Viele Fehler und ein düsterer Ausblick

CGM Life bietet in seiner Cloud verschiedene Dienste, die miteinander interagieren und auf Daten in der Cloud zugreifen können. So kann beispielsweise eine Krankenkasse ein eigenes Weblogin für ihre Kunden bereitstellen. Einige dieser Anwendungen unterstützen die Zwei-Faktor-Authentifizierung, manche setzen dies sogar zwingend voraus. Durch die verschiedenen Loginmöglichkeiten der Gesundheitsplattform kann ein Angreifer die Zwei-Faktor-Authentifikation umgehen, indem er sich auf der Webseite von CGM Life mit dem Passwort und ohne zweiten Faktor einloggt, statt sich bei der Krankenkasse einzuloggen, die einen zweiten Faktor verlangt.

Wie bei Vivy konnten auch Patienten über CGM Life Dateien mit Ärzten austauschen. Die Akten sind mit einer sechsstelligen PIN geschützt - diese kann mit einem Brute-Force-Angriff, also mit dem Durchprobieren der Zahlenfolgen, geknackt werden.

CGM Life nutzt eine Login-Technik, die es ermöglicht, die Passwörter komplett auf dem eigenen Rechner durchzuprobieren, was einen Brute-Force-Angriff mit hoher Geschwindigkeit ermöglicht. Ein Nutzer, der sich auf der CGM-Plattform anmelden will, erhält beim Login ein zu seiner E-Mail-Adresse passendes "Secret". Dieses und das Passwort ergeben zusammen den Private-Key des Nutzers. Tschirsich konnte das zu einer E-Mail-Adresse eines Nutzers passende Secret abgreifen, den öffentlichen Schlüssel herunterladen und anschließend offline die Passwörter eines Wörterbuches ausprobieren. Das hat er auch getan: Er hat deutsche E-Mail-Adressen von Dropbox heruntergeladen, von denen drei Prozent bei CGM Life angemeldet waren. Von diesen konnte er das zur E-Mail-Adresse passende Secret herunterladen und alle Passwörter beziehungsweise Wörter eines Wörterbuches durchprobieren. So konnte er drei Prozent der Passwörter auf seinem vier Jahre alten Laptop errechnen.

Nicht einmal so sicher wie Online-Banking

Zusammengefasst sei die Sicherheit der Gesundheitsapps und -dienste nicht einmal auf dem Niveau von Online-Banking - und unsere Gesundheitsdaten sollten eigentlich besser geschützt werden als unsere Finanzdaten. "Wenn ich jetzt anfange, Bankdaten zu sammeln, dann interessieren die in 20 Jahren niemanden mehr. Gesundheitsdaten schon", sagt Tschirsich. Johannes Buchmann, Professor für Kryptographie an der TU-Darmstadt, geht davon aus, dass es keinen Datenspeicher gibt, der Daten 20 Jahre sicher aufbewahren kann. Wie sollen wir dann unsere Gesundheitsdaten sicher lagern? Dennoch werden die elektronische Gesundheitsakte und die elektronische Patientenakte kommen. Zeit, sich jetzt für eine gute und sichere Umsetzung einzusetzen, fordert Tschirsich.