Abo
  • Services:

Vivy & Co.: Gesundheitsapps kranken an der Sicherheit

Mit Sicherheitsversprechen geizen die Hersteller von Gesundheitsapps wahrlich nicht. Sie halten sie jedoch oft nicht.

Artikel von veröffentlicht am
Die Sicherheit von Gesundheitsapps ist ein Placebo.
Die Sicherheit von Gesundheitsapps ist ein Placebo. (Bild: HeungSoon/Pixabay)

Der Zugriff auf Patientendaten soll einfacher werden, aber so sicher wie Online-Banking mit PIN und TAN sein. So stellt sich der Gesundheitsminister Jens Spahn die Zukunft vor. Der Sicherheitsforscher Martin Tschirsich hat mehrere Gesundheitsapps untersucht und fand Sicherheitslücken, wo er auch hinschaute.

Inhalt:
  1. Vivy & Co.: Gesundheitsapps kranken an der Sicherheit
  2. Ein Gesundheitskonto voller Lücken
  3. Viele Fehler und ein düsterer Ausblick

Begonnen hatte Tschirsich seine Untersuchung mit der im September 2018 veröffentlichten Gesundheitsapp Vivy. Die App wurde von mehreren Sicherheitsfirmen geprüft, mit TÜV-Siegel versehen und mit der Aussage "Sicherheit auf höchstem Niveau" vermarktet. Dennoch fand Tschirsich gravierende Sicherheitslücken in der App, die der Mitarbeiter von der Sicherheitsfirma Modzero im Oktober veröffentlichte. Diese seien innerhalb von 24 Stunden behoben worden, betont Vivy.

Wieder Lücken in Vivy

Ist Vivy nun sicher? Tschirsich hat sich die App für den 35. Chaos Communication Congress (35C3) in Leipzig nochmals angeschaut und kommt zu dem Schluss: nein, ist sie nicht. Ein Angriff nutzt die Funktion von Vivy, Dateien mit dem Arzt auszutauschen. Wird dem Arzt eine Datei gesendet, die Javascript-Code enthält, wird dieser im Browser des Arztes ausgeführt. Tschirsich konnte auf diese Art die Dokumente der anderen Versicherten, auf die der Arzt Zugriff hat, auslesen und an sich senden lassen. Es lassen sich also auch zwei Monate, nachdem Vivy nachgebessert hat, die von den Patienten an den Arzt übermittelten Dateien kopieren.

Auch die Ende-zu-Ende-Verschlüsselung von Vivy konnte Tschirsich erneut angreifen. Vivy hat hier nachgebessert: Der Schlüssel des Arztes ließ sich nicht mehr einfach auslesen, aber er ließ sich überschreiben. Ein Angreifer kann also einfach seinen Schlüssel bei dem Arzt hinterlegen und abgefangene Nachrichten mit diesem entschlüsseln. Da Vivy keinerlei Authentifizierung der Schlüssel bietet, müssen Nutzer dem Schlüssel vertrauen, den er vom Arzt bekommt. Ob dieser gefälscht wurde, können sie nicht überprüfen.

Stellenmarkt
  1. BWI GmbH, Bonn
  2. Fraunhofer-Institut für Produktionstechnik und Automatisierung IPA, Stuttgart

Vivy wird von 16 gesetzlichen und drei privaten Krankenkassen unterstützt und ist eine Art Testballon für den Zugriff auf Patientendaten via Smartphone und Tablet, wie es sich Gesundheitsminister Spahn wünscht. Doch es gibt auch andere Anbieter für die Verwaltung von Gesundheitsdaten auf dem Markt. Tschirsich wollte wissen, wer es besser macht und hat sich deren Dienste angeschaut. Machen es Neulinge, der Marktführer mit langjähriger Erfahrung oder ein von Ärzten selbst entwickeltes System besser?

Ein Gesundheitskonto voller Lücken 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)
  2. 119,90€

devman 14. Jan 2019 / Themenstart

Die Prüfen ob ein Impressum existiert, ob das Opt-In funktioniert, ob die Menüs sichtbar...

devman 14. Jan 2019 / Themenstart

Dezentral waren die IP-Cams, die Mitglied eines Botnets wurden. Als Betrüger kann die...

RichardEb 11. Jan 2019 / Themenstart

Ernsthaft. Dazu kann man nichts mehr sagen.

Kommentieren


Folgen Sie uns
       


Galaxy S10e, Galaxy S10 und Galaxy S10 im Hands on

Samsung hat seine neue Galaxy-S10-Serie auf mehrere Bildschirmgrößen aufgeteilt. Besonders das "kleine" Galaxy S10e finden wir im Vorabtest interessant.

Galaxy S10e, Galaxy S10 und Galaxy S10 im Hands on Video aufrufen
Far Cry New Dawn im Test: Die Apokalypse ist chaotisch, spaßig und hat Pay to Win
Far Cry New Dawn im Test
Die Apokalypse ist chaotisch, spaßig und hat Pay to Win

Grizzly frisst Bandit, Buggy rammt Grizzly: Far Cry New Dawn zeigt eine wunderbar chaotische Postapokalypse, die gerade bei der Geschichte und dem Schwierigkeitsgrad viel besser macht als der Vorgänger. Schade, dass die bunte Welt von Mikrotransaktionen getrübt wird.
Ein Test von Oliver Nickel

  1. Far Cry New Dawn angespielt Das gleiche Chaos im neuen Gewand
  2. New Dawn Ubisoft setzt Far Cry 5 postapokalyptisch fort

Struktrurwandel: IT soll jetzt die Kohle nach Cottbus bringen
Struktrurwandel
IT soll jetzt die Kohle nach Cottbus bringen

In Cottbus wird bald der letzte große Braunkohle-Tagebau zum Badesee. Die ansässige Wirtschaft sucht nach neuen Geldquellen und will die Stadt zu einem wichtigen IT-Standort machen. Richten könnten das die Informatiker der Technischen Uni - die werden aber direkt nach ihrem Abschluss abgeworben.
Von Maja Hoock

  1. IT-Jobporträt Spieleprogrammierer "Ich habe mehr Code gelöscht als geschrieben"
  2. Recruiting Wenn die KI passende Mitarbeiter findet
  3. Softwareentwicklung Agiles Arbeiten - ein Fallbeispiel

Digitaler Hausfriedensbruch: Bund warnt vor Verschärfung der Hackerparagrafen
Digitaler Hausfriedensbruch
Bund warnt vor Verschärfung der Hackerparagrafen

Ein Jahr Haft für das unbefugte Einschalten eines smarten Fernsehers? Unions-Politiker aus den Bundesländern überbieten sich gerade mit Forderungen, die Strafen für Hacker zu erhöhen und den Ermittlern mehr Befugnisse zu erteilen. Doch da will die Bundesregierung nicht mitmachen.
Von Friedhelm Greis

  1. Runc Sicherheitslücke ermöglicht Übernahme von Container-Host
  2. Security Metasploit 5.0 verbessert Datenbank und Automatisierungs-API
  3. Datenbank Fehler in SQLite ermöglichte Codeausführung

    •  /