CISA deckt hartcodierten Bluetooth-Zugang beim Flow FL-100 auf

Wenn eine Kopfstimulation zum Bluetooth-Problem wird

Der Flow FL-100 ist ein tDCS-Kopfband, das per Bluetooth mit einer Smartphone-App gekoppelt wird und schwache Gleichstromreize gegen depressive Verstimmungen liefern soll. Am 13. August 2026 hat die US-Cybersicherheitsbehörde CISA in ihrer Sicherheitswarnung ICSMA-26-225-01 eine Schwachstelle offengelegt, die unter der Kennung CVE-2026-18164 läuft. Die Flow FL-100 Sicherheitslücke sitzt nicht im Cloud-Backend und nicht in einer vergessenen Admin-Konsole, sondern direkt in der Authentifizierung des Geräts selbst.

Laut CISA reicht ein undokumentiertes, fest im Gerät hinterlegtes Zugangsdatum, um die Anmeldung zu umgehen. Wer in Bluetooth-Reichweite ist, muss sich also weder in ein WLAN einhacken noch Passwörter erraten, sondern lediglich das eine Zugangsdatum kennen, das CISA öffentlich als Schwachpunkt benannt hat. Genau darin liegt die Pointe dieser Schwachstelle: Sie ist banal in der Ursache und ernst in der Wirkung, weil sie ein Medizinprodukt betrifft, das direkt am Kopf getragen wird.

Für ein Gerät, das therapeutische Stromreize steuert, ist die Trennlinie zwischen „IT-Sicherheitsvorfall“ und „medizinischer Zwischenfall“ ungewöhnlich dünn. Genau das macht diese Warnung lesenswert, auch für alle, die sonst mit Steuerungssystemen und Industrieanlagen nichts zu tun haben: Hier trifft ein klassisches Authentifizierungsproblem auf ein Produkt, das buchstäblich am Kopf sitzt und dessen Fehlfunktion sich nicht einfach per Neustart wegklicken lässt.

Welche Flow FL-100- und Halo-Neuroscience-Geräte betroffen sind

CISA führt die Flow FL-100 Sicherheitslücke im Sektor Healthcare and Public Health und benennt zwei Markennamen als betroffen: Flow Neuroscience FL-100 und Halo Neuroscience FL-100, jeweils mit Firmware-Stand vor Juli 2026. Wer eines dieser Geräte selbst nutzt, in einer Praxis verleiht oder im Rahmen einer Studie ausgibt, sollte die Seriennummer und den Firmwarestand ohne Umweg prüfen, statt sich auf ein Gefühl von „das wird schon aktuell sein“ zu verlassen.

Die Einstufung als Medizinprodukt im Bereich Healthcare and Public Health Sector ist dabei mehr als eine Formalie. Sie bedeutet, dass die Flow FL-100 Sicherheitslücke nicht nur ein IT-Sicherheitsproblem, sondern potenziell ein Patientensicherheitsproblem ist, sobald ein manipuliertes Gerät tatsächlich am Kopf eines Menschen sitzt. Für Betreiber heißt das: Inventarisierung vor Risikoanalyse, nicht danach.

Zwei Markennamen für dieselbe Hardware sind kein Zufall, sondern das Ergebnis von Rebranding-Geschichten im Konsumgütermarkt für Neurostimulation. Für die Sicherheitsbewertung spielt das keine Rolle: Beide Gerätelinien teilen dieselbe Firmware-Basis und damit dasselbe fest hinterlegte Zugangsdatum, weshalb ein Update auf beide Produktnamen gleichermaßen angewendet werden muss, unabhängig davon, unter welchem Markennamen das jeweilige Exemplar verkauft wurde.

Ein Zugangscode, der für jedes Gerät gleich lautet

Technisch handelt es sich um CWE-798, die Verwendung fest hinterlegter Zugangsdaten. CISA beschreibt es so: Ein undokumentiertes, hart codiertes Zugangsdatum wird von allen Geräteeinheiten geteilt und ist zur Umgehung der Authentifizierung autorisiert. Das ist ungefähr so, als würde ein Schlosshersteller für eine ganze Modellreihe denselben Hausschlüssel ausliefern und dann hoffen, dass niemand auf die Idee kommt, den Bart einmal nachzuschneiden.

Der praktische Effekt: Wer das eine Zugangsdatum kennt, öffnet nicht ein Gerät, sondern potenziell die gesamte Flotte. Für Kliniken, die mehrere FL-100-Einheiten parallel betreiben, verschärft das die Flow FL-100 Sicherheitslücke von einem Einzelfallrisiko zu einem strukturellen Problem der gesamten Geräteklasse, solange keine firmwareseitige Korrektur eingespielt wurde.

Wie eng verwandte Schwachstellen in anderen kritischen Systemen bereits gezeigt haben, ist ein geteiltes Master-Zugangsdatum selten ein Einzelfall – unsere Auswertung einer kritischen Zero-Day-Lücke aus einer aktuellen CISA-Warnung zeigt ein vergleichbares Muster bei der Reaktionszeit zwischen Entdeckung und Patch.

