BSI warnt: Immer gleiche Probleme bei Software der Medizin-Branche

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt wegen anhaltender Security-Probleme bei zentraler Software im Gesundheitswesen Alarm. Sensibelste Daten der Bürger werden hier unnötig hohen Risiken ausgesetzt.

Systeme zur Praxisverwaltung getestet

In aktuellen Untersuchungen hat die Behörde verschiedene Systeme getestet, die in Arztpraxen und ambulanten Pflegeeinrichtungen eingesetzt werden. Ziel war es, typische Sicherheitsniveaus zu bewerten und konkrete Handlungsempfehlungen zu formulieren.

Im Fokus standen unter anderem sogenannte Praxisverwaltungssysteme (PVS), die für organisatorische und medizinische Abläufe in Arztpraxen essenziell sind. Vier exemplarische Produkte wurden dabei mithilfe von Penetrationstests überprüft. Das Ergebnis: Bei drei der vier getesteten Systeme konnten mehrere Schwachstellen miteinander kombiniert werden, sodass theoretisch Angriffe aus dem Internet möglich gewesen wären. Zu den identifizierten Problemen zählten unter anderem fehlende oder veraltete Verschlüsselungsverfahren bei der Datenübertragung. Laut BSI wurden die betroffenen Hersteller über die Schwachstellen informiert und haben diese inzwischen behoben.


Auch digitale Pflegedokumentationssysteme, die vor allem in ambulanten Pflegediensten eingesetzt werden, wurden untersucht. Hier stellten die Fachleute unter anderem Mängel bei der Kommunikationssicherheit, bei Authentifizierungsverfahren sowie bei der Überprüfung von Software-Updates fest. Zusätzlich wurden strukturelle Schwächen identifiziert, die eine sichere Nutzerverwaltung erschweren können. Die daraus abgeleiteten Empfehlungen richten sich insbesondere an Betreiber solcher Systeme und enthalten auch praktische Checklisten für den sicheren Einsatz im Alltag.

Überall das Gleiche

Die beiden Untersuchungen knüpfen an frühere Studien zu Krankenhausinformationssystemen an und zeigen laut BSI ein wiederkehrendes Muster: Unzureichende Authentifizierungs- und Autorisierungskonzepte zählen zu den zentralen Risiken in verschiedenen Bereichen des Gesundheitswesens. Gleichzeitig wird deutlich, dass sowohl Hersteller als auch Betreiber Verantwortung für die IT-Sicherheit tragen.

Mit der Veröffentlichung der Ergebnisse verbindet das BSI konkrete Handlungsempfehlungen, die zur Verbesserung der Sicherheitsstandards beitragen sollen. Diese können noch bis Mitte Juni 2026 öffentlich kommentiert werden. Ziel ist es, die Vorschläge weiter zu präzisieren und eine breitere fachliche Grundlage für zukünftige Sicherheitsmaßnahmen zu schaffen.


Siehe auch: