Cybersicherheit bei Legacy-Ultraschallsystemen 2026: Patchen, segmentieren, isolieren oder ersetzen?

In diesem Leitfaden

• Das Schreiben mit zwei Uhren
• Neun von zehn freigegebenen Designs stammen aus der Zeit vor dem Gesetz
• Der Katalog, der Ihren Scanner nicht' enthält
• Der Katalog, der ihn enthält
• Was die Sicherheitsbilanz aussagt und was nicht'
• Die Bedrohungslage, ehrlich dimensioniert
• Wie finde ich überhaupt heraus, was auf diesem Gerät läuft?
• Patchen, segmentieren, isolieren oder ersetzen, präzise definiert
• Wo unabhängiger Service seinen Platz hat und wo er endet
• Beschaffungsklauseln für das nächste System
• Methodik und Einschränkungen
• Häufig gestellte Fragen
• Fazit

Das Schreiben mit zwei Uhren

Kernaussage: Eine End-of-Support-Mitteilung ist kein einzelnes Ereignis. Das Schreiben zum Olympus EU-ME2 unterscheidet mindestens fünf Uhren – und der OEM gibt selbst an, welche angehalten wurden und welche nicht'.

Lesen Sie die Mitteilung von Olympus genau, denn sie bestätigt offiziell nahezu alles, was dieser Bericht darlegt ¹. Der Auslöser war kein Verschleiß des Geräts: "Dies ist erforderlich, da die dem EU-ME2's zugrunde liegenden Softwarekomponenten von ihren Anbietern nicht mehr unterstützt werden." Das Risikoprofil zum Zeitpunkt des Schreibens war unbedenklich: "Olympus hat in diesen Produkten keine Schwachstellen identifiziert und hat keine Kenntnis von Cyberangriffen, die auf diese Produkte abzielen." Was endet, ist die Möglichkeit einer künftigen softwareseitigen Behebung: keine "softwarebasierten Gegenmaßnahmen für künftige Schwachstellen" und jegliche künftigen Software-Updates "würden der Funktionalität und nicht der Cybersicherheit dienen." Die vom Hersteller empfohlenen kompensierenden Maßnahmen liegen auf physischer und Netzwerkebene – schlüsselgesicherte USB-Port-Sperren, schlüsselgesicherte LAN-Port-Sperren, manipulationsanzeigende Siegel. Und der Hardwaresupport – der Austausch von Teilen – wird ausdrücklich fortgeführt.

Das sind fünf separate Uhren in einem Schreiben, und sie laufen zu unterschiedlichen Zeiten ab:

1. Klinischer Nutzen — erzeugt das System weiterhin die Bilder, die für seine Verfahren benötigt werden? (Olympus gibt nicht an, dass das EU-ME2 aufgehört hätte, klinisch nützlich zu sein. Hat's auch nicht.)
2. OEM-Produktsupport — das kommerzielle Supportfenster, das durch das Schreiben teilweise geschlossen wird.
3. Software- und Komponentensupport — die Uhr, die das Schreiben tatsächlich ausgelöst hat: vorgelagerte Anbieter haben den Support für Komponenten im Inneren des Geräts beendet.
4. Supportierbarkeit von Sicherheitskontrollen — nach dem Schreiben sind die machbaren Kontrollen die vom OEM aufgeführten physischen und netzwerkbezogenen Kontrollen, nicht Patches.
5. Physische Servicefähigkeit — "wird weiterhin angeboten werden." Läuft noch.

Das International Medical Device Regulators Forum definiert "Legacy" genau auf diese Weise: Ein Legacy-Gerät ist ein Gerät, das "nicht angemessen gegen aktuelle Cybersicherheitsbedrohungen geschützt werden kann" — ein Zustand der Supportierbarkeit, keine Altersklasse. Ein neues Gerät kann Legacy sein; ein altes kann supportierbar sein ⁶. Der rechtliche Rahmen in den USA bekräftigt dieselbe Struktur: Abschnitt 524B des FD&C Act verlangt einen Plan für das Schwachstellenmanagement, einen Patch-Prozess und eine Software-Stückliste (SBOM) — jedoch nur für erfasste Einreichungen, die am oder nach dem 29. März 2023 eingegangen sind, und er ist nicht rückwirkend ⁷. FDA's aktuelle Premarket-Cybersecurity-Leitlinie, finalisiert im Februar 2026, regelt neue Einreichungen; sie erstreckt sich nicht rückwirkend auf die installierte Basis ⁸.

Die Frage "Wie alt ist das Ultraschallgerät?" ist daher die falsche erste Frage. Die richtigen Fragen lauten: Welche der fünf Uhren sind abgelaufen, welche laufen noch und wer verantwortet die jeweilige Uhr? Der Rest dieses Berichts beantwortet diese Fragen anhand von Daten.

Neun von zehn freigegebenen Designs stammen aus der Zeit vor dem Gesetz

Kernaussage: Die Gesamtheit der Ultraschalldesigns stammt überwiegend aus der Zeit vor jeder durchsetzbaren Cybersicherheitsanforderung — und da Freigaben mit konstant 55–83 pro Jahr bei einer Nutzungsdauer von 10–15 Jahren hinzukommen, scheidet die vor dem Gesetz entstandene Population in keinem Planungshorizont altersbedingt aus.

Wir haben FDA's 510(k)-Datenbank herangezogen — jede jemals erteilte Marktfreigabe — und sie nach den zwei Produktcodes gefiltert, die ein diagnostisches Cart-/Konsolen-Ultraschall-System definieren: die Geräte mit einem Betriebssystem, einem Netzwerkanschluss und einer Krankenhaus-IP-Adresse. Das ergibt 2,066 Freigabeentscheidungen von August 1977 bis Juni 2026 ². Gemessen an den drei Cybersicherheits-Meilensteinen:

Erweitert man den Filter auf alle elf Ultraschall-Produktcodes — Sonden, Schallköpfe, Fetal-Doppler —, bleibt dieses Bild mit 91.8 % von 2,726 Datensätzen bestehen; der Befund ist kein Artefakt der Codeauswahl ².

Drei wesentliche Präzisierungen begleiten jede Zahl in diesem Abschnitt. Eine Freigabe betrifft ein Design, kein einzelnes Gerät — die FDA veröffentlicht keine Zahlen zur installierten Basis, daher bedeutet hier nichts "N Geräte im Einsatz". Vor-524B bedeutet nicht unsicher — das Gesetz begründete eine Pflicht, keine Schwachstelle, und viele Hersteller betrieben bereits lange vor 2023 ernsthafte Sicherheitsprogramme. Und die 204 Entscheidungen nach dem Stichtag (9.9 %) sind eine Obergrenze, keine Zählung — 524B ist ab dem Datum bindend, an dem eine Einreichung eingegangen ist, und Entscheidungen folgen dem Eingang mit monatelanger Verzögerung, sodass einige dieser 204 im Rahmen von Einreichungen vor dem Gesetz freigegeben wurden.

Was die Zahlen tatsächlich belegen, ist struktureller Natur: Der gesetzliche Mechanismus, der einen Patch-Prozess und eine SBOM vorschreibt, wurde erst aktiviert, als fast die gesamte Population freigegebener Designs bereits existierte.

Nun zu den Jahrgangsbereichen, die Krankenhäuser tatsächlich betreiben:

Jede zwischen 2006 und 2020 freigegebene Konsole — der Bereich, der die im Einsatz befindlichen Geräteflotten dominiert, angesichts der in unserem Flotten-End-of-Service-Bericht dokumentierten realen Nutzungsdauer von 10–15 Jahren — stammt ausnahmslos aus der Zeit vor dem Gesetz. Selbst das jüngste volle Jahrzehnt freigegebener Designs stammt zu 70 % aus der Zeit vor 524B. Ein Krankenhaus, das heute ein Ersatzgerät kauft, hat eine Wahrscheinlichkeit von etwa eins zu zehn, dass das Design des Ersatzgeräts' gemäß dem Gesetz für Cyber-Devices freigegeben wurde, und selbst das ist noch übertrieben.

