Gematik sieht kein Sicherheitsrisiko für Telematik­infrastruktur durch „Spectre“ und „Meltdown“

Berlin – Sicherheitslücken mit den Namen „Spectre“ und „Meltdown“, von der nahezu alle Prozessoren von Computern weltweit betroffen sind, sorgen derzeit für erheblichen Wirbel. Ein Sicherheitsrisiko für die Telematikinfrastruktur (TI) sieht die gematik – Gesellschaft für Telematikanwendungen der elektronischen Gesundheitskarte allerdings nicht.

Man habe die Schwachstellen „sehr ernst genommen und gemeinsam mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die Auswirkungen der Schwachstellen auf die Telematikinfrastruktur (TI) unverzüglich untersucht“, erläuterte eine gematik-Sprecherin heute auf Anfrage des Deutschen Ärzteblattes (DÄ).

Signiertes Firmware-Image notwendig

Zwar seien „nahezu alle komplexen IT-Systeme“ von den Schwachstellen betroffen. Um diese jedoch auszunutzen, müsse der Angreifer eigene Software auf dem anzugreifenden System ausführen können. Das Einschleusen und Ausführen von zusätzlicher Software sei bei den Komponenten der TI – beispielsweise beim Konnektor und Kartenterminal – jedoch nicht möglich, erklärte sie weiter.

Neue Software könne nur als komplettes vom Hersteller signiertes Firmware-Image in die Geräte eingebracht werden. „Diese Sicherheitsmechanismen werden vom BSI durch die Sicherheitszertifizierung bestätigt“, sagte die Sprecherin. Derzeit bestehe somit für die Komponenten der TI kein Sicherheitsrisiko aufgrund der benannten Prozessorschwachstellen. Ungefährdet sei auch die elektronische Gesundheitskarte (eGK) selbst. Die Prozessorarchitektur der Chipkarten sei „nicht anfällig für die genannten Schwachstellen“, hieß es von der gematik.

IT-Sicherheitsexperten zufolge sind die aufgedeckten Sicherheitslücken nicht trivial. Angreifer könnten zum Beispiel Daten in Geräten, die mit betroffenen Prozessoren ausgestattet seien, auslesen und/oder verändern. Es gebe sogar theoretische Szenarien, in denen ganze Infrastrukturen außer Betrieb gesetzt werden könnten, hieß es.

Den Experten zufolge sind die Prozessorhersteller wie etwa Intel bemüht mit den größten Softwareherstellern dieses Problem per Software zu umgehen. Das Bundesamt für Sicherheit in der Informationstechnik hat Anwendern geraten, die Updates der Hersteller zu installieren. Die Freie Ärzteschaft hatte gestern die Frage aufgeworfen, ob die Sicherheit von Patientendaten gefährdet ist.

may