Kategorie: Datenschutz & Datensicherheit

Praxis-IT-Sicherheit im Test: Hacker finden relevante Fehler

Anfang des Jahres hatte ich von einem Sicherheitstester berichtet, der elektronische Gesundheitsakten unter die Lupe genommen hat – mit teils erschreckenden Ergebnissen. Dann habe ich mich gefragt: Welche Sicherheitslücken würde ein professioneller Hacker finden, wenn wir ihm Zugang zu einer Arztpraxis verschaffen?

Normalerweise werden Pen­tester von Unternehmen damit beauftragt, die eigene IT-Sicherheit zu checken. Wir haben uns Pentester gesucht, die sich für uns eine Arztpraxis anschauen, um uns bei unseren Recherchen zum Thema IT-Sicherheit in der Praxis zu helfen. Als Versuchsobjekt diente eine mittelgroße Gemeinschafts­praxis, gelegen im Zentrum einer mittelgroßen Stadt. Den Praxischef, ein Hausarzt, hatten wir natürlich in das Experiment einbezogen.

Nur ein paar Stunden hatten sie dann in der Arztpraxis, die Pentester des Unternehmens X41 D-Sec Gmbh. Bei einem regulären Auftrag investieren sie natürlich mehr Zeit und gehen standardisierter vor. Für unsere Zwecke war es ausreichend, stichprobenartig zu testen. In mehreren Folgen erzählen wir, wie die Hacker vorgegangen sind, welche Mängel sie gefunden haben und wie diese zu bewerten sind.

>> Zur Medical-Tribune-Serie: Praxis-IT-Sicherheit im Test

Für Ärzte ein No-Go: So verboten ist WhatsApp in Praxis und Krankenhaus

„Ich schick dir das mal schnell.“ WhatsApp ist im Alltag für viele nicht mehr wegzudenken. Dass einem auch im beruflichen Kontext mal schnell eine Nachricht rausrutscht, ist klar – machen doch alle! Erlaubt ist das nicht. Aber wie verboten ist es? Gibt es Möglichkeiten, den Messenger gesetzeskonform einzusetzen?

> Direkt den ganzen Beitrag lesen …

Fragt man in Arztpraxen oder Krankenhäusern nach WhatsApp, wird abgestritten. Jedes „Kind“ weiß, dass das aus Datenschutzgründen nicht erlaubt ist! Doch mit gleicher Selbstverständlichkeit wird signalisiert: Natürlich schickt man dem Kollegen bei Bedarf mal schnell „eine App“, wie manche sagen, oft sogar ganz regelmäßig. Immerhin sind in Deutschland rund 70 % der Bevölkerung an diesen Dienst gewöhnt. Rechnet man Säuglinge und Greise raus, kann man eigentlich von „allen“ sprechen.

Damit verbucht WhatsApp einen entscheidenden Vorsprung für sich: Mit dieser App erreicht man tatsächlich „alle“: Sohn, Oma, Nachbarin und eben auch den Oberarzt bzw. Praxischef. Und das ganz ohne Investition – was im Privaten täglich genutzt wird, muss im Arbeitsleben nicht mehr mühsam geschult werden. Und die App hat auch schon jeder, wie praktisch!

Und wer sollte den unerlaubten Kommunikationsweg melden? Nicht nur, dass man damit das eigene Nest beschmutzen würde – wie beliebt macht man sich, wenn man den Kollegen das hilfreiche Tool wegnimmt?

Obwohl also jeder Bescheid weiß, hatte das bislang keine Konsequenzen. Das könnte sich allerdings bald ändern, sagt Helmut Eiermann, stellvertretender Landesbeauftragter für Datenschutz und Informationsfreiheit in Rheinland-Pfalz. Nachdem die Datenschutz-Grundverordnung (DSGVO) im Mai ihren ersten Geburtstag gefeiert hat, könne man jetzt sozusagen dabei zusehen, wie die Bereitschaft der Aufsichtsbehörden wächst, das neu geschaffene Instrumentarium inklusive der Bußgelder anzuwenden.

Noch würden die Behörden einen Übergang zugestehen, man weiß, dass Gesundheitseinrichtungen in einem schwierigen Umfeld agieren. Doch die Scheu, in Gerichtsverfahren einzusteigen, sinke. Statt wie bislang auf Gespräche und mittelfristige Verbesserungen zu setzen, werde es bald plakative Einzelfälle geben, auch im Gesundheitswesen.

Datenschützer Eiermann spricht im Besonderen von drei problematischen Bereichen beim Einsatz von WhatsApp im beruflichen Umfeld.

> Den ganzen Beitrag lesen …

#Kommentar: Zertifizierte Befugnis

Man solle das Kleingedruckte seiner Gesundheits­apps lesen, rät die Nachrichtenseite heise.de. Diese Apps werden vom Gesundheitsministerium bejubelt, von Instituten zertifiziert und bald von den Kassen erstattet – muss man da so misstrauisch sein? Ein Kommentar.

Richtig ist, dass medizinische Apps für ihre Erstattung in ein Verzeichnis des Bundesdienstes für Arzneimittel und Medizinprodukte aufgenommen werden müssen. So das Digitale-Versorgung-Gesetz. In diese Liste werden sie nur aufgenommen, wenn sie Anforderungen an Sicherheit, Funktion, Qualität sowie Datenschutz und -sicherheit erfüllen (und positive Versorgungseffekte aufweisen, aber das ist ein anderes Thema). In der Regel erfüllt diese allgemeinen Anforderungen, wer ein CE-Kennzeichen trägt.

Auch jetzt schon tragen viele Apps eine Reihe von Zertifikaten. Zum Bespiel auch ADA, eine Art digitaler Arzt, der mithilfe von KI vermutliche Diagnosen ermittelt. Ein Vorzeigeprojekt in enger Kooperation mit der Techniker Krankenkasse. Doch aus Sicht von Datenschützern hat sich die Zertifiziererei schon bei den elektronischen Gesundheitsakten als schlechter Witz entlarvt.

>> Den ganzen Beitrag lesen

Berufs-Hacker deckt Sicherheitsmängel in E-Health-Anwendungen auf

Auf dem Chaos-Computer-Club-Kongress 2018 erläutert ein IT-Sicherheitsexperte alte und neue Sicherheitslücken der Gesundheitsapp Vivy. Dann lieber zur Konkurrenz? Teleclinic, CGM life, meinarztdirekt – keine der getesteten Anwendungen ist frei von Mängeln. Unzureichender Datenschutz kocht also auch bei E-Health-Anwendungen bedrohlich hoch.

Martin Tschirsich ist ein Hacker. Aber einer von den Guten: ein Pentester. Sein Job ist es, Schwachstellen und Datenschutzlücken in Programmen zu finden. Oft macht er das im Auftrag eines Unternehmens, manchmal um die Welt der Daten ein bisschen sicherer zu machen. Als im September des letzten Jahres 13 Krankenkassen die Gesundheitsapp Vivy auf den Markt brachten und nur einen Tag später ein IT-Sicherheitsexperte schon vermeldete, dass Vivy das Benutzerverhalten auswertet und in die USA und nach Singapur weiterleitet, hat sich Tschirsich die App, die nicht nur an Impftermine erinnert, sondern auch Befunde verschickt, heruntergeladen und genauer angeschaut.

>> Den ganzen Beitrag auf medical-tribune.de lesen

>> Der Vortrag von Martin Tschirsich auf dem 35C3