Page 123 - Krankenhaus-ITJournal_062021

Sicherheitsniveau mit potentiellen oder Trotz dieses hohen Sicherheitsniveaus gab es
tatsächliche Schwachstellen potentielle oder tatsächliche Schwachstellen:
Die Digitalisierung des Gesundheitswesens hat von 2020 bis ■ Die Telematik-Infrastruktur bietet mehrere Wege der
heute stark zugenommen, insbesondere bei Anwendungen Anbindungen an (vgl. Quellenverzeichnis55). Viele Leis-
der Telematik-Infrastruktur (TI). So waren die vergangenen tungserbringer nutzen nicht den von der gematik empfoh-
Monate vor allem durch den Start der elektronischen Patiente- lenen Reihenbetrieb, in dem das Netz des Leistungserbrin-
nakte (ePA), des Frontends des Versicherten (FdV) sowie vom gers direkt an den zertifizierten Konnektor angeschlossen
Notfalldatenmanagement (NFDM) und der Arzneimittelthe- ist und der einen hohen Schutz durch integrierte Sicher-
rapiesicherheit (AMTS) geprägt. Zugleich gab es Fortschritte heitsfunktionen, etwa durch eine Firewall, bietet. Stattdes-
beim sogenannten E-Rezept, dem Zusammenspiel von Telema- sen wird häufig der Parallelbetrieb verwendet, in dem der
tik-Infrastruktur mit digitalen Gesundheits- und Pflege-Apps Konnektor wie andere Geräte der Praxis-IT an einen Router
sowie bei Implantaten und dem europaweiten Zusammenspiel angeschlossen ist, der direkt mit dem Internet verbunden
in der Notfallversorgung. Die Aufnahme zusätzlicher Leis- ist. Dieser Betrieb ist für große IT-Dienstleister mit eigenen
tungserbringer wie Pflegepersonal oder Hebammen steht bevor. Schutzmechanismen vorgesehen und bietet keinen integ-
Diese Fülle neuer Anwendungsfälle erfordert eine Neu- rierten Schutz vor Angriffen aus dem Internet.
gestaltung der Telematik-Infrastruktur, die sich vor allem im
aktuellen Entwurf zum Gesetz zur digitalen Modernisierung ■ Eng verwandt damit waren Sicherheitsmängel durch Fehl-
von Versorgung und Pflege (DVPMG) sowie in den Planungen konfigurationen, die Sicherheitsforscher im Juli 2020 sowie
der gematik zur Telematik Infrastruktur 2.0 wiederfinden. Bei auf dem Chaos Communication Congress im Dezember
all diesen Entwicklungen steht das BSI Gesellschaft, Staat und 2020 vorstellten. Dabei konnte über das Internet auf eine
Wirtschaft in sicherheitstechnischen Fragen mit Beratung, Prü- Admin-Schnittstelle einiger Konnektoren zugegriffen wer-
fung und Nachweis der Sicherheit sowie mit der Vertretung der den.
Interessen zur Verfügung. So umfasst das aktuelle Release 4.0.2
im Fachportal der gematik 93 Spezifikationen, 15 Konzepte ■ Mitte 2020 kam es durch einen Konfigurationsfehler zu Stö-
und 95 Steckbriefe, die in Begleitung des BSI entstanden sind. rungen im Versichertenstammdatenmanagement (VSDM)
Im Nachweis der Sicherheit von Anwendungen der Telematik- einiger Konnektoren diverser Hersteller (vgl. Quellenver-
Infrastruktur ist ein Umdenken erforderlich: Die auf den Kon- zeichnis56). VSDM wird benötigt, damit sich Patientinnen
nektor auch heute noch angewendeten Zertifizierungsverfah- und Patienten gegenüber der Praxis mit der elektronischen
ren (wie die aktuellen Produkttypversion-4-Zertifizierungen) Gesundheitskarte (eGK) als Versicherte ausweisen können.
lassen sich auf Smartphone-Anwendungen, wie das Frontend Die betroffenen Konnektoren konnten sich nicht mit der
der Versicherten, nur eingeschränkt anwenden. Telematik-Infrastruktur verbinden, wodurch insbesondere
Durch eine Vielzahl an Betriebssystemversionen und eng der Online-Datenabgleich nicht möglich war. Die Infra-
getaktete Updates sowohl der Apps als auch der Betriebssys- struktur selbst war dadurch zwar nicht gefährdet, aber die
teme stehen die etablierten Prüfmechanismen vor großen Hür- Verfügbarkeit in den Arztpraxen eingeschränkt
den. Darauf hat das BSI durch die „Prüfvorschrift Frontend des
Versicherten - elektronische Patientenakte“ (vgl. Quellenver- Im Dezember 2019 wurden auf dem Chaos Communication
zeichnis54) reagiert, indem ein maßgeschneidertes alternatives Congress Mängel in der Auslieferung von Sicherheitskarten
Prüfverfahren definiert wurde. Der ursprüngliche Sicherheits- HBA und SMC-B vorgestellt (vgl. u. a. Quellenverzeichnis57).
ansatz der Telematik-Infrastruktur basiert im Wesentlichen auf Auch wenn es sich hierbei um Schwachstellen in organisa-
einem sicheren Netz, in dem Leistungserbringer ohne zusätz- torischen Prozessen außerhalb der informationstechnischen
lichen Internetzugang durch mit einem VPN vergleichbaren Systeme handelte, wäre die Informationssicherheit bei einer
Konnektor an die Telematik-Infrastruktur angeschlossen und tatsächlichen Ausnutzung der Schwachstellen gefährdet gewe-
so innerhalb dieser sicheren Umgebung vor äußerer, unberech- sen. Die Neugestaltung der TI zur Telematik Infrastruktur 2.0
tigter Einflussnahme geschützt werden. ist mit erheblichen Eingriffen in die Sicherheitsarchitektur
verbunden, die ein Umdenken und eine Neubewertung vieler
Fragen erforderlich machen.

Quelle: BSI

IT-Sicherheit im Krankenhaus 6 /2021
123