36C3: Unsichere Patientendaten – die Telematik-Infrastruktur des Gesundheitswesens hat ein Identitätsproblem – und wurde vom CCC gehackt

„Am 1. Januar 2021 soll die elektronische Patientenakte eingeführt werden. In dieser freiwilligen patientengeführten Akte speichern Ärzte auf Wunsch der Versicherten Befunde und Diagnosen unter Nachweis ihrer ärztlichen Identität. Der Patient wiederum soll Daten unter der Identität seiner elektronischen Gesundheitskarte (eGK) anderen freigeben oder sperren können. Schließlich ist da noch die Institutionenkarte (SMC-B), mit der der Nachweis geführt wird, dass eine Arztpraxis, eine Klinik oder etwa eine Physiotherapie den Konnektor betreibt. Das ausgefeilte Identitätskonzept ist von der Anlage her sinnvoll, hat in der Realisierung aber eine schwere Lücke. Die notwendigen Karten für die Rollen Patient, Arzt und Institution können mit einfachen Tricks beschafft werden. Und auch der Konnektor kann über einen Versender bezogen werden, ohne dass er von einer Institution bestellt wird. Alles ganz einfach: Groß gehackt werden muss da gar nichts. In seiner Mitteilung zur ersten großen Aufdeckung einer Sicherheitslücke auf dem 36C3 spricht der Chaos Computer Club davon, dass es Hackern gelungen sei, „sich Zugangsberechtigungen für das sogenannte Telematik-Netzwerk zu verschaffen“. Was wie ein Hack klingt, ist traurige Realität: Es ist viel zu einfach, sich die notwendigen Karten zu besorgen, mit denen das Telematik-Netzwerk arbeitet…“ Artikel von Detlef Borchers vom 27.12.2019 bei heise-news und die PM von CCC sowie einen Vortrag:

• CCC diagnostiziert Schwachstellen im deutschen Gesundheitsnetzwerk
  „Hackern des Chaos Computer Club ist es gelungen, sich Zugangsberechtigungen für das sogenannte Telematik-Netzwerk zu verschaffen. An das Netz sind über 115.000 Praxen angeschlossen. Über das System sollen in naher Zukunft verpflichtend digitale Patientendaten und elektronische Rezepte ausgetauscht werden. CCC-Sicherheitsforschern ist es gelungen, sich gültige Heilberufsausweise, Praxisausweise, Konnektorkarten und Gesundheitskarten auf die Identitäten Dritter zu verschaffen. Mit diesen Identitäten konnten sie anschließend auf Anwendungen der Telematik-Infrastruktur und Gesundheitsdaten von Versicherten zugreifen. Die Hacker stellten grobe Mängel in den Zugangsprozessen fest, und demonstrieren mit Beispielangriffen, wie sich Kriminelle Identitäten erschleichen können. Im Falle der eGK gelang dies bereits zum wiederholten Male. (…) Der CCC verschreibt   Schadensbegrenzung: Die gematik muss jetzt prüfen, inwieweit unberechtigte Zulassungen entzogen und falsch ausgestellte Zertifikate zurückgenommen werden müssen. Zuverlässige Kartenbeantragungs- und herausgabeprozesse: Beantragung, Identifikation und Ausgabe müssen entsprechend dem Schutzbedarf von Gesundheits- und Sozialdaten durchgeführt werden. Volle Umsetzung der eGK als Identitätsnachweis. Neuplanung und saubere Implementierung der Prozesse die zur Ausstellung von eGK, HBA und SMC-B führen sowie Kontrolle der Umsetzung. Organisierte Verantwortung statt organisierter Verantwortungslosigkeit: Eine unabhängige zentrale Stelle sollte für die Informationssicherheit der Telematikinfrastruktur verantwortlich sein. Diese Stelle sollte Prozesse nicht nur vorgeben, sondern auch ihre ordnungsgemäße Umsetzung unabhängig prüfen. Wir wünschen dem deutschen Gesundheitswesen eine schnelle Genesung!“ CCC-Pressemitteilung vom 27.12.2019 
• „Hacker hin oder her“: Die elektronische Patientenakte kommt!
  „Herzstück der digitalen Gesundheitsversorgung für 73 Millionen Versicherte ist die hochsichere, kritische Telematik-Infrastruktur mit bereits 115.000 angeschlossenen Arztpraxen. Nur berechtigte Teilnehmer haben über dieses geschlossene Netz Zugang zu unseren medizinischen Daten. Ein „Höchstmaß an Schutz“ also, wie es das Gesundheitsministerium behauptet? Bewaffnet mit 10.000 Seiten Spezifikation und einem Faxgerät lassen wir Illusionen platzen und stellen fest: Technik allein ist auch keine Lösung. Braucht es einen Neuanfang? Schon in 12 Monaten können 73 Millionen gesetzlich Versicherte ihre Gesundheitsdaten in einer elektronischen Patientenakte speichern lassen. Dazu werden zurzeit alle Arztpraxen, Krankenhäuser und Apotheken Deutschlands über die neu geschaffene kritische Telematik-Infrastruktur verbunden. Dieses hochverfügbare Netz genügt „militärischen Sicherheitsstandards“, bietet ein „europaweit einzigartiges Sicherheitsniveau“ und verspricht ein „Höchstmaß an Schutz für die personenbezogenen medizinischen Daten“ wie Arztbriefe, Medikamentenpläne, Blutbilder und Chromosomenanalysen. „Wir tun alles, damit Patientendaten sicher bleiben.“ „Selbst dem Chaos Computer Club ist es nicht gelungen, sich in die Telematik-Infrastruktur einzuhacken.“ „Nach den Lehren aus PC-Wahl, Ladesäulen und dem besonderen elektronischen Anwaltspostfach brauchen wir kein weiteres Exempel.““ Audio und Video des Vortrags von Martin Tschirsich, cbro – Dr. med. Christian Brodowski and Dr. André Zilch am 27.12.2019 beim 36c3 
• Wir erinnern an: [Petition] Gesundheitsdaten in Gefahr – Keine zentrale Datenspeicherung sämtlicher Patientendaten; Anschluss von Arzt- und Psychotherapiepraxen an die Telematik-Infrastruktur auf freiwilliger Basis