Cybercrime im Praxisalltag

Vorsicht vor der netten Assistentin

Kathrin Schlüßler
Die Dimension ist erschreckend – Millionen Patientendaten, 13.000 davon allein aus Deutschland, liegen über Jahre ungeschützt und frei zugänglich auf einem Server. Darunter Röntgenaufnahmen mit hochsensiblen personenbezogenen Informationen wie Geburtsdatum, Vor- und Nachname, Termin der Untersuchung usw. Durch ungeschützte Praxis-IT-Systeme und fehlendes Bewusstsein für die Gefahr können (Zahn-)Ärzte schnell zu Mittätern werden.

Ein voller Vortragssaal. Vorn ein Redner, der irgendetwas über Datenschutz erzählt. Plötzlich kommt Bewegung ins Publikum: Der Vortragende erbittet ein Smartphone für eine Demonstration. Er sei überzeugt – ohne weitere Informationen wie Sperrcodes –, dem Gerät wichtige persönliche Daten entlocken zu können. Ein Herr aus der ersten Reihe lässt sich auf das Spiel ein. Wenige Augenblicke später erfährt das Publikum den Namen des Handybesitzers – Michael – durch die freundliche Stimme seiner persönlichen elektronischen Assistentin namens Siri. Angaben zu Handynummer und Adresse wären ebenfalls möglich gewesen, die der Referent jedoch mit Blick auf den Datenschutz taktvoll für sich behält. Als nächstes werden dem Gerät noch Einträge aus dem Kalender entlockt: Michael hat 13 Termine im Dezember. Selbst jene Einträge werden aufgezählt, die nicht zuvor explizit in den Geräte-eigenen Terminkalender eingegeben wurden. Siri ist nämlich nicht nur aufmerksam, sie hat auch ein Elefantengehirn. Und ist unter Umständen auch Unbefugten gegenüber sehr auskunftsfreudig.

Siri – das elektronische Datenleck

Der Redner ist Tom Weinert, seines Zeichens Kriminalhauptmeister am Kriminalkommissariat in München. Er nutzt diesen effektvollen Kniff gern für seine Vorträge zum Thema Cybercrime. Denn nicht selten mündet das unbekümmerte Lachen des Publikums in betroffenes Raunen. So ist es auch auf dem 23. Saarländischen Zahnärztetag Anfang September in Saarbrücken. Weinert weiß, der Herr in der ersten Reihe ist nicht der einzige, dessen Smartphone schon länger kein Update mehr erhalten hat und bei dem vorinstallierte Standardeinstellungen im Betriebssystem oder gern genutzte Apps oft ungeprüft verwendet werden.

Aber wie konnte Weinert den Sperrcode umgehen? Ganz einfach: Er rief manuell – durch langen Tastendruck der Home-Taste – Siri auf und stellte ihr Fragen („Wem gehört dieses Smartphone?“) oder gab Befehle („Zeige mir alle Termine für Dezember!“). Natürlich hat der Hersteller an dieser Stelle längst nachgebessert und eine Sicherung eingeführt. Inzwischen kann das unbefugte Aufrufen des elektronischen Assistenten im Sperrbildschirm mithilfe eines Codes verhindert werden. Dazu müssen die Voreinstellungen nur minimal geändert werden.

Solche Sicherheitslücken sieht Weinert immer wieder. Was hier harmlos und lustig dargestellt wurde, bekommt einen anderen Beigeschmack vor dem Hintergrund, dass Ärzte mit diesen Geräten mitunter auch Patienten-spezifische Informationen verarbeiten – mal eben wird dem Kollegen ein Röntgenbild geschickt oder sich über einen Patienten in einem Messenger-Dienst ausgetauscht. In den meisten Fällen sind derartige Weitergaben von Patientendaten durch die vom Patienten unterschriebene Datenschutz-Information in dem Passus „Weitergabe an Dritte“ gedeckt und legal. Ein schneller Austausch von Ärzten untereinander ist schließlich vorteilhaft. Je nach verwendetem Messenger kann unter „Weitergabe an Dritte“ aber auch die Freigabe der Daten für Facebook, Google oder andere Datenkraken fallen.

Auch im Praxisalltag sind es eher Unachtsamkeiten aus Gewohnheit oder Unwissen, die zu verheerenden Sicherheitslücken führen (können). Grob fahrlässige Missgriffe wie frei zugängliche Netzwerkdosen im öffentlichen Bereich der Praxisräume oder nicht abgeschlossene Serverschränke sind selten, aber es gibt sie. Zu den häufigsten Fehler-Szenarien zählt Weinert: Ordnungsgemäß und regelmäßig gezogene Back-ups werden auf einer externen Festplatte gespeichert, die dann aber nicht physisch vom System getrennt wird. Oder es findet keine Trennung zwischen einzelnen Benutzeroberflächen statt, das heißt, mehrere Benutzer verwenden dieselbe Zugangskennung mit sehr einfachen oder gar keinen Passwörtern – im schlimmsten Fall in der Administrator-Umgebung. Platz eins der Infektionswege belegt die unbedarfte Öffnung eines E-Mail-Anhangs aus unbekannter Quelle.

