Schlagwort-Archive: Gesundheitsdaten

Blog, Telematik-Infrastruktur

Mangelnde Sicherheit der Telematik-Infrastruktur: Offener Brief des Vorstands der Kassenärztlichen Vereinigung Bayern an Bundesgesundheitsminister Jens Spahn

Schreibe einen Kommentar

Am 10.01.2019 hat sich die Kassenärztliche Vereinigung Bayern (KVB) – gestützt auf die beim CCC-Kongress im Dezember 2019 bekannt gewordenen Mängel bei der Sicherheit des Zugangs zur Telematik-Infrastruktur – mit einem Offenen Brief an Minister Spahn gewandt.Der Offene Brief ist in seiner Gesamtheit eine vernichtende Kritik an der Politik von Spahn (CDU), aber auch aller seiner Vorgänger*innen als Bundesgesundheitsminister*innen, die sich an der Digitalisierung des Gesundheitswesen durch Schaffung der gematik versucht haben.

Dieser Brief beginnt mit der Feststellung: „… mit größter Sorge haben wir von Seiten des Vorstands der Kassenärztlichen Vereinigung Bayerns aus die aktuellen Medienberichte vernommen, wonach es Mitgliedern des Chaos Computer Clubs gelungen ist, sich Zugangsberechtigungen für die Telematikinfrastruktur (TI) im Gesundheitswesen zu beschaffen. Die Tatsache, dass sich die IT-Sicherheitsexperten über Identitäten Dritter gültige Heilberufsausweise, Praxisausweise und Gesundheitskarten zusenden lassen konnten, ist die Krönung einer unglaublichen Serie von Pleiten und Pannen bei der Einführung der TI.“

Daraus folgend macht der KVB-Vorstand „ohne Anspruch auf Vollständigkeit“ eine Auflistung von „Verfehlungen und Unzulänglichkeiten in Sachen TI: Mangelnde Sicherheit der Telematik-Infrastruktur: Offener Brief des Vorstands der Kassenärztlichen Vereinigung Bayern an Bundesgesundheitsminister Jens Spahn weiterlesen →

Blog

Großbritannen: „Alexa, ruf den Krankenwagen!“

Schreibe einen Kommentar

In Großbritannien sind Details aus einem Vertrag zwischen Amazon und dem nationalen Gesundheitsdienst NHS bekannt geworden. Der US-Riese hat wertvolle (wenn auch nicht personenbezogene) Daten vom NHS erhalten, mit dem das Unternehmen nun an der automatisierten Diagnosefähigkeit seiner Sprachassistentin Alexa arbeiten kann. Der NHS hat dafür keinerlei Gegenleistung erhalten [The Sunday Times, 8. Dez.] – und das ist nicht sein erster Patzer bei Vertragsverhandlungen. 2015 übergab der staatliche Gesundheitsdienst bereits Daten von 1,6 Millionen Patient*innen an Googles Tochterunternehmen DeepMind. Dort dienten sie der Entwicklung einer App, die Ärzt*innen über den Gesundheitszustand ihrer Patient*innen alarmiert [The Telegraph, 3. Juli 2017]. Großbritannen: „Alexa, ruf den Krankenwagen!“ weiterlesen →

Blog, Telematik-Infrastruktur

Hessischer Hausärzteverband: BMG und gematik müssen volle Verantwortung übernehmen für Sicherheitsmängel der Telematikinfrastruktur

Schreibe einen Kommentar

„Die Sicherheitsmängel der Telematikinfrastruktur sind nicht hinnehmbar“, sagt Armin Beck, Vorsitzender des Hessischen Hausärzteverbandes. „Versuche, die Verantwortung des Bundesministerium für Gesundheit (BMG) und der gematik auf die Ärzte abzuschieben weisen wir zurück.“ Unter Verweis auf die beim CCC-Kongress Ende Dezember 2019 aufgedeckten Mängel und Schwachstellen im Zugang zur Telematik-Infrastruktur erklärt der Vorsitzende des Hessischen Hausärzteverbands weiter: „Strafen für die Verweigerer, die die eigenen Praxen nicht an die Telematikinfrastruktur anschließen wollen, sollten nach Aufdeckung der gravierenden Sicherheitsmängel nicht weiter erhoben werden“. Hessischer Hausärzteverband: BMG und gematik müssen volle Verantwortung übernehmen für Sicherheitsmängel der Telematikinfrastruktur weiterlesen →

Blog, Telematik-Infrastruktur

CCC diagnostiziert Schwachstellen im deutschen Gesundheitsnetzwerk

2 Kommentare

Hackern des Chaos Computer Club ist es gelungen, sich Zugangsberechtigungen für das sogenannte Telematik-Netzwerk zu verschaffen. An das Netz sind über 115.000 Praxen angeschlossen. Über das System sollen in naher Zukunft verpflichtend digitale Patientendaten und elektronische Rezepte ausgetauscht werden.

CCC-Sicherheitsforschern ist es gelungen, sich gültige Heilberufsausweise, Praxisausweise, Konnektorkarten und Gesundheitskarten auf die Identitäten Dritter zu verschaffen. Mit diesen Identitäten konnten sie anschließend auf Anwendungen der Telematik-Infrastruktur und Gesundheitsdaten von Versicherten zugreifen. Die Hacker stellten grobe Mängel in den Zugangsprozessen fest, und demonstrieren mit Beispielangriffen, wie sich Kriminelle Identitäten erschleichen können. Im Falle der eGK gelang dies bereits zum wiederholten Male.

Die Diagnose

  • Bei Ausgabe der Praxisausweise (SMC B) wurde auf eine Identifikation des Antragstellers vollständig verzichtet. Ein Angreifer kann so Befunde lesen und selbst gefälschte Dokumente in Umlauf bringen. Mit Einführung der elektronischen Patientenakte kann der Angreifer die vollständigen Inhalte der für diese Praxis freigegebenen Patientenakten einsehen.
  • Bei Ausgabe der elektronischen Heilberufsausweise (HBA) kommen völlig ungeeignete Identifikationsverfahren zum Einsatz. Angreifer im Besitz eines eHBA können damit nicht nur Rezepte, sondern beliebige Dokumente signieren.
  • Bei Ausgabe der elektronischen Gesundheitskarte (eGK) kommen für die Identifikation des Antragstellers ebenfalls völlig ungeeignete Verfahren zum Einsatz. Mit der eGK ist schon jetzt der Zugriff auf die jeweiligen Patientenquittungen möglich, in der die durchgeführten ärztlichen Leistungen verzeichnet sind. Schon in naher Zukunft soll mit Hilfe der eGK ein Zugriff auf den elektronischen Medikationsplan und den Notfalldatensatz sowie die elektronische Patientenakte ermöglicht werden.

Die Ergebnisse präsentiert der CCC-Sicherheitsexperte Martin Tschirsich zusammen mit dem Arzt Christian Brodowski und dem Experten für Identitätsmanagement André Zilch beim diesjährigen Chaos Communication Congress (36C3) in Leipzig. Der Vortrag ist unter media.ccc.de verfügbar.

Die Ursachen

  • Das Konstrukt der gematik: Die Gesellschafter der gematik sind gleichzeitig von der gematik zu kontrollierenden Unternehmen.
  • Nachlässigkeit: Vernachlässigung der Sicherheit organisatorischer Abläufe bei Umsetzung und Zulassung.
  • Mangelnde Prüfung: Relevante Prozessschritte wurden nicht durch die gematik geprüft.
  • Verantwortungsdiffusion bei den beteiligten Unternehmen und Institutionen: Nicht nur im Bundesministerium für Gesundheit sprach man hinter vorgehaltener Hand von „organisierter Verantwortungslosigkeit“, weil die beteiligten Unternehmen sich gegenseitig die Schuld für Probleme zuschoben.

