Monthly Archives: Februar 2019

35C3: Digitale Gesundheitsakten weisen Schwachstellen auf

Ende letzten Jahres war ich auf dem 35. Chaos Communication Congress (35C3), der jährlichen Jahresendveranstaltung des Chaos Computer Clubs, die 2018 zum zweiten Mal auf dem Leipziger Messegelände stattfand.

Mit dieser Veranstaltung schafft der CCC jedes Jahr einen Raum für den Austausch über IT, IT-Sicherheit und die Implikationen für die Gesellschaft. Ein umfangreiches Vortragsprogramm wird ergänzt durch farbenfrohe Installationen und die Präsenzen vieler dem Club nahestehender Gruppen, die auf ihren Flächen Informationen und Workshops anbieten. Genauso vielfältig ist die Teilnehmerschaft, die nicht nur aus dem IT-Sektor stammt: Das einladende Motto „all creatures welcome“ macht deutlich, dass diese stark teilnehmergetriebene Veranstaltung allen Interessierten offensteht.

Die Glashalle der Leipziger Messe während der Veranstaltung. Foto: Leah Oswald unter CC-BY 2.0

Die Glashalle der Leipziger Messe während der Veranstaltung.
(Foto: Leah Oswald unter CC-BY 2.0)

Der Untertitel des 35C3 war „Refreshing Memories“. Neben der Erinnerung an frühere Chaos-Events und der technischen Bedeutung des Ausdrucks ist er auch als Aufforderung gemeint, in wissenschaftsfeindlichen Zeiten zu Fakten und Weltoffenheit zurückzufinden.

Fast alle Vorträge der Veranstaltung wurden aufgezeichnet und stehen auf media.ccc.de zum Nachschauen bereit. Auf den Beitrag mit dem Titel All your Gesundheitsakten are belong to us möchte ich an dieser Stelle besonders hinweisen.

Der vortragende IT-Sicherheitsforscher, Martin Tschirsich, untersuchte verschiedene Implementierungen einer elektronischen Gesundheitsakte und einige Softwareprodukte zur Durchführung von Videosprechstunden auf Schwachstellen. Eine elektronische Gesundheitsakte ist eine Anwendung, die der Kommunikation und dem Dokumentenaustausch zwischen Patient und Arzt dient. Diese Anwendungen sind meist als App oder als Webapplikation umgesetzt.

Aufgrund der besonders sensiblen Art der ausgetauschten Daten ist an dieser Stelle ein hohes Sicherheitsniveau unabdingbar: Gesundheitsdaten nehmen unter den personenbezogenen Daten eine Sonderrolle ein, da viele Informationen nicht veralten. Während Kreditkartennummern austauschbar sind, lässt sich die eigene Krankheitshistorie nicht ablegen. Werden Gesundheitsdaten öffentlich bekannt, hat das für die Betroffenen unter Umständen nicht finanzielle, sondern gravierende gesellschaftliche und soziale Auswirkungen.

Umso ernüchternder ist, dass der Referent in mehreren Produkten gravierende Sicherheitslücken finden konnte – von SQL-Injections und Cross-Site-Scripting-Lücken über den schwachen Schutz von Gesundheitsdaten durch zu kurze Session-IDs bis hin zu konzeptionellen Fehlern, die Offline-Cracking von Benutzerpasswörtern ermöglichen. Tschirsich mahnt die Software-Hersteller dazu, das Öffentlichwerden von Gesundheitsdaten nicht bloß als finanzielles Risiko zu sehen, sondern auch die Auswirkungen auf die Benutzer zu berücksichtigen.

Die Nutzung einer elektronischen Gesundheitsakte ist bislang zwar optional, was sich zukünftig jedoch ändern könnte – schließlich gehen mit einer solchen Anwendung auch Erleichterungen in der Praxis einher. Bis dahin sind jedoch offenbar noch massive Verbesserungen wünschenswert.