Digitalisierung Deutschland: Patientendaten in Praxissoftware einsehbar

Gesundheit (Pexels, frei verwendbar)Neuer Datenschutz- und Sicherheitsvorfall in einer zertifizierten Arztpraxis-Software "der 3. Generation" für die Cloud. Die fortschrittliche Praxissoftware im Gesundheitswesen von Doc Cirrus, laut Anbieter, und mit Ärzten entwickelt, ist nicht ganz dicht. Sicherheitslücken ermöglichten auf sensitive Patientendaten zuzugreifen und diese einzusehen. Die Praxissoftware wurde zeitweise offline genommen, ist aber wieder verfügbar. Folgen für den Anbieter? Wohl keine – Business as usual – Digitalisierung Anno 2022 in Deutschland.


Anzeige

Digitalisierung in Deutschland

Aktuell knallt es im Gesundheitswesen (zumindest von mir gefühlt) an allen Ecken und Enden. Gerade erst hatte ich im Blog-Beitrag gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022) über eine fette Schwachstelle bei der Patienten-Authentifizierung für die elektronische Patientenakte (ePA) berichtet. Hintergrund ist, dass das verwendete Video-Ident-Verfahren beliebig umgangen werden konnte (siehe Video-Ident durch Chaos Computer Club "sturmreif geschossen"). Jeder konnte sich mit Fake-Identitäten bei Krankenkassen eine Patientenakte anlegen lassen.

Nun ist die Praxissoftware des Berliner Unternehmens Doc Cirrus ist "Opfer des Kollektiv Zerforschung" geworden, denn diese Fieslinge haben es gewagt, mal genauer hinzuschauen, was da so in der Cloud passiert. Dabei ist erneut aufgefallen, wie "Digitalisierung in Deutschland" funktioniert. Durch Schwachstellen in der Software waren zeitweise eine Million Patientendaten einsehbar – für den Arzt, aber auch für Interessierte oder Unbefugte. Es deutet sich an, dass Patientendaten in Deutschland nicht sonderlich schützenswert sind, anders sind die Vorfälle in obigem ePA-Fall (die Bitkom kritisierte die Aussetzung des Video-Ident-Verfahrens) und im aktuellen Fall der Praxissoftware nicht zu interpretieren.

Doc Cirrus inSuite: Cloudbasierte Praxissoftware

Ich habe mir mal spaßeshalber das Angebot der Berliner Firma Doc Cirrus angeschaut. Laut nachfolgendem Screenshot wirbt der Anbieter zwar mit einer lokalen Datenspeicherung – aber auf der Seite heißt es weiterhin "Cloudbasierte Praxissoftware der 3. Generation".

Doc Cirrus: Cloudbasierte Praxissoftware der 3. Generation
Arzt- und Praxissoftware von Doc Cirrus

Der Hersteller ist wohl eine 2012 gegründete GmbH, die in Berlin angesiedelt ist und das Ziel verfolgt, den Medizin-Sektor mit neuer Praxissoftware und offenen Plattformen zu versorgen. Der Gründer des Unternehmens, Dr. Torsten Schmale, war zuvor mit der inubit AG (heute Teil des Bosch-Konzerns) im Bereich BPM-Software (Business Process Management) tätig und wirbt mit seinen fundierten Kenntnissen, Einblicken und Einsichten im ambulanten, stationären und intersektoralen Gesundheitswesen. Dieser wertvolle Erfahrungsmix sei Grundpfeiler und Ausgangspunkt von Doc Cirrus, die dann auf Basis des einzigartigen Hybrid-Cloud-Ansatzes das Kernprodukt – die "Praxissoftware der 3. Generation" inSuite – vermarkten. Diese Software ist von der Kassenärztlichen Bundesvereinigung (KBV) zertifiziert, damit wirbt der Anbieter, und bei Ärzten im Einsatz.

