Auch dezentral lassen sich gut Patient*innen-Daten verlieren

Unter diesem Titel informiert „Zerforschung“, eine Gruppe von IT-Sicherheitsforscher*innen, über ihre Erfahrungen bei der Untersuchung der in Arztpraxen eingesetzten Software “InSuite” von DocCirrus.

Die Software „inSuite“ soll Ärztinnen und Ärzten ihren Praxisalltag erleichtern: Durch ein Terminbuchungstool, digitalisierte Patientenakten oder die Möglichkeit, Dokumente wie etwa Laborbefunde direkt mit Patienten oder anderen behandelnden Ärzten zu teilen. Wer auf die Homepage der Berliner Firma Doc Cirrus geht, wird mit Werbeversprechen überhäuft: Die Software sei wartungs- und sorgenfrei, eine maßgeschneiderte und zukunftsorientierte Lösung für jede Arztpraxis. Und natürlich – so schreibt der Hersteller – seien die Patientendaten absolut sicher: Er verspricht ein 360°-IT-Sicherheitskonzept und den Schutz vor unbefugten Zugriffen.

Schon im ersten Absatz des Erfahrungsberichts der Gruppe „Zerforschung“ wird deutlich, was von diesem Heilsversprechen zu halten ist: Unfassbar, aber wahr: Auch in Deutschland kommt die Digitalisierung an. Mittlerweile sogar in Arztpraxen. Termine buchen, Akten durchsuchen, Krankschreibungen und Abrechnungen ausstellen – das alles kann mit einer Software erledigt werden. Die kennt dann Praxen und Patient*innen sehr gut – sehr, sehr gut sogar. Genauso unfassbar, aber leider auch wahr: Als wir uns eine dieser Softwarelösungen für Arztpraxen mal genauer angeschaut haben, hat sie sehr viele Daten verloren. Sehr, sehr viele: Von mehr als einer Million Patient*innen.“

Detailliert wird im Erfahrungsbericht beschrieben, was mit der Software von DocCirrus möglich ist und welche Lücken das Sicherheitskonzept beim Schutz der Patient*innen- und Behandlungsdaten aufweist. In mehreren Kapiteln unter den Überschriften

  • Schock 1: Ich sehe was, was du deinen Ärzt*innen schreibst
  • Schock 2: Ente-zu-Ente-Verschlüsselung: Alles nur quak
  • Schock 3: Wir kennen alle Dokumente deiner Ärzt*innen
  • Schock 4: Wir können alle Infos der Praxis abrufen
  • Schock 5: Wir können Daten aus mehreren Praxen abrufen“

werden die Probleme detailliert beschrieben. Um dann festzustellen: „… Wir sind nun in allen Praxen registriert. Das heißt auch: Wir können in allen Praxen die Daten aller Patient*innen abrufen. Das haben wir natürlich nicht getan – sondern uns für jede Praxis nur angeschaut, wie viele Patient*innen dort im System registriert sind. ohhhhh fuuuuuuck, ich habe gerade mal die anzahl der patient*innen zusammengezählt das sind mehr als 1.750.000“.

Nach Abschluss ihrer Recherchen hat „Zerforschung“ den Hersteller der Software, die Berliner Landesdatenschutzbeauftragte sowie das CERTBund beim BSI über ihre Erkenntnisse informiert.

In ihrem Erfahrungsbericht informieren sie über die Reaktion des betroffenen Unternehmens: Was dann passierte, hatten wir bisher nicht erlebt: Das Unternehmen hat das System erstmal abgeschaltet. Bei der Schwere der Sicherheitslücken fanden wir das aber auch angebracht. Und auch sonst hat sich der Hersteller erstmal gut verhalten: Er hat sich von sich aus bei uns gemeldet, die Lücken bestätigt und angekündigt, die Betroffenen darüber zu informieren, welche Daten abgeflossen sind und welche weiteren Maßnahmen getroffen werden sollen… Wir hatten den Eindruck, dass das Unternehmen wirklich betroffen ist und versucht, sowohl weiteren Schaden zu verhindern als auch den bereits entstandenen einzudämmen. Nur leider passierte dann nicht mehr viel. Bis heute ist uns nicht bekannt, ob Patient*innen über die Sicherheitslücke und die abgeflossenen Daten informiert wurden… Auch scheint das Unternehmen die Lücken unter den Teppich kehren zu wollen. Auf der Website findet sich zu dem Thema bisher nur eine, etwas verstecke Pressemitteilung, aus der die Schwere der Lücken nicht klar hervorgeht.“

Zerforschung“ schließt den informativen Beitrag mit der Feststellung: Die Daten, von denen wir in diesem Artikel reden, sind mal wieder Gesundheitsdaten und damit sehr sensible Daten und zurecht in der DSGVO besonders geschützt. Hierfür vermissen wir bei DocCirrus – aber auch bei anderen Herstellern von Gesundheitssoftware – das nötige Bewusstsein… Wir fordern daher:

