Gravierende Sicherheitslücken müssten bis zum Start der ePA 3.0 noch geschlossen werden. Das demonstrieren Martin Tschirsich und Bianca Kastl auf dem 38C3. Sicherheitsmängel gibt es bei der elektronischen Patientenakte (ePA) seit Jahren – Sicherheitsexperten finden immer wieder Lücken. Jetzt auch für die ePA, die für alle automatisch kommt, die nicht widersprechen. Stets betonen die Verantwortlichen, dass die ePA absolut sicher sei. Doch die “ePA für alle” kann dieses Versprechen nicht einhalten. Das zeigten Martin Tschirsich und Bianca Kastl auf dem 38. Chaos Communication Congress in Hamburg anhand einer Reihe simpler Sicherheitslücken, die Außentäter ausnutzen können. Es gelang ihnen ohne Umstände, sich Zugang zur “ePA für alle” zu verschaffen. Dies war unter anderem aufgrund von Mängeln in den Spezifikationen möglich. So konnten sie die Zugriffstoken für Akten beliebiger Versicherter erstellen – ohne Stecken der elektronischen Gesundheitskarte. Sicherheitslücken seit Jahren bekannt Ein “Dauerbrenner” und zentraler Punkt ist dabei die unkontrollierte Ausgabe von Gesundheitskarten. Die Forscher konnten durch simple Telefonanrufe bei Krankenkassen elektronische Gesundheitskarten auf fremde Namen bestellen. Der zeitliche Aufwand für diese Angriffe ist erstaunlich gering: Die Bestellung einer fremden Gesundheitskarte konnte in 10 bis 20 Minuten erreicht werden. Praxiszugänge ließen sich ebenfalls innerhalb weniger Stunden bis Tage erlangen. Grund dafür sind Mängel in den Ausgabeprozessen, den Beantragungsportalen sowie dem Umgang mit den Ausweisen “in der Praxis”.
via heise: 38C3: Große Sicherheitsmängel in elektronischer Patientenakte 3.0 aufgedeckt
