Digitalisierung Deutschland: Patientendaten in Praxissoftware einsehbar

Neuer Datenschutz- und Sicherheitsvorfall in einer zertifizierten Arztpraxis-Software "der 3. Generation" für die Cloud. Die fortschrittliche Praxissoftware im Gesundheitswesen von Doc Cirrus, laut Anbieter, und mit Ärzten entwickelt, ist nicht ganz dicht. Sicherheitslücken ermöglichten auf sensitive Patientendaten zuzugreifen und diese einzusehen. Die Praxissoftware wurde zeitweise offline genommen, ist aber wieder verfügbar. Folgen für den Anbieter? Wohl keine – Business as usual – Digitalisierung Anno 2022 in Deutschland.

Digitalisierung in Deutschland

Aktuell knallt es im Gesundheitswesen (zumindest von mir gefühlt) an allen Ecken und Enden. Gerade erst hatte ich im Blog-Beitrag gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022) über eine fette Schwachstelle bei der Patienten-Authentifizierung für die elektronische Patientenakte (ePA) berichtet. Hintergrund ist, dass das verwendete Video-Ident-Verfahren beliebig umgangen werden konnte (siehe Video-Ident durch Chaos Computer Club "sturmreif geschossen"). Jeder konnte sich mit Fake-Identitäten bei Krankenkassen eine Patientenakte anlegen lassen.

Nun ist die Praxissoftware des Berliner Unternehmens Doc Cirrus ist "Opfer des Kollektiv Zerforschung" geworden, denn diese Fieslinge haben es gewagt, mal genauer hinzuschauen, was da so in der Cloud passiert. Dabei ist erneut aufgefallen, wie "Digitalisierung in Deutschland" funktioniert. Durch Schwachstellen in der Software waren zeitweise eine Million Patientendaten einsehbar – für den Arzt, aber auch für Interessierte oder Unbefugte. Es deutet sich an, dass Patientendaten in Deutschland nicht sonderlich schützenswert sind, anders sind die Vorfälle in obigem ePA-Fall (die Bitkom kritisierte die Aussetzung des Video-Ident-Verfahrens) und im aktuellen Fall der Praxissoftware nicht zu interpretieren.

Doc Cirrus inSuite: Cloudbasierte Praxissoftware

Ich habe mir mal spaßeshalber das Angebot der Berliner Firma Doc Cirrus angeschaut. Laut nachfolgendem Screenshot wirbt der Anbieter zwar mit einer lokalen Datenspeicherung – aber auf der Seite heißt es weiterhin "Cloudbasierte Praxissoftware der 3. Generation".

Arzt- und Praxissoftware von Doc Cirrus

Der Hersteller ist wohl eine 2012 gegründete GmbH, die in Berlin angesiedelt ist und das Ziel verfolgt, den Medizin-Sektor mit neuer Praxissoftware und offenen Plattformen zu versorgen. Der Gründer des Unternehmens, Dr. Torsten Schmale, war zuvor mit der inubit AG (heute Teil des Bosch-Konzerns) im Bereich BPM-Software (Business Process Management) tätig und wirbt mit seinen fundierten Kenntnissen, Einblicken und Einsichten im ambulanten, stationären und intersektoralen Gesundheitswesen. Dieser wertvolle Erfahrungsmix sei Grundpfeiler und Ausgangspunkt von Doc Cirrus, die dann auf Basis des einzigartigen Hybrid-Cloud-Ansatzes das Kernprodukt – die "Praxissoftware der 3. Generation" inSuite – vermarkten. Diese Software ist von der Kassenärztlichen Bundesvereinigung (KBV) zertifiziert, damit wirbt der Anbieter, und bei Ärzten im Einsatz.

