Patienten müssen sich bei Besuch ihres Arztes oder auch nur der Apotheke im kommenden Jahr umgewöhnen. Dann fällt der Startschuss für die elektronische Patientenakte (ePA). Ihre Einführung ist ab dem 15. Januar stufenweise geplant. Doch schon jetzt wird Kritik laut. Forscher des Fraunhofer Instituts für sichere Informationstechnologie (SIT) erkannten insgesamt 21 Schwachstellen. Dabei wurde lediglich das Konzept der dahinter stehenden gematik GmbH untersucht. Bei vier von diesen wurde das Risikopotential als hoch eingeschätzt.
Dazu zählen etwa organisatorische Schwächen. So bemängeln die Forscher etwa, dass die Abschätzung von Gefahren und daran anschließende Gegenmaßnahmen von Anbietern an Wochenenden und Feiertagen teilweise erst nach 72 Stunden erfolgen muss. Das ist viel Zeit für einen Eindringling, der eine Schwachstelle ausgemacht hat. Richtlinien sehen selbst bei einfachen Daten von Kunden eine Reaktionszeit von 24 Stunden vor. Zumal die Autoren der Studie Möglichkeiten aufzeigen, über die Angreifer die ePa mit Hilfe von Schadcode in ihrer Funktion stören können. Als ein hohes Risiko wird dabei angesehen, dass es externen Entwicklern erlaubt wird, unsichere Entwicklungsprozesse zu verwenden. Damit könnten jedoch unbemerkt Schadsoftware und Backdoors in die später verwendete Software eingebaut werden.
Unbekümmerter Umgang mit Sicherheitsanforderungen
Diese Sicherheitslücke wird noch dadurch verstärkt, dass die mit der Patientenakte betraute gematik keine verpflichtenden Sicherheitsanforderungen für die Entwicklung der Primärsysteme entworfen hat. Selbst unbeabsichtigte Fehler, etwa in Software von Zulieferern, könnten so ihren Weg in das System finden. Hacker könnten diese ausnutzen, um etwa Angriffe auf die Erbringer der Leistungen wie Krankenhäuser auszuüben.
Auch an anderer Stelle scheinen grundlegende Sicherheitsaspekte nicht in dem Maße Beachtung gefunden zu haben. In der Untersuchung des ePA-Konzepts wird gleich an mehreren Stellen auf eine zu laxe Vergabe von Rechten an einzelne Mitarbeiter aufmerksam gemacht. Diese reichen teilweise so weit, dass ein sogenannter Innenangreifer das Aktensystem durch die Zerstörung von Komponenten im Rechenzentrum oder ungeplantes Herunterfahren zumindest beschädigen könnte.
Die ungenügende Rollentrennung kann auch bei der Sicherung der Daten zum Problem werden. Angreifer, die an die nötigen Rechte gelangt sind, können gleichzeitig an die produktiv verwendeten Daten und die Backups gelangen. Ein weiterer Schutzmechanismus in Form einer offline angelegten Sicherung der Daten ist in dem Sicherheitskonzept jedoch nicht vorgesehen. Dies könnte sich auch im Falle eines erfolgreichen Angriffs, etwa mit einer die Daten verschlüsselnden Ransomware, als katastrophal zeigen, weil die Grundlage für eine Wiederherstellung der Daten fehlen würde.
Wie sicher wird die Patientenakte?
Die ePa soll ab kommendem Januar und vor allem nach dem bundesweiten Rollout im März einen wichtigen Beitrag zu weniger Bürokratie im Gesundheitswesen leisten. Ärzte sollen direkt Einblick in den Gesundheitszustand ihres Patienten erhalten. Selbst die in Apotheken einzulösenden Rezepte werden in der digitalen Akte hinterlegt.
Die Studie des Fraunhofer SIT lässt zumindest daran zweifeln, dass bei der Entwicklung die notwendige Sorgfalt an den Tag gelegt wurde. Allerdings wurde die Untersuchung von gematik selbst beauftragt, um Schwachstellen zu erkennen und zu beheben. Wenig beruhigend ist zudem, dass noch nicht die eigentliche Funktion der ePa, sondern nur das zugrunde liegende Konzept überprüft wurde. Und für weitere Tests ist die bis zum geplanten Start bleibende Zeit begrenzt.