Bewerbung.pdf. ... oder Bewerbung.pdf.exe?

Seit einer Weile macht eine besonders perfide Schadsoftware die Runde: Als Bewerbung gekennzeichnete E-Mails, die inhaltlich sogar auf spezifische Stellenausschreibungen abgestimmt sind, enthalten als Anhang eine als PDF getarnte Ransomware, also eine Schadsoftware, die Daten des infizierten Systems verschlüsselt und meist eine Lösegeldforderung mitsendet.

Ein Problem kann auch eine vorinstallierte Standardeinstellung des Betriebssystems sein, die Dateianhänge – beispielsweise .pdf, .doc, .exe – dem Anwender verbirgt. Beliebte Vehikel für Schadsoftware sind beispielsweise Makros in Office-Anwendungen oder eben PDFs. Wenn die Voreinstellungen des Systems die Anhänge verbergen, sieht eine E-Mail mit dem Anhang „Bewerbung.pdf“ harmlos aus. Mit den eingeblendeten Dateianhängen kann daraus jedoch eine „Bewerbung.pdf.exe“ werden, was sämtliche Alarmglocken des Empfängers zum Schrillen bringen sollte. Ein geschütztes System würde hier bei Öffnung der Datei melden, dass der Anwender im Begriff ist, ein Programm auszuführen. ‚Ausführen‘ steht für installieren, steht für .exe und ist absolut zu vermeiden, wenn der Absender nicht bekannt ist.

Grundsätzlich keine E-Mail-Anhänge zu öffnen, ist natürlich auch keine Lösung. Das Risiko lässt sich jedoch mit relativ einfachen Maßnahmen minimieren. Zunächst sollten unterschiedliche Nutzerkonten mit den entsprechenden Berechtigungen angelegt werden. Das heißt, die „Bewerbung.pdf.exe“ dürfte ein Nutzer ohne Berechtigung nicht öffnen.

Jede zweite Praxis hat das Passwort „Praxis“

Für Mitarbeiter, die öfter mit unbekannten E-Mail-Absendern zu tun haben, gibt es einfache Werkzeuge, um eine Infizierung des Systems zu verhindern: Sogenannte Sandbox-Umgebungen sind vom System abgeschirmte Bereiche, in denen sich PDFs unbekannter Herkunft problemlos öffnen lassen, ohne dass sich deren Inhalt – im Fall von Schadsoftware – über das ganze Computersystem ausbreiten kann. Solche Sandboxen gibt es auch Browser-basiert (www.virustotal.com), so dass eine gespeicherte PDF gar nicht erst im eigenen System geöffnet werden muss.

Wer sich und seine Praxis für zu klein und unbedeutend für einen Angriff hält, ist auf dem Holzweg. (Zahn-)Ärzte sind eine beliebte Zielgruppe, denn aufgrund des hohen Imageschadens, den ein Verlust von Patientendaten mit sich bringen würde, sind sie eher zu Lösegeldzahlungen bereit. IT-Experte Michael Wiesner kam in einer stichprobenartigen Überprüfung von 25 Arztpraxen und Apotheken zu dem Schluss, dass sich 80 Prozent der Befragten mit ihrem IT-System sicher fühlen.

Fun-Fact: Jede zweite Praxis benutzte das Passwort „Praxis“ für die Anmeldung in der Nutzeroberfläche.

Jeder Chef wünscht sich ein loyales, verschwiegenes und zuverlässiges Praxisteam, das in Sachen Datenschutz verantwortungsbewusst handelt. Diese Erwartungshaltung wird allzu gern und selbstverständlich auch auf die elektronische Assistentin projiziert. Dumm nur, wenn diese dann Geheimnisse preisgibt.

Datenleck

Wenn der TI-Profi patzt

Wie schnell ein Fehler im Umgang mit empfindlichen Daten einen massiven Imageschaden verursachen kann, zeigt der Fall der CompuGroup Medical (CGM): Eigentlich soll die CGM als zentraler Partner mit der Telematikinfrastruktur ein stabiles und vor allem sicheres Netzwerk der Kommunikation für Zahnärzte schaffen. Nun hat die Firma mit einer Rundmail Daten von mehr als 7.000 Zahnarztpraxen verschickt.Anwender, die das Programm Z1.PRO der CGM nutzen, erhielten eine brisante E-Mail: Im Anhang befand sich statt der angekündigten Anwendungshilfe eine PDF mit sämtlichen E-Mail-Adressen der Z1.PRO-Nutzer, insgesamt 7.150 Zahnarztpraxen.

Kathrin Schlüßler


Redaktion Zahnärztliche Mitteilungen
Behrenstr. 42
10117 Berlin
www.zm-online.de

Melden Sie sich hier zum zm-Newsletter des Magazins an

Die aktuellen Nachrichten direkt in Ihren Posteingang

zm Heft-Newsletter


Sie interessieren sich für einen unserer anderen Newsletter?
Hier geht zu den Anmeldungen zm Online-Newsletter und zm starter-Newsletter.