Gesundheits-App

Neben einigen Fehlern in der Umsetzung der Ende-zu-Ende-Verschlüsselung  könnten Angreiferinnen zudem Schadsoftware über die App an Arztpraxen schicken – ein Fehler, der ebenfalls gravierend sei. Noch folgenreicher für Patienten sei aber, dass weder die Identität neuer Arztpraxen noch die neuer Patienten überprüft werde, so Tschirsich. Ohne eine solche sichere Identifizierung ist es beispielsweise denkbar, dass sich ein Angreifer als bestehender Patient einer Praxis ausgibt und so dessen Daten erhält. Tschirsich selbst hat auch testweise falsche Accounts mit erfundenen Namen angelegt. „Ich musste lediglich versichern, dass ich tatsächlich der bin, der ich vorgebe zu sein, beziehungsweise dass ich vertretungsberechtigt bin für das Kind“, sagt er. Das sei aber in keiner Weise überprüft worden. Auch in den allgemeinen Geschäftsbedingungen stehe lediglich, dass er verpflichtet sei, seine wahre Identität anzugeben. Das ist freilich nichts, was Kriminelle berücksichtigen würden. „Damit wird Sicherheit per AGB auf die Ärzte abgewälzt“, sagt Tschirsich, „dabei sind diese auch nicht in der Lage, das zu überprüfen.“

Tschirsich hat eine ausführliche Beschreibung der Sicherheitslücken an das Bundesamt für Sicherheit in der Informationstechnik (BSI) geschickt, die ZEIT ONLINE vorliegt. Der Sicherheitsforscher findet den schlechten Schutz der Patientendaten besorgniserregend. So konnte er unter anderem einfach von einer bekannten Patienten-ID hochzählen und auf die Daten Fremder zugreifen. Das sei eine häufige und leicht zu vermeidende Sicherheitslücke – mit gravierenden Folgen, wenn das nicht getan wird. „Die Qualität dieser App spricht nicht für eine professionelle Softwareentwicklung“, sagt Tschirsich. Das BSI habe die Schwachstelle nachvollziehen können und den Hersteller informiert.

„Wir wollen mit unseren Apps das Gesundheitssystem entlasten“

„Wir haben die Lücken innerhalb von 24 Stunden geschlossen“, sagt Sean Monks, Gründer und Geschäftsführer der Monks Ärzte im Netz GmbH. Die Meldung habe er am Tag vor Himmelfahrt erhalten, „wir haben den Feiertag durchgearbeitet und sofort reagiert“, sagt er. Es sei nicht mehr möglich, auf Chats Fremder zuzugreifen. Eine Auswertung der Log-Dateien habe außerdem ergeben, dass außer Tschirsich niemand auf die Chatdaten zugegriffen habe. Ob sich unter den Hunderttausenden Accounts auch Fake-Accounts befinden, kann er freilich nicht nachprüfen. „Ich halte das aber für sehr unwahrscheinlich.“ Er sei froh, dass Tschirsich das Problem bemerkt habe, bevor es Kriminelle ausnutzen konnten.

„Uns ist ein großer Fehler passiert“, sagt Monks, „das will ich nicht kleinreden.“ Vermutlich sei die Lücke durch ein fehlerhaftes Update entstanden, „das untersuchen wir gerade noch“. Auch die anderen Lücken seien inzwischen geschlossen worden, Schlüssel würden nun lokal auf den Geräten der Patientinnen gespeichert, zudem werde den Praxen die Ende-zu-Ende-Verschlüsselung nahegelegt. Lediglich das Thema der Identifizierung sieht Monks anders: Neue Arztpraxen würden „doppelt überprüft“: Sie müssten nicht nur ihre Mitgliedschaft im entsprechenden Ärzteverband mittels ihrer Mitgliedsnummer nachweisen, sondern auch gegenüber dem jeweiligen Verband ihre Facharztqualifikation belegen. „Ich halte es für ausgeschlossen, dass es jemand schafft, sich als Praxis auszugeben, ohne dass wir es merken.“

Auch mit falschen Patienten habe es noch nie ein Problem gegeben, schließlich müssten sich diese nicht nur mit ihren Daten und Versichertennummer anmelden – vielmehr sei es gar nicht so einfach, selbst die legitimen Patienten von der Kommunikation per App zu überzeugen. Schließlich sind viele der regelmäßigen Besucher von Hausarztpraxen schon betagt und im Umgang mit Apps nicht unbedingt bewandert. Das erklärt teilweise auch, wieso die App vor allem im Kinderarzt-Bereich beliebt ist: „Junge Eltern sind da affiner.“

Ärzte wollen chatten

Monks fühlt sich zu Unrecht in einen Topf geworfen mit anderen Anbietern, die Gesundheits-Apps aus Profitgründen entwickeln oder Daten sammeln, um diese zu verkaufen oder anderweitig zu nutzen. Er verstehe seinen Service vielmehr als Alternative zu Anbietern wie Doctolib, die in der Vergangenheit nicht nur durch Sicherheitslücken, sondern auch durch die Weitergabe von Daten an Google und andere aufgefallen sind. „Wir sind nicht investorengetrieben, wir machen keinen Profit, wir sammeln auch keine Daten.“ So sei die Idee mit der App von den Ärzten selbst gekommen: Monks betreibt schon seit etwa 20 Jahren Plattformen wie Kinderärzte im Netz, und ursprünglich sei der Plan lediglich gewesen, den Ärzten einen Internetauftritt anzubieten.

Doch dann hätte ihn 2014 der Verband der Kinder- und Jugendärzte darauf angesprochen, ob er eine App entwickeln könnte. „Die wollten chatten.“ Zunächst seien darüber nur Informationen an Patienten geschickt worden, Erinnerungen an Impftermine und Ähnliches. Inzwischen können Ärzte auch ein Modul für eine Videosprechstunde dazubuchen. Er wolle nur helfen, sagt Monks: Immer wieder beklagen sich schließlich Kliniken, dass Patienten in die Notaufnahme kommen, weil es nicht möglich sei, einen Termin beim Arzt zu bekommen. „Wir wollen mit unseren Apps das Gesundheitssystem entlasten.“

Im Gegensatz zur App selbst müssen Lösungen für Videosprechstunden zertifiziert werden. In den Anforderungen dafür ist auch eine unabhängige Überprüfung der Sicherheit enthalten. Allerdings sei dabei nur die Sicherheit der Videosprechstunde getestet worden, nicht der übrigen App. So fielen die Sicherheitslücken nicht auf. Dennoch plane er, künftig auf freiwilliger Basis entsprechende Penetrationstests auch für die Praxis-Apps durchzuführen, sagt Monks. Dazu muss man wissen, dass es für Apps im Gesundheitsbereich keine gesonderten Auflagen gibt, solange sie nicht als Medizinprodukte oder als sogenannte digitale Gesundheitsanwendungen (DiGA) gelistet werden sollen. Doch wie diverse Sicherheitsprobleme auch bei jenen „Apps auf Rezept“ zeigen, ist eine solche unabhängige Überprüfung offenbar auch nicht die Lösung.

Datenschutz braucht Zeit