TI-Sicherheitsmängel – erste Konsequenzen

Berlin. „Das Missbrauchspotenzial beim elektronischen Praxisausweis (SMC-B) ist derzeit äußerst gering“, betont Roland Stahl, Pressesprecher der Kassenärztlichen Bundesvereinigung (KBV), in einer Stellungnahme gegenüber der „Ärzte Zeitung“. Ein Unbefugter könne mit dem Ausweis allein wenig anfangen, sondern müsste sich mit großen Anstrengungen weitere Komponenten unter falscher Identität besorgen. Dazu gehörten etwa ein Konnektor sowie ein Zugangsprovider zur Telematikinfrastruktur.

Sicherheitsexperten des Chaos Computer Clubs hatten es geschafft, alle drei für den Zugang zur Telematikinfrastruktur (TI) relevanten Karten – elektronische Arztausweise, Praxis-Ausweise (SMC-B) und Gesundheitskarten – jeweils über einen Dritten zu bestellen und an eine Wunschadresse liefern zu lassen. Die Experten konnten zudem einen Konnektor im Internet ordern. Die Berichte hatten daher für erheblichen Wirbel gesorgt und erneut Fragen nach der Sicherheit der Daten aufgeworfen.

Auch Stahl räumte ein, man sei „dankbar dafür, dass der Chaos Computer Club offenbar eine potenzielle Schwäche im Prozessablauf entdeckt hat“. Es lägen der KBV allerdings derzeit keine konkreten Fälle vor. Sobald es entsprechende Informationen gebe, würden gemeinsam mit allen anderen Beteiligten (weiteren Sektoren, Herausgebern der Praxisausweise) die Prozesswege optimiert werden.

Erste Sicherheitsmaßnahmen für Ausweise

Stahl rechtfertigte auch den Versand von Ausweisen an andere Adressen als die der Praxis. „Da im Falle von Neugründungen oder Umzügen von Praxen nicht sofort die neuen Standortadressen genutzt werden können, dürfen Ausweichanschriften benannt werden“, sagte er. In einem ersten Schritt sei dennoch nun den Kassenärztlichen Vereinigungen empfohlen worden, den Bestätigungsprozess dahingehend sofort zu verändern, dass die SMC-B-Karten nur noch an die den KVen bekannten Praxisadressen verschickt werden.

Die gematik kritisiert die aufgedeckten Schwachstellen als nicht hinnehmbar. In einer Information hat sie inzwischen darauf hingewiesen dass der Prozess zur Beantragung und Ausgabe der Heilberufsausweise über das PostIdent-Verfahren nach aktuellem Kenntnisstand sicher sei und daher weiterhin genutzt werden könne. Es seien vermutlich bei der Ausgabe von Heilberufsausweisen lediglich die Verfahren Kammer- und BankIdent betroffen. Diese Verfahren sein auch bereits deaktiviert.

Nur Praxisausweisausgabe vollständig gestoppt

Vorsorglich vollständig gestoppt sei der Prozess zur Beantragung und Ausgabe von Praxisausweisen. Dazu habe die gematik in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) die Anbieter von Praxisausweisen angewiesen. Ein Einzug aller bereits ausgegeben Karten ist derzeit kein Thema.

Zur vom CCC aufgezeigten Möglichkeit, einen Konnektor via Internet zu ordern, merkt die gematik an, dass dieser an sich kein Sicherheitsmerkmal für die Berechtigung zum Zugang in die Telematikinfrastruktur darstelle. Die Berechtigung, um auf die Telematikinfrastruktur zuzugreifen, werde erst mithilfe des elektronischen Praxisausweises gewährt. Daher sei die sichere Identifikation bei der Ausgabe des Praxisausweises ausschließlich an berechtigte Teilnehmer im Gesundheitswesen das entscheidende Sicherheitsmerkmal.

Grundsätzlich stellten die vom Chaos Computer Club entdeckten Sicherheitsmängel bei der Ausgabe von Heilberufsausweisen, Praxisausweisen und Gesundheitskarten – zumindest momentan – auch keine Gefahr für die Sicherheit der Patientendaten dar, da noch keine Behandlungsdaten gespeichert würden. Es biete sich nun aber die Chance, Mängel bei der Kartenausgabe frühzeitig zu beheben.

Die gematik hat alle Kartenherausgeber außerdem zu einem Treffen im Januar 2020 eingeladen. Nach eigenen Angaben soll dabei gemeinsam über Maßnahmen zur Verbesserung der Beantragungs- und Herausgabeprozesse entschieden werden. Außerdem wolle man auf die Mitglieder des CCC zugehen, um die Sicherheit der Telematikinfrastruktur weiter zu optimieren.

Sicherheitsmängel: Grünen sprechen von „ernüchternder Realität“

Zu den vom CCC gefundenen Sicherheitslücken im Zusammenhang mit der Telematik-Infrastruktur im Gesundheitswesen hatte sich am Wochenende auch Maria Klein-Schmeink, Sprecherin für Gesundheitspolitik, geäußert.„Das digitale Gesundheitsnetz ist nur sicher, wenn bei allen seinen Teilen gleich hohe Standards eingehalten werden.“ Sie forderte das Gesundheitsministerium auf, die Recherchen des CCC daher zum Anlass zu nehmen, alle Prozesse im Zusammenhang mit der Ausgabe von Karten sowie die Kartenhersteller auf Schwachstellen zu überprüfen.

Und Konstantin von Notz, Stellvertretender Fraktionsvorsitzender, bekräftigte: „Hinter der Fassade so vieler IT-Sicherheitsversprechen liegt die ernüchternde Realität der immer komplexeren Digitalisierung und ihrer Unübersichtlichkeiten. Es ist wichtig, dass der CCC uns diesen Spiegel vorhält. Und es ist gut, dass die gematik sich offen zeigt für den Dialog und sich nicht wegduckt.“ Für das Projekt Gesundheitskarte müssten die Test-Versuche des CCC als eine sehr dringende Warnung verstanden werden.