Medtronic rief 64.174 Insulinpumpen zurück, die nicht gegen drahtlose Übernahme gehärtet werden konnten

Am 27. Juni 2019 rief Medtronic seine Insulinpumpen der Serien MiniMed 508 und Paradigm zurück, nachdem potenzielle Cybersicherheitslücken in der von ihnen genutzten drahtlosen HF-Kommunikation festgestellt worden waren. Die FDA warnte, dass eine unbefugte Person in der Nähe sich mit einer Pumpe verbinden und Einstellungen ändern oder die Insulinabgabe steuern könnte.

Die Rückrufdatenbank der FDA stufte die Maßnahme später als Rückruf der Klasse 2 (Z-1581-2020) mit 64.174 Einheiten im US-Handel ein und stellte fest, dass die Ursache im Gerätedesign lag. Health Canada erklärte, die Schwachstellen seien erstmals von externen Sicherheitsforschern identifiziert und durch Tests von Medtronic bestätigt worden; Medtronic teilte mit, dass es die Software der Pumpen nicht aktualisieren könne, um das Risiko zu beheben.

Die Gefahr war konkret: Eine geänderte Einstellung konnte zu viel Insulin abgeben und eine Hypoglykämie verursachen oder die Abgabe stoppen und eine Hyperglykämie sowie eine diabetische Ketoazidose auslösen. Beide Aufsichtsbehörden betonten, dass keine bekannten Patientenschäden vorlägen, und hielten den Angriff für unwahrscheinlich, doch die Abhilfe bestand in Anweisungen – Softwareversionen prüfen, Vorsichtsmaßnahmen treffen –, weil kein Patch existierte.

64.174 Pumpen im US-Handel zurückgerufen (Klasse 2); die FDA stellte fest, dass die Ursache im Gerätedesign lag, und die Eigentümer erhielten Anweisungen, weil die Firmware nicht aktualisiert werden konnte.

Die Pumpen kommunizierten über unverschlüsselten Funk und ließen Einstellungen für Angreifer in der Nähe offen

Ältere Firmware hatte keinen Update-Pfad, sodass der Fehler nicht gepatcht werden konnte

Forscher fanden die Probleme Jahre vor dem Rückruf; Medtronic hatte keine Nachrüstung

Die FDA stufte die Ursache als Gerätedesign ein, nicht als Bedienfehler

Ein vernetztes Medizinprodukt ohne Update-Pfad lässt sich nicht per Patch zurückrufen: Wenn Forscher Fehler finden, ist die einzige Abhilfe eine Warnung oder ein Austausch – die Aktualisierbarkeit muss von Anfang an mitkonstruiert werden.

Medtronic gab am 27. Juni 2019 eine Dringende Sicherheitsmitteilung für das Feld heraus und benachrichtigte die Kunden am 4. Januar 2023 erneut. Im Jahr 2021 weitete Health Canada die Besorgnis auf jede vor 2015 vertriebene MiniMed-508- und Paradigm-Pumpe aus – 2.620 Einheiten in Kanada – und empfahl Patienten, neuere Modelle in Betracht zu ziehen. Der Rückruf blieb jahrelang in der Datenbank der FDA offen.