Kollektiv Zerforschung deckt auf

Aktivisten des Kollektiv Zerforschung (die haben es sich zivilgesellschaftliche Gruppe zum Ziel gesetzt, IT-Sicherheitslücken aufzudecken) haben sich die Fortschritte der Digitalisierung im Medizinbereich in Deutschland genauer angeschaut und die inSuite "Praxissoftware der 3. Generation" unter die Lupe genommen. Denn ähnlich wie meine Wenigkeit haben die Aktivisten bei der ganzen Digitalisierung im Gesundheitswesen ein "schlechtes Bauchgefühl". Klar, es ist schon cool, man kann Termine buchen, Akten durchsuchen, Krankschreibungen und Abrechnungen ausstellen – das geht alles mit einer Software, z.B. von Doc Cirrus.

Unwohl wird einem als Patient, wenn die Daten nicht sicher geschützt werden und Dritte darauf zugreifen können. Unwohl wird möglicherweise auch dem Arzt, wenn er drüber nachdenkt und feststellt, dass er der für Datenschutzvorfälle Verantwortliche ist. Ich habe es hier im Blog noch nicht aufbereitet – aber kürzlich habe ich an einer Videokonferenz einer Kassenärztlichen Vereinigung teilgenommen, wo genau diese Themen zur Sprache kamen.

Mal genauer hingeschaut

Bei der Inspektion der Doc Cirrus-Praxislösung stießen die Sicherheitsforscher auf Schwachstellen. Der normale Arzt und auch der Patient, der sich über die tollen Möglichkeiten des Portals der inSuite "Praxissoftware der 3. Generation" freut, merkt davon nichts. Da das alles, dank Cloud, aber in einem Browser läuft, darf man nicht die Entwicklertools des Browsers öffnen, wenn man weiter als glücklicher, aber unwissender Mensch sterben will. Denn in den Entwicklertools kann man sehen, was zwischen Browser und dem inSuite-Portal ausgetauscht wird.

Terminvereinbarung Arzt
(Quelle: Kollektiv Zerforschung)


Anzeige

Und wenn Google Maps dort aufgerufen wird (für die Karte, wo die Arztpraxis liegt, siehe obige Abbildung), wird man misstrauisch. Bei der Anmeldung am Portal bekommt ein Nutzer die Liste der Praxen angezeigt, bei der er registriert ist. Sieht alles gut aus – aber die Sicherheitsforscher bekamen in den Entwicklertools viele weitere Details mitgeliefert. Dazu gehörten die Bankverbindung der Praxis, die E-Mail-Signatur der Ärzte, die vorhandenen Drucker, und sogar die Zugangsdaten zum Versenden von E-Mails.

Bei weiteren Nachforschungen stellte sich heraus, dass diese Daten für das E-Mail-Postfach der Praxis verwendet wurden – die Sicherheitsforscher bekamen Zugriff auf die gesamte E-Mail-Korrespondenz der Praxis. Diese Zugangsdaten für das Portal wurden bei jedem Aufruf an die Nutzer übertragen. Die im "Datensafe" der Praxissoftware (lokal auf einem Server der Praxis) gespeicherten Dokumente wurden zwar "Ende-zu-Ende-verschlüsselt" übertragen. Aber die persönlichen Dokumente von Arzt und Patient waren nicht nur unverschlüsselt gespeichert – sondern ließen sich auch "per Cloud" abrufen – waren also für Zugriffe Dritter abrufbar und einsehbar. Das galt auch für Praxen- und Patientenlisten des Portals, so dass die dort zugeordneten Dokumente zugreifbar wurden. Neben Laborwerten von Patienten waren auch Rechnungen und andere Dokumente aus Praxen einsehbar.

Zugriff auf Praxen- und Patientendaten

Unter dem Strich war es den Zerforschungs-Aktivisten mit wenig technischen Sachverstand möglich, aus mehr als 270 Arztpraxen persönliche Dokumente und zu allen etwa 60.000 Patientinnen und Patienten personenbezogene Daten abzurufen. Insgesamt geht es um rund eine Million schützenswerter Daten. Die Ergebnisse der Sicherheitsforscher lassen sich unter Auch dezentral lassen sich gut Patient*innen-Daten verlieren nachlesen.

Datenschutzvorfall ohne Konsequenzen?

Die Aktivisten des Kollektivs informierten neben der Firma auch den für Doc Cirrus zuständigen Berliner Datenschutzbeauftragten und CERTBund beim BSI. Der Datenschutzbeauftragte bestätigte auf Anfrage von NDR und WDR, dass er Hinweise zu einer Sicherheitslücke von Gesundheitsdaten bekommen habe. Der Datenschutzbeauftragte schrieb auf die Anfrage: "Aufgrund der vorliegenden Hinweise schätzen wir die uns bekannten Sicherheitslücken derzeit als erheblich ein".

Hersteller bessert nach

Der Hersteller, Doc Cirrus, nahm nach der Meldung das Portal offline und besserte die Fehler bzw. Schwachstellen aus. Laut Anbieter war ein schlicht ein "Programmierfehler" – und das bei einer "zertifizierten" Software. Ich habe den Text der Pressinformation vom 11. Juli 2022 des Herstellers mal herausgezogen – falls es verloren geht.

Von externen IT-Experten wurden wir Ende des vergangenen Monats auf Sicherheitslücken in unseren IT-Systemen hingewiesen. Im Rahmen eines Responsible-Disclosure-Verfahrens (geregeltes Verfahren zur Offenlegung von Sicherheitslücken), für das wir den beteiligten Personen ausdrücklich danken möchten, wurden wir auf Programmierfehler in unserer Software aufmerksam gemacht.

Die betroffenen Dienste wurden nach Eingang der Meldung unverzüglich von uns deaktiviert und überprüft.

Unsere Analyse hat ergeben, dass durch Programmierfehler Schwachstellen im Bereich der Arzt-Patienten-Kommunikation vorlagen, die unbefugte Dritte mit IT-Know-how und Fachkenntnissen in die Lage versetzt hätten, unbefugt auf Einrichtungs- und Patientendaten einiger unserer Kunden zuzugreifen.

Unsere Analysen von Logs und Zugriffsmustern bieten keinen Grund zur Annahme, dass abseits des Responsible-Disclosure-Verfahrens Praxis- oder Patienteninformationen von Dritten eingesehen oder abgegriffen wurden.

Die Programmierfehler sind mittlerweile korrigiert, die betroffenen Dienste sind größtenteils bereits wieder aktiv, lediglich ein letzter Dienst wird möglichst zeitnah wieder nach einem Update zur Verfügung gestellt.

Der Teil unserer Kunden, der potentiell von den Schwachstellen hätte betroffen sein können, wurde von uns unverzüglich nach Bekanntwerden des Problems informiert bzw. erhält entsprechende Informationen und Hinweise bei nächstmaliger Nutzung der Dienste.

Bei den potentiell betroffenen Kunden haben wir uns zudem für den Ausfall der Dienste entschuldigt und unser Bedauern ausgedrückt, dass diese Programmierfehler trotz unserer umfangreichen technisch-organisatorischen und IT-architekturellen Maßnahmen – bspw. extern beauftragte Penetrations-Tests sowie die Zertifizierung nach ISO 27001 – nicht bereits im Rahmen unserer Qualitätssicherungs- und Testprozesse identifiziert wurden. Entsprechend werden wir weitere präventive Maßnahmen und Abläufe etablieren, um insbesondere das Auftreten sicherheitsrelevanter Programmierfehler zu vermeiden.

Neben unseren Kunden und Partnern haben wir die zuständigen Behörden über den Vorfall fristgerecht und umfassend informiert.

Inzwischen ist die Software wieder im Einsatz und der Anbieter erklärt, dass "zu keinem Zeitpunkt sensible Daten abgeflossen seien" – ob das per Log-Dateien überhaupt feststellbar ist, entzieht sich an dieser Stelle meiner Kenntnis. Laut NDR und WDR-Beitrag ist das Unternehmen selbst bezüglich dieser Vorgänge äußerst wortkarg – und auch die AOK Nordost hüllt sich in Schweigen.

