Sicherheitslücken im deutschen Gesundheitsdatennetz

Recherchen des Hamburger Chaos Computer Clubs (CCC), des NDR und des Spiegel haben schwere Sicherheitslücken im deutschen Gesundheitsdatennetz aufgedeckt. Wegen der Schwachstellen wurde die Ausgabe von Arztausweisen vorerst gestoppt. Die Erkenntnisse wurden auf dem CCC-Kongress 2020 vorgestellt.

Ich wurde schon von Christoph W. per Mail darauf aufmerksam gemacht (danke dafür), hatte aber auch in einer NDR-Meldung bereits gesehen, dass die Vergabe von Arztausweisen gestoppt sei. Zitat:

Wegen Sicherheitslücken im deutschen Gesundheitsdatennetz wird die Vergabe von Praxis- und Arztausweisen zunächst gestoppt. Zuvor hatten der NDR und der "Spiegel" über Schwächen wie Datenlecks im digitalen Gesundheitsdatennetz berichtet, die IT-Experten des Chaos Computer Clubs aufgespürt hatten.

Ein Rechercheverbund von NDR, Spiegel und den IT-Experten des Chaos Computer Clubs hatten die Schwächen aufgespürt.

(Quelle: Pexels/Pixabay CC0 Lizenz)

Worum geht es?

Es sollte das Rückgrat der digitalen Patientenakte werden: Die Telematikinfrastruktur oder das Gesundheitsdatennetz. Über dieses Gesundheitsdatennetzwerk steht für Ärzte, Kliniken und Krankenkassen eine Telematikinfrastruktur bereit, um die Daten der elektronischen Patientenakte auszutauschen.

Unbemerkt von der Öffentlichkeit ist die digitale Vernetzung des deutschen Gesundheitswesens weit fortgeschritten. Über 115.000 Arzt- und Zahnarztpraxen sind inzwischen an ein virtuelles Netzwerk – die sogenannte Telematikinfrastruktur – angeschlossen. Dazu wurden diese Praxen mit Spezialhardware und elektronischen Praxisausweisen ausgestattet.

Damit ist der Weg für die Einführung weiterer Anwendungen frei: Ab der ersten Jahreshälfte 2020 werden die elektronischen Notfalldaten, der elektronische Medikationsplan sowie das sichere Kommunikationsverfahren zwischen Leistungserbringern erwartet. Am 1. Januar 2021 folgt dann die elektronische Patientenakte und somit der Einstieg in die vollständige Digitalisierung unserer Gesundheitsdaten.

Alles gesichert?

Zur Gewährleistung der Sicherheit der Telematikinfrastruktur und dar­auf aufbauender Anwendungen wie der elektronischen Patientenakte ist die „zuverlässige und eindeu­tige Identifikation" aller Teilnehmer „zwingend notwendig". Teilnehmer sind in diesem Verbund insbesondere Versi­cherte, Leistungserbringer wie Ärzte und Leistungserbringerinstitutionen wie Arztpraxen und künftig Krankenhäuser und Apotheken.

Sämtliche Zugriffe auf die Telematikinfrastruktur werden anhand kryptografischer Identitäten gesichert. Hierzu soll ein Trust Service Provider (TSP) nach sicherer Identitätsprüfung eines Teilnehmers dessen kryptographische Identität – bestehend aus privatem Schlüssel und Zertifikat – erzeugen und rechtsverbindlich mit dessen realer Identität verknüpfen. Die kryptographische Identität wird auf einer Chipkarte wie der Gesund­heitskarte (eGK), dem Praxisausweis (SMC-B) oder dem Heilberufsausweis (eHBA) gespeichert.

Für den Zugriff auf das Gesundheitsdatennetz werden daher diese elektronischen Arztausweise, Praxisausweise und auch die Gesundheitskarte des Patienten benötigt. Eigentlich eine gut abgesicherte Infrastruktur. Und am 1. Januar 2021 sollte es eigentlich losgehen, mit der digitalen Patientenakte.

Die Schwachstelle: Fehlende Adressverifikation

Identitätsmissbrauch auf Grundlage erschlichener kryptographischer Identitäten stellt eine unmit­telbare Bedrohung für den Vertrauensraum der TI und somit für die Sicherheit der auf der TI aktu­ell und zukünftig laufenden Anwendungen wie der elektronischen Patientenakte (ePA) dar: „Die Korrektheit der Kartenherausgabeprozesse ist – wie bei nahezu allen digitalen Pro­zessen in der TI – notwendige Voraussetzung" schreibt die gematik in ihrer Spezifikation.

IT-Sicherheitsexperten des Chaos Computer Clubs (CCC) wollten wissen, wie sicher der Versand dieser Ausweise, die zum Zugriff auf die Gesundheitsdaten erforderlich sind, eigentlich ist. In einer Mitteilung geben die IT-Experten des CCC an, dass es ihnen gelungen sei, sich gültige Heilberufsausweise, Praxisausweise, Konnektorkarten und Gesundheitskarten auf die Identitäten Dritter zu verschaffen.

