Archiv der Kategorie: Telematik-Infrastruktur

Sicherheitsrisiko Telematikanschluss: Hunderte Computer in Arztpraxen sind angreifbar – niemand will die Verantwortung übernehmen

Seit April 2019 ist bekannt, dass in hunderten von Arztpraxen gravierende Lücken bei der IT-Sicherheit entstanden sind. Die Computer dieser Arztpraxen sind nicht – oder nicht mehr – durch “Firewalls” gegen Angriffe aus dem Internet geschützt. Grund dafür sind Fehler bei der Installation der “Konnektoren”. Der Konnektor, den jede Arztpraxis kaufen muss, stellt eine verschlüsselte Verbindung zwischen Arztpraxis und den zentralen Servern der Telematikinfrastruktur her.

Bei der Konnektor-Installation wurden durch die beteiligten IT-Dienstleister in einer großen Zahl von Fällen Fehler gemacht. Einerseits wurde eine Installationsform gewählt, die zwingend eine zusätzliche Absicherung der Praxen erfordert. Andererseits wurden bei der Installation Firewalls und sonstige Sicherheitsmaßnahmen der Arztpraxen abgeschaltet. Im Ergebnis waren die Praxis-Computer völlig ungeschützt mit dem Internet verbunden, d. h. offen für Schadsoftware und Diebstahl von Patientendaten. Sicherheitsrisiko Telematikanschluss: Hunderte Computer in Arztpraxen sind angreifbar – niemand will die Verantwortung übernehmen weiterlesen

Zwei Administratoren retten die Datensicherheit in deutschen Arztpraxen

Wie wir berichteten, wurden durch die Installation der Konnektoren in den Arztpraxen Sicherheitslücken in diesen Arztpraxen geöffnet, groß wie Scheunentore. Mittlerweile hat auch Heise darüber berichtet, die Gematik verharmloste das Ganze in einer Pressemitteilung. Die Information darüber geht von einem Informatiker in Schwerte (NRW) aus, der die Sicherheitsprobleme nach der Installation des TI-Konnektors in einigen von ihm betreuten Arztpraxen bemerkte und daraufhin die gematik, den Landesdatenschutzbeauftragten und weitere Verantwortliche alarmierte. Angesehene IT-Sicherheits-Fachleute haben den Sachverhalt mittlerweise bestätigt. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit ist eingeschaltet. Wenn der Informatiker aus Schwerte nicht Alarm geschlagen hätte, wüsste niemand davon.

Wie unzureichend die Gematik den Rollout der Konnektoren vorbereitet hat, zeigt ein Blog eines anderen Informatikers aus einem Systemhaus in Paderborn. Auch er musste den Konnektor installieren lassen, konnte es aber einrichten, dabei anwesend zu sein. Den zur Konnektorinstallation befugten “zertifizierten Techniker” fehlten jedoch jegliche technische Informationen (Portnummern etc.), die sie für den Anschluss benötigt hätten. Bei der Konfiguration der Firewall konnte er ihnen aushelfen, so dass in diesen Fall die Praxis nicht ungeschützt ans Internet angebunden wurde, wie offenbar in den meisten anderen Fällen. In mühsamer Kleinarbeit und mit der Hilfe von 80 Antworten von zwei Dutzend Kollegen hat er anschließend die notwendigen technischen Informationen zusammengetragen, man kann das in diesem Blog nachlesen.

Unserer Meinung nach muss die Gematik die volle finanzielle Verantwortung für das Debakel bei der Installation der Konnektoren übernehmen. Die Installation wurde völlig unzureichend getestet. Ein klarer Fall von Organisationsverschulden.

Telematikinfrastruktur-Anschluss katastrophal – Arztpraxen ungeschützt im Internet

Bis Ende Juni 2019 sollen nach dem Willen von Bundesgesundheitsminister Jens Spahn bundesweit alle Arztpraxen an die Telematikinfrastruktur (TI) angeschlossen werden. Dafür wird als Bindeglied zwischen lokalem Praxis-IT-Netzwerk und TI ein “Konnektor” installiert, der den Datenaustausch über eine verschlüsselte VPN-Verbindung ermöglicht. Die Installation der Konnektoren in den Arztpraxen erwies sich nun als Sicherheitsrisiko für die lokal gespeicherten Patientendaten.
Die beauftragten Techniker schlossen die Konnektoren in Form des sog. “Parallelbetriebs” an (vgl. gematik-Infoblatt). Diese Installationsform bietet keinen Schutz gegen Angriffe aus dem Internet und eignet sich daher nur für lokale Netzwerke, die zusätzlich durch eigene Firewalls und Virenscanner abgesichert sind. Die sichere Konfiguration aller beteiligten Komponenten ist dabei ziemlich aufwändig.
So viel Mühe machten sich die mit dem TI-Anschluss beauftragten Techniker allerdings nicht. Stattdessen schalteten sie “störende” Firewalls einfach ab, wodurch die Praxisnetzwerke (neben der Anbindung an die TI) auch völlig ungeschützt mit dem Internet verbunden waren. Telematikinfrastruktur-Anschluss katastrophal – Arztpraxen ungeschützt im Internet weiterlesen