Herzschlag als "Fingerabdruck" gegen Implantat-Hacking

Keinen Schnitt in den Körper, nur noch ein drahtloses Software-Update: Moderne Implantate – vom Herzschrittmacher über die Insulinpumpe bis zum Sensoren für Körperfunktionen – minimieren die Zahl der nötigen Operationen. Und sie lassen den Arzt bequem am Rechner auslesen, wie der Gesundheitszustand seines Risikopatienten sich entwickelt hat. Sogar das Aufladen von Batterien durch die Haut ist prinzipiell schon möglich

Die Telemedizin arbeitet an Netzwerken von Körpersensoren (Body Sensor Network BSN oder Wireless Body Area Network WBAN), um chronisch Kranke besser versorgen zu können.

Doch mit den Chancen steigen auch die Risiken: Drahtlos steuerbare Implantate sind anfällig für böswillige Attacken, die dann auch tödlich enden können. Eine sichere Verschlüsselung der Signale ist nötig, sagen die Experten. Jetzt präsentieren Forscher der Chinesischen Universität Hong Kong ihre Lösung: Sie nehmen biomimetische Eigenschaften als Basis. Konkret nutzen sie das individuelle Muster des Herzschlags, bequem über den Puls zu messen, als Schlüssel für die Schutzkodierung. In ihren Versuchen funktionierte eine 64-Bit-Verschlüsselung recht gut: Die Quote falscher Erkennung lag auf ähnlichem Niveau wie die Fehlerquote bei herkömmlichen Fingerabdruck-Systemen. Dabei sei die Herzschlag-Verschlüsselung sicherer, weil sich der ständig variierende Rhythmus nicht als Kopie nutzen lässt, erklären die Forscher im Fachblatt IEEE Transactions on Information Technology in Biomedicine.

Weil das so genannte Zwischenpuls-Intervall (IPI) ständig minimal schwankt, können Betrüger etwa einmal aufgenommenen Daten nicht später als Schlüssel nutzen, so Carmen Poon und Kollegen von der Chinese University of Hong Kong. Der Abgleich des Schlüssels im Implantat erfolgt hautnah: Während ein Sensor am Implantat den Rhythmus des Herzschlags registriert, nimmt ein zweiter Sensor den Rhythmus am Zeigefinger ab, wo der Puls sich gut messen lässt. Da die Messungen zeitgleich im oder am selben Körper ablaufen, spielen die natürlichen Minimalschwankungen des Schlagrhythmus keine Rolle – früher aufgenommene Rhythmen passen allerdings nicht dazu. Nur wenn die Details beider Messungen weitgehend übereinstimmen, sollen Implantat und Zugangsgerät ihre Kodierungsschlüssel austauschen und kommunizieren.

Poons Team hatte in seinen Tests auf Implantate verzichtet und die Daten am rechten und linken Zeigefinger ihrer 99 Probanden abgenommen. Zur Auswertung dienten ein Elektrokardiogramm (EKG) und ein Photoplethysmogramm (PPG), welches die Schwankungen der Lichtabsorption unter der Haut beim Pulsschlag darstellt. Aus dem Intervall zwischen 16 aufeinanderfolgenden Herzschlägen, auf die Millisekunde genau, generierte der jeweilige Rechner am Sensor einen kalibrierten 64-Bit-Code.

Die Methode muss exakt genug sein, um keine falschen Daten zuzulassen, aber flexibel genug, um winzige biologische Unterschiede zwischen Messungen an unterschiedlichen Körperstellen zu akzeptieren, erklären Poon und Kollegen. In den Testläufen akzeptierte das System die allermeisten Code-Paare – es lehnte nur 6,5 Prozent als nicht übereinstimmend ab. Das liegt in etwa bei der Fehlerquote typischer Fingerabdruck-Systeme, die 4,2 Prozent der Paarungen zurückweisen, schreibt das Team: "Die Ergebnisse legen nahe, dass die einfach zugängliche IPI-Daten als gute Quelle dienen können, um Entity Identifier (EI) für die Knotenpunkte in Body Sensor Networks (BSN) zu erzeugen".