugriff auf verschiedene medizinische Gase ermöglicht, etwa für Sauerstoff oder Druckluftgeräte. Wenig überraschend: Sogar die Beleuchtung war aus der Ferne zugänglich.
Schaltpläne für Spione |
Naja, ob da der patient viel von hat, wenn da jetzt statt ISO hastenichtgesehen ISO...
Mich würde es nicht wundern, wenn die einfach ein paar Firewall Regeln gesetzt haben...
IT-News vergaß Qualität in Überschrift
kennst du dieses Kinderlied wo die Sänger abwechselnd aus der Mülltonne schauen oder...