DE | EN
Sitemap | Impressum
web2.0 Diaspora Vimeo Wir in der taz Wir bei Mastodon A-FsA Song RSS Twitter Youtube Unsere Artikel bei Tumblr Unsere Bilder bei Flickr Aktion FsA bei Wikipedia Spenden Facebook Bitmessage Spenden über Betterplace Zugriff im Tor-Netzwerk https-everywhere
09.01.2022 Sicherheitslücke(n) in der ePA

Wer ist für Schäden in der ePA verantwortlich?

Vor 3 Wochen hatten wir noch gewarnt "Gegen Aktionismus bei der Digitalisierung im Gesundheitswesen" und darauf verwiesen, dass auch viele Ärzte große Probleme mit der Instalation der ständigen Updates bei den Softwarekomponenten zur elektronischen Patientenakte (ePA) haben.

Nun berichtet Heise über Untersuchungen der Zeitschrift ct. Diese zeigen, dass auch ein Jahr nach dem abgeblasenen theoretischen Start der ePA und 6 Monate nach dem Start des "Testlaufs" wenigstens in 2 Bundesländern immer noch alles drunten und drüber geht - und vor allem - gefundene Sicherheitslücken nicht fachgerecht geschlossen werden.

Die von der ct gefundene Sicherheitslücke geht so: Nach der Spezifikation der Gematik (PDF) sind die folgenden Dateitypen PDF, JPEG, PNG, TIFF, text/plain und text/rtf, XML, HL7-V3, PKCS7-mime und FHIR+XML als Inhalte der ePA erlaubt. Zip-Dateien sind verboten, weil sie jeden beliebigen Schadcode enthalten könnten.

Trotzdem gibt es Versionen der App, z.B. Android-Version 3.15.0, mit denen es möglich ist ZIP-Dateien in die ePA hochzuladen und auch aus der ePA wieder herauszuholen. Ob alle Updates der betroffenen Versionen diesen Fehler ausgemerzt haben, wird nicht geprüft.

Zwar müssen ePA-Apps von der Gematik zertifiziert werden, allerdings gilt das nicht für "Aktualisierungen mit unwesentlichen Änderungen". Die Gematik hatte lediglich die Produktversion 3.1.0 der TK-App zertifiziert und die von der ct beschriebene Lücke darin nicht gefunden.

Die Gematik besteht darauf, dass die Sicherheit in den Arztpraxen dadurch nicht gefährdet wird, da es Aufgabe der Ärzte sei, beim Download alle Dateien auf möglichen Schadcode zu prüfen.

Das haben sich die Ärzte sicher anders vorgestellt! Gesundheitsdaten sind hochsensibel und müssen geschützt sein!
Nach jetziger Rechtslage erhält nun ab 2022 Jede/r eine ePA und kann ihrer Verwendung widersprechen - einem ePezept kann man allerdings schon nicht mehr widersprechen, erst recht nicht, wenn man es aus gesundheitlichen Gründen gerade dringend braucht ...

Mehr dazu bei https://www.heise.de/news/c-t-deckt-auf-Sicherheitsluecke-in-elektronischer-Patientenakte-6304671.html

 und alle unsere Artikel zur elektronischen Patientenakte (ePA) https://www.aktion-freiheitstattangst.org/cgi-bin/searchart.pl?suche=eGK+ePA&sel=meta


Kategorie[21]: Unsere Themen in der Presse Short-Link dieser Seite: a-fsa.de/d/3kg
Link zu dieser Seite: https://www.aktion-freiheitstattangst.org/de/articles/7888-20220109-sicherheitsluecken-in-der-epa.htm
Link im Tor-Netzwerk: http://a6pdp5vmmw4zm5tifrc3qo2pyz7mvnk4zzimpesnckvzinubzmioddad.onion/de/articles/7888-20220109-sicherheitsluecken-in-der-epa.htm
Tags: #eGK #ePA #Hack #Arbeitnehmerdatenschutz #Upload #Lücke #Verbraucherdatenschutz #Datenschutz #Datensicherheit #Freiwilligkeit #Zustimmung #Einwilligungserfordernis #elektronischenPatientenakte #Gesetzesänderung #Schadsoftware #Skandale #RFID #elektronischeGesundheitskarte #eHealth #Freiwilligkeit
Erstellt: 2022-01-09 09:42:32
Aufrufe: 498

Kommentar abgeben

Wer hat, der kann! Für eine verschlüsselte Rückantwort hier den eigenen Public Key reinkopieren.
(Natürlich optional)
Geben Sie bitte noch die im linken Bild dargestellte Zeichenfolge in das rechte Feld ein, um die Verwendung dieses Formulars durch Spam-Robots auszuschließen.

CC Lizenz   Mitglied im European Civil Liberties Network   Bundesfreiwilligendienst   Wir speichern nicht   World Beyond War   Tor nutzen   HTTPS nutzen   Kein Java   Transparenz in der Zivilgesellschaft

logos Mitglied im European Civil Liberties Network Creative Commons Bundesfreiwilligendienst Wir speichern nicht World Beyond War Tor - The onion router HTTPS - verschlüsselte Verbindungen nutzen Wir verwenden kein JavaScript Für Transparenz in der Zivilgesellschaft