Solche fest codierten Zugangsdaten überleben in der Praxis erstaunlich lange, weil sie selten in Penetrationstests auffallen, die sich auf Netzwerkschnittstellen konzentrieren. Bei einem Bluetooth-Gerät ohne klassische Netzwerkanbindung fällt genau diese Prüfroutine oft ganz weg, was erklärt, warum eine derart grundlegende Schwachstelle erst jetzt öffentlich dokumentiert wurde, obwohl das Produkt schon seit Jahren im Handel ist.

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellseedream_v4_5; quality=high; 5120x2880PromptA caregiver hand places a clear protective shell over an unmarked stimulation control while a second hand moves an unauthorized red adjustment token outside the boundary rings. A tight documentary composition emphasizes hands-on consequences in a fully text-free scene with blank surfaces and no legible markings. Photorealistic style image. Mood: practical, focused, and investigative. Avoid: watermark, signature, blurry, low quality, distorted, deformed.

Manipulierte Parameter treffen Sicherheitsgrenzen

Der eigentliche Ernstfall steht im Zusammenfassungsteil der Warnung: Eine erfolgreiche Ausnutzung dieser Schwachstelle könnte es einem Angreifer in Bluetooth-Reichweite erlauben, Stimulationsparameter zu verändern und Sicherheitsgrenzen zu überschreiben. CISA benennt es noch direkter: Das undokumentierte Zugangsdatum erlaubt es einem Angreifer in Bluetooth-Reichweite, Hirnstimulationsparameter und -zustand willkürlich zu manipulieren.

Das bedeutet praktisch: Nicht die Verbindung selbst ist das Ziel, sondern die Steuerlogik, die normalerweise verhindert, dass Stromstärke oder Dauer der Stimulation über medizinisch definierte Grenzwerte hinausgehen. Wird diese Schutzschicht per gefälschter Authentifizierung umgangen, verschiebt sich die Kontrolle über die Reizparameter von der Software auf denjenigen, der gerade in Funkreichweite steht – ohne dass Trägerin oder Träger davon zwingend etwas merken müssen.

CISA hält an dieser Stelle bewusst fest, was sie nicht sagt: Es gibt keinen Hinweis auf bereits beobachtete Ausnutzung. Das nimmt der Flow FL-100 Sicherheitslücke nichts von ihrer technischen Ernsthaftigkeit, ordnet sie aber als dokumentiertes Risiko und nicht als laufenden Vorfall ein – ein Unterschied, der in jeder seriösen Risikoabschätzung zählt.

Bemerkenswert ist außerdem, was CISA nicht ausschließt: eine mögliche Fernauslösung durch vorbereitete Skripte, die auf einem in der Nähe befindlichen Smartphone laufen und automatisiert nach passenden Geräten suchen. Ein Angreifer müsste also nicht dauerhaft physisch anwesend sein, sondern könnte ein Gerät vorprogrammieren und lediglich einmal in Reichweite bringen, was die Angriffsplanung erheblich vereinfacht und den erforderlichen Aufwand deutlich senkt.

Warum die Bluetooth-Reichweite das Risiko begrenzt, aber nicht bannt

CISA bewertet die Flow FL-100 Sicherheitslücke mit CVSS 3.1 auf 8.1 (hoch) und mit CVSS 4.0 auf 7.2 (ebenfalls hoch). Der Angriffsvektor ist in beiden Fällen als „adjacent“ markiert, nicht als „network“: Ein Angreifer braucht physische Nähe, keinen Internetzugang. CISA schreibt es explizit aus: Diese Schwachstelle ist nicht aus der Ferne über das Internet ausnutzbar.

Das ist die Stelle, an der Panik unangebracht wäre, Sorglosigkeit aber ebenso. Bluetooth-Reichweite bedeutet in der Praxis wenige Meter, nicht den nächsten Kontinent – aber wenige Meter reichen in einem Wartezimmer, einer Therapiesitzung oder einem geteilten Haushalt vollkommen aus. Die Einschränkung auf physische Nähe verkleinert den Kreis potenzieller Angreifer drastisch, sie entfernt ihn aber nicht.

Interessant ist der Vergleich der beiden CVSS-Versionen: Während CVSS 3.1 mit 8.1 knapp an der kritischen Schwelle von 9.0 vorbeischrammt, fällt CVSS 4.0 mit 7.2 etwas moderater aus, weil das neuere Bewertungsschema physische Nähe stärker gewichtet als das ältere. Für die praktische Risikoeinschätzung ändert das wenig: Beide Werte liegen fest im Bereich „hoch“, nicht „mittel“, und beide rechtfertigen zügiges Handeln statt Abwarten.

Herstellerreaktion: Firmware-Update über die Flow-App

Als Gegenmaßnahme nennt CISA eine vergleichsweise einfache Lösung: Nutzer werden aufgefordert, die neuesten Firmware-Updates zu installieren, die Flow Neuroscience über die Flow-App bereitstellt. Wer sein Gerät seit Monaten unbeaufsichtigt in der Schublade liegen hat, sollte diesen Schritt also nicht als Kür, sondern als Pflichtprogramm behandeln, bevor das FL-100 wieder zum Einsatz kommt.