Kollektiv Zerforschung deckt auf

Aktivisten des Kollektiv Zerforschung (die haben es sich zivilgesellschaftliche Gruppe zum Ziel gesetzt, IT-Sicherheitslücken aufzudecken) haben sich die Fortschritte der Digitalisierung im Medizinbereich in Deutschland genauer angeschaut und die inSuite "Praxissoftware der 3. Generation" unter die Lupe genommen. Denn ähnlich wie meine Wenigkeit haben die Aktivisten bei der ganzen Digitalisierung im Gesundheitswesen ein "schlechtes Bauchgefühl". Klar, es ist schon cool, man kann Termine buchen, Akten durchsuchen, Krankschreibungen und Abrechnungen ausstellen – das geht alles mit einer Software, z.B. von Doc Cirrus.

Unwohl wird einem als Patient, wenn die Daten nicht sicher geschützt werden und Dritte darauf zugreifen können. Unwohl wird möglicherweise auch dem Arzt, wenn er drüber nachdenkt und feststellt, dass er der für Datenschutzvorfälle Verantwortliche ist. Ich habe es hier im Blog noch nicht aufbereitet – aber kürzlich habe ich an einer Videokonferenz einer Kassenärztlichen Vereinigung teilgenommen, wo genau diese Themen zur Sprache kamen.

Mal genauer hingeschaut

Bei der Inspektion der Doc Cirrus-Praxislösung stießen die Sicherheitsforscher auf Schwachstellen. Der normale Arzt und auch der Patient, der sich über die tollen Möglichkeiten des Portals der inSuite "Praxissoftware der 3. Generation" freut, merkt davon nichts. Da das alles, dank Cloud, aber in einem Browser läuft, darf man nicht die Entwicklertools des Browsers öffnen, wenn man weiter als glücklicher, aber unwissender Mensch sterben will. Denn in den Entwicklertools kann man sehen, was zwischen Browser und dem inSuite-Portal ausgetauscht wird.

(Quelle: Kollektiv Zerforschung)

Und wenn Google Maps dort aufgerufen wird (für die Karte, wo die Arztpraxis liegt, siehe obige Abbildung), wird man misstrauisch. Bei der Anmeldung am Portal bekommt ein Nutzer die Liste der Praxen angezeigt, bei der er registriert ist. Sieht alles gut aus – aber die Sicherheitsforscher bekamen in den Entwicklertools viele weitere Details mitgeliefert. Dazu gehörten die Bankverbindung der Praxis, die E-Mail-Signatur der Ärzte, die vorhandenen Drucker, und sogar die Zugangsdaten zum Versenden von E-Mails.

Bei weiteren Nachforschungen stellte sich heraus, dass diese Daten für das E-Mail-Postfach der Praxis verwendet wurden – die Sicherheitsforscher bekamen Zugriff auf die gesamte E-Mail-Korrespondenz der Praxis. Diese Zugangsdaten für das Portal wurden bei jedem Aufruf an die Nutzer übertragen. Die im "Datensafe" der Praxissoftware (lokal auf einem Server der Praxis) gespeicherten Dokumente wurden zwar "Ende-zu-Ende-verschlüsselt" übertragen. Aber die persönlichen Dokumente von Arzt und Patient waren nicht nur unverschlüsselt gespeichert – sondern ließen sich auch "per Cloud" abrufen – waren also für Zugriffe Dritter abrufbar und einsehbar. Das galt auch für Praxen- und Patientenlisten des Portals, so dass die dort zugeordneten Dokumente zugreifbar wurden. Neben Laborwerten von Patienten waren auch Rechnungen und andere Dokumente aus Praxen einsehbar.

Zugriff auf Praxen- und Patientendaten

Unter dem Strich war es den Zerforschungs-Aktivisten mit wenig technischen Sachverstand möglich, aus mehr als 270 Arztpraxen persönliche Dokumente und zu allen etwa 60.000 Patientinnen und Patienten personenbezogene Daten abzurufen. Insgesamt geht es um rund eine Million schützenswerter Daten. Die Ergebnisse der Sicherheitsforscher lassen sich unter Auch dezentral lassen sich gut Patient*innen-Daten verlieren nachlesen.

Datenschutzvorfall ohne Konsequenzen?

Die Aktivisten des Kollektivs informierten neben der Firma auch den für Doc Cirrus zuständigen Berliner Datenschutzbeauftragten und CERTBund beim BSI. Der Datenschutzbeauftragte bestätigte auf Anfrage von NDR und WDR, dass er Hinweise zu einer Sicherheitslücke von Gesundheitsdaten bekommen habe. Der Datenschutzbeauftragte schrieb auf die Anfrage: "Aufgrund der vorliegenden Hinweise schätzen wir die uns bekannten Sicherheitslücken derzeit als erheblich ein".

Hersteller bessert nach

Der Hersteller, Doc Cirrus, nahm nach der Meldung das Portal offline und besserte die Fehler bzw. Schwachstellen aus. Laut Anbieter war ein schlicht ein "Programmierfehler" – und das bei einer "zertifizierten" Software. Ich habe den Text der Pressinformation vom 11. Juli 2022 des Herstellers mal herausgezogen – falls es verloren geht.

Von externen IT-Experten wurden wir Ende des vergangenen Monats auf Sicherheitslücken in unseren IT-Systemen hingewiesen. Im Rahmen eines Responsible-Disclosure-Verfahrens (geregeltes Verfahren zur Offenlegung von Sicherheitslücken), für das wir den beteiligten Personen ausdrücklich danken möchten, wurden wir auf Programmierfehler in unserer Software aufmerksam gemacht.

Die betroffenen Dienste wurden nach Eingang der Meldung unverzüglich von uns deaktiviert und überprüft.

Unsere Analyse hat ergeben, dass durch Programmierfehler Schwachstellen im Bereich der Arzt-Patienten-Kommunikation vorlagen, die unbefugte Dritte mit IT-Know-how und Fachkenntnissen in die Lage versetzt hätten, unbefugt auf Einrichtungs- und Patientendaten einiger unserer Kunden zuzugreifen.

Unsere Analysen von Logs und Zugriffsmustern bieten keinen Grund zur Annahme, dass abseits des Responsible-Disclosure-Verfahrens Praxis- oder Patienteninformationen von Dritten eingesehen oder abgegriffen wurden.

Die Programmierfehler sind mittlerweile korrigiert, die betroffenen Dienste sind größtenteils bereits wieder aktiv, lediglich ein letzter Dienst wird möglichst zeitnah wieder nach einem Update zur Verfügung gestellt.

Der Teil unserer Kunden, der potentiell von den Schwachstellen hätte betroffen sein können, wurde von uns unverzüglich nach Bekanntwerden des Problems informiert bzw. erhält entsprechende Informationen und Hinweise bei nächstmaliger Nutzung der Dienste.

Bei den potentiell betroffenen Kunden haben wir uns zudem für den Ausfall der Dienste entschuldigt und unser Bedauern ausgedrückt, dass diese Programmierfehler trotz unserer umfangreichen technisch-organisatorischen und IT-architekturellen Maßnahmen – bspw. extern beauftragte Penetrations-Tests sowie die Zertifizierung nach ISO 27001 – nicht bereits im Rahmen unserer Qualitätssicherungs- und Testprozesse identifiziert wurden. Entsprechend werden wir weitere präventive Maßnahmen und Abläufe etablieren, um insbesondere das Auftreten sicherheitsrelevanter Programmierfehler zu vermeiden.

Neben unseren Kunden und Partnern haben wir die zuständigen Behörden über den Vorfall fristgerecht und umfassend informiert.

Inzwischen ist die Software wieder im Einsatz und der Anbieter erklärt, dass "zu keinem Zeitpunkt sensible Daten abgeflossen seien" – ob das per Log-Dateien überhaupt feststellbar ist, entzieht sich an dieser Stelle meiner Kenntnis. Laut NDR und WDR-Beitrag ist das Unternehmen selbst bezüglich dieser Vorgänge äußerst wortkarg – und auch die AOK Nordost hüllt sich in Schweigen.