Der CCC verschreibt

  • Schadensbegrenzung: Die gematik muss jetzt prüfen, inwieweit unberechtigte Zulassungen entzogen und falsch ausgestellte Zertifikate zurückgenommen werden müssen.
  • Zuverlässige Kartenbeantragungs- und herausgabeprozesse: Beantragung, Identifikation und Ausgabe müssen entsprechend dem Schutzbedarf von Gesundheits- und Sozialdaten durchgeführt werden.
  • Volle Umsetzung der eGK als Identitätsnachweis.
  • Neuplanung und saubere Implementierung der Prozesse die zur Ausstellung von eGK, HBA und SMC-B führen sowie Kontrolle der Umsetzung.
  • Organisierte Verantwortung statt organisierter Verantwortungslosigkeit: Eine unabhängige zentrale Stelle sollte für die Informationssicherheit der Telematikinfrastruktur verantwortlich sein. Diese Stelle sollte Prozesse nicht nur vorgeben, sondern auch ihre ordnungsgemäße Umsetzung unabhängig prüfen.

Wir wünschen dem deutschen Gesundheitswesen eine schnelle Genesung!

Quelle: Chaos Computer Club, 27.12.2019

Und die @gematik1 „wünscht Ihnen… ein glückliches, gesundes und erfolgreiches neues Jahr!“

Da freuen wir uns aber – und das ganz dolle!

Blog

IT-Sicherheitsanalyst Martin Tschirsich im Interview zu Gesundheits-Apps und elektronischer Patientenakte: „Sicherheitslücken finden sich eigentlich auf allen Ebenen“

Schreibe einen Kommentar

Martin Tschirsich hat auf 35. CCC-Kongress im Dezember 2018 in einen Vortrag unter dem Titel „All Your Gesundheitsakten Are Belong To Us“ aufgezeigt, wie leicht angreifbar Gesundheits-Apps und andere digitale Dienste sind. In einem lesenswerten Interview mit dem Internet-Magazin MedWatch beantwortete er im Oktober 2019 Fragen zu Datenschutz bei Gesundheits-Apps und Datensicherheit bei den Digitalisierungs-Plänen von Bundesgesundheitsminister Jens Spahn (CDU).

Zwei Auszüge: IT-Sicherheitsanalyst Martin Tschirsich im Interview zu Gesundheits-Apps und elektronischer Patientenakte: „Sicherheitslücken finden sich eigentlich auf allen Ebenen“ weiterlesen →

Blog

Bundesverband der Deutschen Industrie (BDI) fordert unentgeltliche „Datenspende“ von Patient*innen

Ein Kommentar

Das Handelsblatt meldet am 23.12.2019: „Die Datenspende muss ein Bestandteil des zweiten Digitale-Versorgung-Gesetzes sein, welches das Bundesgesundheitsministerium Anfang 2020 vorlegen will. Ähnlich der Blut- oder Organspende ließen sich durch eine Datenspende eine Vielzahl von Menschenleben retten“, erklärte Iris Plöger, Mitglied der Hauptgeschäftsführung des Bundesverbands der Deutschen Industrie (BDI).

„Mit der Möglichkeit der Spende könnten Patienten freiwillig und unentgeltlich ihre Daten der Forschung zur Verfügung stellen, damit anhand eines Datenpools neue Medikamente entwickelt oder Künstliche Intelligenzen (KI) trainiert werden könnten“ zitier das Handelsblatt aus „Digital Patient Journey Oncology“, einer bisher öffentlich nicht zugänglichen Stellungnahme des BDI.

Schöner kann man es nicht formulieren: Die Patient*innen als Melkkühe der Pharma- und der IT-Gesundheitsindustrie. Danke der Nachfrage; Nein!

