Sicherheitsmängel begleiten die elektronische Patientenakte (ePA) nicht erst mit ihrer Einführung im Jahr 2020. Seit 2012 berichten Sicherheitsexperten immer wieder über Mängel bei der Sicherheit, jetzt auch für die ePA, die jetzt für alle automatisch kommt – es sei denn, sie widersprechen. Stets betonen die Verantwortlichen, dass die ePA absolut sicher sei. Doch die "ePA für alle" kann dieses Versprechen nicht einhalten.
Anzeige
Das zeigten Martin Tschirsich und Bianca Kastl auf dem 38. Chaos Communication Congress in Hamburg. Es gelang ihnen ohne Umstände, sich Zugang zur "ePA für alle" zu verschaffen. Dies war unter anderem aufgrund von Mängeln in den Spezifikationen möglich. So konnten sie die Zugriffstoken für Akten beliebiger Versicherter erstellen – ohne Stecken der elektronischen Gesundheitskarte.
Ein "Dauerbrenner" und zentraler Punkt ist dabei die unkontrollierte Ausgabe von Gesundheitskarten. Die Forscher konnten durch simple Telefonanrufe bei Krankenkassen elektronische Gesundheitskarten auf fremde Namen bestellen. Der zeitliche Aufwand für diese Angriffe ist erstaunlich gering: Die Bestellung einer fremden Gesundheitskarte konnte in 10 bis 20 Minuten erreicht werden. Praxiszugänge ließen sich ebenfalls innerhalb weniger Stunden bis Tage erlangen. Grund dafür sind Mängel in den Ausgabeprozessen, den Beantragungsportalen sowie dem Umgang mit den Ausweisen "in der Praxis".
Die auf den Chipkarten gespeicherten kryptografischen Identitäten sollen die Sicherheit des Zugangs zu den elektronischen Patientenakten gewährleisten. "Diese werden allerdings nicht herangezogen, um die Echtheit der Karte nachzuweisen. Somit lässt sich die Anwesenheit einer beliebigen Karte vortäuschen", erklärt Tschirsich gegenüber heise online.
Da für die neue Version der elektronischen Patientenakte keine PIN mehr erforderlich ist, reicht der physische Besitz einer solchen Karte für den Zugriff auf die entsprechende Patientenakte ab Version 3.0. Die Kombination dieser verschiedenen Schwachstellen ermöglicht laut Tschirsich und Kastl theoretisch den Zugriff auf alle 70 Millionen Patientenakten. Besonders kritisch sei dabei, dass viele dieser Sicherheitslücken bereits seit Jahren bekannt sind. Auf dem 36C3 hatte das auch André Zilch demonstriert, wie einfach es ist, an elektronische Heilberufsausweise zu gelangen, auch für die Praxisidentität (SMC-B), so Tschirsich.
Durch SQL-Injection konnten Tschirsich und Kastl Angriffe auf die Portale der Kartenherausgeber vornehmen. Das gelang mithilfe des Kaufs gebrauchter Kartenterminals auf Kleinanzeigen – auf Nachfrage teilweise sogar mit SMC-B. So konnten die Mitgliedsnummern beliebig manipuliert und durchiteriert werden. Auch durch gefälschten IT-Support war es ihnen möglich, Zugriff auf die Systeme zu erlangen. Ein einziger kompromittierter Praxiszugang ermögliche dabei den Zugriff auf etwa 1.000 bis 1.500 Patientenakten. Die Tatsache, dass diese grundlegenden Sicherheitsprobleme auch in der neuesten Version der elektronischen Patientenakte noch existieren, zeigt fundamentale Probleme im Entwicklungs- und Sicherheitsprozess des Systems.
Daher fordern die Experten unabhängige und belastbare Bewertung von Sicherheitsrisiken, transparente Kommunikation von Risiken gegenüber Betroffenen. Bisher werden die Versicherten nicht ausreichend über die Risiken, die die elektronische Patientenakte mit sich bringt, informiert. Ebenso notwendig sei laut Tschirsich und Kastel ein offener Entwicklungsprozess über den gesamten Lebenszyklus der "lebenslangen ePA".
(
Kommentare