Die AOK Nordost war insofern als Kunde des Unternehmens involviert, als in Folge der Korrekturen es Probleme im Centrum für Gesundheit in Berlin der AOK Nordost gab. Dort konnten für über eine Woche keine Termine gebucht werden. Laut NDR und WDR gibt die AOK Nordost nicht an, wie viele Patienten von der Sicherheitslücke betroffen waren.

Potentiell Betroffene wurden auch nicht informiert, heißt es im NDR und WDR-Beitrag, was der Aussage des Herstellers in obigem Pressetext wiederspricht. Was nun stimmt, kann ich aktuell nicht beurteilen. Interessant ist aber folgendes: Der Hersteller Doc Cirrus schreibt "unsere Analysen von Logs und Zugriffsmustern bieten keinen Grund zur Annahme, dass abseits des Responsible-Disclosure-Verfahrens Praxis- oder Patienteninformationen von Dritten eingesehen oder abgegriffen wurden". In den Chats des Artikels von Zerforschung heißt es:

der Dienst hat ein Auditlog – unsere Requests tauchen nicht darin auf.

Diese Aufzeichnung hätte ein nützliches Werkzeug sein können, um nachzuvollziehen, ob die von uns gefundenen Sicherheitslücken bereits vorher entdeckt und ausgenutzt wurden.

Allerdings nützt das in diesem Fall vermutlich sowieso nichts – denn höchstwahrscheinlich können wir die Datensätze nicht nur auslesen, sondern auch verändern.

Der letzte Satz galt der Erkenntnis, dass die Sicherheitsforscher teilweise Administrationsfunktionen nutzen konnten.

Allerdings gibt es noch ein weiteres Problem (bezüglich der Information Betroffener), auf welches ich über diesen Kommentar gestoßen bin. Beim Arzt gilt ja das Berufsgeheimnis (§203 StGB), so dass es schon problematisch werden könnte, wenn Dritte feststellen können, welche Person bei welchem Arzt vorstellig wird. Hier bin ich aber zu weiß außen vor, um da belastbare Aussagen treffen zu können. Ziemlich verzwickt, die Sache. Mein Hausarzt (hat noch einige Jährchen) besteht auf seine Handakten – obwohl die Praxismitarbeiterinnen fluchen – könnte man alles elektronisch in diesem PC machen. Hektik gibt es immer nur dann, wenn dieses "Tierchen muckt und nicht will" – aber an Datenschutz denkt keines der Mädeln.

Anfängerfehler in der Entwicklung

Kollektiv Zerforschung vermisst in seinem Beitrag "beim Hersteller der Software das nötige Bewusstsein, dass Gesundheitsdaten sehr sensible Daten sind und zurecht in der DSGVO besonders geschützt sind. Die aufgezeigten Fehlerquellen sind Anfängerfehler und zeigen nach Ansicht der Sicherheitsforscher krasse Defizite in den Entwicklungs-Prozessen des Unternehmens auf.

Die vielen, von Doc Cirrus, aufgefahrenen "Zertifizierungen" sind das Papier nicht wert, auf das sie gedruckt sind. Keine der Zertifizierungsstellen hat das Produkt kritisch geprüft. Kollektiv Zerforschung fordert, dass die Datenschutzbehörde gegen das Unternehmen vorgehen und empfindliche Strafen verhängen muss. Meine persönliche Einschätzung: Das wird nichts und lässt sich juristisch kaum durchsetzen, wenn kein Schaden nachgewiesen werden kann.

Zudem wurde die Forderung, dass IT-Sicherheit bei Softwareherstellern ganz oben auf die Prioritätenliste muss, von den Sicherheitsforschern erhoben. Traurig, dass so etwas erwähnt werden muss – und ich gehe davon aus, dass entsprechende Zusicherungen Lippenbekenntnisse sind. Sehe ich an den Fällen, in denen ich hier im Blog auf Sicherheitslücken hinweise und diese teilweise mit aufgedeckt habe.