Blog

Londoner Apotheke nach „unvorsichtiger“ Speicherung von Patientendaten zu einem Bußgeld von 322.000 € verurteilt

Ein Kommentar

Der Information Commissioner (IC), der behördliche Datenschutzbeauftragte in Großbritannien, veröffentlichte am 20.12.2019 diese Nachricht: 

„Das Information Commissioner’s Office (ICO) hat eine in London ansässige Apotheke mit einer Geldstrafe von £ 275.000 [322.721 €] belegt, weil sie es versäumt hat, die Sicherheit von Daten spezieller Kategorien zu gewährleisten. Die Doorstep Dispensaree Ltd, die Medikamente an Kunden und Pflegeheime liefert, hat rund 500.000 Dokumente in unverschlossenen Behältern auf der Rückseite ihres Betriebsgeländes… hinterlassen. Die Dokumente enthielten Namen, Adressen, Geburtsdaten, NHS-Nummern, medizinische Informationen und Rezepte, die einer unbekannten Anzahl von Personen gehörten. Londoner Apotheke nach „unvorsichtiger“ Speicherung von Patientendaten zu einem Bußgeld von 322.000 € verurteilt weiterlesen →

Blog, Telematik-Infrastruktur

Unterzeichnen Sie die Bundestagspetition “Gesundheitsdaten in Gefahr”! Veröffentlicht auf der Homepage des Bundestags

Ein Kommentar

Am 19.12.2019 wurde die Bundestagspetition „Gesundheitsdaten in Gefahr“ freigeschaltet. Unter diesem Link kann die Petition nun bis incl. 16.01.2020 online gezeichnet werden. Ziel ist es, neben den rund 38.000 Unterschriften, die bisher in Papierform vorliegen, noch mindestens 12.000 weitere Unterzeichner*innen der Petition zu gewinnen. Denn mit mehr als 50.000 Unterstützer*innen eröffnet sich die Möglichkeit, dass die Verfasser*innen der Petition in einer öffentlichen Sitzung des Petitionsausschusses zu Wort kommen und den Bundestagsabgeordneten ihre Kritik an der Telematik-Infrastruktur vortragen können. Unterzeichnen Sie die Bundestagspetition “Gesundheitsdaten in Gefahr”! Veröffentlicht auf der Homepage des Bundestags weiterlesen →

Blog

Offener Brief von vier Kliniken aus Niedersachsen: Krankenkassen verweigern sich der IT-Sicherheit in Krankenhäusern

Schreibe einen Kommentar

Die Leitungen von vier niedersächsischen Kliniken haben in einem Offenen Brief massive Kritik daran geübt, dass die Vertreter*innen der Krankenkassen im Krankenhausplanungsausschuss des Landes Niedersachsen verhindert haben, dass die vier Kliniken finanzielle Unterstützung bei der Modernisierung ihrer Informationstechnik (IT) erhalten.

Im Offenen Brief wird auf die Gefahren für die IT der Krankenhäuser verwiesen: „Hackerangriffe auf Computernetzwerke, von denen in Rheinland-Pfalz und im Saarland sowie aktuell in Fürth auch bereits Kliniken betroffen waren, sind klare Warnsignale und zeigen, wie dringlich die Investitionen sind. Fälle wie diese führen sehr eindrucksvoll vor Augen, wie abhängig die Patientenversorgung von einer sicheren IT ist und wie wichtig Maßnahmen zum Schutz sensibler Patientendaten sind.“ Offener Brief von vier Kliniken aus Niedersachsen: Krankenkassen verweigern sich der IT-Sicherheit in Krankenhäusern weiterlesen →

Blog

Diesmal in Fürth: Hacker-Angriff auf Klinikum

Schreibe einen Kommentar

Die Süddeutsche Zeitung meldet am 13.12.2019: „Wegen einer Hacker-Attacke auf das IT-System des Klinikums in Fürth ist der Betrieb stark eingeschränkt worden. Seit Freitagvormittag seien vorerst keine Patienten mehr aufgenommen worden, teilte das Krankenhaus mit… Das Computervirus ist nach erster Einschätzung der Klinik per E-Mail in die Computersysteme eingedrungen. Die Internetverbindung des Klinikums sei vorsorglich gekappt worden…“

Auf der Homepage des Klinikums in Fürth sind nähere Informationen nicht zu finden.

Ähnlich auch im November 2018 ein Fall in Fürstenfeldbruck. Dort hatte ein Computervirus das Kreisklinikum für etwa eine Woche lahmgelegt. Und auch dort: Eine mehr als unzureichende Informationspolitik der Klinikleitung.