IT-Experten finden kritische Lücken bei Gesundheitsapps
Wenn persönliche Gesundheitsdaten öffentlich zugänglich sind, kann das schwerwiegende Folgen für Nutzerinnen und Nutzer von Digitalen Gesundheitsanwendungen haben.
© iStockphoto/hillaryfox
Das IT-Sicherheitskollektiv zerforschung hat in zwei Digitalen Gesundheitsanwendungen – kurz: DiGA – kritische Sicherheitslücken entdeckt. Unter anderem konnten die Expertinnen und Experten auf Patientendaten anderer Personen zugreifen. Die Tagesschau hatte zuerst darüber berichtet.
DiGA sind Gesundheits-Apps, die Patienten und Arzt bei der Therapie unterstützen sollen. Zum Beispiel bei Depressionen oder Krebs. 31 DiGa sind in Deutschland aktuell zugelassen. Geprüft und genehmigt werden sie vom Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM). Die Krankenkassen übernehmen die Kosten – das sind im Schnitt etwa 400 Euro für eine DiGA.
Im Interview mit der Apotheken Umschau berichtet Lilith Wittman, Sicherheitsexpertin bei zerforschung, warum solche Schwachstellen von Behörden nicht entdeckt werden, was sich am System ändern sollte und, was Sicherheitslücken für Patientinnen und Patienten bedeuten können.
Frau Wittmann, zerforschung untersucht regelmäßig die Sicherheit verschiedener IT-Systeme und Anwendungen. Diesmal haben Sie sich die digitalen Gesundheitsanwendungen vorgenommen. Warum?
Start-ups können DiGA ohne große Prüfung auf den Markt bringen. Wir kannten das schon von der Corona-Pandemie, als Firmen mit schlechter Software schnell Geld verdienen wollten. Auch bei den DiGA hatten wir das Gefühl, dass viele von ihnen nicht den Sicherheitsstandards von Medizinprodukten entsprechen können. Wir haben uns also wahllos einige DiGA angeschaut und tatsächlich gravierende Sicherheitslücken gefunden.
Von welchen DiGA sprechen wir?
In diesem Fall sind es Novego und Cankado. Novego ist eine App zur Depressionstherapie. Cankado soll Patient:innen mit Brustkrebs unterstützen.
Und was haben Sie gefunden?
Bei Novego konnten wir Zugriff auf viele persönliche Informationen anderer Personen bekommen: Name, E-Mail-Adresse, Diagnose und Verlauf der Therapie. Bei Cankado waren es Name, Adresse, E-Mail-Adresse, Diagnose, Arztberichte, Messdaten, Überweisungen sowie alle weiteren Daten, die im Kontext der Krebsbehandlung erfasst wurden.
IT-Expertin Lilith Wittman von zerforschung
© privat
Wie aufwendig war es, an die Daten zu gelangen?
Die Daten waren mehr oder weniger offen zugänglich. Wir reden hier von Sicherheitslücken, die Personen mit ein wenig Fachkenntnissen einfach ausnutzen konnten. Bei Novego haben wir dazu die DSGVO-Auskunftsfunktion genutzt: Dort konnte man seine persönlichen Daten mit der eigenen Nutzer:innen-Nummer anfragen. Dann bekam man eine ZIP-Datei zum Herunterladen zurückgeschickt. Allerdings konnte man einfach eine andere Nummer als die eigene angeben – und erhielt so die Daten von einem anderen Menschen zurück.
Und bei Cankado?
Hier haben wir einen ungeschützten Zugriffspunkt in der API, also der Programmierschnittstelle, gefunden. Über solche Programmierschnittstellen kommen normalerweise die Daten in die Apps. Aber auch wir konnten darüber auf alle Daten der Patient:innen zugreifen. Für diese Schwachstelle brauchte man gewisse IT-Skills, aber weder krasses Fachwissen noch spezialisierte Tools.
Was bedeuten solche Schwachstellen für Nutzerinnen und Nutzer?
Unsere Gesundheitsdaten sind etwas Höchstpersönliches. Wenn Diagnosen wie Depression oder Krebs öffentlich werden, kann das für eine Person große Nachteile haben: Auch heute verlieren Menschen ihre Arbeit wegen solcher Krankheiten. Nun stellen Sie sich vor, es gäbe eine quasi öffentliche Liste über Menschen mit diesen Erkrankungen. Kriminelle können sich so etwas wunderbar zunutze machen, zum Beispiel um vulnerable Menschen zu erpressen oder mit sogenannten Phishing-Attacken weitere sensible Daten wie Passwörter und Kontodaten zu entlocken.