Der Arzt ist verantwortlich!

Und wie schaut es mit der Haftung des Anbieters aus? Und wer ist am Ende des Tages für Datenschutzverstöße verantwortlich? Da im Blog auch Ärzte gelegentlich mitlesen, ein paar unangenehme Wahrheiten. Die Zertifizierung durch die Kassenärztliche Bundesvereinigung etc. ist nicht wirklich hilfreich. Ich zitiere die Aussage des Sprechers des Bundesdatenschutzbeauftragten, Christof Stein, im NDR und WDR-Beitrag:

Tatsächlich hat ein Softwarehersteller keine Verpflichtung, seine Software in irgendeiner Art und Weise datenschutzkonform auszugestalten.

Dies gelte auch für Software, die sensible Daten verarbeite (also die oben genannte Praxissoftware). Dann kommt der Knackpunkt, der sich auch mit meinem Kenntnisstand deckt:

Verantwortlich ist laut Stein zufolge letztlich die Arztpraxis. Der Arzt bzw. die Praxis müsse überprüfen, ob die eingesetzte Software datenschutzkonform sei. Dort darf man sich nicht auf irgendwelche Zertifikate oder Gütesiegel verlassen.

"Das Motto 'Je mehr Zertifikate, desto besser' sollte man sowieso grundsätzlich immer hinterfragen, weil diejenigen, die die Zertifikate ausstellen natürlich auch ganz bestimmte Kriterien anlegen, die man gegebenenfalls als Verbraucherin und Verbraucher gar nicht kennt", so Christof Stein. Korrespondiert auch mit den Aussagen der Juristen auf einer Videosession einer kassenärztlichen Vereinigung, an der ich kürzlich teilgenommen habe.

Die Aussagen sind irgendwie auch logisch. Wenn ich ein Windows, ein Office, ein Exchange von Microsoft einsetze und dann gehackt werde, bin ich als Betreiber der Software, und nicht der Hersteller Microsoft, in der Verantwortung.

Arzt
(Quelle: Pexels/Pixabay CC0 Lizenz)

Dem Arzt oder der Praxis bliebe nur, den Hersteller der Praxissoftware im Falle eines Schadens in Regress zu nehmen. Da wären aber die Schadenssummen einzuklagen (kam auf der von mir erwähnten Videokonferenz einer Kassenärztlichen Vereinigung von deren Hausjuristen auch so heraus). Und dann wird es spannend, ob der Anbieter die Schadensersatzhöhe in seinen AGB begrenzt.

Ähnliche Artikel:
Cyber-Sicherheit im Gesundheitswesen
Sicherheitslücken im deutschen Gesundheitsdatennetz
Nächstes Sicherheitsdesaster bei Vivy-Gesundheits-App
Access:7-Sicherheitslücken mit Auswirkungen auf medizinische und IoT-Geräte
Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko?
Digitalisierung im Gesundheitswesen: Ärzteverbände fordern einjähriges Moratorium
Gesundheitswesen: Einrichtungen Hauptziel von Ransomware-Angriffen
Hack dein Gesundheitsamt, die Luca-App machte es möglich
Schweizer Impfplattform mit schweren Sicherheitsmängeln
Der Schweizer Impfpass: Gescheitert an der Sicherheit
Tenable zeigt: Fast 106 Millionen Gesundheitsdaten offengelegt

60 Jahre Software-Entwicklung: Ein Alptraum, der mit grottiger Qualität und im Chaos endet
Software: Unser Grab als PKW-Besitzer der Zukunft?
Zum Nachdenken: Softwaresicherheit in modernen Autos


Cookies blockieren entzieht uns die Finanzierung: Cookie-Einstellungen

Dieser Beitrag wurde unter Sicherheit abgelegt und mit verschlagwortet. Setze ein Lesezeichen auf den Permalink.

