39C3: Forscher zeigt massive Sicherheitslücke im Ärzte-Mail-System KIM

Auf dem 39C3 deckte ein Sicherheitsforscher gravierende Schwach­stellen im medizinischen E-Mail-Dienst KIM auf. Von manipulierten Absendern bis hin zum Systemabsturz per E-Mail: Das System für sensible Patientendaten ist weit offener als gedacht.

Schwachstellen im KIM-System auf dem 39C3

Der Dienst "Kommunikation im Medizinwesen" (KIM) gilt als zentrale Säule der digitalen Gesundheitsinfrastruktur. Er soll den sicheren Austausch sensibler Patientendaten wie Befunde oder Therapiepläne zwischen Arztpraxen, Kliniken und weiteren Einrichtungen ermöglichen. Die Kommunikation ist dabei Ende-zu-Ende-verschlüsselt und als geschlossener Standard innerhalb der Telematikinfrastruktur konzipiert - so wird es beworben.

Auf dem 39. Chaos Communication Congress (39C3) in Hamburg stellte der IT-Sicherheitsforscher Christoph Saatjohann von der Fachhochschule Münster dieses Sicherheitsversprechen jedoch infrage. In einem Vortrag zeigte er, wie sich im KIM-System Nachrichten manipulieren, Absenderidentitäten missbrauchen und Metadaten auswerten lassen.

Der "KIM of Death"

Besonders kritisch ist eine Schwachstelle, bei der bereits eine speziell präparierte E-Mail ausreichte, um die Praxissoftware auf Empfängerseite vollständig zum Absturz zu bringen. Dieses Szenario, von Saatjohann als "KIM of Death" bezeichnet, hätte theoretisch mehrere tausend Einrichtungen gleichzeitig betreffen können. Ursache war eine fehlerhafte Verarbeitung bestimmter Formatierungen im sogenannten Clientmodul.

In einem konkreten Fall musste der Forscher ein eigenes Python-Skript entwickeln, um eine betroffene Praxis wieder arbeitsfähig zu machen. Ohne diesen Eingriff wäre der Betrieb erheblich beeinträchtigt gewesen. Zusätzlich zeigte Saatjohann, dass sich über den neuen KIM-Attachment-Service (KAS), der für große Dateianhänge bis 500 Megabyte vorgesehen ist, Netzwerkinformationen der teilnehmenden Praxen auslesen ließen.

Wie die Süddeutsche Zeitung berichtet, waren die Schwachstellen über einen längeren Zeitraum im System vorhanden. Das Problem lag demnach weniger bei der Verschlüsselung selbst, sondern bei der Umsetzung von Authentifizierung und Sicherheitsmechanismen. Zwar gibt die Gematik als zuständige Agentur verbindliche Vorgaben vor, eine konsequente technische Überprüfung der eingesetzten Software durch die Hersteller habe jedoch gefehlt.

Identitätsdiebstahl im Medizin-Netz

Ein weiterer Kritikpunkt betraf die Absenderidentitäten. Saatjohann demonstrierte, dass sich gültige KIM-Adressen unter frei gewählten Namen registrieren ließen, etwa im Namen offizieller Institutionen wie der Gematik oder des Bundesgesundheitsministeriums. Für die Registrierung ist zwar ein elektronischer Praxisausweis (SMC-B) erforderlich, eine inhaltliche Prüfung des angegebenen Namens fand jedoch nicht statt. Dadurch eröffnete sich ein erhebliches Risiko für gezielte Täuschungsversuche.

Im Vortrag wurden unter anderem folgende technische Schwachstellen benannt:

Reaktionen und verbleibende Skepsis

Nach Bekanntwerden der Schwachstellen veröffentlichte die Gematik einen Hotfix, der insbesondere die Absturzproblematik behebt. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) erklärte, die Ausnutzung der Lücken setze ein hohes Maß an technischem Know-how voraus; eine unmittelbare Gefährdung von Patienten sei nicht zu erwarten.

Verwendet ihr KIM im beruflichen Umfeld oder verlasst ihr euch lieber auf andere Kommunikationswege? Schreibt uns eure Meinung zur IT-Sicherheit im Gesundheitswesen in die Kommentare.


Siehe auch: