Wie wahrscheinlich sind Sicherheitslücken beim Apothekerausweis?

„Derzeit keine SMC-B- und eHBA-Bestellungen möglich: Bitte beachten Sie, dass der Bestell- und Lieferprozess für Praxis- bzw. Institutionsausweise (SMC-B) und elektronische Heilberufsausweise (eHBA) in Absprache mit der Bundesnetzagentur und der Gematik GmbH derzeit leider nicht zur Verfügung steht. Sobald eine neue Sachlage vorliegt, informieren wir Sie umgehend und bitten bis dahin um Ihr Verständnis!“ Das ist derzeit auf den Internetseiten der qualifizierten Vertrauensdiensteanbieter Medisign und der Bundesdruckerei zu lesen, also der Unternehmen, die die für den Zugang zur Telematikinfrastruktur notwendigen Karten herstellen. 

Die Gematik hatte deren Ausgabe nämlich gestoppt, nachdem der Chaos Computer Club (CCC) große Sicherheitslücken im Bestellprozess sowohl der Arzt- als auch der Praxisausweise entdeckt hatte. Die IT-Experten konnten sich die für den Zugang zur Telematikinfrastruktur (TI) relevanten Karten – einen Arztausweis (HBA), einen Praxisausweis (SMC-B) und auch eine elektronische Gesundheitskarte – jeweils über einen Dritten bestellen und die Bestellung an eine Wunschadresse liefern lassen – unter anderem an eine Käsetheke.

Auch bei der Landesapothekerkammer Baden-Württemberg sieht man keine Sicherheitsprobleme. Geschäftsführer Dr. Karsten Diers erklärte auf Nachfrage gegenüber der AZ, dass zur Sicherheitslücke bei der Ausgabe von HBA und SMC-B nur unzureichende Informationen vorlägen und sich angeblich die Identifizierungsverfahren Kammer-Ident und Bank-Ident als manipulierbar gezeigt hätten. „Ein solcher Hack ist aber im System der LAK unwahrscheinlich, da keins der genannten kritischen Ident-Verfahren zum Einsatz kommt und der Antrag ausschließlich auf der Seite der LAK BW gestellt werden kann, die einen Abgleich mit den vorhandenen Mitgliedsdaten vornimmt und den Antrag nur bei völliger Übereinstimmung zum qualifizierten Vertrauensdiensteanbieter (qVDA) weiterleitet. Bei Unstimmigkeiten wird der Antragsteller kontaktiert und ein Nachweis angefordert. Insofern dürften keine unrechtmäßigen Ausweise ausgestellt werden“, so Diers weiter. Die Kammer in BaWü verwendet Post-Ident, das Verfahren gilt nach aktuellem Kenntnisstand als sicher.