Und die Population scheidet nicht altersbedingt aus. Das Freigabevolumen verharrt seit 2012 in einem stabilen Bereich von 55–83 Systemen pro Jahr, ohne Anstieg nach 2014 oder 2023 ²:

Das Warten auf eine Modernisierung der Geräteflotte ist keine Cybersicherheitsstrategie. Es ist ein Plan für mehrere Jahrzehnte.

Noch eine strukturelle Tatsache, da sie die Grundlage für alles im folgenden Abschnitt zur Evidenzhierarchie bildet: Die Geräteflotte ist konstruktionsbedingt herstellerübergreifend, und der Anbieter-Tail ist sehr lang. 532 unterschiedliche Antragstellernamen haben seit 1977 ein Ultraschallsystem freigeben lassen; 238 verschiedene Antragsteller ließen allein in den Jahren 2011–2026 eines freigeben; mehr als die Hälfte aller Anbieter, die jemals ein System freigegeben haben, ließen genau ein einziges freigeben ². Für 2011–2026 entfallen auf die acht größten OEM-Familien lediglich 55.2 % der Freigaben — 349 von 1,005 stammten von Antragstellern außerhalb der vierzehn allgemein bekannten Namen:

Jeder dieser Hersteller verfolgt eine eigene Praxis zur Offenlegung von Produktsicherheitsinformationen — oder gar keine. Und ein Großteil der Hersteller hinter den im Betrieb befindlichen Gerätejahrgängen tritt als US-Antragsteller nicht mehr in Erscheinung: Von 167 Anbietern, die zwischen 2006 und 2018 ein System freigeben ließen, haben 116 (69.5 %) keine zwischen 2020 und 2026 beschiedene US-Ultraschallfreigabe ². Das Ausbleiben einer neuen Freigabe ist kein Beleg dafür, dass ein Unternehmen den Betrieb eingestellt hat — Firmen werden übernommen, benennen sich um, erwirken Freigaben über eine Muttergesellschaft oder vertreiben Produkte anderweitig —, aber es markiert eine Untergrenze dafür, wie schwierig die Anweisung "Hersteller für einen validierten Patch kontaktieren" in der Praxis umzusetzen ist. Der Ansprechpartner ist häufig kein aktiver US-Antragsteller mehr.

Der Katalog, der Ihren Scanner nicht enthält

Fazit: CISA's Known Exploited Vulnerabilities-Katalog ist das richtige Priorisierungswerkzeug für die IT-Landschaft eines Hospital's und ein Kategorienfehler bei der Anwendung auf einen Scanner — seine 276 Anbieter umfassen keinen Hersteller bildgebender Systeme, und seine mediane Behebungsfrist von 21 Tagen kann kein validiertes Medizinprodukt einhalten.

Wenn ein Sicherheitsteam eines Krankenhauses eine einzige Liste von US-Bundesbehörden heranzieht, um das Patching zu steuern, dann ist es CISA's Known Exploited Vulnerabilities (KEV)-Katalog — die Liste der Schwachstellen, deren Ausnutzung in freier Wildbahn bestätigt ist, mit Behebungsfristen, die für US-Bundesbehörden gemäß Binding Operational Directive 22-01 verbindlich sind ⁵¹¹. Der Katalog vom 7. August 2026 enthält 1,662 Einträge von 276 verschiedenen Anbietern. Gleicht man alle 1,662 mit Herstellern diagnostischer Bildgebung und von Medizinprodukten ab, findet man null — kein GE HealthCare, kein Philips, kein Siemens Healthineers, kein Canon Medical, kein Mindray, kein Samsung Medison, kein Esaote. Der einzige tatsächliche Eintrag aus dem Gesundheitswesen im gesamten Katalog ist eine Health-IT-Integrations-Engine (NextGen Healthcare Mirth Connect). Der Microsoft/Windows-Hintergrund, mit dem die vorherige Version dieser Analyse eröffnete — 382 Microsoft-Einträge, davon 170 als "Windows" gekennzeichnet —, ist real, aber er stellt Kontext dar und ist kein Befund über Ultraschall ⁵.

Zwei KEV-Zahlen spielen für einen bildgebenden Gerätebestand tatsächlich eine Rolle, und keine davon ist die Anzahl der Anbieter:

Eine von fünf bekannt ausgenutzten Schwachstellen steht mit Ransomware in Verbindung. 338 von 1,662 Einträgen (20.3 %) tragen CISA's Kennzeichnung für bekannte Ransomware-Kampagnen – und bei Einträgen für Microsoft-Plattformen liegt der Anteil mit 27.2 % noch einmal um die Hälfte höher ⁵. Für ein Gerät, dessen klinischer Wert in seiner Verfügbarkeit liegt, ist der Bezug zu Ransomware der zutreffende Rahmen für die Bedrohungsbewertung, nicht die reine Anzahl an CVEs.

Der KEV-Zeittakt beträgt 21 Tage. Das mediane Zeitfenster zwischen der Aufnahme eines KEV-Entry's und seiner Behebungsfrist für US-Bundesbehörden beträgt 21 Tage ⁵. Ein Medizinprodukt kann nicht nach diesem Zeittakt betrieben werden: Ein Patch muss vom Hersteller gegenüber der freigegebenen Konfiguration validiert werden, bevor ein Krankenhaus ihn sicher installieren kann, und FDA's eigene Postmarket-Leitlinie sieht bei unkontrollierten Risiken 30 Tage für die Kommunikation und 60 Tage für die Behebung vor ¹⁰ – das Zwei- bis Dreifache des KEV-Zeitfensters. Wo der OEM die Plattform nicht mehr unterstützt, gibt es überhaupt keinen Zeittakt mehr. Diese Diskrepanz – 21 Tage an Erwartungshaltung auf Unternehmensebene gegenüber einem OEM-Validierungszyklus, der in Monaten gemessen wird oder nie stattfindet – ist der operative Grund dafür, dass "Segmentieren" und "Isolieren" als Handlungsoptionen existieren.

Die präzise Aussage darüber, was ein Windows-KEV-Eintrag über einen Scanner aussagt: Eine Standardschicht, die manchen Medizinprodukten zugrunde liegt, wird in freier Wildbahn ausgenutzt. Sie sagt Ihnen nicht, ob die validierte Konfiguration Ihres Scanner's diese Komponente ausliefert, sie exponiert oder über einen OEM-geprüften Fix verfügt. In Geräte eingebettete Komponenten erscheinen in KEV unter dem Namen des Komponentenhersteller's, niemals unter dem des Gerätehersteller's – genau deshalb gibt es SBOMs, und genau deshalb ist der Katalog des nächsten Abschnitt's wichtiger.

Der Katalog, der dies leistet

Fazit: CISA's ICS Medical Advisories bilden die Referenz für den Gerätesektor – und in dieser Dokumentation war die Abhilfe, wenn eine Ultraschall-Produktlinie genannt wird, bisher noch nie ein vollständiger Patch. Die Hälfte der verifizierten Warnmeldungen für bildgebende Systeme ließ mindestens ein Produkt ohne Software-Behebung zurück; die offizielle Anweisung lautete, den Zugriff zu beschränken oder das Gerät zu ersetzen.

CISA betreibt eine eigene Reihe von Warnmeldungen für Medizinprodukte: die ICS Medical Advisories (ICSMA). Wir haben die gesamte Reihe erfasst – 176 Warnmeldungen über die vollständigen Jahre 2016–2025, zuzüglich 10 weiterer bis zum 9. August 2026 – und die 18 Warnmeldungen, die bildgebende Produkte betreffen, einzeln abgerufen und verifiziert ³. (Weitere 27 Titel aus dem Umfeld der Bildgebung, überwiegend DICOM-Viewer und PACS-Software, wurden katalogisiert, aber nicht tiefgehend verifiziert; die Anzahl der Warnmeldungen bildet die Offenlegungsaktivität ab, nicht die Inzidenz, und die Gesamtzahl eines Jahr's vermischt neue Meldungen mit Überarbeitungen.)

