Patientendaten millionenfach ungeschützt im Internet

[English]Auf ungeschützten Servern lagerten Millionen hochsensibler Patientendaten, die auch per Internet abrufbar waren. Das haben Recherchen des BR und der US-Investigativplattform ProPublica ergeben. Auch deutsche Patientendaten sind darunter.

Ich bin beim Frühstück durch eine Radio-Kurzmeldung auf das Thema aufmerksam geworden. Ein Beitrag von ProPublica in Englisch ist hier abrufbar. Der Bayrische Rundfunk (BR) hat das Thema hier auf Deutsch aufbereitet. Es handelt sich um Patientendaten, die bei Röntgen- und CT- sowie MRT-Untersuchungen angefallen sind. Experten hatten vor Jahren bereits davor gewarnt, weil die Daten ungesichert auf Archiv-Servern gespeichert wurden.

(Quelle: Screenshot BR-Seite)

Problem: Archivserver für Bilder

Der Hintergrund des Skandals: Die Aufnahmen, die bei Röntgen- und CR- sowie MRT-Untersuchungen anfallen werden von der Gerätesoftware auf ein sogenanntes "Picture Archiving and Communication System" (PACS) gesichert. Mit auf dem Server landen dann alle Daten des Patienten, die im betreffenden medizinischen Programm für die Untersuchung bekannt sind, und das einschließlich der 2- und 3D-Aufnahmen. Die Untersuchungsergebnisse sollen sich ja schließlich jederzeit, auch von anderen Ärzten, abrufen lassen. Das Problem: Sind die Server nicht ausreichend, oder überhaupt nicht geschützt, und per Internet erreichbar, ist es trivial, auf die Daten der Server zuzugreifen.

Ein vom BR eingeschalteter Experte für Informationssicherheit, Dirk Schrader von Greenbone Networks, sagt: "Bei den Systemen, die ich überprüft habe, hatte ich den Eindruck, dass ich im Zweifelsfall sogar in der Lage wäre, früher als der Arzt auf das Bild zuzugreifen." Schrader kontaktierte den BR, die seinerseits die Plattform ProPublica mit ins Boot nahm. Insgesamt konnte das Recherchenetzwerk weltweit mehr als 2.300 ungeschützte Server mit solchen Datensätzen identifizieren.

Auch deutsche Patienten/innen betroffen

Eine Auswertung der Datensätze zeigte, dass weltweit Millionen Patienten betroffen sind. Laut BR-Recherchen sind mehr als 13.000 Datensätze von deutschen Patienten betroffen, wobei in mehr als der Hälfte der Fälle Bilder mit den Datensätzen gespeichert sind. Diese Datensätze waren noch bis vergangene Woche (Mitte September) zugänglich und stammen von mindestens fünf verschiedenen deutschen Standorten. Der größte Teil der Datensätze entfällt, laut Bericht des BR, auf Patienten aus dem Raum Ingolstadt und aus Kempen in Nordrhein-Westfalen.

Bundesdatenschutzbeauftragter alarmiert

Das Recherchenetzwerk hat in Form des BR den Bundesbeauftragten für Datenschutz, Ulrich Kelber, kontaktiert und diesem Datensätze vorgelegt. Kelber, spricht von einem "verheerenden ersten Eindruck" und warnt vor möglichen Folgen: "Sie möchten nicht, dass ein Arbeitgeber, ein Versicherungskonzern, eine Bank diese Daten kennt, und ihnen keinen Vertrag oder keinen Kredit gibt." Laut Kelber würden 'diese Daten unsere digitale Identität ausmachen, und gehören nicht in die Hände Dritter'.

Sebastian Schinzel, Professor für IT-Sicherheit an der FH Münster, spricht ebenfalls von einem "handfesten Skandal". Schinzel arbeitet derzeit in einem Projekt des Bundeslandes Nordrhein-Westfalen, die Cybersicherheit für den Gesundheitsbereich zu verbessern. Er wird vom BR folgendermaßen zitiert: "Diese Daten sind hochsensibel, und ich möchte natürlich auf keinen Fall, dass das im Internet steht, ohne Passwort-Authentifizierung. Ich finde das katastrophal."

Laut BR hat der Bundesbeauftragte für Datenschutz, Ulrich Kelber, das BSI kontaktiert, welches 17 Fällen nachgeht. Aus rechtlichen Gründen darf das BSI nicht auf die Daten zugreifen, sondern muss anhand der IP den Provider kontaktieren. Dieser ermittelt dann wiederum den Betreiber der Server.

Datenschutzaufsicht in Bayern ermittelt

Da Patienten in Bayern betroffen sind, ermittelt das Bayerische Landesamt für Datenschutzaufsicht und steht mit dem Betreiber des Servers in Kontakt, so ein Sprecher auf schriftliche Anfrage des BR. Die Datenschutzaufsicht prüft nun 'nächste Schritte': "Dies kann von aufsichtlichen Maßnahmen wie einer verbesserten IT-Sicherheit bis hin zur Einleitung eines Bußgeldverfahrens gehen." Der BR hat ihm bekannte Standorte kontaktiert. Mittlerweile sind die Server vom Netz. Es bleibt nun interessant, wie das unter der DSGVO für die Betreiber der Infrastruktur ausgeht – denn offensichtlich wurden dort die Hausaufgaben nicht gemacht (medizinische Daten sind in Sachen Datenschutz als besonders sensibel eingestuft).

Das 'lange Ende der Geschichte'

Das ist übrigens kein Neuland. 2016 gab es von Oleg Pianykh, Professor für Radiologie an der Harvard Medical School, eine Studie zu ungeschützten PACS-Servern. Pianykh hatte im Rahmen seiner Studie mehr als 2.700 offene Systeme ausfindig gemacht – für Deutschland sind in der Studie waren damals 22 + 9 Server aufgeführt, die gefunden wurden. Der Professor sagte im Interview mit BR und ProPublica.: "Wir haben ein Riesenproblem mit medizinischen Geräten, die komplett ungesichert und ungeschützt sind. Und irgendjemand, ein x-beliebiger Hacker, kann sich mit diesen Geräten verbinden und die Patientendatensätze kompromittieren."

Der Skandal: Die Fachkreise nahmen damals die Studie von Pianykh zwar zur Kenntnis. Aber der aktuelle Fall zeigt, das genau nichts passiert ist. Es braucht einen Skandal, damit die Spitze des Eisbergs abgetragen wird.

Ähnliche Artikel:
Patientendaten millionenfach ungeschützt im Internet
Hacks und Datenlecks im Labor-/Medizinbereich in den USA
Hacker infizieren Medizintechnik (CT, Röngen etc.)
Medizingeräte: (Sicherheits-)Risiko Windows 7?
Windows XP in Medizingeräten als Sicherheitsrisiko
Medizintechnik im Internet: Geht aus Sicherheitsgründen nicht
US-CERT warnt vor Schwachstellen in Kardiogeräten
Ransomware legt Zahnarzt-Praxen in den USA lahm
Sicherheitsinfos zum 1. August 2019