NewsPolitik„Neuen Sicherheits­maßnahmen stehen stets auch neue Angriffs­möglichkeiten gegenüber“
Als E-Mail versenden...
Auf facebook teilen...
Twittern...
Drucken...

Politik

„Neuen Sicherheits­maßnahmen stehen stets auch neue Angriffs­möglichkeiten gegenüber“

Freitag, 11. Januar 2019

Berlin – Bis zum Jahr 2021 sollen nach dem Willen des Gesetzgebers alle Kranken­kassen ihren Versicherten eine elektronische Patientenakte (ePA) anbieten. Die Gesellschaft für Telematikanwendungen der Gesundheitskarte (gematik) hat hierfür fristgerecht zum Jahresende ihre Vorgaben für eine datenschutzkonforme ePA vorgelegt.

Im Vorgriff darauf hatten 2018 bereits drei große Anbieterkonsortien elektronische Aktenmodelle vorgestellt: „Vivy“ und „TK-Safe“ sowie das „digitale Gesundheits­netzwerk“ der AOK. Vivy, als erste Akte seit Mitte September 2018 im Echtbetrieb, steht seither wegen diverser Sicherheitsmängel in der Kritik. Doch auch andere Akten­lösungen wurden beim Chaos Communication Congress 2018 als unsicher bewertet.

Fünf Fragen an Martin Tschirsich, IT Security Analyst beim Schweizer Unternehmen modzero AG, das im Frühjahr 2011 gegründet wurde, um bei speziellen Sicherheitsfragen bei Computertechnologien zu unterstützen.

DÄ: Müssen Gesundheitsdaten besser geschützt werden als Finanzdaten beim Onlinebanking?
Martin Tschirsich: Gesundheitsdaten sind gegenüber Finanzdaten nach Artikel 9 DSGVO besonders geschützt. Selbst in skandinavischen Ländern wie Schweden, wo bei Steuererklärungen und Einkommen auf maximale Transparenz gesetzt wird, gilt dies explizit nicht für Gesundheitsdaten. In Deutschland bezeichnete Ex-Bundesjustizministerin Sabine Leutheusser-Schnarrenberger Gesundheitsdaten als „die sensibelsten Daten, die wir haben“. Aus gutem Grund: Gelangten sie etwa ins Internet, kämpften Betroffene nicht mehr bloß um ihre Gesundheit, sondern auch gegen Karriereknick, Stigmata und Verfolgung – ohne eine Chance, den Daten zu entkommen.

Diese Macht unserer Daten weckt Begehrlichkeiten. Erhebungen aus den USA zeigen, dass für Patientenakten ein lukrativer Schwarzmarkt existiert. Für eine halbe Millionen US-Dollar etwa verkauften Kriminelle 2016 eine einzige erbeutete Datenbank. Darin lagen knapp zehn Millionen Patientenakten. Noch nicht eingerechnet sind Einnahmen, die der Verkäufer zuvor durch Erpressung der Betroffenen erzielt hatte. Doch was, wenn es um politische Einflussnahme geht? Vor Geheimdiensten ist sogar das Handy der Bundeskanzlerin nicht sicher.

Auch dem eigenen Staat sollten wir unsere Gesundheitsdaten strukturell unzugänglich machen. Denn auch nach der NS-Zeit gab und gibt es immer wieder Initiativen, unseren Behörden einen direkten Zugriff zu gewähren, so zuletzt in Bayern vor Verabschiedung des Psychisch-Kranken-Hilfe-Gesetzes. Gegenüber Finanzdaten sind Gesundheitsdaten zudem sehr langlebig und müssen ein Leben lang sicher verwahrt werden – ein bisher ungelöstes Problem.

DÄ: Welche Sicherheitsmängel sehen Sie beim derzeitigen E-Health-Angebot?
Tschirsich: Zunächst: Das Sicherheitsniveau unterscheidet sich bei einzelnen Anbietern stark, und korrespondiert oft nicht mit der Außendarstellung oder der Anzahl vergebener „Sicherheitszertifikate“.

Am problematischsten sind grundlegende architektonische Mängel, die sich selbst in Produkten etablierter Anbieter finden und die wie im Fall der „CGM Life Gesundheits­akte“ kritisch sind. Solche Mängel lassen sich im Nachhinein nicht oder nur mit hohem Aufwand beheben.