  1. Das Unternehmen bzw. die Praxen müssen alle Patient*innen über diese Lücke, die gefährdeten Daten und die damit verbundenen Risiken informieren.
  2. Die Datenschutzbehörde muss gegen das Unternehmen vorgehen und empfindliche Strafen verhängen – nach der DSGVO sind hier bis zu 20 Millionen möglich.
  3. Datenschutz und insbesondere IT-Sicherheit muss bei Softwareherstellern ganz oben auf die Prioritätenliste. Und so gilt mal wieder: Wenn ein Produkt marktreif genug ist, um persönliche Daten zu speichern muss es auch reif genug sein, diese für sich zu behalten.“ 

Zerforschung arbeitet ehrenamtlich. Auf der Homepage erklären die Sicherheitsforscher*innen:

Wenn euch gefällt was wir machen, dürft ihr uns gern unterstützen. Ihr könnt uns einerseits finanziell unterstützen, andererseits freuen wir uns auch über Werkzeug oder lustige/interessante Hardware, die wir mal auseinandernehmen sollten… Wenn ihr uns Geld zukommen lassen möchtet, ist uns eine Überweisung am liebsten: IBAN: DE94
1101 0100 2295 8724 50
BIC: SOBKDEBBXXX
Kontoinhaber*in (falls benötigt): radforschung
GbR...

Was machen wir mit dem Geld? Für viele Projekte und Experimente kaufen wir Hardware, Bauteile und Software. Entweder um sie auseinanderzunehmen oder um sie als Analysewerkzeug zu benutzen. Wir versuchen, beim finanziellen Aufwand unserer Projekt möglichst transparent zu sein, sodass ihr bei vielen unserer Veröffentlichungen nachschauen könnt, wofür wir wie viel Geld ausgegeben haben…“

Ein Gedanke zu „Auch dezentral lassen sich gut Patient*innen-Daten verlieren“

  1. Das Gesundheitswesen ist offenbar eher am Gewinnstreben anstatt an der Gesundheit ausgerichtet.
    Zum Beispiel wurden in unserer Familie mehrmals Computertomografien ohne Aufklärung durchgeführt. Zu diesem Röntgenverfahren ein Zitat aus https://wissenschaft3000.wordpress.com/2018/10/27/computertomografie-ist-so-gefaehrlich-wie-eine-atombombe-wie-bitte-unbedingt-lesen/ bzw. https://idw-online.de/de/news202135 : „Jeder dritte Arzt unterschätzt die Strahlenbelastung im CT RUB-Studie: Unkenntnis macht Zuweiser zu sorglos.“
    Wenn Ärzte nicht von Herstellern über Risiken und Nebenwirkungen der Medizinprodukte informiert werden müssen, sind Ärzte sowie Patienten den Profitinteressen der Hersteller von Medizinprodukten ausgeliefert. Dadurch können Gesetze wie z.B. das Grundgesetz und das Patientenrechtegesetz nicht wirken.
    Aufzuklären wäre vor Computertomografien z.B. über die erhöhte Tumorgefahr, vgl. https://www.ippnw.de/commonFiles/pdfs/Atomenergie/Krebs_nach_niedrigen_Strahlendosen.pdf und über die Gefahr von Schlaganfällen und anderen Herzkreislauferkrankungen, vgl. https://cordis.europa.eu/article/id/31402-lowdose-radiation-may-cause-heart-disease-and-stroke/de. Mein Vater starb dementsprechend nach mehrmaligen Computertomografien des Schädels an einem Schlaganfall.
    Nach dem Urteil des BGH, 03.12.1997 2 StR 397/97 kann bereits ein um 100-faches herkömmliches Röntgen über einen Zeitraum von ca. 10 Jahren eine gefährliche strafbare Körperverletzung darstellen. Seltsamerweise gilt heutzutage die bei Computertomografien zugemutete einmalige Dosis von bis zu 1000 Röntgenaufnahmen als keine Körperverletzung.
    Zum Gesundheitsmanagement ein Zitat aus https://www.sueddeutsche.de/thema/Implant_Files:
    „Bei der Zulassung, Sicherheit und Kontrolle von Medizinprodukten liegt ein Multiorganversagen vor. Politik und Kontrollbehörden unternehmen nichts. Probleme werden im großen Stil vertuscht, für Patienten ist diese Lethargie lebensgefährlich. Wo bleibt der Aufschrei?“ Der Aufschrei wird offenbar aus Geld- und Machtinteressen abgewürgt.
    Dass die Pharmaindustrie schlimmer als die Mafia ist, wird auch unter https://www.youtube.com/watch?v=JtbqwZFCJfo sowie auch unter https://www.deutsche-apotheker-zeitung.de/news/artikel/2015/02/06/pharmaindustrie-schlimmer-als-die-mafia bestätigt.
    Zitat aus https://www.aerzteblatt.de/archiv/32976/Gesundheitssystem-In-der-Fortschrittsfalle: „Der Wettbewerb zwingt zur Erschließung neuer Märkte. Das Ziel muss die Umwandlung aller Gesunden in Kranke sein…“.

Schreibe einen Kommentar