Abo
  • IT-Karriere:

Vivy & Co.: Gesundheitsapps kranken an der Sicherheit

Mit Sicherheitsversprechen geizen die Hersteller von Gesundheitsapps wahrlich nicht. Sie halten sie jedoch oft nicht.

Artikel von veröffentlicht am
Die Sicherheit von Gesundheitsapps ist ein Placebo.
Die Sicherheit von Gesundheitsapps ist ein Placebo. (Bild: HeungSoon/Pixabay)

Der Zugriff auf Patientendaten soll einfacher werden, aber so sicher wie Online-Banking mit PIN und TAN sein. So stellt sich der Gesundheitsminister Jens Spahn die Zukunft vor. Der Sicherheitsforscher Martin Tschirsich hat mehrere Gesundheitsapps untersucht und fand Sicherheitslücken, wo er auch hinschaute.

Inhalt:
  1. Vivy & Co.: Gesundheitsapps kranken an der Sicherheit
  2. Ein Gesundheitskonto voller Lücken
  3. Viele Fehler und ein düsterer Ausblick

Begonnen hatte Tschirsich seine Untersuchung mit der im September 2018 veröffentlichten Gesundheitsapp Vivy. Die App wurde von mehreren Sicherheitsfirmen geprüft, mit TÜV-Siegel versehen und mit der Aussage "Sicherheit auf höchstem Niveau" vermarktet. Dennoch fand Tschirsich gravierende Sicherheitslücken in der App, die der Mitarbeiter von der Sicherheitsfirma Modzero im Oktober veröffentlichte. Diese seien innerhalb von 24 Stunden behoben worden, betont Vivy.

Wieder Lücken in Vivy

Ist Vivy nun sicher? Tschirsich hat sich die App für den 35. Chaos Communication Congress (35C3) in Leipzig nochmals angeschaut und kommt zu dem Schluss: nein, ist sie nicht. Ein Angriff nutzt die Funktion von Vivy, Dateien mit dem Arzt auszutauschen. Wird dem Arzt eine Datei gesendet, die Javascript-Code enthält, wird dieser im Browser des Arztes ausgeführt. Tschirsich konnte auf diese Art die Dokumente der anderen Versicherten, auf die der Arzt Zugriff hat, auslesen und an sich senden lassen. Es lassen sich also auch zwei Monate, nachdem Vivy nachgebessert hat, die von den Patienten an den Arzt übermittelten Dateien kopieren.

Auch die Ende-zu-Ende-Verschlüsselung von Vivy konnte Tschirsich erneut angreifen. Vivy hat hier nachgebessert: Der Schlüssel des Arztes ließ sich nicht mehr einfach auslesen, aber er ließ sich überschreiben. Ein Angreifer kann also einfach seinen Schlüssel bei dem Arzt hinterlegen und abgefangene Nachrichten mit diesem entschlüsseln. Da Vivy keinerlei Authentifizierung der Schlüssel bietet, müssen Nutzer dem Schlüssel vertrauen, den er vom Arzt bekommt. Ob dieser gefälscht wurde, können sie nicht überprüfen.

Stellenmarkt
  1. Statistisches Bundesamt, Wiesbaden
  2. Bad Homburger Inkasso GmbH, Bad Vilbel

Vivy wird von 16 gesetzlichen und drei privaten Krankenkassen unterstützt und ist eine Art Testballon für den Zugriff auf Patientendaten via Smartphone und Tablet, wie es sich Gesundheitsminister Spahn wünscht. Doch es gibt auch andere Anbieter für die Verwaltung von Gesundheitsdaten auf dem Markt. Tschirsich wollte wissen, wer es besser macht und hat sich deren Dienste angeschaut. Machen es Neulinge, der Marktführer mit langjähriger Erfahrung oder ein von Ärzten selbst entwickeltes System besser?

Ein Gesundheitskonto voller Lücken 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Hardware-Angebote

devman 14. Jan 2019

Die Prüfen ob ein Impressum existiert, ob das Opt-In funktioniert, ob die Menüs sichtbar...

devman 14. Jan 2019

Dezentral waren die IP-Cams, die Mitglied eines Botnets wurden. Als Betrüger kann die...

RichardEb 11. Jan 2019

Ernsthaft. Dazu kann man nichts mehr sagen.


Folgen Sie uns
       


Tiemo Wölken (SPD) zu Artikel 13

Der SPD-Europaabgeordnete Tiemo Wölken hofft darauf, dass das Europaparlament am 26. März 2019 den umstrittenen Artikel 13 noch ablehnt.

Tiemo Wölken (SPD) zu Artikel 13 Video aufrufen
Adblock Plus: Adblock-Filterregeln können Code ausführen
Adblock Plus
Adblock-Filterregeln können Code ausführen

Unter bestimmten Voraussetzungen können Filterregeln für Adblocker mit einer neuen Funktion Javascript-Code in Webseiten einfügen. Adblock Plus will reagieren und die entsprechende Funktion wieder entfernen. Ublock Origin ist nicht betroffen.
Von Hanno Böck


    Raspi-Tastatur und -Maus im Test: Die Basteltastatur für Bastelrechner
    Raspi-Tastatur und -Maus im Test
    Die Basteltastatur für Bastelrechner

    Für die Raspberry-Pi-Platinen gibt es eine offizielle Tastatur und Maus, passenderweise in Weiß und Rot. Im Test macht die Tastatur einen anständigen Eindruck, die Maus hingegen hat uns eher kaltgelassen. Das Keyboard ist zudem ein guter Ausgangspunkt für Bastelprojekte.
    Ein Test von Tobias Költzsch

    1. Bastelcomputer Offizielle Maus und Tastatur für den Raspberry Pi
    2. Kodi mit Raspberry Pi Pimp your Stereoanlage
    3. Betriebssystem Windows 10 on ARM kann auf Raspberry Pi 3 installiert werden

    Swobbee: Der Wechselakku kommt wieder
    Swobbee
    Der Wechselakku kommt wieder

    Mieten statt kaufen, wechseln statt laden: Das Berliner Startup Swobbee baut eine Infrastruktur mit Lade- und Tauschstationen für Akkus auf. Ein ähnliches Geschäftsmodell ist schon einmal gescheitert. Dieses kann jedoch aufgehen.
    Eine Analyse von Werner Pluta

    1. Elektromobilität Seoul will Zweirad-Kraftfahrzeuge und Minibusse austauschen
    2. Rechtsanspruch auf Wallboxen Wohnungswirtschaft warnt vor "Schnellschuss" bei WEG-Reform
    3. Innolith Energy Battery Schweizer Unternehmen entwickelt sehr leistungsfähigen Akku

      •  /