DIE LAGE DER IT-SICHERHEIT IN DEUTSCHLAND 2020 | GEFÄHRDUNGSLAGE Patientendaten und medizinische Bilddaten öffentlich verfügbar Sachverhalt Im September 2019 wurde das BSI von IT-Sicherheitsforschern informiert, dass ungesicherte Datenbanken mit hochsensiblen medizinischen Daten im Internet entdeckt worden waren. Bei den Informationen handelte es sich um personenbezogene Daten wie Vor- und Nachname, Geburtsdatum, Untersuchungstermin, Informationen über den behandelnden Arzt oder die Behandlung selbst sowie hochauflösende Röntgenaufnahmen u. ä.. Die Informationen lagen auf sogenannten PACS-Servern (Picture Archiving and Communication Systems), die im Gesundheitssektor genutzt werden, um Bilder, die durch radiologische Verfahren entstanden sind, zu archivieren und behandelnden Ärzten zur Betrachtung bereit zu stellen. Alleine in Deutschland waren im Zeitraum von Juli 2019 bis September 2019 etwa 15.000 Datensätze öffentlich zugänglich, wobei diesen Datensätzen mehrere Millionen Bilder zugeordnet waren (vgl. Quellenverzeichnis6: www.greenbone.net). Davon war ein Großteil ohne Passwort oder Authentifizierung abrufbar. Auch international war eine Vielzahl von Staaten betroffen. Insgesamt waren Schätzungen zufolge 24,3 Millionen Patientendatensätze und mehrere hundert Millionen verknüpfte Bilddateien frei im Internet zugänglich. Reaktion Die medizinischen Einrichtungen wurden durch das BSI in Kenntnis gesetzt. In drei Fällen konnten die Einrichtungen direkt kontaktiert werden, in 14 weiteren Fällen wurden die jeweiligen Internet-Provider gebeten, ihre Kundinnen und Kunden anhand der IP-Adressen zu identifizieren und zu informieren. Zudem hat das BSI 46 internationale Partnerorganisationen über den Sachverhalt in Kenntnis gesetzt. Viele Staaten haben ebenfalls auf die Situation reagiert und zeitnah entsprechende Maßnahmen eingeleitet, um die Daten zu schützen. So haben elf Länder alle beim ursprünglichen Scan gefundenen PACS-Systeme vom öffentlichen Netz genommen (unter anderem Deutschland). Es sind auch neue Staaten hinzugekommen, bei denen offen zugängliche PACS-Systeme entdeckt wurden. Empfehlung Das BSI empfiehlt, Patientendaten nur dann cloudbasierten oder anderen über das Internet erreichbaren Services zur Verfügung zu stellen, wenn sicher ist, dass alle verfügbaren Schutzmechanismen, zum Beispiel verschlüsselte Übertragung der Daten und verschlüsselte Speicherung, für eine adäquate Sicherung und sichere Authentisierung der Vertraulichkeit der Patientendaten angemessen sind. Die IT-Sicherheit von PACS-Systemen, die zur Gruppe der Medizinprodukte gehören, wurde noch nicht durch das BSI bewertet. Alle zuvor genannten Anforderungen zum Schutz sensibler Patientendaten gelten, aus Sicht des BSI, auch für PACS-Systeme. 1.3 Schwachstellen 1.3.1 Schwachstellen in Software-Produkten Software-Produkte unterstützen heutzutage zahlreiche Prozesse und Lebensbereiche. Sie können zum Beispiel helfen, komplexe Probleme zu lösen oder Vorgänge zu vereinfachen. Um diesen mit der Zeit gewachsenen Herausforderungen zu begegnen, sind die Software-Produkte selbst immer komplexer geworden. Sie bestehen mittlerweile oftmals aus mehreren Millionen Zeilen Programmcode. Dies macht eine Prüfung aller Eventualitäten, mit denen ein Software-Produkt konfrontiert werden könnte, momentan faktisch 22 unmöglich (wohlwissend, dass es zahlreiche Ansätze gibt, die Soft-Qualität automatisiert zu erhöhen). Software-Produkte weisen insofern unerkannte Fehler oder ungewünschte Fehlfunktionen auf, die dazu führen können, dass sie nicht mehr richtig funktionieren. Wenn diese Fehler oder Fehlfunktionen von unbefugten Dritten ausgenutzt werden können, um schädliche Operationen auf einem Computersystem auszuführen, wird von Schwachstellen oder Sicherheitslücken in Software-Produkten gesprochen.