Das Ergebnis zur Patch-Verfügbarkeit über die 18 verifizierten Warnmeldungen für bildgebende Systeme hinweg:

Die Hälfte der Sicherheitshinweise für die Bildgebung ließ mindestens ein benanntes Produkt ohne verfügbaren Patch zurück. Und der engere, schärfere Schnitt: alle vier Sicherheitshinweise, die explizit Ultraschall-Produktlinien nennen — GE-Bildgebungs- und -Ultraschallprodukte, GE-Ultraschallprodukte, Philips-Ultraschallsysteme, Philips HDI 4000 —, wiesen bei der Veröffentlichung eine unvollständige Patch-Abdeckung für die genannten Ultraschalllinien auf ^312131415. Drei der vier hatten überhaupt keinen Ultraschall-Patch; der vierte verfügte über einen freigegebenen Fix für eine von fünf benannten Produktlinien, wobei der Rest als "geplant" angegeben war. Vier Sicherheitshinweise sind eine kleine Stichprobe, und genau als solche stellen wir sie dar — aber die Richtung könnte nicht deutlicher sein, und sie stammt aus dem eigenen Abhilfetext des Regulators'.

Lesen Sie im Wortlaut, was die Sicherheitshinweise tatsächlich anweisen:

"GE Healthcare empfiehlt Organisationen, den physischen Zugang zu Geräten durch unbefugte Personen zu beschränken." — Sicherheitshinweis zum Kiosk-Escape bei GE-Ultraschallgeräten, bei dem die Abhilfemaßnahme in einer physischen Zugangskontrolle besteht, nicht in einem Patch ¹⁴

"Der Support-Lebenszyklus für das Ultraschallsystem Philips HDI 4000 endete am 31. Dezember 2013… Benutzer sollten Kontrollmaßnahmen implementieren, um den Zugriff auf das Netzwerk zu beschränken, und einen Austausch des Systems in Betracht ziehen." — der End-of-Life-Fall, bei dem die Abhilfe im Austausch besteht ¹⁵

"Wenn Patientensicherheit und Behandlung nicht gefährdet sind, trennen Sie das Produkt vom Netzwerk und verwenden Sie es im Standalone-Modus." — Molekulare Bildgebung von Siemens, die Isolierungsanweisung so klar formuliert, wie es nur sein kann ¹⁶

Patchen, Segmentieren, Isolieren, Ersetzen: Das ist nicht die Erfindung dieses Berichts'. Sie sind die vier Abhilfemaßnahmen, die im offiziellen Bestand an Sicherheitshinweisen bereits verwendet werden. Der Beitrag dieses Berichts' besteht darin, Prüfpunkte und Abbruchbedingungen für sie festzulegen.

Das Fallbeispiel – mit seinen Einschränkungen im selben Atemzug. Im Mai 2024 veröffentlichten Forscher von Nozomi Networks (einem OT-Sicherheitsanbieter; als solcher zu kennzeichnen) 11 Schwachstellen in GE HealthCare's Ultraschallsystem Vivid T9, dessen Webanwendung Common Service Desktop und der Workstation-Software EchoPAC – die schwerwiegendste davon eine Schwachstelle durch fest codierte Anmeldedaten mit einer CVSS-Bewertung von 9.6 – und demonstrierten eine Proof-of-Concept-Ransomware, die den Scanner sperrte ¹⁷. Drei Fakten machen dies zum lehrreichsten dokumentierten Fall zur Ultraschallsicherheit. Erstens war das Einfallstor der Kette's ein Ausbruch aus dem Kiosk-Modus, der ursprünglich im Jahr 2020 offengelegt wurde (CVE-2020-6977) – eine vier Jahre alte Schwachstelle bildete noch immer das erste Glied, und CISA's Reaktion bestand darin, dieselbe Warnmeldung aus dem Jahr 2020 als "Update A" neu herauszugeben, anstatt eine neue zu eröffnen ¹⁴. Zweitens ist das Vivid T9, wie eine Branchenanalyse es formulierte, "im Wesentlichen ein vollständiger PC, auf dem eine von GE angepasste Version von Windows 10 läuft" ¹⁸ – die Konsole ist ein Windows-Rechner im Gewand einer klinischen Benutzeroberfläche, und die Kiosk-Shell bildet die Sicherheitsgrenze. Das Alter war nicht die entscheidende Variable; das Kapselungsdesign war es. Drittens – und diese Einschränkungen sind nicht optional – erfordert die Kette beim Vivid T9 physischen Zugang zur Tastatur der Konsole's, GE veröffentlichte Gegenmaßnahmen über sein Sicherheitsportal, GE teilte Reportern mit, man habe keine Berichte über eine Ausnutzung erhalten, und GE's eigenes Bulletin führt eine umfangreiche Reihe von Ultraschallprodukten auf, die nicht verwundbar sind, darunter Vivid E9 (alle Versionen) und LOGIQ E9/E8/S8 (alle Versionen) ¹⁷¹⁹²⁰. Die Ransomware-Demonstration ohne die Voraussetzung des physischen Zugangs zu zitieren, würde die Quelle verfälschen – und es ist genau die Art von angstbasiertem Framing, die dieser Bericht ersetzen soll.

Ein Hinweis zu Offenlegungsmustern, mit Bedacht formuliert: Es existiert keine spezifische ICSMA-Warnmeldung für Canon Medical, Hologic, Sectra, Mindray, Samsung Medison, Hitachi oder Esaote. Dies spiegelt wider, worauf Sicherheitsforscher ihr Augenmerk gerichtet haben und wie die koordinierte Offenlegung verlaufen ist – es ist kein Beleg dafür, dass die Produkte dieser Hersteller' sicherer sind, und dieser Bericht zieht keinen solchen Rückschluss ³.

Was die Sicherheitsdaten aussagen und was nicht

Kernaussage: FDA's Kanäle für unerwünschte Ereignisse und Rückrufe schweigen nahezu vollständig zur Cybersicherheit bei Ultraschallgeräten – null Erwähnungen von Cyber-Themen in 8,525 Berichten seit 2019, ein einziger Rückruf überhaupt –, während derselbe Rückrufkanal 18 Cyber-Ereignisse bei anderen Gerätetypen verzeichnet. Dieses Schweigen spiegelt einen Meldeweg wider, nicht das Risikoniveau. Auf ein Sicherheitssignal zu warten bedeutet, auf ein Signal zu warten, das strukturell bedingt gar nicht eintreffen kann.

Wir haben den Freitext jedes Berichts über unerwünschte Ereignisse bei Ultraschallgeräten in FDA's MAUDE-Datenbank durchsucht – insgesamt 13,213 Berichte seit Beginn der Aufzeichnungen über elf Ultraschall-Produktcodes ⁴. Das gesamte Cybersicherheits-Vokabular liefert lediglich einstellige Trefferzahlen: "ransomware" zweimal, "malware" dreimal, "cybersecurity" fünfmal, "hacked", "unauthorized access", "phishing", "data breach" und "firewall" jeweils nullmal. Grenzt man dies auf den Zeitraum von 2019 bis 2026 ein – 8,525 Berichte –, fällt jeder Cyber-Begriff auf null.

Die sich überschneidenden Treffer ungleich null gehen fast vollständig auf einen einzigen Vorfall zurück: WannaCry, Juni 2017. Eine Suche in der gesamten MAUDE-Datenbank — über jeden Gerätetyp und jedes Jahr hinweg — nach "wannacry" liefert 12 Berichte, von denen fünf den Ultraschall betreffen: fünf Systeme und Workstations der Siemens-ACUSON-Familie, gemeldet innerhalb eines einzigen Zehn-Tage-Fensters ⁴²¹.

Hersteller's eigene Schilderung in diesen Berichten ist es wert, zitiert zu werden, da sie das Bedrohungsmodell besser beschreibt als jeder Sicherheitsanbieter:

"Die Ausnutzung der Schwachstelle ermöglicht die vollständige Fernsteuerung des Geräts ohne jede andere Voraussetzung außer der Tatsache, dass sich der angreifende Computer im selben Netzwerk wie das Ultraschallgerät befindet." ²¹

Das ist das Argument für eine Segmentierung, vorgebracht vom OEM. Derselbe Bericht nennt den tatsächlichen Pfad des klinischen Schadens — "eine mögliche Verzögerung eines Eingriffs bei einem sedierten Patienten, ein erneutes Einführen eines transösophagealen Schallkopfs oder Katheters oder die Wiederholung einer Stressecho-Untersuchung" — Verfügbarkeitsschaden, keine verfälschten Diagnosen. Und er dokumentiert die Behebung: "Das Problem wurde mit Software-Patch-Releases im Juni 2017 behoben" ²¹. Eine gängige Windows-SMB-Schwachstelle betraf drei separate ACUSON-Plattformen; der OEM validierte und lieferte Patches innerhalb weniger Wochen aus, eingereicht unter FDA's Postmarket-Leitlinie von 2016 ¹⁰. Der einzige reale Vorfall in den Aufzeichnungen spricht für Patchen und Segmentierung zugleich — was die Vier-Optionen-These im Kleinformat darstellt. ("Injury" in diesen Berichten ist Hersteller's Einstufung der Meldepflicht für potenziellen Schaden, der konditional genannt wird — keine bestätigte Patientenverletzung.)

