Testlauf ist keine Entschuldigung

Für Neef und Schäfers ist der angebliche Testlauf keine Entschuldigung, die Systeme nicht wenigstens mit einem Passwort abzusichern: "Wir haben bei dem Mirai-Botnetz und anderen Angriffen gesehen, dass verwundbare Infrastrukturen mittlerweile automatisch nach Schwachstellen abgescannt werden und auch Angriffe automatisch erfolgen können", sagte Tim Philipp Schäfers Golem.de. Deshalb sei es nicht sehr verantwortungsvoll, Infrastruktur vorab ungeschützt zu betreiben.

Wir haben das Krankenhaus um eine Stellungnahme gebeten, welche Schritte es unternommen hat, um sicherzustellen, dass die mit dem Internet verbundenen Systeme sich während der Testphase keine Schadsoftware eingefangen haben. Auch auf diese Anfrage hat das Unternehmen leider nicht reagiert.

Die von dem Krankenhaus eingesetzte Lösung ist keine Eigenentwicklung, sondern stammt von einem Systemintegrator. Anlagen der Firma kommen der Webseite des Unternehmens zufolge in zahlreichen Einrichtungen in der Schweiz zum Einsatz, unter anderem auch in anderen Krankenhäusern und Einrichtungen der öffentlichen Verwaltung.

Auch der Hersteller schweigt

Gerne hätten wir in Erfahrung gebracht, ob das Equipment des Herstellers generell nach der Installation frei im Internet verfügbar ist - und die Absicherung immer erst direkt vor der Inbetriebnahme geschieht. Auch wüssten wir gern, ob der Integrator immer die Kunden in der Pflicht sieht, die Systeme abzusichern, oder sich selbst dafür in die Verantwortung nimmt. Leider reagierte aber auch der Hersteller des Equipments nicht auf unsere Anfrage.

Schäfers und Neef hatten in früheren Untersuchungen nicht nur Schwachstellen bei der konkreten Absicherung gefunden, sondern auch konkrete Verwundbarkeiten in der Software, die ein Angreifer ausnutzen könnte. Mittels Cross-Site-Scripting und Header Injection hätten Angreifer unter Umständen Code ausführen können. Die Schwachstellen sind gemeldet, aber noch nicht behoben.

Immerhin: Krankenakten oder andere persönliche Daten von Patienten des Krankenhauses sind über das System nicht zu erreichen.