DICOM-Protokoll: Millionen Patientendaten ungeschützt per Internet zugreifbar

[English]Es ist eine sehr unschöne Situation: Seit Jahrzehnten wird das DICOM-Protokoll zum Austausch von z.B. Röntgenaufnahmen oder Aufnahmen anderer bildgebender Verfahren mit Kliniken und Ärzten verwendet. War auch kein Problem, bis jemand auf die Idee kam, das Ganze in die Cloud zu verlagern. Sicherheitsforscher haben nun festgestellt, dass viele medizinische Einrichtungen die privaten Daten und Krankengeschichten von Millionen von Patienten unbeabsichtigt per Internets zugänglich machen.

DICOM als Standard zur Übertragung

Die medizinische Bildgebung umfasst eine Reihe von Verfahren wie Röntgenaufnahmen, CT-Scans und MRTs, die zur Darstellung der inneren Körperstrukturen von Patienten verwendet werden. Zur die Speicherung und Übermittlung dieser Bilder zwischen der anfertigenden Stelle und Kliniken oder Ärzten wird seit Jahrzehnten DICOM als Standardprotokoll eingesetzt.

DICOM steht als Kürzel für Digital Imaging and Communications in Medicine, und wird von fast allen Herstellern bildgebender oder bildverarbeitender Systeme in der Medizin wie z. B. digitales Röntgen, Magnetresonanztomographie, Computertomographie oder Sonographie implementieren den DICOM-Standard in ihren Produkten. Dadurch wird im klinischen Umfeld Interoperabilität zwischen Systemen verschiedener Hersteller ermöglicht. DICOM ist auch die Grundlage für die digitale Bildarchivierung in Praxen und Krankenhäusern (Picture Archiving and Communication System, PACS).

Problem ist die Verlagerung in die Cloud

Die Verwendung von DICOM war lange Zeit kein Problem, da die Daten auf direkten Verbindungen auf lokale Server in Praxen oder Kliniken übermittelt und dort gespeichert werden. Die nun aufgetauchten Sicherheitsprobleme mit DICOM hängen mit der Verwendung von Legacy-Protokollen bei der Übermittlung und Speicherung von Daten zu Cloud-basierten Lösungen zusammen, die zudem noch öffentlich per Internet erreichbar sind. Sprich: Die Stellen, die die bildgebenden Verfahren am Patienten vornehmen, übermitteln die Daten anschließend an die vom Auftraggeber (Klinik, Arzt) angegebene Stelle per DICOM-Protokoll. Als Ziel werden aber immer häufiger Cloud-Speicher angegeben, wo die Ärzte dann per DICOM-Viewer zugreifen wollen. Das führt dazu, dass immer mehr DICOM-Endpunkte ungeschützt per Internet erreichbar sind.

Ich bin bereits gestern über obigen Mastodon-Post, der auf den Beitrag der Kollegen von Golem verweist, auf das Thema gestoßen – und ein Arzt unter der Leserschaft hat mich zudem per Mail auf das Problem hingewiesen. Sina Yazdanmehr und Ibrahim Akkulak sind Sicherheitsexperten bei der Aplite GmbH und haben Recherchen zu per Internet erreichbaren DICOM-Endpunkten, wo Daten gespeichert werden, durchgeführt. Dabei sind sie auf eine großes Problem gestoßen: Eine große Menge an persönlichen Informationen und medizinischen Unterlagen von Patienten, die per DICOM zu Ärzten oder Kliniken übermittelt wurden, sind über die DICOM-Endpunkte (per Internet erreichbare Server und Cloud-Lösungen) ohne weitere Authentifizierung (oder mit Standard-Passwörtern) für unbefugte Dritte abrufbar.

Das Problem: Vielen medizinischen Einrichtungen ist nicht klar, dass sie unbeabsichtigt die privaten Daten und Krankengeschichten von Millionen von Patienten per Internet zugänglich gemacht haben. Bereits im Jahr 2021 wurde in diesem Bericht festgestellt, dass 45 Millionen individuelle DICOM-Dateien auf über 2.140 Servern in 67 Ländern gespeichert und durch Unbefugte per Internet erreichbar waren.

Per DICOM offengelegte Patientendaten, Quelle: BlackHat-Vortrag, Aplite GmbH

Obige Karte stammt aus einem Vortrag der Aplite-Sicherheitsexperten und zeigt die Länder, in denen DICOM-Endpunkt mit Patientendaten per Internet erreichbar sind. Die USA sind mit ihrer Cloud-Orientierung wohl ganz stark mit entsprechenden "offenen" DICOM-Endpunkten vertreten. Aber auch Frankreich und Italien gehören zu den Ländern mit vielen "offenen" DICOM-Endpunkten.

• Insgesamt ließen sich 3.806 DICOM-Server aus 111 Ländern finden, die frei im Internet zugänglich sind.
• 1.159 dieser Server enthalten mehr als 59 Millionen persönliche und medizinische Daten von Patienten.
• Über 73 % dieser Server werden in der Cloud gehostet oder sind über Internet per DSL zugänglich.
• 2.920 DICOM-Endpunkt verwenden keine Authentifizierung, 785 Instanzen sind nur schwach per Authentifizierung geschützt.
• Nur 128 (weniger als 1 %) der DICOM-Server im Internet verwenden eine wirksame Autorisierung.
• Mehr als 39,3 Millionen Gesundheitsdaten auf DICOM-Endpunkten sind von Manipulationen bedroht

Die beiden Sicherheitsforscher haben die Ergebnisse ihrer Nachforschungen im Blog-Beitrag Millions of Patient Records at Risk von Aplite dokumentiert und zudem auf der BlackHat 2023 Sicherheitkonferenz (4. – 7. Dezember 2023 in London) präsentiert. Dort zeigten der Experte und die Expertin von Aplite, wie Hacker die offengelegten DICOM-Endpunkte leicht finden, und darauf zugreifen können. Die Vortragsfolien sind hier abrufbar.

Aber es bleibt nicht nur beim Extrahieren von Patientendaten von den DICOM-Endpunkten, denn über das DICOM-Protokoll lassen sich medizinische Daten sogar verändern. Die beiden Sicherheitsforscher erläutern zudem, wie sie die DICOM-Sicherheitskontrollen umgehen konnten. Alles was benötigt wurde, konnte aus den Angaben von Herstellern und Dienstleistern zur Einhaltung der DICOM-Standards gesammelt werden.

Praktische Empfehlungen zur Sicherung

Die Sicherheitsforscher haben auf der BlackHat-Konferenz sowie in ihrem Blog-Beitrag praktische Empfehlungen für medizinische Einrichtungen, Gesundheitsdienstleister und Medizintechniker gegeben, um diese Sicherheitsprobleme zu entschärfen und die Daten der Patienten zu schützen. Für Einrichtungen in der EU hat das Thema auch DSGVO-Relevanz.

Zu den vorgeschlagenen Maßnahmen gehört sicherzustellen, dass die DICOM-Endpunkte nicht öffentlich im Internet einsehbar (und durch einfache Scans der TCP Ports 104, 11112 und 4242 zu finden) sind. Auch die Sicherung der Verbindung zwischen dem internen Netz und dem entfernten DICOM-Server über einen sicheren Kanal (z. B. IPSec) wurde genannt. Die Sicherheitsforscher schlagen in ihrem Blog-Beitrag Millions of Patient Records at Risk zudem eine Segmentierung der Infrastruktur sowie eine wirksame Zugriffskontrolle der berechtigten Stellen vor.