Die Rückrufdaten erzählen dieselbe Geschichte mit einer schärferen Kontrollgruppe. Unter den 542 Ultraschall-Rückrufdatensätzen in FDA's Datenbank ist genau einer cybersicherheitsbedingt: ein Rückruf einer intravaskulären Ultraschallkonsole aus dem Jahr 2008, die "möglicherweise mit einem Wurm (Computer-Malware) infiziert ist" ⁴²². Doch der Rückrufkanal ist nachweislich in der Lage, Cyber-Vorfälle zu erfassen — er enthält 18 verschiedene cybersicherheitsbedingte Rückrufereignisse bei anderen Gerätetypen seit 2008: Infusionssysteme, Patientenmonitore, Beatmungsgeräte, Sequenzierer, einen Bildbetrachter, ein Strahlentherapie-Informationssystem, einen OP-Roboter, ein Steuergerät zur Kreislaufunterstützung ⁴. Der Kanal funktioniert. Cyber-Vorfälle beim Ultraschall gehen schlicht nicht darüber ein.

Warum dieses Schweigen? Weil die Meldewege woandershin führen. MAUDE erfasst gerätebezogene Todesfälle, schwere Verletzungen und Fehlfunktionen; ein Ransomware-Vorfall, der ein Ultraschallgerät für einen Tag außer Betrieb setzt, ohne eine meldepflichtige klinische Folge nach sich zu ziehen, ist im Allgemeinen überhaupt kein MDR-Fall. Krankenhäuser melden Cyber-Vorfälle an das HHS OCR, an die CISA, an das FBI und an ihre Versicherer — nicht an eine Datenbank für Gerätesicherheit. Die korrekten Nutzungen dieses Schweigens sind daher zwei, und nur zwei: Es widerlegt völlig die Vorstellung, dass ein HTM-Team auf ein Sicherheitssignal warten kann, bevor es handelt, und es rechtfertigt, die Dispositionsentscheidung stattdessen auf Geräte- und Warnhinweis-Evidenz zu stützen. Es darf keinesfalls in "keine Meldungen, daher sicher" verkehrt werden.

Der Vollständigkeit halber die gewöhnliche Ausfallhistorie, neu berechnet auf Basis des aktuellen Exports: Über 2,534 Ultraschallmeldungen in 2025–2026 hinweg entfallen 94.3 % auf Fehlfunktionen, 4.9 % auf Verletzungen, 0.6 % auf Todesfälle — und nichts davon ist cyberbedingt ⁴. Diese Verteilung ist stabil gegenüber den Zahlen für 2020–2026 unseres Flottenbericht's vom Juli 2026. Software ist bereits die zweitgrößte Hauptursache für Ultraschallrückrufe (125 von 542 Datensätzen — aufgrund funktioneller Defekte, nicht der Sicherheit). Zuverlässigkeit und Sicherheit sind zwei unterschiedliche Themen.

Die Bedrohungslage, ehrlich dimensioniert

Kernaussage: Die Zahlen auf Sektorebene rechtfertigen eine disziplinierte Inventarisierung, Segmentierung und Überwachung. Keine davon ist eine Ultraschallstatistik, und dieser Bericht weigert sich, etwas anderes vorzugeben — das ehrliche Gesamtbild ist auch ohne Aufbauschung alarmierend genug.

Jede Zahl in diesem Abschnitt ist mit ihrem Herausgeber und ihrer Stichprobe gekennzeichnet, da jede einzelne davon entweder aus der Erfassung einer Behörde oder aus der eigenen Telemetrie eines Sicherheitsanbieter's stammt — nicht aus einer Vollerhebung.

Umfang der Datenschutzverletzungen im Gesundheitswesen (HHS-OCR-Daten). Für das Jahr 2025 waren mit Stand Juni 2026 im OCR-Portal 772 Datenschutzverletzungen mit 500+ Datensätzen verzeichnet, von denen 139.7 Millionen Personen betroffen waren — eine Zahl, die über Monate hinweg anwächst, während Daten im Portal nachträglich nacherfasst werden (die Momentaufnahme vom Februar 2026 desselben Jahres zeigte 710 Datenschutzverletzungen und 61.6 Millionen Personen; datieren Sie die Momentaufnahme stets) ²³. Im jüngsten sauber erfassten Zeitraum machten Hacking-/IT-Vorfälle 77.8 % der großen Datenschutzverletzungen im Gesundheitswesen aus (301 von 387, H1 2024) ²³.

Exposition vernetzter Bildgebung (Claroty Team82, 2025 — Herstellertelemetrie von 351 Organisationen des Gesundheitswesens, die dessen Produkt einsetzen; keine Vollerhebung). Von den 195,659 bildgebenden Geräten in Claroty's Datensatz weisen 28% bekannte ausgenutzte Schwachstellen auf, und 8% weisen sowohl mit Ransomware verknüpfte KEVs auf als auch eine unsichere Verbindung zum Internet — eine Kombination, die 85% der Organisationen des Gesundheitswesens in der Stichprobe betrifft ²⁴. Claroty's Kategorie "imaging systems" nennt Ultraschall als Bestandteil, veröffentlicht jedoch keine reine Ultraschallzahl — dies ist also Kontext für die Kategorie, zu der Ultraschall gehört, keine Ultraschallstatistik.

Ransomware-Ökonomie (Sophos, Oktober 2025 — Umfrage unter betroffenen Organisationen). Die Lage im Gesundheitswesen verbesserte sich im Jahr 2025: 58% der betroffenen Leistungserbringer erholten sich innerhalb einer Woche (nach 21% im Jahr 2024), und die mediane Lösegeldforderung sank im Jahresvergleich um 91% auf etwa $343,000–$345,000 ²⁵. Die Verbesserung ist real; das Bedrohungsvolumen verschwindet nicht.

Die Einordnung des FBI's (Private Industry Notification, September 2022). Das FBI warnte davor, dass ungepatchte und veraltete Medizinprodukte Angriffsmöglichkeiten bieten, und zitierte "einen von einem Cybersicherheitsunternehmen durchgeführten Forschungsbericht" — das FBI nennt das Unternehmen nicht —, der ergab, dass 53% der vernetzten Medizinprodukte in Krankenhäusern bekannte kritische Schwachstellen aufwiesen. Der beständigste Satz der PIN's bedarf keiner Statistik: "Die Hardware von Medizinprodukten bleibt oft 10-30 Jahre lang aktiv, die Lebenszyklen der zugrunde liegenden Software werden jedoch vom Hersteller festgelegt… was Cyber-Bedrohungsakteuren Zeit verschafft, Schwachstellen zu entdecken und auszunutzen" ²⁶. (Wir lassen zwei weit verbreitete Zahlen bewusst weg — "6.2 Schwachstellen pro Gerät" und "40% der Geräte am Ende der Lebensdauer" —, da sich ihre Primärquelle nicht zurückverfolgen lässt; das FBI selbst führt sie lediglich auf einen unbenannten Bericht zurück.)

Exponierte Bildgebungsinfrastruktur (Trend Micro, Scandaten November–Dezember 2025). 3,627 DICOM-Server waren in 100+ Ländern direkt aus dem öffentlichen Internet erreichbar; lediglich 0.14% nutzten TLS ²⁷. Dies ist die PACS-/Speicherschicht um bildgebende Geräte herum, nicht die Scanner selbst — doch es ist das Netzwerk, mit dem diese Scanner kommunizieren.

