Original-URL des Artikels: https://www.golem.de/news/elektronische-patientenakte-zu-unsicher-um-gehackt-werden-zu-muessen-1912-145757.html    Veröffentlicht: 27.12.2019 22:38    Kurz-URL: https://glm.io/145757

Elektronische Patientenakte

Zu unsicher, um gehackt werden zu müssen

Von 2021 an soll jeder Kassenpatient auf Wunsch eine elektronische Patientenakte erhalten. Doch die Zugangssysteme sind nach Ansicht des CCC nicht so gut geschützt, wie Politik und Anbieter es versprechen.

Nach Ansicht des Chaos Computer Clubs (CCC) fehlt bei der geplanten elektronischen Patientenakte eine Grundvoraussetzung für den sicheren Umgang mit den digitalen Gesundheitsdaten. Weil die Identitäten von Ärzten oder Patienten bei der Beantragung von Zugangskarten bislang nicht ausreichend überprüft würden, hätten sich Sicherheitsforscher des CCC über die Identitäten Dritter Zugang zum sogenannten Telematik-Netzwerk des Gesundheitswesens verschaffen können. Die für die Einführung der elektronischen Gesundheitskarte (eGK) gegründete Gematik GmbH wies nach Bekanntwerden des Berichts die Hersteller an, vorläufig keine Zugangskarten für Arztpraxen mehr herauszugeben.

Der CCC-Sicherheitsexperte Martin Tschirsich, der Arzt Christian Brodowski und der Experte für Identitätsmanagement, André Zilch, präsentierten auf dem 36. Chaos Communication Congress (36C3) in Leipzig die Ergebnisse ihrer Untersuchungen. Hintergrund ist die für Anfang 2021 geplante Einführung der elektronischen Patientenakte. Diese soll sämtliche elektronische Daten eines Patienten lebenslang online speichern und damit den Austausch dieser Daten zwischen Ärzten, Krankenhäusern und anderen Gesundheitseinrichtungen und -diensten erleichtern. Dabei soll der Patient die alleinige Kontrolle über die Daten besitzen und entscheiden, wer darauf zugreifen darf.

170.000 Arztpraxen sollen angeschlossen werden

Für den Schutz der Daten sind laut Zilch umfangreiche Spezifikationen entwickelt worden, die gut 10.000 Seiten lang sind. Schon jetzt sind demnach mehr als 115.000 Arzt- und Zahnarztpraxen an die sogenannte Telematik-Infrastruktur, ein virtuelles Netzwerk, angeschlossen. 170.000 sollen es insgesamt werden. Dazu wurden diese Praxen mit Spezialhardware und elektronischen Praxisausweisen ausgestattet. Sämtliche Zugriffe auf die Telematik-Infrastruktur würden anhand kryptographischer Identitäten gesichert.

Dazu solle ein Trust Service Provider (TSP) nach sicherer Identitätsprüfung eines Teilnehmers dessen kryptographische Identität - bestehend aus privatem Schlüssel und Zertifikat - erzeugen und rechtsverbindlich mit dessen realer Identität verknüpfen. Die kryptographische Identität wird auf einer Chipkarte wie der Gesundheitskarte (eGK), dem Praxisausweis (SMC-B) oder dem Heilberufsausweis (eHBA) gespeichert. Nach den eher negativen Erfahrungen mit dem besonderen elektronischen Anwaltspostfach (beA) wollte sich der CCC auch die Implementierung der Telematik-Infrastruktur genauer anschauen.

Schwachstelle Kartenherausgabe

Doch ein technisches Hacken des Systems war laut CCC gar nicht erforderlich. Denn als dessen Schwachstelle erwies sich bereits der Prozess der Kartenherausgabe. Anders als beispielsweise beim elektronischen Personalausweis verzichten die Hersteller des Praxisausweises auf eine persönliche Identifizierung der Antragsteller oder Authentifizierung bei der Bestellung. So gelang es dem CCC-Mitglied Brodowski problemlos, mit öffentlich zugänglich Praxisdaten und dem Geburtsdatum des Arztes einen solchen Ausweis zu bestellen. Selbst die Lieferadresse habe sich einfach ändern lassen. Laut NDR wurde ein Arztausweis sogar an der Theke eines Käseladens in Lüneburg abgegeben.

Der Ausweis habe dann einen uneingeschränkten Zugang zur Telematik-Infrastruktur ermöglicht. Ein Angreifer könne so Befunde lesen und selbst gefälschte Dokumente in Umlauf bringen. Und von 2021 an die vollständigen Inhalte der für diese Praxis freigegebenen Patientenakten einsehen.

Laxer Umgang mit Gesundheitskarten

Auch bei der Ausgabe der elektronischen Heilberufsausweise (eHBA) kommen laut CCC völlig ungeeignete Identifikationsverfahren zum Einsatz. So habe sich herausgestellt, dass beim Bankident- und Vorab-Kammerident-Verfahren kein erneutes persönliches Erscheinen erforderlich sei. Angreifer im Besitz eines solchen Ausweises könnten damit nicht nur Rezepte, sondern beliebige Dokumente signieren. Zudem entdeckten die Forscher zusammen mit Journalisten des NDR und Spiegel auf der Webseite der Anbieter Medisign weitere Lücken in der IT-Sicherheit. Unter einer offen zugänglichen URL fand das Team ausgefüllte Arztausweisanträge. Dort standen Namen, Geburtsdatum, Meldeadresse, Kontoverbindungen oder Personalausweisnummern von Ärzten.

