Sicherheitslücke in Praxissoftware – Sensible Patientendaten einsehbar

Sicherheitslücke in Praxissoftware – sensible Patientendaten einsehbar

Das Hackerkollektiv „Zerforschung“ hat in der Praxissoftware „InSuite“ von DocCirrus massive Schwachstellen entdeckt. Durch diese waren die sensibelsten Daten von mehreren zehntausend Patienten frei einsehbar. Das Unternehmen hat die Probleme in einer Pressemitteilung eingeräumt und sich bei den Betroffenen entschuldigt.

Was hat das Hackerkollektiv herausgefunden?

Zerforschung bezeichnet sich selbst als „Kollektiv aus Menschen, die Spaß daran haben, Technik auseinanderzunehmen, um zu verstehen, wie diese funktioniert.“ Im vorliegenden Fall schauten sie sich die Softwarelösung für Arztpraxen „InSuite“ genauer an. Am 26. Juni dieses Jahres konnten sie durch die Schwachstelle an die sensibelsten Daten wie beispielsweise Kontaktdaten, Behandlungsverläufe oder Versicherungsnummern zehntausender Patienten gelangen. Hierzu meldeten sie sich zunächst auf der Webseite an. Anschließend war sofort eine Liste der Praxen sichtbar, bei denen man registriert ist. Über die verschiedenen Praxen wurden zunächst nur Informationen über die Öffnungszeiten und die Adresse angezeigt. Mit einem Blick in die Entwickler-Tools stellten das Hackerkollektiv fest, dass auch weitere Details einsehbar sind, darunter die Zugangsdaten zum allgemeinen E-Mail-Postfach der Praxis. Konkret bedeutet das, dass es den Forschern möglich war, alle Mails, die die Praxis erhält, zu lesen. Zudem stellten sie fest, dass Dokumente selbst – entgegen der Angaben der Software – nicht Ende-zu-Ende-verschlüsselt übertragen werden. Sensible Informationen wie die Ergebnisse von Bluttests oder Krankheitsbefunde konnten hierdurch an Dritte gelangen. Hierzu muss lediglich die Information in der Anfrage des Browsers, an wen verschlüsselt werden soll, weggelassen werden.

Welche weiteren Schwachstellen wurden entdeckt?

Es gelang „Zerforschung“ darüber hinaus, die Anfragen, um eigene Dokumente abrufen zu können, zu ändern. Bereits durch eine kleine Änderung erhielten sie eine Liste mit sämtlichen Dokumenten, die in der Arztpraxis gespeichert sind. Darunter befanden sich neben Rezepten und Krankschreibungen auch Diagnosen oder Überweisungen zu anderen Ärzten. Eine weitere kleine Änderung in der Anfrage führte dazu, dass sie eine Liste aller Praxispatienten erhielten. Diese beinhaltete auch Informationen über die Adresse, das Geburtsdatum, die Versicherungsnummer und mehr. Auch weitere Dokumente wie Rechnungen der Arztpraxis oder Zertifikate für die Abrechnung mit der Krankenkasse konnten aufgerufen werden. Es gelang ihnen beliebige Aktionen auszuführen, die eigentlich der Administrator ausführen können sollte. Die Sicherheitslücke betraf jedoch nicht nur eine Praxis, die Hacker konnten sich in allen Praxen registrieren und die Daten aller Patienten aus der jeweiligen Praxis abrufen.

DocCirrus räumt die Probleme ein

Nach der Entdeckung am 26. Juni wendete sich „Zerforschung“ umgehend an den Hersteller DocCirrus sowie an den CERTBund beim Bundesamt für Sicherheit in der Informationstechnik und den Berliner Landesdatenschutzbeauftragten. Letzterer geht davon aus, dass 270 Arztpraxen und mehr als 60 000 Patienten betroffen waren. DocCirrus reagierte umgehend und schaltete das System zunächst vollständig ab. Seit dem 25. Juli ist die Softwarelösung nun teilweise wieder online. Laut Hersteller wurden die betroffenen Patienten informiert und die Sicherheitslücken behoben. Da es sich jedoch um sensible Daten handelt, die durch die DSGVO besonders geschützt sind, fordert „Zerforschung“ ein Vorgehen gegen das Unternehmen und eine Strafe.

Hinterlasse jetzt einen Kommentar

Kommentar hinterlassen

E-Mail Adresse wird nicht veröffentlicht.


*


Die aktuellsten telespiegel Nachrichten
Schnelles Internet - Wie weit hängt Deutschland beim Netzausbau zurück?

Schnelles Internet

Wie weit hängt Deutschland beim Netzausbau zurück?

Menschen in Deutschland haben inzwischen ein offizielles Recht auf schnelles Internet. Was das bedeutet und woran die Verzögerungen liegen, haben wir hier zusammengefasst. Vor allem in ländlichen Regionen gibt es nach wie vor Probleme, die nur stückweise angegangen werden. […]

Programmfehler „Acropalyse“ – Inhalte können wiederhergestellt werden

Programmfehler „Acropalyse“

Inhalte können wiederhergestellt werden

Screenshots, die mit dem Pixel-Tool Markup bearbeitet und zugeschnitten wurden, ließen sich aufgrund eines Bugs wieder vollständig herstellen. Mittlerweile ist die potenzielle Sicherheitslücke geschlossen – aber auch das Snipping-Tool von Microsoft weist ein entsprechendes Problem auf. […]

Abzocke mit „Amazon-Paletten“ – Verbraucherzentrale warnt vor Betrug

Abzocke mit „Amazon-Paletten“

Verbraucherzentrale warnt vor Betrug

Mit vermeintlichen Schnäppchen locken Betrüger arglose Verbraucher in eine Falle und ziehen ihnen das Geld aus der Tasche. Die Ware erhalten die Kunden nie. Die Verbraucherzentrale Sachsen warnt aktuell vor der Betrugsmasche mit angeblichen „Amazon-Paletten“. […]

Illegale Streaming-Plattform – Ermittlern gelingt Schlag gegen Streamzz

Illegale Streaming-Plattform

Ermittlern gelingt Schlag gegen Streamzz

Der Alliance for Creativity and Entertainment ist ein Schlag gegen die beliebte illegale Streaming-Plattform Streamzz gelungen. Die Ermittler konnten die Seite offline nehmen, auf der mehr als 75 000 Filme illegal angeboten wurden. Betrieben wurde die Plattform aus Deutschland. […]

Gerichtsurteil – Tastendruck-Abofalle im Festnetz ist rechtswidrig

Gerichtsurteil

Tastendruck-Abofalle im Festnetz ist rechtswidrig

Das Oberverwaltungsgericht NRW hat entschieden, dass ein Abo-Dienst, der über das Drücken einer Tastenkombination im Festnetz abgeschlossen wird, rechtswidrig ist. Grund ist ein Verstoß gegen die Preistransparenz und das Wettbewerbsgesetz sowie eine rechtswidrige Rufnummernnutzung. […]