Kranke Kassen-App Vivy – nun auch noch Sicherheitslücken – Die Elektronische Krankenakte gibt es bei 16 Krankenkassen

Vivy – das ist die elektronische Krankenakte, die als App auf dem Handy und auf dem Computer der Ärzte für mehr Transparenz sorgen soll. 16 Krankenkassen mit 13,5 Millionen Versicherten sind daran beteiligt. Seit September ist diese Plattform online. Schon kurz nach dem Start gab es Probleme mit dem Datenschutz. Die App musste umprogrammiert werden. Jetzt wurden sogar mehrere Sicherheitslücken bekannt. Für MDR Aktuell habe ich mich einmal genauer umgehört.

35 Seiten lang ist die Analyse von Schwachstellen und Lücken, die bei Vivy entdeckt wurden. Einer der Autoren ist Thorsten Schröder, Geschäftsführer des Internetsicherheitsunternehmens Modzero, welches in der Schweiz und Berlin sitzt. Er sagt, dass die Befunde, Laborwerte und Röntgenbilder der Patienten nicht ausreichend geschützt seien.

Ganz anders sieht das Christian Rebernik, Erfinder und Geschäftsführer von Vivy.

Aber genau in dieser Verschlüsselung liegt das Problem. Thorsten Schröder hat nämlich ein Szenario entdeckt, welches eigentlich nicht möglich sein sollte, nämlich das Eindringen in diese verschlüsselten Krankenakten. Dafür sei nur ein kleiner Eingriff notwendig.

Dieser in der Datei des Fotos versteckte Schadcode werde aktiv, sobald der Arzt das Foto anklicke, beispielsweise, weil er gerade seine Patientendatei durchsucht. Der Code sorge dann für das Ende der Verschlüsselung:

Dieser digitale Schlüssel funktioniert wie ein Schlüssel aus Metall, nur lassen sich damit verschlüsselte Dateien öffnen. So kann dann jede Krankenakte, die dem Arzt vorliegt, von einem Angreifer angeschaut werden: Befunde, Laborwerte und Röntgenbilder sind damit nicht mehr geschützt. Christian Rebernik von Vivy gibt zu:

Sobald der Patient die Daten mit der App Vivy freigegeben hat, bleiben dem Arzt nur 24 Stunden, um diese anzuschauen. Für das Team von Thorsten Schröder hatte das vollständige gereicht und es reichte sogar dafür, um neben den Krankenakten noch andere Probleme zu entdecken:

Christian Rebernik gibt zögerlich zu, dass das wohl möglich gewesen sei.

Kunden – damit sind wohl die Patienten gemeint. Inzwischen, so sagt Christian Rebernik, seien alle Lücken geschlossen. Allerdings habe man die Patienten, die die App nutzen, nicht über die Sicherheitslücken informiert. Es seien nämlich zu keiner Zeit Daten abgeflossen. In einer Pressemitteilung von Vivy heißt es, die entdeckten Sicherheitsprobleme seien lediglich – so wörtlich – „hypothetischen Angriffsmöglichkeiten“.