Es ist fast schon ein Ritual, dass Dr. Christoph Saatjohann mit wechselnden Partnern beim Chaos Communication Congress (37c3) des Chaos Computer Clubs (CCC) sich Schwachstellen in der Telematikinfrastruktur (TI) vornimmt und sie öffentlich ausbreitet. Natürlich haben er und seine mitforschenden Hacker die aufgedeckten Schwächen zuvor an die Hersteller und/oder die gematik als Betriebsgesellschaft der TI gemeldet.
In diesem Jahr hatten sich Saatjohann und Professor Sebastian Schinzel von der Fachhochschule Münster und dem Fraunhofer Institut für Sichere Informationstechnologie das Mail-System in der Telematikinfrastruktur Kommunikation im Medizinwesen (KIM) vorgenommen. Und sie wurden tatsächlich fündig, auch wenn während des Vortrags immer mal wieder durchschien, dass die Sicherheitsinfrastruktur mit dem Öffentlichen und Privaten Schlüssel beim Austausch der E-Mails vom Sicherheitsniveau her „ausgereizt“ sei, wie Saatjohann zugab.
KIM ist mit mittlerweile mehr als 250 Millionen verschickten Nachrichten eine echte Massenanwendung in der Telematikinfrastruktur geworden. Versendet werden vor allem eAU, elektronische Arztbriefe, Nachrichten an die Unfallversicherung (DALE-UV) und Heil- und Kostenpläne für Zahnersatz. Dabei tauschen entweder Ärztinnen und Ärzte Daten untereinander oder mit Krankenkassen oder anderen Einrichtungen des Gesundheitswesens aus.
Acht große Krankenkassen betroffen
KIM verspricht eine sichere Ende-zu-Ende-Verschlüsselung zwischen allen Einrichtungen des Gesundheitswesens in ganz Deutschland. Um dies zu gewährleisten, werden an alle Beteiligten sichere kryptografische Schlüssel (S/MIME-Zertifikate) ausgegeben, die dafür sorgen, dass eine verschlüsselte E-Mail-Kommunikation möglich ist – eine sogenannte Public-Private-Key-Infrastruktur (PKI). Saatjohann und Schinzel stellten nun fest, dass gleich mehrere große Krankenkassen bei der KIM-Einrichtung über beauftragte IT-Dienstleister offenbar den gleichen Schlüssel für die Ver- und Entschlüsselung und digitale Signatur zugeteilt bekommen hatten.
„Acht Kassen, die etwa 28 Prozent der Versicherten repräsentieren, konnten also alle eAU einer anderen Krankenkasse mitlesen“, so Saatjohann, der die Schlüssel in seiner Präsentation mit ihrer vollen Länge und lauter identischen Zeichen zeigte. Zwei IT-Dienstleister hätten gleiche Schlüssel für verschiedene Krankenkassen vergeben, „das ist der GAU für eine PKI“, kommentierten Schinzel und Saatjohann. So könnte eine Kasse zum Beispiel den Heil- und Kostenplan eines Versicherten der anderen Krankenkasse genehmigen und digital unterschreiben, beschrieben sie die möglichen Folgen. Wie hoch das Missbrauchspotenzial bei konkurrierenden Krankenkassen tatsächlich war, ist eine andere Geschichte, denn der Heil- und Kostenplan müsste dann ja auch zusätzlich bei der falschen Krankenkasse landen.
Wann kommt die Auto-Update-Funktion?
Aber der Vorfall zeigt einmal mehr, dass manchmal nicht die technische Struktur die Problematik bei der Datensicherheit auslöst, sondern organisatorisches Versagen, aus welchen Gründen auch immer. Alle betroffenen Schlüssel seien zwischenzeitlich neu generiert und ausgetauscht worden, hieß es beim CCC-Kongress, und die gematik prüfe mittlerweile regelmäßig, ob es Doppelungen bei den Schlüsseln gibt.
Probleme fanden die beiden Profi-Hacker auch an einigen anderen Stellen, zum Beispiel dass eine Fälschung der digitalen Signaturen (theoretisch) möglich sein könnte, wenn Updates nicht eingespielt würden. In der Diskussion im Anschluss an die Präsentation wiesen Schinzel und Saatjohann darauf hin, dass Hersteller, wenn Fehler aufgedeckt würden, Updates bereitstellten, die Anwender wüssten aber nichts davon. „Die Auto-Update-Funktion fehlt noch.“ Tatsächlich hat die KBV zuletzt Anwender gewarnt, die Updates für eAU und E-Rezept rechtzeitig vor dem Jahreswechsel zu installieren. Sonst könnten die Systeme zu Jahresbeginn ausfallen.
Die zunehmend als Ersatz für die Konnektor-Boxen in den Praxen angebotenen Konnektorfarmen (TI as a Service) wurden von Saatjohann als den Sicherheitsstandards angemessen eingestuft. Sie seien ohnehin nur ein Übergang, bis die TI 2.0 mit digitalen Identitäten komme.
Freier Zugriff
