„Neuen Sicherheits­maßnahmen stehen stets auch neue Angriffs­möglichkeiten gegenüber“

Berlin – Bis zum Jahr 2021 sollen nach dem Willen des Gesetzgebers alle Kranken­kassen ihren Versicherten eine elektronische Patientenakte (ePA) anbieten. Die Gesellschaft für Telematikanwendungen der Gesundheitskarte (gematik) hat hierfür fristgerecht zum Jahresende ihre Vorgaben für eine datenschutzkonforme ePA vorgelegt.

Im Vorgriff darauf hatten 2018 bereits drei große Anbieterkonsortien elektronische Aktenmodelle vorgestellt: „Vivy“ und „TK-Safe“ sowie das „digitale Gesundheits­netzwerk“ der AOK. Vivy, als erste Akte seit Mitte September 2018 im Echtbetrieb, steht seither wegen diverser Sicherheitsmängel in der Kritik. Doch auch andere Akten­lösungen wurden beim Chaos Communication Congress 2018 als unsicher bewertet.

Tschirsich

Fünf Fragen an Martin Tschirsich, IT Security Analyst beim Schweizer Unternehmen modzero AG, das im Frühjahr 2011 gegründet wurde, um bei speziellen Sicherheitsfragen bei Computertechnologien zu unterstützen.

DÄ: Müssen Gesundheitsdaten besser geschützt werden als Finanzdaten beim Onlinebanking?
Martin Tschirsich: Gesundheitsdaten sind gegenüber Finanzdaten nach Artikel 9 DSGVO besonders geschützt. Selbst in skandinavischen Ländern wie Schweden, wo bei Steuererklärungen und Einkommen auf maximale Transparenz gesetzt wird, gilt dies explizit nicht für Gesundheitsdaten. In Deutschland bezeichnete Ex-Bundesjustizministerin Sabine Leutheusser-Schnarrenberger Gesundheitsdaten als „die sensibelsten Daten, die wir haben“. Aus gutem Grund: Gelangten sie etwa ins Internet, kämpften Betroffene nicht mehr bloß um ihre Gesundheit, sondern auch gegen Karriereknick, Stigmata und Verfolgung – ohne eine Chance, den Daten zu entkommen.

Diese Macht unserer Daten weckt Begehrlichkeiten. Erhebungen aus den USA zeigen, dass für Patientenakten ein lukrativer Schwarzmarkt existiert. Für eine halbe Millionen US-Dollar etwa verkauften Kriminelle 2016 eine einzige erbeutete Datenbank. Darin lagen knapp zehn Millionen Patientenakten. Noch nicht eingerechnet sind Einnahmen, die der Verkäufer zuvor durch Erpressung der Betroffenen erzielt hatte. Doch was, wenn es um politische Einflussnahme geht? Vor Geheimdiensten ist sogar das Handy der Bundeskanzlerin nicht sicher.

Auch dem eigenen Staat sollten wir unsere Gesundheitsdaten strukturell unzugänglich machen. Denn auch nach der NS-Zeit gab und gibt es immer wieder Initiativen, unseren Behörden einen direkten Zugriff zu gewähren, so zuletzt in Bayern vor Verabschiedung des Psychisch-Kranken-Hilfe-Gesetzes. Gegenüber Finanzdaten sind Gesundheitsdaten zudem sehr langlebig und müssen ein Leben lang sicher verwahrt werden – ein bisher ungelöstes Problem.

DÄ: Welche Sicherheitsmängel sehen Sie beim derzeitigen E-Health-Angebot?
Tschirsich: Zunächst: Das Sicherheitsniveau unterscheidet sich bei einzelnen Anbietern stark, und korrespondiert oft nicht mit der Außendarstellung oder der Anzahl vergebener „Sicherheitszertifikate“.

Am problematischsten sind grundlegende architektonische Mängel, die sich selbst in Produkten etablierter Anbieter finden und die wie im Fall der „CGM Life Gesundheits­akte“ kritisch sind. Solche Mängel lassen sich im Nachhinein nicht oder nur mit hohem Aufwand beheben.