10 Antworten zu Digitalisierung Deutschland: Patientendaten in Praxissoftware einsehbar

  1. Andreas sagt:

    Dazu fällt mir nur das T-Shirt "Ein mal mit Profis arbeiten" ein.

  2. Wil Ballerstedt sagt:

    Gesundheitsdaten öffentlich? "Nichts zu verbergen!" …

    Schlimm nur, das Menschen mit Datenschutzbewusstsein unter diesen Ignoranten leiden.

  3. Jackie sagt:

    Der Hersteller ist für das Verarbeiten/Speichern der Daten in seiner Cloud verantwortlich. Der Arzt bleibt es aber auch. Damit sollte verhindert werden das die Verantwortlichkeit abgegeben wird, wie man dies ja auch aktuell versucht. Würde die Software nur lokal Daten Verarbeiten und Speichern. wäre tatsächlich auch nur der Arzt verantwortlich.

  4. Paul sagt:

    Interessant finde ich dass sie von "Programmierfehlern" sprechen. Das zeigt klar, was für Newbies das sind. Profis sprechen von "Softwarefehlern", so als ob die Software sie selbst entwickelt hätte, und kein Mensch dafür etwas kann…

  5. Paul sagt:

    Danke für den Bericht.
    Aber was genau waren denn die Programmier Fehler?

    Wieso wird das generell so selten genau berichtet was schief gelaufen ist?
    Jeder macht Fehler. Es ist doch besser, wenn man aus Fehlern Anderer lernen kann, oder?

    • Günter Born sagt:

      Zu: "Aber was genau waren denn die Programmier Fehler?" – das wird der Hersteller nicht offen legen – da die Software closed source ist. Und wenn ich Informationen hätte, müsste ich aufpassen, dass nach einem Bericht kein Anwalt bei mir auf der Matte steht.

      Wer den Bericht von Zerforschung liest, kommt zum Schluss, dass dort eine Reihe gravierender Design-Fehler im System vorlagen/vorliegen. Dokumente müssten idealer weise verschlüsselt für Praxis und Einzelpatienten vorliegen – damit Dritte nicht darauf zugreifen können. Gleiches gilt imho für Patienten- und Praxen-Listen.

      Die Benutzerrollen waren nicht sauber getrennt, so dass bestimmte angemeldete Benutzer auch administrative Berechtigungen bekamen.

      Dass Anmeldedaten für den SMTP-E-Mail-Versand im Klartext bei jeder Benutzeranmeldung übertragen wurden, ist ein Kardinalfehler und stand auch so bei Zerforschung. Auch hätte ggf. administrativ sichergestellt werden müssen, dass die Zugangsdaten für E-Mail-Konto, Praxis-Konto etc. nicht identisch sind.

      Wer in diesem Entwicklungsbereich aktiv ist und etwas von Sicherheit by design versteht (ich zähle mich nicht dazu, erkenne aber bereits einige Böcke), wird mit den Informationen bei Zerforschung etwas anfangen können.

      Zum letzten Absatz: Da habe ich hier im Blog zu anderen Artikeln in diversen Kommentaren auf diese Fragen ausführlich zu Stellung genommen. In kurz: Wenn ich Informationen habe, die auch öffentlich werden dürfen, steht das hier im Blog. I.d.R. legen die Firmen aber Wert darauf, dass das unter der Decke bleibt – und wenn ich Inside-Infos bekomme und berichte, kann es schon mal sein, dass hier kurz danach das Telefon klingelt.

      Zu "Jeder macht Fehler … lernen kann": Selbstredend, mag auch niemanden zu nahe treten. Wir reden hier nicht "von in der Nase popeln und sich die Finger dabei brechen", oder eine Software für die Urlaubsplanung verbrechen, sondern von einer Praxis-Software entwickeln, die sehr sensitive Daten verwalten soll.