Entdeckt und CISA gemeldet wurde die Flow FL-100 Sicherheitslücke von der Sicherheitsforscherin A.C. Buglione; die Erstveröffentlichung der Warnung erfolgte am 13. August 2026 als Revision 1. Dass ein einzelnes hart codiertes Zugangsdatum in einem am Kopf getragenen Medizinprodukt erst durch externe Forschung auffällt, ist ein Muster, das sich auch in anderen Bereichen kritischer Infrastruktur wiederholt – etwa bei unserem Rückblick auf den Cyberangriff auf Wasserwerke in Minnesota, wo ebenfalls eine unterschätzte Fernzugriffskomponente zum Einfallstor wurde.

Ob das kommende Firmware-Update das Zugangsdatum tatsächlich entfernt oder lediglich durch ein pro Gerät individuelles ersetzt, lässt die Warnung offen. Für Anwender bleibt der praktische Rat unverändert derselbe: Update installieren, sobald es verfügbar ist, und im Zweifel beim Hersteller nachfragen, welche konkrete Änderung das Update mitbringt, statt sich mit einer bloßen Versionsnummer zufriedenzugeben.

Ein nüchterner Schutzplan für Kliniken und Privatanwender

Über die reine Firmware-Aktualisierung hinaus empfiehlt CISA die üblichen, aber oft vernachlässigten Basics für Steuerungssysteme: Netzwerkexposition minimieren, Steuerungsnetzwerke und Fernzugriffsgeräte hinter Firewalls von Geschäftsnetzwerken trennen und, falls Fernzugriff nötig ist, ausschließlich über aktuelle VPN-Verbindungen arbeiten. Für ein Bluetooth-Kopfband klingt das zunächst überdimensioniert, ist es bei einer Flotte in einer Klinik oder Praxis aber nicht.

Konkret bedeutet das für Betreiber: Geräteliste mit Firmwarestand führen, Updates zentral anstoßen statt auf einzelne Nutzer zu hoffen, und bei Verdacht auf ungewöhnliches Verhalten des Geräts – etwa unerklärte Stimulationsänderungen – den Vorfall dokumentieren und an CISA beziehungsweise den Hersteller melden. Für Privatanwender reicht in aller Regel schon, die App-Benachrichtigung für Firmware-Updates nicht wegzuwischen, sondern tatsächlich zu installieren.

CISA weist zusätzlich auf das übliche Einfallstor Social Engineering hin: keine Links in unerwarteten E-Mails anklicken, keine Anhänge unbekannter Herkunft öffnen. Das hat mit Bluetooth zunächst nichts zu tun, gehört aber zur gleichen Gegenmaßnahmen-Liste, weil viele erfolgreiche Angriffe auf medizinische Geräte über kompromittierte Begleit-Apps oder Support-Zugänge beginnen, nicht über die Funkschnittstelle selbst.

Wer die Flow-App auf einem geteilten Familientablet installiert hat, sollte außerdem prüfen, ob die Bluetooth-Kopplung noch auf ein einzelnes Gerät begrenzt ist oder ob mehrere Smartphones parallel Zugriff behalten haben. Jede zusätzliche gekoppelte Instanz ist ein zusätzlicher Angriffspunkt, den ein Update allein nicht automatisch schließt, solange alte Kopplungen nicht aktiv entfernt werden.

Was die Warnung für den Umgang mit Neurostimulations-Wearables bedeutet

Die Flow FL-100 Sicherheitslücke ist kein Einzelfall, sondern ein Fingerzeig auf eine ganze Produktkategorie: tragbare Neurostimulationsgeräte, die medizinische Wirkstärke mit der Bequemlichkeit einer Consumer-App verbinden wollen. Genau diese Kombination führt regelmäßig dazu, dass Sicherheitsanforderungen aus der Medizintechnik mit den eher lockeren Entwicklungszyklen von App-Ökosystemen kollidieren.

Für Verantwortliche in Kliniken, Praxen und Forschungseinrichtungen lohnt sich deshalb ein zweiter Blick auf alle vergleichbaren Wearables im eigenen Bestand, nicht nur auf das FL-100. Ein fest hinterlegtes Zugangsdatum ist selten ein Konstruktionsfehler, der nur ein einziges Produkt betrifft – häufiger ist es ein Muster, das sich über mehrere Produktlinien eines Herstellers oder sogar über mehrere Hersteller hinweg wiederholt, sobald ähnliche Entwicklungswerkzeuge zum Einsatz kommen.

Am Ende bleibt die Flow FL-100 Sicherheitslücke ein Lehrstück dafür, wie wenig Fantasie es braucht, um ein gut gemeintes Medizinprodukt angreifbar zu machen: ein einziges vergessenes Zugangsdatum, geteilt über eine ganze Modellreihe, reicht aus. Die gute Nachricht ist, dass die Gegenmaßnahme ebenso simpel ist wie der Fehler selbst – ein Firmware-Update, konsequent eingespielt, schließt die Lücke, ohne dass Nutzer auf die Therapie verzichten müssten.