Zürich-"Tatort": Können Herzschrittmacher wirklich gehackt werden?

Es war ein Horror-Szenario für Herzpatientinnen und -patienten, das die Drehbuchautorin Petra Ivanov und ihr Co-Autor André Küttel im "Tatort: Kammerflimmern" entwarfen: In dem von Barbara Kulcsar inszenierten Fall aus Zürich kollabierten plötzlich unabhängig voneinander mehrere Menschen. Alle Opfer trugen einen implantierten Kardioverter-Defibrillator (ICD), der durch einen Hacker-Angriff manipuliert worden war. Doch ist so etwas tatsächlich möglich?

Der Schrecken begann für die Zürcher Kommissarinnen Isabelle Grandjean (Anna Pieri Zuercher) und Tessa Ott (Carol Schuler) an einem Samstagmorgen: Im Minutentakt kamen Notrufe aus verschiedenen Ecken der Großstadt auf dem Polizeipräsidium an. Was die rätselhaften Todesfälle auslöste, war zunächst unklar. Schon bald aber stellte sich heraus, dass alle Opfer einen implantierten Kardioverter-Defibrillator (ICD) des Herstellers Lauber Cardio trugen. Dieser löste einen ungewollten, langen Stromschlag aus, der in den meisten Fällen zum Tod führte.

Auslöser für die Fehlfunktion war ein fehlerhaftes Update. Dieses war von einer gezielten Cyberattacke auf den Hersteller manipuliert worden. Lange schien unklar, was den tödlichen Stromschlag im Einzelfall auslöste. Manche Betroffenen starben schon wenige Stunden nach dem fehlerhaften Update, andere überlebten mehrere Tage. Letztlich stellte sich heraus, dass der Stromschlag nach einer gewissen Anzahl von Herzschlägen ausgelöst wurde: Sportlich aktive Menschen mit einem höheren Puls fielen dem Angriff somit schneller zum Opfer, als jene, die ein eher ruhiges Leben führten.

Als Verantwortlicher der Cyber-Attacke konnte letztlich ein ehemaliger Mitarbeiter von Lauber Cardio identifiziert werden: Albin Fischer (Sven Schelker) hatte im Dezember 2016 gekündigt, nachdem er von der Geschäftsleitung gezwungen wurde, das Release-Datum eines Updates nachträglich zu ändern. Kurz vor der Veröffentlichung des Updates war ein Patient während einer Autofahrt mit seiner Frau und seiner Tochter an einer Fehlfunktion seinen ICDs kollabiert. Der Patient und seine Ehefrau starben bei dem daraus resultierenden Verkehrsunfall, die damals zwölfjährige Tochter Paula Bianchi überlebte.

Jahre später stieß die inzwischen erwachsene Paula Bianchi (Anina Walt) auf Ungereimtheiten. Sie kontaktierte Albin, der ihr von der Manipulation sowie drastischen Sparmaßnahmen in der Entwicklungsabteilung von Lauber berichtete. Im Auftrag von Paula hackte Albin das Computersystem von Lauber und verschickte eine Lösegeldforderung für den rettenden Code. Allerdings hatten weder Albin noch Paula ernsthaft vor, Menschenleben zu gefährden. Vielmehr starben die letztlich 56 Opfer, da Lauber abermals bei der Entwicklung des später manipulierten Updates geschlampt hatte.

"Computerhacker sind theoretisch in der Lage, Herzschrittmacher und automatische Defibrillatoren (ICD) gezielt zu manipulieren und so beispielsweise Attentate auf prominente Implantatträger zu verüben", schrieb das "Deutsche Ärzteblatt" bereits 2008.

Der Artikel bezog sich auf das Ergebnis einer experimentellen Studie von Computerexperten aus Boston: "ICDs sind mit einem eingebauten Radiosender für einen drahtlosen Datenaustausch ausgestattet. Die Daten werden dabei in der Regel über eine direkt auf die Brust aufgelegte Antenne übertragen. Diese enthält einen Magnetschalter, um eine versehentliche Störung, etwa durch elektromagnetische Felder, zu verhindern", hieß es in dem Artikel weiter. Diese Sicherung könne allerdings überwunden werden, da sich die Software, die den Schalter steuert, von außen abstellen lasse. Die Forscher sahen damals zwar "keine unmittelbar drohende Gefahr für die Patienten", forderten aber eine Verbesserung der Sicherheitsstandards.

Auch das Gesundheitsportal "netDoktor" berichtete 2024 über mögliche Sicherheitsrisiken von medizinischen Geräten: 2012 hackte sich ein Mitarbeiter des Anti-Viren-Software-Herstellers MacAfee erfolgreich in die digitale Steuerung einer Insulinpumpe. Bei dem Test mit einer Puppe konnte er anschließend eine potenziell tödliche Insulindosis veranlassen. Der Angriff gelang damals aus einem Abstand von 90 Metern zum Gerät und ohne die Seriennummer der Pumpe zu kennen. Ähnliche Testangriffe waren bei Herzschrittmachern und implantierten Defibrillatoren erfolgreich.

"Es eine Frage der Motivation, ob sich ein solcher Angriff lohnt", erklärt Leanne Torgersen von der Universität Trier gegenüber "netDoktor": Der Aufwand sei sehr hoch und die rechtlichen Konsequenzen hart. Ein Angriff auf "gewöhnliche" Patientinnen und Patienten ist für die Expertin eher unwahrscheinlich.

Anders sieht es mit potenziellen Angriffen auf schwerreiche Menschen oder Prominente aus der Politik aus. Bislang sei jedoch weltweit kein einziger Fall bekannt. Das allgemeine Risiko sei vergleichbar mit dem Risiko, auf einer Urlaubsreise mit dem Flugzeug abzustürzen.

Der Hacker Albin überlebte den "Tatort" nicht: Er starb bei einer handgreiflichen Auseinandersetzung mit Simon Berger (Martin Vischer), dem Entwicklungschef von Lauber, der ihm auf die Schliche gekommen war. Zuvor gelang es Simon aber, Albin den USB-Stick mit dem Schlüssel, um die Betriebssysteme wieder freizuschalten, abzunehmen. Der Kriminaltechniker Noah Löwenherz (Aaron Arens) entschlüsselte das Programm und Tessa Otts Mutter Madeleine (Babett Arens), die ebenfalls Trägerin eines ICDs war, und einige andere Patientinnen und Patienten konnten gerettet werden.

"Tatort: Kammerflimmern" war der zehnte Fall der Zürcher Kommissarinnen Isabelle Grandjean und Tessa Ott. Bislang erschienen jedes Jahr zwei neue Filme der Reihe: einer in der ersten und einer in der zweiten Jahreshälfte. Gemäß diesem bisher bekannten Senderhythmus dürfte der nächste Film also frühestens im Februar 2026, tendenziell sogar erst im März oder April im Ersten zu sehen sein.

Die Dreharbeiten unter dem Arbeitstitel "Tatort: Könige der Nacht" laufen noch bei Anfang Oktober. Unter Regie von Claudio Fäh erzählt der Film von einer brutal zugerichteten Männerleiche, die aus der Limmat gezogen wird.