Und der kanonische Vorfall, richtiggestellt. WannaCry's Auswirkungen auf den NHS sind die Geschichte, die jeder zitiert und die meisten falsch zitieren. Das britische National Audit Office ermittelte 34 Trusts, die infiziert und von Geräten ausgesperrt waren, mit mindestens 81 von 236 betroffenen Trusts insgesamt — zwei unterschiedliche Zahlen, die nicht vermengt werden dürfen — und 6,912 nachweislich abgesagten Terminen bei geschätzten rund 19,500 ²⁸. Doch die Lehre für das Betriebssystem ist das Gegenteil der Folklore. NHS England's eigener Lessons-Learned-Bericht: "Dies war ein Angriff, der eine spezifische Microsoft-Windows-Schwachstelle nutzte, kein Angriff auf nicht mehr unterstützte Software. Auf der Mehrheit der infizierten NHS-Geräte lief das unterstützte, aber ungepatchte Betriebssystem Microsoft Windows 7" — Windows-XP-Rechner machten eine Minderheit der Infektionen aus, gesunken auf 1.8% des Bestands bis Januar 2018 ²⁹. WannaCry ist kein Argument dafür, dass alte Betriebssysteme zu Sicherheitsverletzungen führen. Es ist ein Argument dafür, dass ungepatchte unterstützte Systeme zu Sicherheitsverletzungen führen — was ein Versagen der Patch-Governance ist, kein altersbedingtes Versagen. Das ist die These dieses Report's, formuliert von einem nationalen Gesundheitsdienst. (Die NHS-Dokumentation nennt MRT-Scanner und Blutanalysatoren unter den betroffenen Geräten; keine Quelle belegt spezifisch Ultraschallsysteme beim NHS-Vorfall — der WannaCry-Nachweis für Ultraschall ist der separate US-MAUDE-Datensatz oben.)

Wie finde ich überhaupt heraus, was auf diesem Gerät läuft?

Fazit: Meistens geht's nicht – nicht aus öffentlichen Quellen. Null von zehn untersuchten OEMs veröffentlichen ein frei zugängliches Dokument zum OS- oder Support-Status pro Produkt; nur bei 8 von 26 genannten Ultraschallplattformen war das Betriebssystem öffentlich ermittelbar; auch FDA-510(k)-Zusammenfassungen legen's nicht offen. Der Anlagendatensatz, den Sie benötigen, muss direkt am Gerät erfasst und vom Hersteller angefordert werden, da er nicht nachgeschlagen werden kann.

HTM-Fachkräfte stellen diese Frage öffentlich, mit genau diesen Worten – "Woher weiß ich, ob auf meinem Ultraschallgerät Windows 10 läuft?"; "Gibt es eine zentrale EOL/EOS-Liste, mit der ich mein Inventar abgleichen kann?" – und erhalten keine echte Antwort ³⁰. Wir haben versucht, sie systematisch zu beantworten, und das Scheitern ist die Erkenntnis.

Die Untersuchung der OEM-Offenlegungen (zehn Hersteller, August 2026). Fünf von zehn veröffentlichen eine frei zugängliche, datierte Liste von Sicherheitshinweisen oder Bulletins: Philips, Siemens Healthineers, Canon Medical, GE HealthCare und Olympus. Null von zehn veröffentlichen ein frei zugängliches Dokument zum OS- oder Support-Status pro Produkt. Wo immer ein solches Repository existiert, befindet es sich hinter Kunden-Zugangsdaten: GE's Product Security Portal ("ein sicheres, webbasiertes globales Portal, das Kunden mit Zugangsdaten ein zentrales Repository bereitstellt"), Philips's InCenter- und MDS²-Bibliothek (E-Mail-Registrierung), Siemens's teamplay Fleet (SBOMs und Sicherheitshinweise vor 2022), Mindray's Service-Portal, Fujifilm's sicheres Anfrageformular ^19313233. Das genaue Muster: Die Schwachstellen-Offenlegung ist öffentlich; der validierte Patch und der Status pro Produkt liegen hinter einem Login. Sie können kostenlos herausfinden, dass Ihre Scanner-Familie betroffen ist. Sie benötigen ein Konto, um den Fix zu erhalten.

Die Zuordnung von Plattform zu Betriebssystem (26 benannte Plattformen). Nur 8 konnten anhand abrufbarer öffentlicher Quellen einem dokumentierten Betriebssystem zugeordnet werden, und nur bei drei davon liegt ein OEM-Dokument vor, das dies verbindlich festhält – Canon's Sicherheitshinweis, der Windows 10 IoT Enterprise LTSC 2015 in der optionalen zweiten Konsole der Aplio i-series' aufführt, und Esaote's DICOM-Konformitätserklärung, welche die MyLab-Familien Windows 10 zuordnet ³³³⁴. Für die GE Voluson S-Serie, LOGIQ E9 und die P-Serie, Vivid E9, die Familien Philips EPIQ/Affiniti/HD11/CX50, die Siemens ACUSON S-Serie und X-Serie, Hitachi/Fujifilm Arietta, Samsung RS80 – nennt keine öffentliche Quelle das Betriebssystem. Wir haben testweise zwei Zusammenfassungen von FDA-510(k) direkt geprüft (eine Freigabe für GE LOGIQ E10 und eine für Canon Aplio): keine von beiden legt das Betriebssystem offen ². Selbst DICOM-Konformitätserklärungen sind uneinheitlich – Esaote's legt das Betriebssystem offen; Philips's und GE's tun's nicht. Es gibt kein Standarddokument, das ein Medizintechniker herstellerübergreifend verlässlich prüfen kann.

Die Microsoft-Zeitrechnung – für den Fall, dass Sie den Build tatsächlich identifizieren. Bei Windows XP liegt das Support-Ende 12.3 Jahre zurück; bei Windows 7 sind es 6.6 Jahre; bei Windows 8.1 3.6; die Consumer-Version von Windows 10 (22H2) überschritt das Support-Ende im Oktober 2025 und läuft nun über kostenpflichtige erweiterte Updates längstens bis 2028 ³⁵. Doch die IoT-/Embedded-Builds, mit denen viele Konsolen tatsächlich ausgeliefert werden, weichen deutlich davon ab: Windows 10 IoT Enterprise LTSC 2019 wird bis Januar 2029 unterstützt, LTSC 2021 bis Januar 2032, und die LTSC-Generation 2024 basiert auf Windows 11 und wird bis Oktober 2034 unterstützt ³⁵. Zwei OEM-Stellungnahmen vom September 2025 verdeutlichen denselben Punkt aus Herstellersicht: Canon Medical und Philips veröffentlichten jeweils Antworten zum Support-Ende von Windows 10, in denen sie festhielten, dass der einzige vom Stichtag 2025 betroffene IoT-Build (LTSB 2015) in ihren Produkten entweder gar nicht vorhanden oder von externen Netzwerken isoliert ist ³³³¹. "Auf dem Startbildschirm steht Windows 10" ist daher kein Inventardatum – Edition und Build trennen eine Plattform, deren Support im vergangenen Oktober abgelaufen ist, von einer, die bis in die 2030er-Jahre hinein unterstützt wird.

Was dies für den Bestandsdatensatz bedeutet. Da nichts davon nachgeschlagen werden kann, muss es erfasst und eingefordert werden. Am Gerät: Anwendungssoftware-Version, Betriebssystem-Edition/-Version/-Build aus der Systeminformationsanzeige (mit Erfassungsdatum und -methode — niemals eine Vermutung anhand des Desktop-Designs), konfigurierte Netzwerkflüsse, Fernzugriffsstatus und lokaler Patientendaten-Footprint. Vom Hersteller, schriftlich: der Supportstatus des Produkt's mit separaten Daten für Hardwareservice, Softwarewartung und Sicherheitsunterstützung; das aktuelle MDS² (Manufacturer Disclosure Statement for Medical Device Security); die SBOM, sofern 524B oder ein Vertrag Sie dazu berechtigt; Zugriff auf Sicherheitshinweise über ein Organisationskonto statt über das Postfach eines einzelnen Mitarbeiter's; und der Status validierter Patches für den exakten Build, den Sie erfasst haben. "Unbekannt" ist ein zulässiger Wert im Datensatz — es ist eine Feststellung mit einem Verantwortlichen und einem Fälligkeitsdatum, kein Leerfeld.

