Kein MDS2 für das gebrauchte Ultraschallgerät? Sicherheit vor dem Verbinden verifizieren

Warum fordert die Krankenhaus-IT ein MDS2 an?

Betrachten Sie ein gebrauchtes Ultraschallgerät, das mit einem Servicebericht und einer Rechnung mit passender Seriennummer eintrifft. Der Käufer kann die Ultraschallsonden und installierten Optionen bestätigen, aber das Sicherheits-PDF des Verkäufers nennt ein anderes Software-Release. Die unmittelbare Frage ist, ob das aufnehmende Krankenhaus über ausreichend verlässliche Informationen verfügt, um diese konkrete Konsole zu bewerten. Dies ist ein illustratives Beschaffungsszenario, kein gemessenes Muster von Vorfällen oder abgelehnten Käufen.

MDS2 steht für Manufacturer Disclosure Statement for Medical Device Security. Der Originalgerätehersteller (OEM) liefert strukturierte Antworten zu Aspekten wie Updates, Zugriffskontrollen, gespeicherten Patienteninformationen und Schnittstellen. Der fachliche HTM-Leitfaden von Steven Hughes empfiehlt, dieses Dokument während der Beschaffung sowie für Bestandsgeräte, bei denen es fehlt, anzufordern und es anschließend gemeinsam mit der IT und dem Risikomanagement zu prüfen. HTM steht für Healthcare Technology Management. ²

Dieser Leitfaden befasst sich mit dieser Dokumentenentscheidung für ein einzelnes gebrauchtes System. Der Kaufratgeber für gebrauchte Ultraschallgeräte deckt den umfassenderen Beschaffungs- und Abnahmeprozess ab. Eine bestandene Bildqualitäts- oder elektrische Sicherheitsprüfung kann nicht beantworten, welche Sicherheitserklärung gilt, genauso wie ein Sicherheitsformular keine klinische Leistung belegen kann.

Was ein MDS2 belegt—und was es offenlässt

Der Katalog des ANSI beschreibt HN 1-2019 als das MDS2-Formular nebst Ausfüllanweisungen und weist HN 1-2013 als dessen Vorgänger aus. Die FDA führt die vollständige Anerkennung unter der Nummer 13-123, Liste 059, mit dem Eintragungsdatum vom 19. Dezember 2022 auf. Bei diesem Datum handelt es sich um den Eintrag der Anerkennung, nicht um eine Umsetzungsfrist für Krankenhäuser. ^{7 1}

Der Anerkennungseintrag beschreibt die Informationen als Hilfsmittel für Fachkräfte, die Sicherheitsrisikobeurteilungen durchführen. Er weist zudem darauf hin, dass eine Konformität möglicherweise nicht alle Cybersicherheitsanforderungen gemäß Section 524B oder den Leitlinien der FDA erfüllt. Die Anerkennung kann daher weder als Feststellung verstanden werden, dass ein bestimmter gebrauchter Scanner sicher ist, noch als Anschlussgenehmigung. Ermitteln Sie geltende gesetzliche Bestimmungen, Beschaffungsvorgaben und einrichtungsspezifische Anforderungen separat; dieser Leitfaden begründet keine allgemeingültige rechtliche Regel. ¹

Hughes berichtet, dass das Formular von 2019 etwa 240 Fragen zu 23 Sicherheitsfähigkeiten umfasst. Dies ist seine veröffentlichte Zusammenfassung; der kostenpflichtige Standard wurde für diesen Artikel nicht eingesehen. Nützlicher als das Zählen von „Ja“-Antworten ist es, die beigefügten Anmerkungen zu lesen, Unbekanntes zu identifizieren und Klarstellung anzufordern. Ein „Nein“ kann eine architektonische Einschränkung offenlegen, die lokale Prüfer bewerten müssen; ein „Ja“ kann dennoch von der Konfiguration abhängen. ²

Eine Software-Stückliste (Software Bill of Materials, SBOM) inventarisiert Softwarekomponenten; ein MDS2 beschreibt Sicherheitsfähigkeiten. Der SBOM-Abschnitt des PX-Formulars besagt, dass ein Komponenteninventar verfügbar ist, das MDS2 enthält dieses Inventar jedoch nicht. Fordern Sie das zugrunde liegende Dokument an, wenn die Risikoprüfung Nachweise auf Komponentenebene erfordert. Das Beratungsunternehmen Blue Goat Cyber erläutert diese Unterscheidung ebenfalls, seine Übersicht belegt jedoch nicht den Inhalt des Inventars eines bestimmten OEM. ^{3 6}

Wie gleichen Sie eine gebrauchte Konsole mit dem Formular ab?