Die AOK Nordost war insofern als Kunde des Unternehmens involviert, als in Folge der Korrekturen es Probleme im Centrum für Gesundheit in Berlin der AOK Nordost gab. Dort konnten für über eine Woche keine Termine gebucht werden. Laut NDR und WDR gibt die AOK Nordost nicht an, wie viele Patienten von der Sicherheitslücke betroffen waren.

Potentiell Betroffene wurden auch nicht informiert, heißt es im NDR und WDR-Beitrag, was der Aussage des Herstellers in obigem Pressetext wiederspricht. Was nun stimmt, kann ich aktuell nicht beurteilen. Interessant ist aber folgendes: Der Hersteller Doc Cirrus schreibt "unsere Analysen von Logs und Zugriffsmustern bieten keinen Grund zur Annahme, dass abseits des Responsible-Disclosure-Verfahrens Praxis- oder Patienteninformationen von Dritten eingesehen oder abgegriffen wurden". In den Chats des Artikels von Zerforschung heißt es:

der Dienst hat ein Auditlog – unsere Requests tauchen nicht darin auf.

Diese Aufzeichnung hätte ein nützliches Werkzeug sein können, um nachzuvollziehen, ob die von uns gefundenen Sicherheitslücken bereits vorher entdeckt und ausgenutzt wurden.

Allerdings nützt das in diesem Fall vermutlich sowieso nichts – denn höchstwahrscheinlich können wir die Datensätze nicht nur auslesen, sondern auch verändern.

Der letzte Satz galt der Erkenntnis, dass die Sicherheitsforscher teilweise Administrationsfunktionen nutzen konnten.

Allerdings gibt es noch ein weiteres Problem (bezüglich der Information Betroffener), auf welches ich über diesen Kommentar gestoßen bin. Beim Arzt gilt ja das Berufsgeheimnis (§203 StGB), so dass es schon problematisch werden könnte, wenn Dritte feststellen können, welche Person bei welchem Arzt vorstellig wird. Hier bin ich aber zu weiß außen vor, um da belastbare Aussagen treffen zu können. Ziemlich verzwickt, die Sache. Mein Hausarzt (hat noch einige Jährchen) besteht auf seine Handakten – obwohl die Praxismitarbeiterinnen fluchen – könnte man alles elektronisch in diesem PC machen. Hektik gibt es immer nur dann, wenn dieses "Tierchen muckt und nicht will" – aber an Datenschutz denkt keines der Mädeln.

Anfängerfehler in der Entwicklung

Kollektiv Zerforschung vermisst in seinem Beitrag "beim Hersteller der Software das nötige Bewusstsein, dass Gesundheitsdaten sehr sensible Daten sind und zurecht in der DSGVO besonders geschützt sind. Die aufgezeigten Fehlerquellen sind Anfängerfehler und zeigen nach Ansicht der Sicherheitsforscher krasse Defizite in den Entwicklungs-Prozessen des Unternehmens auf.

Die vielen, von Doc Cirrus, aufgefahrenen "Zertifizierungen" sind das Papier nicht wert, auf das sie gedruckt sind. Keine der Zertifizierungsstellen hat das Produkt kritisch geprüft. Kollektiv Zerforschung fordert, dass die Datenschutzbehörde gegen das Unternehmen vorgehen und empfindliche Strafen verhängen muss. Meine persönliche Einschätzung: Das wird nichts und lässt sich juristisch kaum durchsetzen, wenn kein Schaden nachgewiesen werden kann.