Patch, Segmentierung, Isolierung oder Austausch, präzise definiert

Kernaussage: Die vier Handlungsoptionen werden in der Literatur synonym verwendet; sie sind nicht austauschbar. Jede verfügt über eine Definition, Nachweiskriterien und eine Abbruchbedingung — und Kosten sowie Cybersicherheit werden auf anderen Achsen entschieden als das Alter.

Die bestehende Literatur — Leitfäden von Regulierungsbehörden eingeschlossen — wechselt unscharf zwischen diesen Begriffen, und diese Unschärfe hat Konsequenzen: Ein in einer Tabelle als "isoliert" gekennzeichneter Gerätebestand kann in der Praxis segmentiert, verbunden oder lediglich ausgesteckt sein, bis jemand die Worklist benötigt. Der obige Datensatz der Sicherheitshinweise verwendet alle vier Abhilfemaßnahmen; hier wird dargelegt, was jede einzelne tatsächlich ist, welche Nachweise sie erfordert und was sie beendet.

Patch bedeutet eine vom OEM autorisierte Software-Behebungsmaßnahme, die im Rahmen einer kontrollierten Änderung auf dem Gerät installiert wird. Dessen Nachweiskriterien: ein Sicherheitshinweis oder ein validiertes Update, das Ihr exaktes Modell, die Anwendungsversion und den Build nennt; ein definierter Backup- und Rollback-Pfad; und ein Funktionstest nach der Installation — Bootvorgang, Sondenerkennung, Bildakquisition, Messungen, Worklist, DICOM-Store — vor der Rückkehr in den klinischen Einsatz. Dessen Abbruchbedingung: Für Ihre Konfiguration existiert kein autorisiertes Paket oder die funktionale Validierung schlägt fehl. Ein Enterprise-Patch, der auf ein Ultraschallgerät aufgespielt wird, weil der Betriebssystemname übereinstimmt, ist kein Patch; es ist eine unkontrollierte Modifikation eines validierten Medizinprodukts.

Segmentierung bedeutet, dass das Gerät verbunden bleibt, jedoch nur über eine dokumentierte Allowlist: namentlich benannte PACS-, Worklist-, DNS/NTP- und Fernwartungsziele, Default-Deny für alles andere, durchgesetzt an einer Grenze, die das Krankenhaus tatsächlich kontrolliert. Ihre Nachweiskriterien: ein verifizierter Flussplan, Firewall-Objekte, die anhand realer klinischer Arbeitsabläufe getestet wurden (Worklist-Abfrage, Bildakquisition, Speicherung, Ausfallwiederherstellung), und eine Protokollprüfung auf blockierten, aber benötigten Datenverkehr. HHS's branchenspezifische Leistungsziele nennen Segmentierung und Bestandsverzeichnis unter den vorrangigen Praktiken, und NIST's Zero-Trust-Modell formuliert das zugrunde liegende Prinzip — der Netzwerkstandort allein begründet kein Vertrauen ³⁶³⁷. Ihre Grenze, ehrlich formuliert: Segmentierung reduziert die Erreichbarkeit; sie entfernt keinen verwundbaren Code und sie schützt weder vor USB-Medien noch vor einem zulässigen Protokoll, das eine bösartige Nutzlast transportiert. Ihre Abbruchbedingung: Erforderliche Flüsse können nicht eingegrenzt werden oder die Durchsetzung existiert nicht an der relevanten Grenze.

Isolieren ist weitreichender: Das System arbeitet ohne routinemäßigen Netzwerkzugriff – wie in Siemens' Sicherheitshinweis "das Produkt vom Netzwerk trennen und im Standalone-Modus betreiben" und den physischen Port-Sperren im Olympus-Schreiben ¹⁶¹. Seine Voraussetzungen (Gates): ein Workflow, der offline aufrechterhalten werden kann (Patientenstammdaten einlesen, Bilddaten ausgeben, über verwaltete Datenträger), eine kontrollierte Berechtigung zur Wiederanbindung sowie deaktivierte oder gesperrte sekundäre Schnittstellen. Seine Abbruchbedingung: Der klinische Workflow kann offline nicht sicher ausgeführt werden oder "isoliert" lässt sich nicht verifizieren – ein Kabel, das heute abgezogen und morgen wieder angeschlossen wird, ist keine Handlungsoption.

Ersetzen ist die Handlungsoption, wenn weder Software-Supportfähigkeit noch kompensierende Kontrollen das Restrisiko tragen können – der Fall des Philips HDI 4000, bei dem der eigene Sicherheitshinweis der Regulierungsbehörde' besagt "den Austausch des Systems in Erwägung ziehen" ¹⁵ – oder wenn die Hardware selbst nicht mehr zuverlässig instandhaltbar ist. Seine Voraussetzungen (Gates) sind ein finanziertes Projekt mit Beschaffungsbedingungen für Cybersicherheit (nächster Abschnitt) und eine kontrollierte Außerbetriebnahme: nachweislich bereinigte Patientendaten, widerrufene Zugangsdaten und Zertifikate, entfernte Netzwerkobjekte.

Die beiden Achsen werden getrennt bewertet und niemals gemittelt:

Eine einwandfreie Ultraschallsonde kann keinen unkontrollierten Fernzugriff ausgleichen, und ein vollständig gepatchtes Betriebssystem kann ein ausfallendes Netzteil in einer intensivmedizinischen Rolle nicht kompensieren. Zudem benötigt jeder Zustand mit kompensierenden Kontrollen ein Ablaufdatum: einen Verantwortlichen, ein Überprüfungsdatum und ein definiertes Ereignis, das ihn beendet – ein validierter Patch, die Lieferung eines Ersatzgeräts, eine erneute Risikobewertung. Das gefährlichste Wort in einem Lebenszyklusprogramm ist "vorübergehend".

Wenn ein Gerät ein verdächtiges Signal zeigt – ein unerwartetes Ziel im Firewall-Protokoll, ein unerklärlicher Neustart, eine Service-Aufforderung, die niemand zuordnen kann –, ist der erste Schritt Koordination, kein reflexartiges Ausschalten: das Asset und das Signal bestätigen, laufende Patientenbehandlungen schützen, die am wenigsten störende Eindämmungsmaßnahme wählen, die das Risiko tatsächlich senkt (ein einzelnes Ziel blockieren, den Fernzugriff deaktivieren, die Netzwerkrichtlinie einschränken), Protokolle sichern und den Product-Security-Kanal des Herstellers' mit Angabe des genauen Modells, des Builds und der Beobachtung kontaktieren. Ein Medizinprodukt sollte nicht mit gewöhnlichen IT-Werkzeugen als Image gesichert, gescannt oder auf Werkseinstellungen zurückgesetzt werden, bloß weil die Werkzeuge verfügbar sind.

Wo unabhängiger Service ansetzt und wo er aufhört

Fazit: Das Olympus-Schreiben zieht die Grenze besser als jeder Berater: Wenn die Software-Uhr stehen bleibt, läuft die Hardware-Uhr weiter – und jemand muss die Hardware am Laufen halten. Das ist der Einsatzbereich des unabhängigen Service – erschlossen über denselben Handlungsrahmen, keinesfalls als Ersatz dafür.

Jede Handlungsoption außer "sofort ersetzen" setzt voraus, dass der Scanner klinisch verlässlich bleibt, während die Cyber-Entscheidung getroffen und umgesetzt wird. Ein Krankenhaus, das ein Quartal damit verbringt, eine Segmentierungsausnahme für ein System zu entwickeln, dessen Platine ausfällt, hat zuerst das falsche Problem gelöst. Die Zwei-Achsen-Matrix benötigt echte Nachweise auf der physischen Achse: aktuelle Fehlercodes und Symptome, Zustand von Ultraschallsonde und Stecker, Fehlerlokalisierung auf Platinenebene, Zustand von Stromversorgung und Kühlung, Teileverfügbarkeit für das Modell und Historie wiederholter Ausfälle.