Halten Sie drei Datumsangaben und Versionen auseinander: die Ausgabe des Standards, das Freigabedatum der ausgefüllten Erklärung und den installierten Softwarestand des Systems. Ein neu heruntergeladenes PDF kann alt sein, und ein älteres Chassis kann ein legitimes Software-Upgrade erhalten haben. Weder das Herstellungsjahr noch das neueste Suchergebnis belegt die Anwendbarkeit. Hughes empfiehlt, Modell, Betriebssystem (OS), Firmware und Software abzugleichen und dabei mögliche SKU- und Versionsunterschiede zu beachten. ²

Erfragen Sie beim Verkäufer oder zuständigen Ingenieur Folgendes anhand regulärer, dokumentierter Informationsbildschirme oder Serviceprotokolle. Wechseln Sie nicht in einen geschützten Servicemodus, beschaffen Sie sich keine privilegierten Zugangsdaten und ändern Sie keine Einstellungen nur um eine Nachweislücke zu schließen. Kennzeichnen Sie nicht verfügbare Informationen als unbekannt und bitten Sie den OEM oder einen qualifizierten Serviceanbieter, den genehmigten Weg zu deren Beschaffung aufzuzeigen.

• OEM, genaue Modellbezeichnung, Seriennummer der Konsole und verfügbare Hardware-Revision vom Typenschild und Bestandsdatensatz.
• Release und Build der Anwendungssoftware; Betriebssystem- und Firmware-Versionen, sofern der Hersteller diese bereitstellt.
• Installierte Optionen und Schnittstellen, die für den geplanten Arbeitsablauf relevant sind, wie etwa drahtlose Konnektivität, Verzeichnis-Authentifizierung oder Remote-Dienste.
• Kürzlich durchgeführte Arbeiten an Platinen, Speichern oder Software, einschließlich Teilenummern, Revisionen, Herkunft der Wiederherstellungsmedien und Vorher-/Nachher-Versionsprotokollen.
• Dokument-ID, Revision, Freigabedatum der Erklärung, URL des Originalherstellers oder Support-Rückmeldung und die angegebene Produkt-/Versionsabdeckung.

Bewahren Sie Screenshots mit Zeitstempel und Quelldokumente zusammen mit dem Bestandsdatensatz auf. Eine Bildschirmanzeige bestätigt die in diesem Moment angezeigte Version; sie belegt nicht eigenständig die Softwareintegrität und beweist nicht, dass jede Einstellung mit der Erklärung übereinstimmt. Wenn ein Dokument einen Release-Bereich abdeckt, holen Sie eine Bestätigung ein, dass die gelieferte Konfiguration innerhalb dieses Bereichs liegt. Lehnen Sie es nicht allein deshalb ab, weil ein separates PDF für jeden Minor-Build fehlt.

Wenn beispielsweise ein Verkäufer eine Offenlegung für Release A bereitstellt, während das installierte System Release B meldet, erfassen Sie „Anwendbarkeit ungeklärt“. Fragen Sie nach, ob die Angaben unverändert gelten, ob ein releasespezifisches Formular vorliegt oder welche Zeilen sich geändert haben. Versehen Sie die PDF-Datei nicht selbst mit einer anderen Bezeichnung. Eine Klarstellung des Herstellers kann die Frage des Geltungsbereichs klären, die Einrichtung entscheidet jedoch weiterhin selbst, ob der daraus resultierende Nachweis ausreichend ist.

Was offenbart eine reale Ultraschall-Offenlegung?

