Sicherheitslücken bei Praxisverwaltungssystemen

Die IT-Sicherheit von Software-Produkten im Gesundheitswesen ist „ausbaufähig“. Zu diesem Ergebnis kommt das Bundesamt für Informationstechnik (BSI), das unter anderem Praxisverwaltungssysteme unter die Lupe genommen hat.

Das BSI verweist auf die Notwendigkeit sicherer Softwareprodukte in Kliniken, Praxen oder bei ambulanten Pflegediensten für den ganzheitlichen Schutz sensibler Gesundheitsdaten. „Die IT-Sicherheit von Software-Produkten im Gesundheitswesen ist allerdings ausbaufähig“, konstatierte das BSI nach der Testung der Standardkonfiguration unterschiedlicher Software-Produkte im Gesundheitswesen. Zusammen mit den Testergebnissen hat das Bundesamt begleitende Empfehlungen veröffentlicht, die dabei unterstützen sollen, die IT-Sicherheit der Produkte zu stärken.

Vier Praxisverwaltungssysteme exemplarisch getestet

Das BSI hatte die Firma Enno Rey Netzwerke beauftragt, die IT-Sicherheit von Informations- beziehungsweise Verwaltungssystemen in ­Arztpraxen sowie ambulanten Pflegeeinrichtungen zu testen. So sollten der Stand der IT-Sicherheit besser eingeschätzt und konkrete Verbesserungshinweise ­erarbeitet werden. Damit knüpfen die beiden Projekte unmittelbar an das Projekt Sicherheit von Krankenhaus­informationssystemen an.

Im Rahmen des Projektes wurden vier exempla­rische Praxisverwaltungssysteme mittels Penetrationstests untersucht. Die Ergebnisse zeigen, dass trotz unterschiedlicher Technologien bei drei von vier untersuchten Praxisverwaltungssystemen die Verkettung einzelner Schwachstellen einen Angriff aus dem Internet ermöglicht.

Authentifzierung und Autorisierung der Nutzer herausfordernd

Die Schwachstellen bei den Praxisverwaltungssystemen waren unter anderem: keine Verwendung von ­Verschlüsselungsverfahren bei der Datenübertragung oder die Verwendung veralteter und daher unsicherer Verschlüsselungsalgorithmen. Wie das BSI mitteilt, habe man die identifizierten Schwachstellen an die jeweiligen Hersteller kommuniziert und sie seien von diesen „unverzüglich adressiert“ worden.

Von den begleitend zum Abschlussbericht veröffentlichten Empfehlungen erhofft sich das BSI eine weitere Stärkung der Sicherheit von Praxisverwaltungssystemen. Wie das Bundesamt betonte, verdeutlichen die Projekte, dass es für die sichere Verwendung von Gesundheitsdaten einer hohen Sicherheit bei den verschiedenen zentralen Softwareprodukten bedarf. Nutzerauthentifizierung und Nutzerautorisierung stellten weiterhin eine Herausforderung dar, so das BSI. Insgesamt benennen die Projekt-Ergeb­nisse vergleichbare Schwachstellen in unterschiedlichen Produkten des Gesundheitswesens.