Genau diese Nachweise bringt ein unabhängiger herstellerübergreifender Servicebetrieb ein. Rongtao Medical's verifizierte Betriebsdaten definieren das Profil dieses Bereichs: 35+ Senior-Ingenieure für Diagnose und Reparatur auf Platinenebene, mehr als 3,000 Ersatzteil-SKUs über die großen OEM-Marken hinweg, ein 48-stündiger Test am realen Gerät vor dem Versand mit Foto- oder Videonachweis, eine Standard-Durchlaufzeit von 5–8 Arbeitstagen, eine typischerweise 90-tägige Garantie, ISO 13485:2016- und ISO 9001:2015-Zertifizierung sowie der Versand aus einer Freihandelszone in über 140+ Länder ³⁸. Zu den wirtschaftlichen Abwägungen zwischen Nutzungsdauerverlängerung und Ersatzbeschaffung sowie den Fragen zur Teileherkunft, die hinter diesem Bereich stehen, siehe unsere Begleitberichte über den alternden Gerätebestand nach dem End-of-Service-Schreiben, über die Sicherheit unabhängiger Instandhaltung und über Platinen-Fehlermuster.

Und die Abgrenzung, ebenso unmissverständlich formuliert, wie Olympus seine eigene formuliert: Eine Hardwarereparatur erzeugt keinen OEM-Patch, macht eine CVE nicht unanwendbar, validiert keine Änderung des Betriebssystems, zertifiziert kein Netzwerk und macht ein Gerät nicht cybersicher. Rongtao ist nicht vom OEM autorisiert, ist kein Cybersicherheitsanbieter, entwickelt keine Patches und bewertet keine Krankenhausnetzwerke; OEM-Namen in diesem Bericht dienen als Kennzeichner von Serviceabdeckung und öffentlich zugänglichen Nachweisen, keinesfalls einer geschäftlichen Verbindung. Die HTM-, Sicherheits- und klinischen Verantwortlichen des Krankenhauses' treffen die Verwendungsentscheidung; der Servicepartner liefert eine Achse davon.

Eine praktische Schnittstellenregel schließt den Kreis: Nach jeglichen Arbeiten an Platinen, Laufwerken oder Modulen — durch wen auch immer — sollte die Prüfung zur Wiederinbetriebnahme nicht nur die Bildqualität bestätigen, sondern auch den cybersicherheitsrelevanten Zustand: Software-Build unverändert, Benutzerkonten und Netzwerkkonfiguration intakt, Remote-Service-Status wie genehmigt, Gerätedatensatz aktualisiert. "Hardware repariert" und "Gerät in den genehmigten Betriebszustand zurückversetzt" sind zwei unterschiedliche Freigaben, für die zwei verschiedene Verantwortliche zuständig sind.

Beschaffungsklauseln für das nächste System

Kernaussage: Die heute' fehlenden Nachweise sind die Vertragsklausel von morgen'. Alles, was dieser Bericht nicht ermitteln konnte — OS-Status pro Produkt, Support-Enddaten, Patch-Berechtigungen —, ist genau das, was die nächste Bestellung schriftlich fordern sollte.

Nichts davon verhindert Schwachstellen. Es stellt sicher, dass das Krankenhaus beim Erscheinen des nächsten Sicherheitshinweises über die Berechtigungen und die Nachweise verfügt, anstatt festzustellen — wie die obige Erhebung zur Betriebssystemabfrage ergab —, dass sich die Antwort hinter einem Login befindet, über den es nicht verfügt.

Methodik und Einschränkungen

Fazit: Jede oben berechnete Zahl ist anhand öffentlicher Daten mit den hier angegebenen Filtern reproduzierbar, und jedes Ausbleiben von Meldungen ist als Eigenschaft des Kanals gekennzeichnet, der es hervorgebracht hat.

FDA-510(k)-Analyse. FDA's 510(k)-Datenbank, Export vom 22. Juli 2026 (175,559 Datensätze). Primäre Kohorte: Produktcodes IYN und IYO — fahrbare/konsolenbasierte diagnostische Ultraschallsysteme — 2,066 Entscheidungen, August 1977 bis Juni 2026; abgeglichen mit einem Ultraschall-Datensatz aus 11 Codes (2,726 Datensätze), was die Verteilung reproduziert (91.8 % vor 524B). Freigaben sind Designentscheidungen, keine installierten Einheiten; es existiert keine öffentliche Zahl zur installierten Basis, und eine solche wird auch nicht behauptet. Die 204 Entscheidungen nach dem Stichtag stellen eine Obergrenze für Designs der 524B-Ära dar, da das Gesetz an den Eingang der Einreichung anknüpft, nicht an das Entscheidungsdatum ².

CISA-Analysen. KEV-Katalogversion 2026.08.07 (1,662 Einträge; Herstellerabgleich mit Listen von Herstellern bildgebender Systeme und Medizinprodukte; Ransomware-Kennzeichnung und Fristenberechnung aus den Feed's-eigenen Feldern) ⁵. ICSMA-Reihe seitenweise aus CISA's Advisory-Verzeichnis vom 9. August 2026 erfasst — 176 Sicherheitshinweise für die vollständigen Jahre 2016–2025, 10 weitere im Teiljahr 2026; 18 bildgebungsrelevante Sicherheitshinweise einzeln abgerufen und verifiziert; weitere 27 bildgebungsnahe Titel katalogisiert, aber nicht tiefgehend geprüft. Die Anzahl der Sicherheitshinweise misst die Offenlegungsaktivität, nicht die Inzidenz ³.

FDA-Sicherheitsdaten-Analysen. Freitextsuche in MAUDE über openFDA (Daten aktualisiert am 28. Juli 2026) über elf Ultraschall-Produktcodes, 13,213 Berichte insgesamt; Neuberechnung der Ereigniszusammensetzung für das Exportfenster 2025–2026 (2,534 Berichte). Rückrufanalyse über 542 Ultraschall-Rückrufdatensätze und eine datenbankweite Überprüfung auf cybersicherheitsbedingte Rückrufereignisse (18 seit 2008). Das Ausbleiben von Meldungen in MAUDE ist eine Eigenschaft der Meldewege — Krankenhäuser melden Cybervorfälle an OCR, CISA, das FBI und Versicherer, nicht an eine Datenbank für Gerätesicherheit — und wird hier keinesfalls als Beleg für Sicherheit gewertet ⁴.

Erhebung zur OEM-Offenlegung. Öffentliche Produktsicherheits-Webpräsenzen von zehn Herstellern' im August 2026 untersucht; "gated" bedeutet, dass das Dokument oder Repository Zugangsdaten eines Kunden erfordert. Das Fehlen eines Herstellers' im KEV, im ICSMA-Verzeichnis oder in öffentlichen Offenlegungen ist in keiner Richtung ein Beleg für die Sicherheit seiner Produkte'.

Branchenstatistiken sind überall dort, wo sie zitiert werden, mit Herausgeber und Stichprobe gekennzeichnet: Claroty's Zahlen sind Telemetriedaten aus dem eigenen Kundenstamm von 351 Organisationen, keine Vollerhebung ²⁴; die von Sophos's stammen aus einer Betroffenenbefragung ²⁵; die Fallzahlen des OCR zu Sicherheitsverletzungen wachsen über Monate hinweg an, während das Portal Daten nacherfasst ²³. Zwei vielfach wiederholte Zahlen (6.2 Schwachstellen pro Gerät; 40 % der Geräte am Ende ihrer Lebensdauer) werden weggelassen, da sich ihre Primärquelle nicht zurückverfolgen lässt. Ein unternommener Untersuchungsansatz wird als ergebnislos offengelegt: Eine Überprüfung von 29,979 Titeln von EU-Ausschreibungsbekanntmachungen (2016–2026) ergab null Treffer mit Bezug zu Cybersicherheitsanforderungen – bei den fünf Treffern für "cyber" handelte es sich um den Markennamen CyberKnife –, doch Ausschreibungstitel erfassen keine Spezifikationsanhänge, sodass die zutreffende Aussage "anhand dieser Daten nicht überprüfbar" lautet und nicht "buyers don't ask".