Darüber hinaus wurden bei fast allen elektronischen Gesundheitsakten und Teleme­dizin­diensten ganz praktische Fehler bei der Umsetzung gemacht, welche sich auch ohne tiefere Analyse aufspüren lassen. In diese Kategorie fallen die unsichere Speicherung von Passwörtern, der Einsatz unsicherer kryptografischer Primitiven, die unzureichende Filterung von Benutzereingaben oder auch fehlender Schutz vor Brute-Force-Angriffen (eine Methode, die versucht Passwörter oder Schlüssel durch automatisiertes, wahlloses Ausprobieren herauszufinden, Anm. d. Redaktion) – hier hätte schon eine einfache Zugangssperre bei wiederholt falscher PIN-Eingabe geholfen. Es wurden also sowohl bei der Konzeption als auch bei der Umsetzung Fehler gemacht und damit die Sicherheit teilweise oder gänzlich kompromittiert.

DÄ: Sollten Entwickler digitaler Anwendungen im Gesundheitsbereich dazu verpflichtet werden, externe „Hackertests“ durchzuführen?
Tschirsich: Der Fall „Vivy“ hat gezeigt, dass solche im Nachgang durchgeführten Penetrationstests die fehlende Berücksichtigung von Informationssicherheit schon in der Entwurfsphase und bei der Entwicklung der Anwendung nicht ausgleichen können. Solche Tests sind also eine notwendige, aber nicht hinreichende Bedingung für eine sichere Anwendung.

Gleiches gilt für den Datenschutz. So wurde beispielsweise die Datenschutzkonformität inklusive des technischen Zugangsschutzes des E-Portals „Meine Gesundheit“ durch den Landesbeauftragten für den Datenschutz in Rheinland-Pfalz positiv bewertet, obwohl hier weiterhin grobe Mängel bestehen.

Anstelle einer expliziten Verpflichtung zur Durchführung von externen Tests plädiere ich für ein grundlegend anderes Anreizsystem, welches sich beispielsweise aus einer Meldepflicht für Sicherheitslücken und erweiterter Produkthaftung im Umgang mit Gesundheitsdaten ergäbe.

DÄ: Inwieweit ist ein laufendes Onlinemonitoring der Sicherheit notwendig und wer sollte es durchführen?
Tschirsich: Durch angemessene Protokollierung können technische Probleme und laufende Angriffe erkannt werden. Ein zentrales Monitoring der Infrastruktur durch den Betreiber ist daher eine Voraussetzung für das Erreichen eines angemessenen Sicherheitsniveaus.

Zudem werden täglich neue Sicherheitsmängel in vielgenutzten Hard- und Software­komponenten bekannt, hier muss schnellstmöglich reagiert werden können, beispielsweise mit der Installation von Updates. Das Monitoring der allgemeinen Gefährdungslage dagegen hilft, das Schadpotenzial bestehender und neuer Bedrohungen und Angriffsmethoden einschätzen und angemessene Gegenmaßnahmen ergreifen zu können.

DÄ: Sind Gesundheitsdaten für digitale Anwendungen überhaupt geeignet?
Tschirsich: Ja, sicher. Nur müssen wir die Realität anerkennen: Wir können langfristig nicht kontrollieren, wer unsere Gesundheitsdaten für welche Zwecke verarbeitet und mit weiteren Daten zusammenführt. Das hat die Bestandsaufnahme der Daten­sicherheit deutscher E-Health-Anwendungen auf dem zurückliegenden Chaos Communication Congress eindrücklich gezeigt.

Dass das kein deutsches und auch kein theoretisches Problem ist, wird mit dem Blick auf Länder wie Norwegen und die USA klar, wo bereits große Datenabflüsse hingenommen werden mussten. Das Problem ist auch rein technisch nicht abschließend in den Griff zu bekommen. Denn neuen Sicherheitsmaßnahmen stehen stets auch neue Angriffsmöglichkeiten gegenüber.

Ich wünsche mir daher, dass wir neben dem Nutzen auch klar die zum Teil gesamt­gesellschaftlichen Risiken benennen und auch hier nach Lösungen für zukünftig Betroffene suchen, anstatt mit großzügigen aber unhaltbaren Sicherheitsversprechen das Vertrauen der Bürgerinnen und Bürger zu untergraben, von deren Akzeptanz ja auch die Digitalisierung des Gesundheitswesens lebt. © KBr/gie/aerzteblatt.de

Leserkommentare

E-Mail
Passwort

Registrieren

Um Artikel, Nachrichten oder Blogs kommentieren zu können, müssen Sie registriert sein. Sind sie bereits für den Newsletter oder den Stellenmarkt registriert, können Sie sich hier direkt anmelden.

Avatar #672734
isnydoc
am Montag, 14. Januar 2019, 11:48

Drohszenario, Sanktionen - warum?

