Ungeschützte Patientendaten im Internet

(Anmerkung des Administrators – dies wurde im März 2023 aktualisiert, um veraltete Links zu entfernen)

Ungeschützte Patientendaten im Internet – ein massives globales Datenleck

Medizinische Systeme und Prozesse des Gesundheitssektors werden immer weiter digitalisiert. Dafür nutzen Arztpraxen und Krankhäuser – wie alle anderen Branchen auch – die Technologien des Internets und vernetzen sich auf IP-Basis untereinander. Das dies gründlich schief gehen kann, zeigt eine globale Daten- und Informationssicherheitsanalyse von medizinischen Bildarchivierungssystemen.

Die Ausgangslage

Röntgenbilder und andere bildgebende Verfahren wie CT und MRT sind aus dem Klinikalltag schon lange nicht mehr wegzudenken. Diese daraus resultierenden Bilder helfen Ärzten und Therapeuten dabei, eine Diagnose zu stellen, für einen Patienten die richtige Behandlung zu erarbeiten oder den Behandlungsfortschritt zu beobachten und zu dokumentieren. Dazu nutzen Klinikbetriebe umfangreiche Bildarchivierungsysteme, sogenannte PACS-Server (Picture Archiving and Communication Systems-Server), in denen die Bilder gespeichert werden und von Medizinern bei Bedarf abgerufen werden können. Das PACS-Server angreifbar sind, ist schon länger bekannt [1]. Was bis heute unbekannt war, ist, wie groß und verbreitet dieses globale Datenleck tatsächlich ist.

Doch worum geht es genau. Einfach formuliert, betrifft dieses Datenleck einen Standard, der in den 80er Jahren entwickelt wurde. Dieser Standard nennt sich DICOM (Digital Imaging and Communications in Medicine) und beschreibt, wie Medizingeräte der Bildgebung miteinander vernetzt werden können, um so Informationen zu Patienten und Bildern auszutauschen und zu archivieren. PACS-Server nutzen diesen Standard, der auch die Verwendung des IP-Protokolls einbezieht. Damit sind diese Systeme auch im Internet auffindbar. Die daraus entstandene Liste an IP-Adressen war Gegenstand der Sicherheitsanalyse.

Die Schwächen

Sowie etwas mit dem öffentlichen Internet verbunden wird, stellt sich die Frage nach der Absicherung des jeweiligen Systems vor unbefugtem Zugriff. Wer soll was mit dem System machen können? Für die gefundenen Archivsysteme scheint die Antwort, sei sie noch zu unbeabsichtigt, zu sein: Jeder und alles.
Wie zu erwarten, enthalten diese Archive sensible medizinische und persönliche Informationen von Millionen von Menschen weltweit. Name, Geburtsdatum, Datum einer Untersuchung, Details der Untersuchung, behandelnde Ärzte, Kliniken, bis hin zu Informationen wie der amerikanischen Social Security Number und den eigentlichen Bildern, ist alles abrufbar und teilweise als Download verfügbar.

Das dies möglich ist, liegt an der nachlässigen Konfiguration dieser Systeme, die ohne jeglichen Schutz, ohne Passwort oder Verschlüsselung, diese Daten einem Internetnutzer, der ein paar Handgriffe tätigt, bereitstellen.

Der Begriff Internetnutzer ist ganz bewusst gewählt, denn für diese Abfrage muss kein Code geschrieben werden, keine Software-Schwachstelle ausgenutzt werden, oder eine Zero-Day-Attacke gefahren werden. Man muss also kein Hacker sein, um sich Zugang zu diesen hochsensiblen Daten zu verschaffen, sondern bekommt unter Zuhilfenahme von frei verfügbaren Tools direkt auf den Bildschirm geliefert. Um diese Daten zu sehen und – falls gewünscht – herunterzuladen, benötigt man nur eine Liste von IPs und einen entsprechenden Viewer. Beides gibt es zum Download im Netz.

Das Ausmaß

Die Zahlen, die dabei zusammenkamen, sind erschreckend. Über 24 Millionen Datensätze mit mehr als 700 Millionen verlinkten Bildern. Aus diesen sind 400 Millionen tatsächlich herunterladbar. Diese ungeschützten Systeme stehen in 52 Ländern der Welt. Neben der “Offenheit‘“ der Systeme, haben diese auch noch tausende „echte“ Schwachstellen, also veraltete Webserver-Versionen und angreifbare Datenbank-Instanzen. Zum Teil erlauben es die PACS-Server auch, via http und einen Webbrowser die Patientendaten und Bilder zu betrachten.

Der Bericht

Greenbone hat einen vollständigen Bericht verfasst, der hier zum Download zur Verfügung steht. Der Bericht enthält weitere Zusammenfasungen der Gesamtsituation, eine Analyse des Gefahrenpotentials verbunden mit diesem Datenleck sowie eine Schätzung, welche Summe dieser Datenschatz im Darknet möglicherweise erbringen könnte. Für einen tieferen Einstieg in die digitale Widerstandsfähigkeit von kritischen Infrastrukturen, zu denen der Gesundheitssektor gehört, ist das Whitepaper geeignet.

Details für einzelne Systeme beziehungsweise die Detaillisten eines bestimmten Landes, geben wir aufgrund der Sensibilität der Daten nur an berechtigte Stellen, zum Beispiel die jeweiligen Datenschutzbehörde des Landes, heraus.

Anmerkung: Wir haben keine kompletten Datensätze oder vollständige Archive heruntergeladen sondern nur auf die Zahlen der einzelnen Systeme geachtet wofür ein Download nicht notwendig ist. Ein Download wäre allerdings jederzeit möglich gewesen.

10 Likes