Häufig gestellte Fragen

Wie finde ich heraus, welches Betriebssystem auf meinem Ultraschallgerät läuft? Meistens können Sie es nicht einfach nachschlagen – Sie müssen es direkt am Gerät erfassen. In unserer Erhebung verfügten nur 8 von 26 genannten Plattformen über ein öffentlich dokumentiertes Betriebssystem; Zusammenfassungen der FDA 510(k) legen dies nicht offen, und kein OEM veröffentlicht ein frei zugängliches Statusdokument für jedes einzelne Produkt ²¹⁹³¹. Erfassen Sie Edition, Version und Build direkt am geräteeigenen Systeminformationsbildschirm (device's own system-information screen); fragen Sie dann den Hersteller schriftlich nach dem Support-Status genau dieses Builds, dem aktuellen MDS² sowie dem Zugriff auf Sicherheitshinweise über ein Organisationskonto.

Der Support für Windows 10 ist abgelaufen – muss ich mein Ultraschallsystem ersetzen? Nicht allein aufgrund dieser Tatsache. "Windows 10" folgt nicht einer einzigen Uhr: Der Support für die Consumer-Version 22H2 endete im Oktober 2025, doch die IoT-Enterprise-LTSC-Builds, mit denen viele Konsolen ausgeliefert werden, werden bis Januar 2029 (LTSC 2019) und Januar 2032 (LTSC 2021) unterstützt, und sowohl Canon als auch Philips haben Stellungnahmen veröffentlicht, wonach der eine vom Auslaufen im Jahr 2025 betroffene Build in ihren aktuellen Produkten nicht vorhanden oder isoliert ist ³⁵³³³¹. Ermitteln Sie zuerst den genauen Build; führen Sie dann die Fünf-Uhren-Prüfung durch, nicht die Geburtstagsprüfung.

Kann ich selbst eine neuere Windows-Version auf dem Scanner installieren? Nein. Das Betriebssystem auf einem zugelassenen Ultraschallsystem ist Teil einer validierten Medizinprodukte-Konfiguration; eine unautorisierte Betriebssystemänderung ist eine unkontrollierte Modifikation, die Sicherheit, Wirksamkeit und den regulatorischen Status beeinträchtigen kann. Der Patch-Pfad führt über die validierten Updates des Herstellers (manufacturer's validated updates) ¹⁰. Wenn kein solcher Pfad existiert, lauten die ehrlichen Optionen wie die anderen drei Maßnahmen — segmentieren, isolieren oder ersetzen.

Ist ein altes Ultraschallgerät automatisch ein Cybersicherheitsrisiko? Nein – nicht das Alter ist die entscheidende Variable, sondern die Supportfähigkeit. Das IMDRF definiert ein Legacy-Gerät als ein System, das vernünftigerweise nicht gegen aktuelle Bedrohungen geschützt werden kann – ausdrücklich nicht über eine Altersspanne ⁶. WannaCry selbst ist der Beleg: Der NHS England stellte fest, dass auf der Mehrheit der infizierten Geräte ein noch unterstütztes, aber nicht gepatchtes Windows 7 lief, nicht das uralte XP ²⁹. Eine alte Konsole mit gesperrten Ports, eingegrenzten Datenflüssen und einem funktionierenden Hardware-Servicepfad kann ein sicher verwaltetes Asset sein; eine neue mit unkontrolliertem Fernzugriff ist dies nicht.

Was ist ein "Cyber Device" gemäß Section 524B? Ein Gerät, das vom Sponsor autorisierte Software enthält, eine Verbindung zum Internet herstellen kann und Eigenschaften aufweist, die für Bedrohungen anfällig sein könnten. Für betroffene Einreichungen, die am oder nach dem 29. März 2023 eingehen, muss der Hersteller einen Plan für das Schwachstellenmanagement, einen Patch-Prozess und eine SBOM vorlegen ⁷. Dies gilt nicht rückwirkend – weshalb 90.1 % der freigegebenen Ultraschalldesign-Population außerhalb dieses Geltungsbereichs liegt ².

Wo finde ich Sicherheitshinweise für mein Ultraschallmodell? Drei Stellen, nach Verbindlichkeit geordnet: die Produktsicherheitsseite des Hersteller's (fünf von zehn OEMs veröffentlichen kostenlose, datierte Hinweislisten – Philips, Siemens Healthineers, Canon Medical, GE HealthCare, Olympus); CISA's ICS-Medical-Advisories-Reihe; und das anmeldegeschützte Portal des Hersteller's für die validierte Behebung und den Status pro Produkt ³¹⁹³¹. Übertragen Sie die Überwachung von Sicherheitshinweisen einem organisatorischen Verantwortlichen – die Daten zeigen, dass sich die Behebung durchweg hinter dem Login befindet.

Bedeutet ein End-of-Support-Schreiben, dass Teile nicht mehr verfügbar sind? Nicht zwingend – prüfen Sie, welche Uhren das Schreiben tatsächlich anhält. Die Olympus-Ultraschallmitteilung von 2025 beendete den Software-Support und künftige Sicherheits-Gegenmaßnahmen, während im selben Dokument erklärt wurde, dass "der Hardware-Support, wie etwa der Austausch von Teilen usw., weiterhin angeboten wird" ¹. Software-Support, Teileverfügbarkeit und Vollservice können um Jahre auseinanderfallen, und der unabhängige Teile- und Reparaturmarkt verlängert die Hardware-Uhr weiter; lassen Sie sich jedes Datum schriftlich bestätigen.

Fazit: Die Disposition, nicht das Geburtsdatum

Vier Erkenntnisse tragen diesen Bericht.

Die Uhren lassen sich trennen, und die OEMs selbst trennen sie. Olympus beendete die Software-Uhr eines Ultraschallsystem's und führte dessen Hardware-Uhr in einem einzigen Schreiben fort ¹. Die Verwaltung einer Bestandsflotte ist die Disziplin zu wissen, welche der fünf Uhren für das jeweilige System abgelaufen ist – nicht das Sortieren nach Kaufdatum.

Das Regelwerk kam nach der Flotte. Neun von zehn freigegebenen Ultraschallsystem-Designs stammen aus der Zeit vor dem Gesetz, das ein Patch-Verfahren vorschreibt, der Bestand scheidet bei 55–83 Freigaben pro Jahr nicht einfach altersbedingt aus, und ein Drittel der jüngsten Freigaben entfällt auf einen langen Anbieterrand mit spärlichen oder fehlenden Offenlegungspraktiken ². Auf eine Modernisierung zu warten, ist ein Plan über mehrere Jahrzehnte.

Die offizielle Datenlage belegt bereits, dass Patchen oft keine Abhilfe schafft. Die Hälfte der verifizierten CISA-Hinweise zur Bildgebung ließ mindestens ein Produkt ohne Behebung zurück; jeder Hinweis, der Ultraschall nannte, wies eine unvollständige Patch-Abdeckung auf; die Handlungsanweisungen lauteten: einschränken, isolieren, ersetzen ³. Unterdessen ist der unternehmensweite Patch-Takt – 21 Tage – ein Takt, mit dem kein validiertes Gerät betrieben werden kann ⁵. Segmentieren und Isolieren sind kein Mangel an Entschlossenheit; sie sind die dokumentierten Abhilfemaßnahmen.

Das Schweigen des Sicherheitsregister's ist ein eigener Pfad, kein Urteil. Null Cyber-Erwähnungen in 8,525 jüngeren Ultraschall-Sicherheitsberichten bedeuten, dass das Signal niemals über diesen Kanal eintreffen wird ⁴. Die Entscheidung muss anhand von Geräte- und Hinweis-Evidenz getroffen werden – der Dokumentation, die Sie selbst erstellen, denn diejenige, die Sie nachschlagen könnten, existiert nicht.

Für jedes System, das im Rahmen dieser Entscheidung im Betrieb bleibt, muss die Hardware-Uhr weiterlaufen: zuverlässige Platinen, geprüfte Teile, funktionierende Sonden, dokumentierte Funktion. Wenn eine physische Bewertung der Servicefähigkeit bei Ihrer Dispositionsentscheidung hilfreich wäre — Fehlereingrenzung, Verfügbarkeit geprüfter Teile für Ihre Modelle, Nachweise aus Tests am realen Gerät — ist dies das Gespräch, für das Rongtao Medical ausgelegt ist, als ein Beitrag zu einer Entscheidung, die bei Ihren HTM-, Sicherheits- und klinischen Verantwortlichen liegt.