      Das Arztgeheimnis ist mit Recht ein hohes Gut und Verstöße werden mit gutem Grund deutlich sanktioniert. Und dann entwickeln ein paar Leute eine Praxis-Software, wo Du alle Infos zu Patienten vom Doc als unbefugter Dritter mal eben nachschlagen kannst. Das geht ja mal gar nicht … und hat nichts mehr mit "aus Fehlern anderer lernen" zu tun. Das ist – nach meinem Eindruck – broken by design (ähnlich wie der gehärtete Sparkassen-Browser, über den ich vor Wochen berichtete).

      Wenn sich Firmen in diesem Bereich tummeln – da ist richtig Geld zu holen – sollten die a) sich über Konsequenzen bewusst sein und b) über die notwendigen Sachkenntnisse verfügen, um so etwas ohne Kardinalfehler an den Markt zu bringen. Das da durchaus mal "eine Schwachstelle" im Code drin ist, geschenkt. Aber das, was sich bei Zerforschung abzeichnete, läuft für mich unter "sie wissen nicht, was sie tun". Das ist in diesem Bereich tödlich …

      … abschließend: Vielleicht kriege ich doch mal genügend Zeit und habe Lust, einen generellen Artikel über den Digitalisierungs-GAU im Gesundheitswesen zu schreiben. Mir liegt noch immer die Videokonferenz einer kassenärtzlichen Vereinigung zu "IT-Sicherheit in der Praxis" im Hinterkopf herum, wo ich als "Zuhörer/-Seher" teilnehmen durfte. Hätte da 1.000 Ärzte erwartet – es waren 97 Teilnehmer – mir wurde mein Bild bestätigt, was ich von der Thematik hatte. Aus IT-Sicherheitssicht möchte ich heute kein Arzt sein.

      • Paul sagt:

        Danke,. Das auch Programierfehler dem Copyright unterliegen ist klar, aber war mir nicht bewusst.
        Aber was zerforschung beschreibt sind ja Struktur und Design-Fehler, keine Programmier-Fehler (Pflichtenheft sagt: rechne a*b, programmiert wird a+b, das ist m. E. ein Programierfehler)

  6. Paul sagt:

    "Unsere Analysen von Logs und Zugriffsmustern bieten keinen Grund zur Annahme, dass abseits des Responsible-Disclosure-Verfahrens Praxis- oder Patienteninformationen von Dritten eingesehen oder abgegriffen wurden."

    Was nicht einmal gelogen sein muss, denn lt. zerforschung war ihre Aktivität nicht im Log sichtbar und hätte dank dem als root agierenden Webserver leicht entfernt werden können…
    (wann gab dauerhaft als root laufende Webserver? Das wird wohl Ende der 80er gewesen sein. Es was aber sicher einfacher zu programmieren..)

    Es wirft aber eine weitere Frage auf:
    Wieso loggen die das alles überhaupt mit?
    Für wie lange?

    • Jackie sagt:

      Das loggen ist schon in Ordnung. Im Gegenteil das könnte man sogar aus der DSGVO ableiten. Es muss nachvollziehbar sein wer personenbezogene Daten verändert hat. Ich würde in diesem Fall die Logs für ein Jahr aufbewahren wollen.

  7. Paul sagt:

    Mich würde schon sehr interessieren, wie die "lebend" aus der Nummer rauskommen wollen.
    Man muß sich ja mal nur den gewaltigen Aufwand ansehen, der bei der "elektronischen Patienten akte"
    getrieben wird.
    Und die wollen dasselbe erreichen, in dem sie die Daten physisch in den Praxen lagern und "nur" die Anfrage über die Cloud machen?
    Ist das nur naiv oder schon kriminell das technischen Laien als sicher zu verkaufen?

Schreibe einen Kommentar zu Paul Antworten abbrechen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Hinweis: Bitte beachtet die Regeln zum Kommentieren im Blog (Erstkommentare und Verlinktes landet in der Moderation, gebe ich alle paar Stunden frei, SEO-Posts/SPAM lösche ich rigoros). Kommentare abseits des Themas bitte unter Diskussion.