Schaltpläne für Spione

Über das Webinterface konnten externe Benutzer nicht nur auf verschiedene Funktionen der Gebäudesteuerung zugreifen, sondern auch detaillierte Schaltpläne und Anleitungen herunterladen. Darüber hinaus gibt es auf der Webseite einen 3D-Rundgang durch das Haus. "Potenzielle Angreifer hätten sich so ein sehr detailliertes Bild von der Infrastruktur und den Örtlichkeiten verschaffen können", sagte Sebastian Neef Golem.de. Bedenkt man, dass die Patienten der Klinik im Durchschnitt recht gut betucht sein und Privatsphäre schätzen dürften, ist das sicher nicht optimal.

Schäfers und Neef meldeten die Schwachstelle kurz vor Weihnachten an die zuständige Stelle, die Melde- und Analysestelle Informationssicherung (Melani) in der Schweiz. Diese leitete die Fehlermeldung an das Krankenhaus weiter, innerhalb weniger Tage verschwanden die Systeme aus dem Netz.

• 

Die Lüftungssteuerung (Screenshot: Internetwache.org/Golem.de)

Auf Anfrage von Golem.de will die Stelle den Vorgang nicht kommentieren: "Wir behandeln alle uns gemeldeten Vorfälle streng vertraulich und können deshalb den von Ihnen referenzierten Vorfall weder bestätigen noch dementieren", sagte Max Klaus, stellvertretender Leiter der Behörde. Die Kommunikation zwischen dem Team von Internetwache.org und Melani liegt Golem.de vor.

Mit der Reaktion der Behörde und des Krankenhauses sind die beiden Sicherheitsforscher zufrieden: "Es ist schön, wenn Sicherheitshinweise von White-Hat-Hackern konstruktiv aufgenommen werden", sagt Sebastian Neef Golem.de. Leider nehmen nicht alle betroffenen Stellen Hinweise konstruktiv auf - oder handeln einfach gar nicht.

Doch warum waren die Systeme überhaupt ungeschützt im Netz? Die Klinik teilte der Meldestelle mit, es habe sich lediglich um einen Testlauf vor der eigentlichen Eröffnung des Krankenhauses gehandelt. Überprüfen lässt sich das nicht - gut möglich, dass die Systeme ohne die Hinweise der beiden Forscher auch nach der Eröffnung noch online verfügbar gewesen wären.

Auf Anfragen wollte das Krankenhaus nicht antworten

Das Krankenhaus wollte den gesamten Vorfall auf mehrfache Anfrage von Golem.de nicht kommentieren. Eine Sprecherin zeigte sich am Telefon erstaunt ob der Anfrage und wollte diese an die IT weiterleiten. Doch trotz erneuter Nachfrage gibt es bislang kein Statement und auch keine Erklärung für das Verhalten.