Auf heise online wurde am 30.12.2021 als Vorabdruck ein Beitrag aus der Zeitschrift c‘t veröffentlicht, der auf schwerwiegende Sicherheitsmängel bei der elektronischer Patientenakte (ePA) der Techniker Krankenkasse (TK), die TK-Safe, hinweist.

Im Beitrag wird u. a. festgestellt: „Ende November bekamen wir einen anonymen Tipp, dass die Android-Version 3.15.0 (Produktversion 3.1.0.13) der TK-App es über ihre Funktion TK-Safe erlauben würde, eigentlich verbotene Zip-Container in die ePA zu laden. Bei der anschließenden Prüfung gelang es uns tatsächlich, eine Zip-Datei in die ePA hoch- und wieder herunterzuladen. Eigentlich sollte die App einen solchen Upload durch eine Typ-Prüfung der Datei verhindern. Dazu kontrolliert sie aber offenbar nur dessen MIME-Typ in den Metadaten. Um dies zu umgehen, konstruierten wir einen Zip-Container ‚Röntgenbilder.zip‘, fügten die zusätzliche Endung ‚.txt‘ an und luden sie auf Google Drive hoch. Dieses stufte die Datei anhand der Dateinamensendung als MIME-Typ ‚text/plain‘ ein. Anschließend entfernten wir die .txt-Endung wieder aus dem Namen und konnten ‚Röntgenbilder.zip‘ vom Google Drive über TK-Safe als ‚Dokument ohne besondere Form‘ in die ePA hochladen… Aufgrund einer Sicherheitslücke… gelang es uns, eine verbotene Zip-Datei in die ePA hochzuladen.“ Sicherheitslücke in elektronischer Patientenakte der Techniker Krankenkasse weiterlesen →