36C3 zeigt die Schwachstellen der elektronischen Patientenakte

Sicherheitslücken, die bald jeden Bürger in Deutschland etwas angehen werden: Sicherheitsforscher des Chaos Computer Club haben jetzt aufgezeigt, wie einfach der Zugriff auf das sogenannte Telematik-Netzwerk für digitale Patientendaten und elektronische Rezepte ist.
Infografik: Millionenschäden durch Datenlecks
Zum Start des diesjährigen Chaos Comm­uni­cation Congress 36C3 gibt es den Einblick in das schlecht bis gar nicht ge­sicher­te Netz­werk des deutschen Gesundheits­wesens. Schon ab dem Jahr 2021 sollen dabei digitale Patienten­daten und elektronische Rezepte verpflichtend sein, das Netzwerk selbst ist aber noch lange nicht so weit. Aktuell sind dabei bereits über 115.000 Praxen in Deutschland über die Telematik­in­fra­struktur vernetzt. In einem Vortrag zeigte nun CCC-Sicherheitsexperte Martin Tschirsich zusammen mit dem Arzt Christian Brodowski und dem Experten für Identitätsmanagement André Zilch, wo die Tücken des Systems sind.

Falsch gewählte Prüfverfahren

Den Forschern war es dabei zuvor gelungen, sich gültige Heil­berufs­ausweise, Praxis­ausweise, Konnektorkarten und Gesundheits­karten auf die Identi­täten Dritter zu verschaffen. All das ist möglich, da keine geeigneten Prüf­ver­fahren zur Sicher­stellung der Identität erfolgt.

So konnten die Sicherheits­forscher ohne Authen­ti­fi­zier­ung zum Beispiel an Heilberufs­ausweise und Praxis­ausweise herankommen, mit denen dann zum Beispiel Rezepte signiert werden können. "Hacken" im technischen Sinn war dafür noch nicht einmal erforderlich. Bei dem Versuch bedienten sich die Forscher einfach der öffentlich verfüg­baren Daten für eine Arztpraxis und bestellten sich die nötigen Ausweise.

Mängel sind eigentlich "bekannt"

Mit Hilfe der einfach zu be­schaff­enden Ausweise steht dann der Zugriff auf sensible Patient­en­daten offen. "Mit diesen Identitäten konnten sie anschließend auf An­wend­ungen der Telematik-Infrastruktur und Gesundheits­daten von Versicherten zugreifen", teilt der CCC mit. Die Mängel in den Prozessen sind dabei nicht neu. Schon mehrfach hatte der CCC beispiels­weise gezeigt, wie simpel es für Kriminelle daher ist, sich Zugang zur elektron­ischen Gesundheits­karte eGK und damit zu nicht berecht­igten Leist­ungen zu erschleichen.

Das nicht ausreichend gesicherte Telematik-Netzwerk geht dabei noch einen Schritt weiter - nun wird auch der Zugriff zu persönlichen Befunden und allerlei weiteren sensiblen persönlichen Daten ein Kinderspiel.


Siehe auch: