Ein wundersames Update im Mai 2025
Ich wunderte mich über die Stellungnahme der CGM gegenüber dem LfD, hatte ich doch glaubhafte Informationen, dass das in der Vergangenheit anders war. Auf eine Evaluierung verzichtete ich, aufgrund von §202c und auch mangels Zugriffs auf das System. Allerdings erfuhr ich von meiner Quelle, dass "Anfang Mai 2025" ein größeres Update der CGM Z1-Software für Zahnarztpraxen ausgerollt worden sei. Es musste zunächst ein Wartungsupdate und dann ein größeres Update für alle Z1-Clients auf die Version 2.91 installiert werden.
Zudem hieß es, dass das Wartungsupdate zwingend nötig sei, da dort zwei Passwörter, eines für den DB-Admin (sa) und eines für die Z1-Datenbank (vermutlich User z1), gesetzt würden. Ohne diese Änderung habe sich laut der Quelle das umfangreichere Update der Z1-Software auf die Version 2.91 für die Clients nicht installieren lassen.
Ausweislich der von mir dokumentierten Details(öffnet im neuen Fenster) wirbt der Hersteller damit, dass die Neuerungen des Z1-Updates auf die Version 2.91 "insbesondere den Datenschutz und die Sicherheit" des Systems betreffen. Mit dem Update werde die Z1-Software vor Fremdzugriffen auf die Praxisdaten geschützt. Eine zeitliche Einordnung der Reihenfolge einzelner Vorgänge ergibt folgendes Bild:
- Im März 2025 fragte der Landesbeauftragte für Datenschutz (LfD) Rheinland-Pfalz aufgrund meiner Hinweise bei der Compugroup Medical (CGM) konkret nach den oben aufgeworfenen Sachverhalten an.
- Von Mitte März bis Ende April 2025 entwickelte CGM das erwähnte Update auf die Version 2.91 für die Z1-Praxisverwaltungssoftware.
- Das Update wurde bis Anfang Mai 2025 in den Praxen ausgerollt.
- Einige Tage später ging eine Stellungnahme an den Landesbeauftragten für Datenschutz (LfD) Rheinland-Pfalz.
In dieser Stellungnahme konnte von CGM wahrheitsgemäß bestritten werden, dass die aktuelle Version der Software die gemeldeten Sicherheitslücken aufwies.
Der Fall zeigt, wie schwierig und komplex sich der Umgang mit und die Meldung von Schwachstellen in Software-Systemen durch §202c in Deutschland gestaltet. Am Ende hat die Meldung an den LfD aber dazu geführt, dass die Z1-Praxisverwaltungssoftware für Zahnärzte mit dem Update auf die Version 2.91 ein Stück sicherer wurde.
Die CGM bietet noch weitere Praxisverwaltungssysteme und spezielle Software an. Quellen haben mir mitgeteilt, dass sie die gleichen, weiter oben beanstandeten Sicherheitslücken aufweisen. Inwieweit sie inzwischen korrigiert sind, entzieht sich meiner Kenntnis, da ich keinen Zugriff auf entsprechende Systeme habe.