Darüber hinaus wurden bei fast allen elektronischen Gesundheitsakten und Teleme­dizin­diensten ganz praktische Fehler bei der Umsetzung gemacht, welche sich auch ohne tiefere Analyse aufspüren lassen. In diese Kategorie fallen die unsichere Speicherung von Passwörtern, der Einsatz unsicherer kryptografischer Primitiven, die unzureichende Filterung von Benutzereingaben oder auch fehlender Schutz vor Brute-Force-Angriffen (eine Methode, die versucht Passwörter oder Schlüssel durch automatisiertes, wahlloses Ausprobieren herauszufinden, Anm. d. Redaktion) – hier hätte schon eine einfache Zugangssperre bei wiederholt falscher PIN-Eingabe geholfen. Es wurden also sowohl bei der Konzeption als auch bei der Umsetzung Fehler gemacht und damit die Sicherheit teilweise oder gänzlich kompromittiert.

DÄ: Sollten Entwickler digitaler Anwendungen im Gesundheitsbereich dazu verpflichtet werden, externe „Hackertests“ durchzuführen?
Tschirsich: Der Fall „Vivy“ hat gezeigt, dass solche im Nachgang durchgeführten Penetrationstests die fehlende Berücksichtigung von Informationssicherheit schon in der Entwurfsphase und bei der Entwicklung der Anwendung nicht ausgleichen können. Solche Tests sind also eine notwendige, aber nicht hinreichende Bedingung für eine sichere Anwendung.

Gleiches gilt für den Datenschutz. So wurde beispielsweise die Datenschutzkonformität inklusive des technischen Zugangsschutzes des E-Portals „Meine Gesundheit“ durch den Landesbeauftragten für den Datenschutz in Rheinland-Pfalz positiv bewertet, obwohl hier weiterhin grobe Mängel bestehen.

Anstelle einer expliziten Verpflichtung zur Durchführung von externen Tests plädiere ich für ein grundlegend anderes Anreizsystem, welches sich beispielsweise aus einer Meldepflicht für Sicherheitslücken und erweiterter Produkthaftung im Umgang mit Gesundheitsdaten ergäbe.

DÄ: Inwieweit ist ein laufendes Onlinemonitoring der Sicherheit notwendig und wer sollte es durchführen?
Tschirsich: Durch angemessene Protokollierung können technische Probleme und laufende Angriffe erkannt werden. Ein zentrales Monitoring der Infrastruktur durch den Betreiber ist daher eine Voraussetzung für das Erreichen eines angemessenen Sicherheitsniveaus.

Zudem werden täglich neue Sicherheitsmängel in vielgenutzten Hard- und Software­komponenten bekannt, hier muss schnellstmöglich reagiert werden können, beispielsweise mit der Installation von Updates. Das Monitoring der allgemeinen Gefährdungslage dagegen hilft, das Schadpotenzial bestehender und neuer Bedrohungen und Angriffsmethoden einschätzen und angemessene Gegenmaßnahmen ergreifen zu können.

DÄ: Sind Gesundheitsdaten für digitale Anwendungen überhaupt geeignet?
Tschirsich: Ja, sicher. Nur müssen wir die Realität anerkennen: Wir können langfristig nicht kontrollieren, wer unsere Gesundheitsdaten für welche Zwecke verarbeitet und mit weiteren Daten zusammenführt. Das hat die Bestandsaufnahme der Daten­sicherheit deutscher E-Health-Anwendungen auf dem zurückliegenden Chaos Communication Congress eindrücklich gezeigt.

Dass das kein deutsches und auch kein theoretisches Problem ist, wird mit dem Blick auf Länder wie Norwegen und die USA klar, wo bereits große Datenabflüsse hingenommen werden mussten. Das Problem ist auch rein technisch nicht abschließend in den Griff zu bekommen. Denn neuen Sicherheitsmaßnahmen stehen stets auch neue Angriffsmöglichkeiten gegenüber.

Ich wünsche mir daher, dass wir neben dem Nutzen auch klar die zum Teil gesamt­gesellschaftlichen Risiken benennen und auch hier nach Lösungen für zukünftig Betroffene suchen, anstatt mit großzügigen aber unhaltbaren Sicherheitsversprechen das Vertrauen der Bürgerinnen und Bürger zu untergraben, von deren Akzeptanz ja auch die Digitalisierung des Gesundheitswesens lebt. © KBr/gie/aerzteblatt.de