Sie haben den Herstellern die Lücken gemeldet. Wie haben die darauf reagiert?
Sowohl Novego als auch Cankado haben die Schwachstellen schnell geschlossen. Bei Cankado haben wir aber kurz darauf eine andere Lücke gefunden: Wir fanden einen API-Endpunkt, der es uns ermöglichte, uns als Ärzt:in auszugeben und Nutzer:innen anhand ihrer Identifikationsnummer im System zu unseren Patient:innen zu machen und konnten so an Patientenakten von anderen Personen zugreifen.
Sie konnten sich als Arzt ausgeben? Wie kann so etwas sein?
Das funktioniert so: Die App kommuniziert ständig mit dem Server beim Hersteller. Wir nehmen diese Kommunikation an den Server, verändern sie und probieren Sachen aus, die man ohne Berechtigung eigentlich nicht machen dürfte. Normalerweise sollte ein Server uns den Zugriff verweigern. In diesem Fall war das aber nicht so. Auf unserer Website erklären wir ausführlich, wie wir vorgegangen sind.
Digitale Gesundheitsanwendungen werden vom Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM ) geprüft, bevor sie zugelassen werden. Wie können solche Lücken unentdeckt bleiben?
Bei den DiGA gibt es das sogenannte Fast-Track-Verfahren. Das BfArM verließ sich hier vor allem auf Herstellerangaben und gab das Produkt erstmal frei. Nach einem Jahr wird die DiGA dann nochmal angeschaut. Es wird keine zusätzliche Sicherheitsüberprüfung vorgenommen, die Hersteller können also ihre App ein Jahr auf den Markt werfen und Daten sammeln. Stellen Sie sich vor, wir würden bei Medikamenten so vorgehen: Jemand mischt eine Tablette im Keller, gibt sie in der Apotheke ab und sagt: Wir testen das ein Jahr und schauen dann, ob Leute gestorben sind.
Wie sollte das System Ihrer Meinung nach also aussehen?
Wir fordern vom Bundesgesundheitsministerium, das Fast-Track-Verfahren in der jetzigen Form einzustellen und zu überarbeiten. Es sollte zum Beispiel für alle DiGA eine verpflichtende Sicherheitsprüfung geben, die solche Lücken verhindert, wie wir sie gefunden haben.
Hier müssen die Hersteller mehr in die Verantwortung gezogen werden und ihre Apps entsprechend anpassen. Solche Lücken entstehen meist, wenn man nicht genug Priorität auf die grundlegenden Standards der IT-Sicherheit legt. Durch verpflichtende Vorgaben kann dieses Risiko minimiert werden, aber es muss gleichzeitig eine zusätzliche Absicherung geschaffen werden, falls trotz Sicherheitsprüfung etwas schiefgeht. Diese Absicherung besteht zum Beispiel aus einer Pflicht zur Datenminimierung und wirksamer Verschlüsselung.
Wie meinen Sie das?
Es gilt der Grundsatz: Daten, die der Hersteller nicht hat, können auch nicht wegkommen. Deshalb muss vorgegeben werden, dass eine Datenübermittlung nicht stattfinden darf, wenn sie nicht zwingend medizinisch notwendig ist. Ein Depressionstagebuch sollte nicht in der Cloud der Hersteller gespeichert werden, sondern am besten nur auf dem Smartphone der Nutzer:innen.
Und wenn so eine Übertragung doch nötig ist, müssen sämtliche Daten so verschlüsselt werden, dass nur die Menschen sie lesen können, die dies unbedingt müssen. Ende-zu-Ende-Verschlüsselung ist zum Beispiel bei Chat-Apps längst der Standard. Warum darf die Kommunikation mit Ärzt:innen schlechter geschützt sein als die WhatsApp-Familiengruppe?
Sie haben solche kritischen Lücken nur bei zwei DiGA gefunden. Heißt das, die anderen sind alle sicher?
Wir haben nicht alle angeschaut, aber einige und bei den beiden auf Anhieb etwas gefunden. Wir bleiben aber an dem Thema dran. Denn eigentlich sind digitale Gesundheitsapps ja nichts Schlechtes. Die Gesundheitsversorgung durch Digitalisierung zu verbessern, eröffnet viele Chancen. Wenn aber Leute sich nicht mehr trauen, solche Leistungen zu beanspruchen, weil ihre Daten in Gefahr sein könnten, kann das zum Problem werden. Ich persönlich würde DiGA auch erst wieder nutzen, sobald das Zulassungsverfahren angepasst ist.
