Chaos-Computer-Club legt Sicherheitslücken beim ePA-Zugriff offen

Der „Chaos Computer Club“ (CCC) hat auf seinem 38. „Chaos Communication Congress“ Sicherheitslücken beim Zugriff auf die elektronischen Patientenakte (ePA für alle) offengelegt. „Auch die ePA für alle kann ihre Sicherheitsversprechen nicht halten“, schreibt der CCC in einer Pressemitteilung. Demnach gelangen Fernzugriffe auf Patientenakten über unsicher konfigurierte IT bei Arztpraxen und Krankenkassen.

Bereits in den vergangenen Jahren hatten die IT-Sicherheitsexperten Mängel bei den Konnektoren, dem Ident-Verfahren sowie ein fragwürdiges Kosten-Nutzen-Konzept kritisiert. Bei der aktuell vorgestellten Sicherheitsanalyse konnten Mitglieder des CCC zudem nachweisen, dass es „mit wenig Aufwand“ möglich sei, gültige Heilberufs- und Praxisausweise sowie Gesundheitskarten Dritter zu beschaffen. Damit könnten auch unbefugte Personen auf die Gesundheitsdaten in der ePA zugreifen. Die Ursache des Problems seien „Mängel in den Ausgabeprozessen, den Beantragungsportalen, sowie im real existierenden Umgang mit Karten“.

Zudem behauptet der CCC, dass es aufgrund von Schwachstellen in der Spezifikation der ePA möglich sei, Zugriffs-Token für die Patientenakten beliebiger Versicherter zu erstellen und so potenziell Zugriff auf die Daten aller Versicherten zu erlangen – und das ohne Präsentation oder Einlesen der Gesundheitskarte.

Der CCC widerspricht damit einer Sicherheitsanalyse des Fraunhofer-Instituts. Dort wurde mittels Künstlicher Intelligenz die Sicherheit der „ePA für alle“ getestet und diese trotz „geringer Mängel“ für sicher befunden. Diese Darstellung – auf die sich auch die Gematik stützt – könne nach den vorliegenden neuen Erkenntnissen „endgültig als halluzinierte Fehldiagnose betrachtet werden“. Deshalb fordern die Expert*innen vom CCC:

Unterm Strich hält die Gematik jedoch an ihrer Darstellung fest: „Die ePA für alle wurde und wird mit höchsten und modernsten Sicherheitsstandards gebaut.“