Für die elektronische Gesundheitskarte (eGK) reicht ein Anruf bei der Krankenkasse. Man braucht im Prinzip nur das Geburtsdatum des Versicherten bzw. dessen Versicherungsnummer und kann sich die Karte zustellen lassen. Nennt man eine neue Adresse, an die man umgezogen ist, wird die Karte dort hin geschickt – überprüft wird nichts. Das ist letztendlich ein Kompromiss zwischen Nachweis der Versicherung bei der Krankenkasse und der Unterstützung der Versicherten bei einer verlorenen Gesundheitskarte. Nun kommt dieser eGK aber eine weitere Funktion der Freischaltung der elektronischen Daten zu. Da reicht der bisherige Ansatz eigentlich nicht mehr aus.

Auch die Beschaffung eines Arztausweises, wie er für Heilberufe gefordert wurde, war recht einfach möglich. Die notwendigen Daten bekamen die Hacker von einem ärztlichen Rezept, das Geburtsdatum des Arztes aus dem Gewerberegister. Alles in einem Antrag eingetragen und ausgedruckt. Das Ganze unleserlich mit einem 'Arzt-Krakel' unterschrieben. Und schon landeten der Arztausweis und das Schreiben mit einem PIN, ausgestellt auf einen Dr. med. Cyber, bei den Hackern. Dazu hatten die Hacker (laut Tagesschau) die Erlaubnis eines Augenarztes, dessen Identitäten zu benutzen. Als Lieferadresse wurde eine Käsetheke in Lüneburger Fußgängerzone ausgewählt. Das Bank-Indent-Verfahren zur Prüfung der Person wurde ohne Verifikation der Adresse durchgeführt.

Selbst eine Online-Bestellung eines Konnektors war ohne Verifizierung der Adresse möglich. Das Ganze wurde vom CCC auf der CCC-Konferenz 2019 vorgestellt. Mit diesen Identitäten konnten sie anschließend auf Anwendungen der Telematikinfrastruktur und Gesundheitsdaten von Versicherten zugreifen. Die Hacker des CCC stellten grobe Mängel in den Zugangsprozessen fest. In Beispielangriffen konnten sie demonstrieren, wie sich Kriminelle Identitäten erschleichen können. Im Falle der eGK gelang dies bereits zum wiederholten Male. Die Pannen lassen sich nur mit ungläubigem Staunen zur Kenntnis nehmen. Hier die Aussagen des CCC:

• Bei Ausgabe der Praxisausweise (SMC B) wurde auf eine Identifikation des Antragstellers vollständig verzichtet. Ein Angreifer kann so Befunde lesen und selbst gefälschte Dokumente in Umlauf bringen. Mit Einführung der elektronischen Patientenakte kann der Angreifer die vollständigen Inhalte der für diese Praxis freigegebenen Patientenakten einsehen, schreiben die Hacker vom CCC.
• Bei Ausgabe der elektronischen Heilberufsausweise (HBA) kommen völlig ungeeignete Identifikationsverfahren zum Einsatz. Angreifer im Besitz eines eHBA können damit nicht nur Rezepte, sondern beliebige Dokumente signieren.

Auch bei der Ausgabe der elektronischen Gesundheitskarte (eGK) kommen, laut CCC, für die Identifikation des Antragstellers ebenfalls völlig ungeeignete Verfahren zum Einsatz. Mit der eGK ist schon jetzt der Zugriff auf die jeweiligen Patientenquittungen möglich, in der die durchgeführten ärztlichen Leistungen verzeichnet sind. Schon in naher Zukunft soll mit Hilfe der eGK ein Zugriff auf den elektronischen Medikationsplan und den Notfalldatensatz sowie die elektronische Patientenakte ermöglicht werden

Spiegel Online berichtet hier, von der Tagesschau gibt es diesen Bericht und heise hat hier berichtet. Dort finden sich noch einige Details zu den Vorgängen. Aktuell wurde die Ausgabe der betreffenden Ausweise gestoppt, um auf Basis der CCC-Erkenntnisse die Kette zum Versand der Ausweise zu verifizieren.

Ähnliche Artikel:
Datenleck: Old-School-'Hack' für Gesundheitskarte
Datenschutz-GAU: Finger weg von der Gesundheits-App Vivy
Nächstes Sicherheitsdesaster bei Vivy-Gesundheits-App
Technikerkrankenkasse: Aus für Ada-Kooperation
Bericht: 60 % mehr Angriffe auf das Gesundheitswesen
Gesundheitswesen besonders anfällig für Hacker-Angriffe
Gesundheitsdaten ziehen Kriminelle besonders an
Singapurs größter Gesundheitskonzern gehackt