Laut Tschirsich, der auf dem 35C3 Schwachstellen bei Gesundheitsapps aufgedeckt hatte, verteilen Krankenkassen immer noch zu sorglos die elektronischen Gesundheitskarten (eGK). So habe im Grunde eine E-Mail an die AOK Hessen mit dem Hinweis auf einen angeblichen Wohnortwechsel ausgereicht, um sich eine neue Karte eines Versicherten zu beschaffen. Ebenfalls gelang es dem CCC, einen sogenannten Konnektor im Internet zu bestellen. Dieser stellt die gesicherte Verbindung zwischen Arztpraxis und Infrastruktur her.

"Organisierte Verantwortungslosigkeit"

Als Ursache für die Probleme macht der CCC unter anderem eine "organisierte Verantwortungslosigkeit" bei den beteiligten Unternehmen und Institutionen aus. Die Sicherheit der organisatorischen Abläufe bei der Umsetzung und Zulassung werde vernachlässigt. Zudem seien die relevanten Prozessschritte nicht durch die Gematik geprüft worden.

Als Lösung fordert der CCC unter anderem zuverlässige Prozesse für die Beantragung und Herausgabe der Karten. Diese müssten "entsprechend dem Schutzbedarf von Gesundheits- und Sozialdaten durchgeführt werden". Die elektronische Gesundheitskarte müsse dabei vollständig als Identitätsnachweis umgesetzt werden. Dazu müssten "ganz viele betroffene Personen irgendwo hingehen", sagte Tschirsich und fügte hinzu: "Sie können es nicht online machen. Das ist einfach ein geschwindigkeitsbestimmender Schritt, und das wird viel Zeit in Anspruch nehmen."

Lücken "nicht hinnehmbar"

Darüber hinaus müsse die Gematik laut CCC jetzt prüfen, "inwieweit unberechtigte Zulassungen entzogen und falsch ausgestellte Zertifikate zurückgenommen werden müssen". Sowohl die Bundesärztekammer als auch die Gematik bezeichneten die nun festgestellten Sicherheitslücken laut NDR als "nicht hinnehmbar". Die Bankident- und Vorab-Kammerident-Verfahren würden sofort "außer Kraft gesetzt". Die ebenfalls für die Herausgabe von Praxisausweisen zuständige Kassenärztliche Bundesvereinigung (KBV) habe empfohlen, Praxisausweise nur noch an diejenigen Praxisadressen zu schicken, die den Kassenärztlichen Vereinigungen bekannt seien.

Selbst ein Austausch sämtlicher Karten wird nicht ausgeschlossen. Die KBV teilte dem Handelsblatt mit, dass eine Rückholaktion aller Karten ein "gangbares Verfahren darstelle, um Sicherheit und Praktikabilität in ein sinnvolles Verhältnis zu bringen". Das könnte 60 Millionen Euro kosten.

Praxen werben mit TI-Freiheit

Einen vollständigen Verzicht auf die elektronische Patientenakte fordert der CCC jedoch nicht. So habe die Gematik schon viel richtig gemacht. Zudem ermögliche das System es prinzipiell auch kleineren Anbietern, entsprechende Anwendungen zu entwickeln. Es stelle sich eher die Frage, ob durch das gewählte Opt-in-Verfahren überhaupt genügend Patienten bereit seien, ihre Daten hochzuladen, sagte Tschirsich.

Wer die Vernetzung der Arztpraxen ablehne, müsse ebenfalls nicht auf Arztbesuche verzichten, sagte Brodowski. Denn ein Anschluss an die Telematik-Infrastruktur sei nicht verpflichtend, sondern lediglich mit Honorareinbußen verbunden. So finden sich unter www.ti-frei.de Listen von Ärzten, die "möchten, dass Patienten und andere Teile der Bevölkerung über die Telematik-Infrastruktur und deren Unwägbarkeiten wirkungsvoll aufgeklärt werden". Gut möglich, dass sich nach den CCC-Recherchen nun mehr Patienten dafür interessieren.  (fg)


Verwandte Artikel:
Data-Mining: Der "finale Rettungsstuss" der Bahn-Pünktlichkeit   
(29.12.2019, https://glm.io/145767 )
Vivy: Ausfall der Gesundheits-App betrifft 222 Medikationspläne   
(20.08.2019, https://glm.io/143302 )
Gesundheitsdaten: Gesundheitsapps werden beliebter, trotz Datenschutzbedenken   
(05.07.2019, https://glm.io/142356 )
Medizin: Updateprozess bei Ärztesoftware Quincy war ungeschützt   
(10.12.2019, https://glm.io/145428 )
Biometrie: Facebook entwickelte Gesichtserkennung-App fürs Smartphone   
(23.11.2019, https://glm.io/145172 )

© 1997–2020 Golem.de, https://www.golem.de/