Nachrichten der Woche

Gravierende Sicherheitslücken in der Telematik-Infrastruktur der Gematik offengelegt

Von Jonas HerrmannVeröffentlicht am
Lesezeit:-Wörter

Der E-Mail-Dienst „Kommunikation im Medizinwesen“ (KIM) der Gesellschaft für Telematikanwendungen der Gesundheitskarte (Gematik) hat gravierende Sicherheitsmängel. Das deckten Sicherheitsexperten des Fraunhofer-Institut für Sichere Informationstechnologie (SIT) und der FH Münster auf.

KIM soll die sichere Kommunikation im Gesundheitswesen und Ende-zu-Ende verschlüsselten Versand sensibler Daten und Unterlagen ermöglichen. Unverschlüsselte Nachrichten werden ausschließlich auf einem lokalen Server in der Arztpraxis gespeichert. Der sog. TI-Connector, eine ebenfalls lokale Hardware-Komponente übernimmt dabei zertifikatsbasiert die Verschlüsselung ausgehender und Entschlüsselung eingehender Nachrichten.

Auch wenn – so die Forscher – KIM auf einem weit höheren Sicherheitsstandard operiert als beispielsweise das Besondere elektronische Anwaltspostfach (beA), wurden grundlegende Sicherheitsmängel entdeckt. So werden beispielsweise alle E-Mails in unverschlüsselter Form Bestandteil regelmäßiger Backups ohne die Möglichkeit, Löschverpflichtungen (bspw. auf Basis der DSGVO) nachzukommen. 

Erhebliche Mängel im Update-Prozess des Partners T-Systems führten dazu, dass beispielsweise eine Log4J-Schwachstelle auf einem großen Teil der angeschlossenen Systeme monatelang nicht behoben wurde. 
 
Noch gravierender ist die relativ einfache Möglichkeit, Signaturen von Versicherungen zu fälschen oder die Zuteilung identischer S/MIME-Keys zu mehreren Versicherungen, was dazu führte, dass die E2E-Sicherheit des gesamten Systems kompromittiert und im Ergebnis die Verschlüsselung zwischen insgesamt 8 Krankenkassen aufgehoben war. Vom letztgenannten Fehler waren 28% aller Versicherten in Deutschland potenziell betroffen. 
 
Die Forscher legten ihre Erkenntnisse im Rahmen eines „Responsible Disclosure“-Prozesses vor der Veröffentlichung gegenüber der Gematik und ihren Technologiepartnern offen. Die Gematik und ihre Partner hat bereits erste Abhilfemaßnahmen ergriffen. So soll beispielsweise eine regelmäßige monatliche Doublettenprüfung das Risiko mehrfach vergebener Schlüssel senken.

Quellen: