Sicherheitslücken bei Ärzte-Mails: Diagnose Kommunikation im Medizinwesen

Ein staatlich normiertes Mailsystem soll Patientendaten in Praxen schützen. Doch Sicherheitsforscher:innen weisen auf erhebliche Lücken hin – die wichtige Standards betreffen.

Kommunikation im Medizinwesen: Anspruch und Realität

Das System KIM („Kommunikation im Medizinwesen“) wurde eingeführt, um besonders schützenswerte Gesundheitsdaten wie Diagnosen oder Medikationsanweisungen verschlüsselt zwischen Praxen, Kliniken und Apotheken zu versenden. Zuständig für die Spezifizierung dieser Technik ist die Gematik, eine staatliche Instanz im Gesundheitswesen. Während das System als sicher gilt und eine Verschlüsselung der Inhalte vorsieht, zeigen aktuelle Untersuchungen von NDR und Süddeutscher Zeitung, dass das Sicherheitsversprechen bislang nicht umfassend eingelöst wurde.

IT-Sicherheitsforscher Christoph Saatjohann von der FH Münster stellte auf dem 39. Chaos Communication Congress Erkenntnisse vor, nach denen das KIM-System zentrale Sicherheitsstandards nicht erfüllt hat. Die Gematik reagierte mit umfassenden Sicherheitsupdates, weist aber darauf hin, dass manche Unsicherheiten weiterhin bestehen könnten und erst durch weitere Maßnahmen behoben werden sollen.

Gefälschte Absenderadressen und weitere Schwachstellen

Benutzer:innen im Gesundheitswesen vertrauten bislang auf die digitale Signatur im KIM-System. Diese bestätigt den Versand über das geschützte Netz, aber nicht zwingend die Identität des Absenders. Laut Saatjohann ließen sich Absenderadressen manipulieren, was mit einem durch ein Siegel gesicherten, aber beliebig beschriftbaren Briefumschlag vergleichbar ist. Angreifer hätten diese Schwachstelle ausnutzen können, um täuschend echte Spam- oder Phishing-Nachrichten zu verschicken und Praxen beispielsweise durch Schadsoftware lahmzulegen oder Patientendaten abzugreifen.

Zudem wurde ein weiteres Problem bekannt: Nachrichten waren vor dem letzten Update teilweise auch lesbar, und einzelne fehlerhaft konfigurierte Systemmodule erlaubten sogar einen Fernzugriff aus dem Internet. Nach Angaben der Gematik wurden die gravierendsten Lücken mit einem sogenannten Hotfix behoben. Laut Bundesamt für Sicherheit in der Informationstechnik seien die Angriffswege allerdings nur für technisch versierte Personen nutzbar gewesen. Ein unmittelbares Risiko für Patient:innen erachtet das Amt als unwahrscheinlich.

Lückenhafte Plausibilitätsprüfung und Verunsicherung in Praxen

Eine weitere Schwachstelle betrifft die Registrierung neuer E-Mail-Adressen im KIM-System. Saatjohann konnte eine Adresse im Namen der Gematik anmelden – zugelassen werden aktuell alle medizinischen Einrichtungen mit Ausweis, unabhängig von der Plausibilität des gewählten Namens. Nach Schätzungen haben mehrere Hunderttausend Personen Zugriff auf diese Struktur, einige Zertifikate werden sogar auf Online-Plattformen wie eBay angeboten. Für Empfänger:innen existiert keine einfache Möglichkeit, die Echtheit einer Nachricht eindeutig zu überprüfen.

Die Gematik kündigte zusätzlich verschärfte Sicherheitsmaßnahmen an, etwa um irreführende Namen künftig besser zu erkennen. Bereits früher stand sie im Fokus der Kritik: IT-Fachleute fanden auf vorhergehenden Hackerkongressen Schwachstellen unter anderem bei der elektronischen Patientenakte, die ebenfalls teilweise noch bestehen.

Viele Ärzt:innen fühlen sich zunehmend im Stich gelassen. Hausarzt Michael Eckstein vom MEDI-Verbund Baden-Württemberg äußerte gegenüber dem NDR sein begrenztes Vertrauen in die IT-Kompetenz der Gematik und wies darauf hin, dass die allermeisten Praxen auf eine funktionierende Verschlüsselung angewiesen sind. Kliniker:innen berichten von wachsender Skepsis – teils kehren Einrichtungen sogar wieder zu Fax und Boten zurück. Aus Sicht der IT-Fachleute ist diese Lösung aber noch unsicherer als das kritisierte KIM-System, da die Übertragung dabei meist völlig unverschlüsselt erfolgt.

Via: https://www.tagesschau.de
Titelbild KI (Zur Illustration)

Den Beitrag in unserem Forum kommentieren