Die 12-seitige PX-Offenlegung D24031-18 Rev A von FUJIFILM Sonosite datiert auf Oktober 2025. Der Dateiname des Downloads identifiziert PX 4-5; die Dokumentkopfzeile nennt PX, ohne eine vollständige Spanne von Anwendungs-Builds explizit auszuweisen. Betrachten Sie dies als ein ausgearbeitetes Beispiel und bestätigen Sie die Anwendbarkeit, bevor Sie es für eine konkrete Konsole heranziehen. Die nachstehenden Beobachtungen beschreiben das Formular, nicht den Test eines Gebrauchtgeräts oder einen Vergleich der OEM-Sicherheit. ³

Zwei Unterscheidungen verdienen eine Nachverfolgung. Erstens wäre eine pauschale Aussage, dass PX keine Verzeichnisauthentifizierung nutzen kann, falsch: PAUT-2 weist eine externe Authentifizierung über MS Active Directory und LDAP aus, während AUTH-1.2 besagt, dass Kunden keine Gruppenrichtlinien verteilen können. Die Unterstützung von Authentifizierung und die Administration von Domänenrichtlinien sind getrennte Fragen. Zweitens können die obigen CSUP- und RMOT-Antworten keine pauschale Behauptung rechtfertigen, wonach „keinerlei Fernzugriff jeglicher Art“ bestehe. Fordern Sie eine Erläuterung des geltenden Update-Modus und der Konfiguration an. ³

Die Zeilen des Formulars zu Verschlüsselung und Export haben zudem einen engeren Zweck als ein Übergabeverfahren. Nutzen Sie den separaten Leitfaden zur Bereinigung von Patientendaten für die vor der Weitergabe erforderlichen Nachweise. Der PX-USB-Exportleitfaden behandelt den Untersuchungsstatus und Administratorsteuerungen.

Wo können Käufer das Dokument erhalten?

Prüfen Sie zunächst den aktuellen Support- oder Produktsicherheitsweg des Herstellers und bitten Sie dann den Verkäufer um Unterstützung bei der Beschaffung des zutreffenden Nachweises. Kopien aus Suchmaschinen können dabei helfen, eine Dokumentennummer zu ermitteln, doch ein Mirror belegt weder Urheberschaft noch Vollständigkeit oder Aktualität. Speichern Sie die offizielle Quelle oder die schriftliche Support-Antwort zusammen mit der Datei.

Die Registrierungsanweisungen von Philips zeigen einen realen Zugangsschritt, während die PX-Datei ein direkt zugängliches Dokument darstellt. Keines von beiden stützt die Behauptung, dass alle Formulare eines OEM offen zugänglich seien oder dass ein Mitbewerber mit einem Portal weniger transparent sei. Die GE-Seite ist für Sicherheitshinweise nützlich, doch ihre Existenz kann nicht beweisen, dass das MDS2 des Käufers verfügbar ist. Die Zugangswege für andere Hersteller wurden für diesen Leitfaden nicht überprüft. ^{3 4 5}

Beziehen Sie die Dokumentenbereitstellung vor der Zahlung in das Kaufgespräch ein. Fragen Sie, wer den OEM kontaktieren wird, welches installierte Release geliefert wird, wie sich ungeklärte Fragen auf die Abnahme auswirken und wer für die Nachverfolgung zuständig ist. Das Versprechen eines Verkäufers, „ein MDS2“ zu senden, ist schwächer als die verbindliche Zusage, eine zutreffende Herstellererklärung bereitzustellen oder die ungeklärte Lücke zur Prüfung durch den Käufer zu dokumentieren.

Vier Wege, wenn das Formular fehlt oder veraltet ist

Die folgenden Wege sind ein redaktionelles Erfassungsinstrument. Hughes empfiehlt, ein aktuelles Formular anzufordern, dem Hersteller die NEMA-Vorlage und -Anweisungen zu senden, falls keines existiert, und zu prüfen, ob Anforderungen im Lieferzustand, mit kompensierenden Kontrollen oder gar nicht erfüllt werden können. Die Tabelle wendet diese Empfehlungen auf die Übergabe einer gebrauchten Konsole an; sie ist kein behördlich genehmigtes Verfahren. ²

Route 4 ist eine Ausnahmeprüfung, kein Versprechen, dass Segmentierung ein undokumentiertes Ultraschallgerät akzeptabel macht. Geben Sie genau an, was unbekannt bleibt, wie sich dies auf den vorgesehenen Arbeitsablauf auswirken könnte und warum die vorgeschlagenen Einschränkungen dem begegnen würden. Prüfer können entscheiden, dass die Unsicherheit nicht beherrschbar ist. Ein fehlendes PDF allein beweist nicht, dass das Asset unsicher ist; ein vorhandenes PDF allein beweist nicht, dass es sicher ist.

Für umfassendere Flottenentscheidungen zu Supportzeiträumen und Isolation siehe den Leitfaden zur Cybersicherheit älterer Ultraschallgeräte. Dieser Artikel endet bei der Übergabe von Nachweisen und Entscheidungen. Er schreibt kein Firewall-Design, keine Patch-Richtlinie und kein Verfahren zur Schwachstellenprüfung vor.

Was ändert sich nach einer Platinenreparatur oder dem erneuten Aufspielen der Software?

Beginnen Sie mit den tatsächlich durchgeführten Arbeiten. „Sonde“, „Netzteil“, „Beamformer“ und „Mainboard“ sind keine ausreichenden Beschreibungen dafür, ob ein Serviceereignis Firmware, Kennungen, gespeicherte Informationen oder Sicherheitseinstellungen ändert. Einige Arbeiten belassen die relevante Konfiguration möglicherweise unverändert; belegen Sie dies jedoch anhand von Servicenachweisen. Weisen Sie einer Komponentenfamilie keine universelle Einstufung ohne Auswirkung zu.

Verlangen Sie keine vom Anwender durchgeführte Überprüfung des Firmware-Hashwerts, es sei denn, der Hersteller stellt tatsächlich ein freigegebenes Verfahren bereit. Das PX-Beispiel verdeutlicht diese Einschränkung: SAHD-3 beschreibt Integritätsprüfungen beim Systemstart, während SAHD-4 besagt, dass der Eigentümer/Betreiber keine Integritätsprüfungen der Software durchführen kann. Ein Beschaffungs-Arbeitsblatt kann keine Verifizierungsfunktion erfinden, die das Gerät nicht bereitstellt. ³

Eine frühere Offenlegung kann auch nach einem Service nützlich bleiben, sofern ihr Geltungsbereich die dokumentierte Konfiguration weiterhin abdeckt. Wenn Arbeiten eine relevante Antwort verändern, bewahren Sie den alten Datensatz als Historie auf, ermitteln Sie das Delta und fordern Sie eine Klarstellung des Herstellers oder eine überarbeitete Offenlegung an. Der Servicebericht eines Drittanbieters dokumentiert die Arbeit dieses Anbieters; er kann nicht stillschweigend zu einer ersetzenden Herstellererklärung werden.

Welche alternativen Nachweise können Prüfer berücksichtigen?

Erstellen Sie bei einem nicht erhältlichen Formular Frage für Frage eine Nachweislücke, anstatt das Gerät als „geringes Risiko“ einzustufen. Das Sicherheitsteam der Einrichtung entscheidet, welche anderen Nachweise und Kontrollmaßnahmen ausreichend sind. Nützliche Grundlagen sind unter anderem Sicherheitsleitfäden des Herstellers, die Port- und Protokolldokumentation, anwendbare Sicherheitshinweise, der Supportstatus und der Datensatz zum Installationszustand. Ordnen Sie jede Antwort ihrer tatsächlichen Quelle und ihrem Datum zu.

• Klinischer Arbeitsablauf: Welche Empfänger, Datenflüsse und Funktionen sind erforderlich und welche gingen verloren, wenn eine Schnittstelle eingeschränkt würde?
• Herstellergrenzen: Welche Updates, Agenten oder Konfigurationsänderungen werden unterstützt und welche Fragen bleiben unbeantwortet?
• Vorgeschlagene Kontrollmaßnahmen: Wer ist für die Umsetzung verantwortlich, wie wird die Wirksamkeit überprüft und welche betrieblichen Einschränkungen bleiben bestehen?
• Verbleibende Unsicherheit: Was kann nicht verifiziert werden, wer darf dieses Risiko akzeptieren und wann läuft die Entscheidung ab oder muss erneut geprüft werden?

Eine VLAN-Kennzeichnung, statische IP- oder MAC-Adresse ist kein Nachweis dafür, dass der Datenverkehr angemessen eingeschränkt ist oder dass ein Endpunkt sicher ist. Kopieren Sie keine generischen Portnummern in einen Bereitstellungsplan. Das lokale Netzwerkteam sollte alle zulässigen Datenflüsse aus der exakten Systemdokumentation und der vorgesehenen Integration ableiten. Führen Sie an einem klinischen Gerät keine aktiven Scans durch und ändern Sie Zugangsdaten sowie Schnittstellen nicht unter Berufung auf diesen Artikel; holen Sie für die spezifische Bewertung die Vorgaben des Herstellers und die Genehmigung der Einrichtung ein.

Das Ergebnis kann die Verweigerung der Netzanbindung oder der Verzicht auf den Kauf sein. Wird eine eingeschränkte Bereitstellung akzeptiert, dokumentieren Sie die tatsächlichen Einschränkungen, die Nachweise über deren Funktion und wer für deren Instandhaltung zuständig ist. Eine Netzwerkfreigabe unterscheidet sich zudem von der klinischen Freigabe, der infektionspräventiven Einsatzbereitschaft und der Abnahme reparierter Hardware. Jedes zuständige Team behält seine eigene Freigabeentscheidung.

Was sollte in der Sicherheitsaufnahmeakte erfasst werden?

Hughes empfiehlt, Offenlegungen mit dem Asset-Management, dem CMMS oder einem anderen gemeinsamen Risikodatensatz des Geräts zu verknüpfen und bei Produktänderungen auf Aktualisierungen zu prüfen. CMMS bedeutet computerized maintenance management system (computergestütztes Instandhaltungs-Managementsystem). Das Folgende ist eine vorgeschlagene Datensatzstruktur für diesen Vorgang, keine verbindliche Akkreditierungs-Checkliste oder Garantie für ein Auditergebnis. ²

Bewahren Sie technische Aufzeichnungen an dem von der Einrichtung freigegebenen, kontrollierten Ablageort auf. Geben Sie bei externen Anfragen nur die mindestens erforderlichen Asset-Informationen an und entfernen Sie Patientenidentifikatoren, Zugangsdaten und sensible Netzwerkdetails aus Screenshots. Das nützliche Ergebnis ist eine nachvollziehbare Entscheidung mit benannten ungelösten Punkten, kein Dossier, das unbelegte Compliance-Zusagen macht.

Wo Rongtao passt – und wo nicht

Rongtao Medical bietet markenübergreifende Reparaturen von Ultraschallplatinen, Sondenservices und Ersatzteile an. Der dokumentierte Markenumfang umfasst GE, Philips, Siemens, Hitachi, Mindray, Samsung, Toshiba/Canon, Aloka und Biosound Esaote. Erfragen Sie, welche Nachweise zu Teileidentität, Revisionsstand, Arbeitsumfang und zum Test am realen Gerät für den jeweiligen Artikel bereitgestellt werden können. Betrachten Sie ein Hardware-Prüfprotokoll nicht als Bestätigung der Softwareintegrität oder Netzwerksicherheit.

Das Sonosite PX ist ein Beispiel anhand eines öffentlich zugänglichen Dokuments und keine Behauptung einer Sonosite-Reparaturabdeckung durch Rongtao oder einer OEM-Autorisierung. Rongtao stellt keine herstellerseitigen MDS2-Offenlegungen aus und genehmigt keine Einbindung in Krankenhausnetzwerke. Verweisen Sie bezüglich der Anwendbarkeit des Dokuments an den Hersteller und bezüglich der Sicherheitsabnahme an die empfangende Organisation. OEM-Namen dienen der Identifizierung von Geräten; sie begründen keine Zugehörigkeit oder Befürwortung.

Nutzen Sie für Service- oder Ersatzteilanfragen zu unterstützten Geräten das technische Anfrageformular von Rongtao. Geben Sie OEM, genaues Modell, Seriennummer, installierte Version, Hersteller-Teilenummer, lesbare Fotos beider Platinenseiten und Etiketten, Symptome/Fehlercode, Menge und Bestimmungsort an. Nennen Sie die benötigte Dokumentation und alle bekannten Serviceänderungen. Senden Sie keine Patientendaten oder Zugangsdaten.

Häufig gestellte Fragen

Macht die Anerkennung durch die FDA ein MDS2 zu einer Verbindungsgenehmigung?

Nein. Der Anerkennungseintrag betrifft einen Standard, der die Risikobewertung unterstützen soll; er genehmigt keine Konsole und autorisiert nicht deren Nutzung in einem bestimmten Netzwerk. Er warnt zudem davor, dass Konformität möglicherweise nicht jede relevante Cybersicherheitsanforderung erfüllt. Die Einrichtung muss die Anforderungen und den Abnahmeprozess bestimmen, die für deren Nutzung gelten. ¹

Beweist ein ausgefülltes Formular, dass die Konsole sicher ist?

Nein. Es beschreibt vom Hersteller offengelegte Funktionen und Grenzen. Es verifiziert weder den installierten Zustand noch die Wirksamkeit der Kontrollen der Einrichtung oder das Fehlen von Schwachstellen unabhängig. Erfragen Sie, welche Antworten von Optionen oder Einstellungen abhängen, und bewahren Sie die lokale Bewertung auf.

Kann ein Formular eine andere Softwareversion abdecken?

Nur wenn sein Geltungsbereich oder eine Klarstellung des Herstellers die Anwendbarkeit stützt. Gehen Sie nicht allein anhand des Dateinamens davon aus, dass ein anderes Release abgedeckt – oder automatisch nicht unterstützt – ist. Erfassen Sie die installierte Variante und klären Sie Unterschiede mit dem Hersteller. ²

Wie unterscheidet sich eine SBOM?

Ein MDS2 beschreibt Sicherheitsfunktionen. Eine SBOM inventarisiert Softwarekomponenten. Das PX-Formular gibt an, dass eine SBOM verfügbar ist, liefert jedoch nicht deren Komponentenliste. Fordern Sie bei Bedarf das auf das Release abgestimmte Inventar und dessen Bereitstellungsformat an; leiten Sie diese Details nicht aus einer „Ja“-Antwort ab. ³

Benötigen wir nach einer Platinenreparatur ein neues Formular?

Prüfen Sie zunächst das Service-Delta. Wenn dieselbe Offenlegung die Konfiguration weiterhin abdeckt, halten Sie die Begründung für deren Beibehaltung fest. Wenn Hardware, Firmware, Software oder Einstellungen eine relevante Antwort geändert haben – oder diese Auswirkung nicht festgestellt werden kann –, holen Sie eine Klärung ein und stellen Sie jede betroffene Genehmigung zurück. Es gibt keine universelle Ausnahme nach Komponentenbezeichnung.

Was gilt, wenn der OEM die Offenlegung nicht bereitstellen kann?

Bewahren Sie die Anfrage und die Antwort auf, identifizieren Sie unbeantwortete Fragen und legen Sie den benannten Risikoverantwortlichen der Einrichtung alternative Nachweise vor. Diese können dokumentierte Einschränkungen akzeptieren, weitere Nachweise anfordern, das System getrennt lassen oder die Beschaffung ablehnen. Das Fehlen eines Formulars ist keine Erlaubnis, diese Entscheidung zu umgehen.

Grenzen und Auslöser für eine erneute Prüfung

Dies ist eine Dokumentenprüfung mit Stand vom 24. Oktober 2026, keine Erhebung zu Problemen bei Gebrauchtsystemen, kein Sicherheitstest und kein Anbieter-Ranking. Die Beobachtungen zum OEM-Zugang umfassen eine abgerufene PX-Datei und zwei öffentliche Richtlinien-/Portalseiten; authentifizierte Bibliotheken und andere Hersteller wurden nicht bewertet. Es werden keine Aussagen zu Inzidenz, Ausfallrate, Preis, universeller Kompatibilität oder Auditerfolg getroffen.

Prüfen Sie erneut, wenn sich Software, relevante Hardware, Optionen, die Netzwerknutzung, Herstellerhinweise, Schwachstellenwarnungen oder der Supportstatus ändern. Bewahren Sie ersetzte Aufzeichnungen auf, damit Prüfer nachvollziehen können, worauf die frühere Entscheidung basierte. Eine ungeklärte Antwort des Herstellers sollte sichtbar ungeklärt bleiben, selbst wenn die restliche Aufnahmeakte vollständig ist.