Zudem wurde die Forderung, dass IT-Sicherheit bei Softwareherstellern ganz oben auf die Prioritätenliste muss, von den Sicherheitsforschern erhoben. Traurig, dass so etwas erwähnt werden muss – und ich gehe davon aus, dass entsprechende Zusicherungen Lippenbekenntnisse sind. Sehe ich an den Fällen, in denen ich hier im Blog auf Sicherheitslücken hinweise und diese teilweise mit aufgedeckt habe.

Der Arzt ist verantwortlich!

Und wie schaut es mit der Haftung des Anbieters aus? Und wer ist am Ende des Tages für Datenschutzverstöße verantwortlich? Da im Blog auch Ärzte gelegentlich mitlesen, ein paar unangenehme Wahrheiten. Die Zertifizierung durch die Kassenärztliche Bundesvereinigung etc. ist nicht wirklich hilfreich. Ich zitiere die Aussage des Sprechers des Bundesdatenschutzbeauftragten, Christof Stein, im NDR und WDR-Beitrag:

Tatsächlich hat ein Softwarehersteller keine Verpflichtung, seine Software in irgendeiner Art und Weise datenschutzkonform auszugestalten.

Dies gelte auch für Software, die sensible Daten verarbeite (also die oben genannte Praxissoftware). Dann kommt der Knackpunkt, der sich auch mit meinem Kenntnisstand deckt:

Verantwortlich ist laut Stein zufolge letztlich die Arztpraxis. Der Arzt bzw. die Praxis müsse überprüfen, ob die eingesetzte Software datenschutzkonform sei. Dort darf man sich nicht auf irgendwelche Zertifikate oder Gütesiegel verlassen.

"Das Motto 'Je mehr Zertifikate, desto besser' sollte man sowieso grundsätzlich immer hinterfragen, weil diejenigen, die die Zertifikate ausstellen natürlich auch ganz bestimmte Kriterien anlegen, die man gegebenenfalls als Verbraucherin und Verbraucher gar nicht kennt", so Christof Stein. Korrespondiert auch mit den Aussagen der Juristen auf einer Videosession einer kassenärztlichen Vereinigung, an der ich kürzlich teilgenommen habe.

Die Aussagen sind irgendwie auch logisch. Wenn ich ein Windows, ein Office, ein Exchange von Microsoft einsetze und dann gehackt werde, bin ich als Betreiber der Software, und nicht der Hersteller Microsoft, in der Verantwortung.

(Quelle: Pexels/Pixabay CC0 Lizenz)

Dem Arzt oder der Praxis bliebe nur, den Hersteller der Praxissoftware im Falle eines Schadens in Regress zu nehmen. Da wären aber die Schadenssummen einzuklagen (kam auf der von mir erwähnten Videokonferenz einer Kassenärztlichen Vereinigung von deren Hausjuristen auch so heraus). Und dann wird es spannend, ob der Anbieter die Schadensersatzhöhe in seinen AGB begrenzt.

Ähnliche Artikel:
Cyber-Sicherheit im Gesundheitswesen
Sicherheitslücken im deutschen Gesundheitsdatennetz
Nächstes Sicherheitsdesaster bei Vivy-Gesundheits-App
Access:7-Sicherheitslücken mit Auswirkungen auf medizinische und IoT-Geräte
Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko?
Digitalisierung im Gesundheitswesen: Ärzteverbände fordern einjähriges Moratorium
Gesundheitswesen: Einrichtungen Hauptziel von Ransomware-Angriffen
Hack dein Gesundheitsamt, die Luca-App machte es möglich
Schweizer Impfplattform mit schweren Sicherheitsmängeln
Der Schweizer Impfpass: Gescheitert an der Sicherheit
Tenable zeigt: Fast 106 Millionen Gesundheitsdaten offengelegt

60 Jahre Software-Entwicklung: Ein Alptraum, der mit grottiger Qualität und im Chaos endet
Software: Unser Grab als PKW-Besitzer der Zukunft?
Zum Nachdenken: Softwaresicherheit in modernen Autos