Eigentlich lag alles offen, man musste es nur lesen

Die Sicherheitsmängel hätten offen zu Tage gelegen, so Tschirsich. In einem Whitepaper der Gematik sei noch deutlich definiert, wie elementar die zweifelsfreie Identifikation der Teilnehmer des Gesundheitsnetzwerkes sei. In der Spezifikation der KBV ist dann schon keine Rede mehr von einer Identifikation der Antragsteller. Und der Anbieter der Heilberufsausweise medisign habe sogar damit geworben, dass der Bestellvorgang dank des ausgelassenen Identifikationsverfahrens besonders einfach sei. Das Team probierte sich zunächst darin, einen Praxisausweis (SMC-B) zu bestellen. In ihrem Vorgehen müssen Sicherheitstester rechtlich und ethisch einwandfrei arbeiten. Im Vergleich zu einem Angreifer mit kriminellen Absichten sind sie also stärker eingeschränkt. Für den Praxisausweis benötigten die Hacker aber nur den Namen eines Arztes, seine Arzt- und Betriebsstättennummer und eine Praxisadresse. Diese Angaben finden sich auf jedem Rezept. Das dann noch fehlende Geburtsdatum lässt sich z.B. für Gemeinschafts­praxen über das Partnerschaftsregister finden. Diese Angaben tippt man in die Antragsmaske eines der Trust-Service-Provider (TSP) und lässt sich dann den Ausweis an eine beliebige Lieferadresse schicken. Identifikationsnachweise muss man für die Übersendung an die Wunschadresse von Ausweis und PIN an keinem Punkt des Prozesses vorlegen. Die Möglichkeit, den Ausweis an eine Ausweichadresse zu schicken, erklärt die Kassenärztliche Bundesvereinigung gegenüber Medical­ Tribune damit, dass im Fall von Neugründungen oder Umzügen von Praxen nicht sofort die neuen Standortadressen genutzt werden könnten. Dr. Brodowski aus dem Team der IT-Experten kommentiert die guten Bedingungen für Hacker dagegen so: „Die KBV hat den Prozess falsch spezifiziert, der Trust-Service-Provider – in diesem Fall medisign – hat Fehler bei der Umsetzung gemacht und die Gematik hat den Prozess und den Service-Provider zugelassen.“ Dann versuchte das Team, einen neuen Heilberufeausweis auf den Namen des Arztes zu bestellen. Dazu muss sich ein Arzt eigentlich identifizieren. Außer er ist Kunde der Apobank und bedient sich des BankIdent-Verfahrens. Dann nämlich reicht dem TSP die Bestätigung der Bank, dass diese den Arzt kennt. Und wieder versendete der Kartenaussteller den Ausweis an eine Wunsch-Lieferadresse. Nach vergleichbarem Prinzip ist das Vorab-KammerIdent-Verfahren zu umgehen. Vom Unternehmen medisign, einem der drei ausstellenden TSP, ist bekannt, dass 2018 knapp ein Drittel der Ausweise auf diesem Weg ausgestellt wurden.

Dass die eGK leicht zu klauen ist, weiß man schon lange

Dass auch ein Diebstahl einer elektronischen Gesundheitskarte – der Zugangsschlüssel des Versicherten zur TI-Infrastruktur – kein schweres Spiel ist, hatte der Datenschutzexperte Dr. Zilch in den vergangenen Jahren bereits mehrmals und bei verschiedenen Krankenkassen bewiesen. Allein – es veränderte nichts im System. Darauf konnte das Team des CCC vertrauen: Es änderte die Adresse eines (informierten) Versicherten der AOK Hessen per Mail. Einzige Sicherheitskontrolle: Die Kasse wollte eine eingescannte Unterschrift. Die war schnell erfunden und ebenso schnell traf auch die bestellte Gesundheitskarte bei der „neuen“ Adresse des Versicherten ein. Und dann gelang dem Team von Computer­sicherheits-Hackern auch die Bestellung eines TI-Konnektors. Ganz einfach, via Fax an medkonnekt, ohne Identifikation und mit einer digital von einem Rezept kopierten Unterschrift. Als eine Ursache dieser Sicherheitslücken haben die ITler das Konstrukt der Gematik identifiziert: Die Gesellschafter der Gematik seien eben gleichzeitig die von der Gematik zu kontrollierenden Organisationen. Relevante Prozessschritte seien nicht von der Gesellschaft geprüft worden. Zudem herrsche große Verantwortungsdiffusion: „Nicht nur im Bundesministerium für Gesundheit sprach man hinter vorgehaltener Hand von ‚organisierter Verantwortungslosigkeit‘, weil die beteiligten Organisationen sich gegenseitig die Schuld für Probleme zuschoben.“

Gematik muss Kontrollsystem für Prozesse durchsetzen

Für die konkret identifizierten Mängel müssten jetzt die Gesellschafter der Gematik geradestehen. Deren eigene Interessen – Kosten sparen, Komfort bieten, Akzeptanz erhöhen – habe sie bislang gegen eine Prüfung der Umsetzung der Sicherheitsanforderungen sprechen lassen, erklärt Tschirsich. So konnte es seiner Meinung nach zu den offenliegenden Mängeln kommen. Doch die letztliche Verantwortung liege immer noch bei der Gematik. Die Mehrheitsstrukturen in der Gematik können auf jeden Fall nicht mehr als Ausrede gelten. Die wurden nämlich im Oktober geändert und machen Entscheidungen auch gegen den Willen einzelner Institutionen möglich. Die aktuelle Erklärung der Gematik, dass es jetzt Aufgabe der ausstellenden Organisationen sei, dafür zu sorgen, dass die Daten bei der Beantragung von Ausweisen sicher sind, ist damit zwar richtig – doch als verantwortende Stelle muss sie dann auch für die entsprechenden Prozesskontrollen sorgen.

*36C3 - 36. Chaos Communication Congress

Medical-Tribune-Bericht