Die KBV erfüllt die ihr schon immer zugedachte Rolle mit der Übernahme des "Sicherstellungsauftrages" im ambulanten Bereich und damit dem Verzicht der zugelassenen Kassenärzte auf Streikmassnahmen.
Sichergestellt werden muss, dass Gesundheitsreformen, die von der jeweiligen Regierung durch Veränderungen oder Zusätze in SGB V - dazu rechnet auch die Digitalisierung - den Weg in die alltägliche Praxis finden. Koste, was es wolle ... könnte man noch ergänzen.
Avatar #88767
fjmvw
am Montag, 14. Januar 2019, 11:17

Liest die KBV auch mit, was in ihrem Organ veröffentlicht wird?

In Kenntnis dessen, was Herr Tschirsich auf dem 35C3 geäußert hat, was er im Interview des änd, gegenüber dem TV und jetzt hier im Ärzteblatt ausgeführt hat, ist die Frage nicht nur erlaubt sondern dringlich zu stellen: Wieso will die KBV bei den derzeitigen (Stand Dez. 2018) Sicherheitsstandards in Sachen elektronischen Gesundheitsakte / elektronische Patientenakte / elektronisch gespeicherten Daten zum Gesundheitswesen, den Anschluss aller Praxen an die TI unter Androhung von Sanktionen durchsetzen?

Der normale Menschenverstand reicht doch aus um zu erkennen, dass die derzeit angebotene Hard- und Software nicht geeignet ist, die Daten von Patienten zu schützen. Warum protegiert die KBV die Industrie, die derzeit nur völlig unsichere Systeme anzubieten hat?

Ist es der KBV völlig egal, dass sich jede Arztpraxis mit dem Anschluss an die TI der Gefahr aussetzt, gegen die Datenschutzgrundverordnung zu verstoßen? Den Ärzten kann und darf das nicht egal sein. Sie, die Ärzte, haften nämlich dafür, wenn die von ihnen (in gutem Glauben) bereitgestellten Patientendaten nicht ausreichend geschützt waren und deswegen "im Netz" völlig ungeschützt zur Verfügung stehen.
LNS

Nachrichten zum Thema

20. Mai 2019
Hamburg – Die elektronische Gesundheitsakte „TK-Safe“ der Techniker Krankenkasse (TK) ist ab heute bundesweit verfügbar. Zuvor ist sie mit rund 160.000 Nutzern in einem Betatest erprobt worden. „Ich
Gesundheitsakte der Techniker Krankenkasse bundesweit verfügbar
20. Mai 2019
München – Der bayerische Landesbeauftragte für den Datenschutz, Thomas Petri, sieht in Bezug auf den Datenschutz bei Krebsregistern derzeit noch eine Reihe offener Fragen. Zwar dürften krebskranke
Bayerischer Datenschutzbeauftragter sieht Risiken beim Krebsregister
20. Mai 2019
Nürnberg/Erlangen – Ärzte und Wissenschaftler der Friedrich-Alexander-Universität Erlangen-Nürnberg (FAU) wollen Alkoholkranken nach einem Klinikaufenthalt mit einer Kombination aus App und
App und Telefoncoaching sollen Alkoholikern helfen, trocken zu bleiben
17. Mai 2019
Berlin – Die Deutsche Krankenhausgesellschaft (DKG) hat im Zusammenhang mit dem gestern von Bun­des­ge­sund­heits­mi­nis­ter Jens Spahn (CDU) vorgelegten Referentenentwurf „Digitale Versorgung-Gesetz“ (DVG)
Krankenhäuser wollen eine Milliarde Euro pro Jahr für Digitalisierung
17. Mai 2019
Berlin – S3-Leitlinien sollen künftig vom Innovationsfonds des Gemeinsamen Bundes­aus­schusses (G-BA) mit fünf Millionen Euro gefördert werden können, sofern für sie in der Versorgung ein besonderer
Fachgesellschaften erfreut über Unterstützung von S3-Leitlinien
16. Mai 2019
Seattle – US-Forscher haben eine App entwickelt, die es Ärzten, aber auch Eltern ermöglichen könnte, mit einem Smartphone und einem Stück Papier Flüssigkeitsansammlungen im Mittelohr zu
Mittelohrentzündung: Diagnose mit Smartphone und Papiertrichter
15. Mai 2019
Berlin – Bun­des­ge­sund­heits­mi­nis­ter Jens Spahn (CDU) hat angekündigt, die Situation beim Anschluss von Vertragsärzten an die Tele­ma­tik­infra­struk­tur (TI) genau zu prüfen und gegebenenfalls Konsequenzen
LNS LNS

Fachgebiet

Anzeige

Aktuelle Kommentare

Archiv

NEWSLETTER