Vorzeige-App mit Macken

IT-Experten finden zahlreiche Sicherheitslücken bei Vivy

Schweizer Sicherheitsexperten haben bei der Gesundheits-App Vivy "mehrere kritische und viele kleinere Schwachstellen" entdeckt, berichtet die Plattform "netzpolitik.org". Die Betreiber der App widersprechen.

Ob alle Sicherheitslücken bei der Gesundheits-App Vivy geschlossen wurden oder nicht, darüber sind sich die deutschen Betreiber und Schweizer IT-Experten uneinig. Adobe Stock - pickup

Vivy wird den Versicherten von Allianz, Barmenia, Gothaer und 15 gesetzlichen Krankenkassen angeboten (die zm berichteten). Allein von den Nutzern eines Android-Smartphones wurde die App schon mehr als 100.000-mal heruntergeladen.

Doch das System hat offenbar mit erheblichen Sicherheitslücken zu kämpfen. Die IT-Sicherheitsforscher Martin Tschirsich und Thorsten Schröder von der Schweizer Firma modzero haben sich das System, das bald Millionen von Menschen nutzen sollen, genauer angeschaut. In einem gut 30-seitigen Bericht beschreiben sie nun eine lange Liste an Sicherheitslücken bei Vivy auf allen Ebenen: der App, der Cloud-Plattform und der Browser-Anwendung.

Keine Obergrenze bei der Anzahl falscher PIN-Eingaben

Die Sicherheitsexperten, die die Verantwortlichen bei Vivy mehrere Wochen vor der heutigen Veröffentlichung über ihre Befunde informierten, stellten netzpolitik.org zufolge Angriffe über das Internet nach. Dabei entdeckten sie mehrere kritische und viele kleinere Schwachstellen. Zu den schweren gehören jene in der Plattform.

Für die Datenübertragung zwischen Arzt und Patient öffnet die Plattform eine temporäre Sitzung und generiert eine öffentlich aufrufbare URL mit fünf Kleinbuchstaben am Ende, die sogenannte Sitzungs-ID. Schon diese Information erlaubt, in weniger als 24 Stunden theoretisch alle Sitzungen über das Internet aufzurufen.

Die PIN war schnell geknackt

Unter der URL können Ärzte Dokumente abrufen und müssen dafür bloß eine vierstellige PIN eingeben. Die Nummer konnten die Forscher leicht durch die Brute-Force-Methode erraten, bei der ein Passwort durch automatisiertes Ausprobieren geknackt wird. Möglich war dies, weil es keine Obergrenze für die Anzahl falscher PIN-Eingaben gab – eigentlich eine der simpelsten Maßnahmen der IT-Sicherheit.

War das Dokument schon abgerufen, konnten sie nach Erraten der PIN Metadaten über Patienten, Ärzte und Dokumente auslesen. Darunter Geburtsdatum, Namen, Adresse, Foto und die Versichertennummer der Patienten und Informationen zur Praxis. Dieser Angriff ließe sich ohne großen Aufwand auf viele Sitzungen gleichzeitig anwenden, um im großen Stil an sensible Informationen zu gelangen.

Martin Tschirsich sagte netzpolitik.org, dass "der Austausch von Gesundheitsdaten anhand der Metadaten in großem Maßstab nachvollzogen werden" konnte. Die Kommunikationspartner ließen sich identifizieren. Metadaten sind nicht trivial: Allein die Aussage darüber, wer zu welchem Zeitpunkt welchen Arzt besucht, und welchen Titel ausgetauschte Dokumente tragen, kann Schlüsse zulassen.

Ist der Datenaustausch privat oder offen?

Bei der App steht für die Eigentümer einiges auf dem Spiel, schreibt die Plattform. Sie gelte als Pilotprojekt für die Digitalisierung des Gesundheitswesens. Das Berliner Start-up Vivy gehört neben mehreren gesetzlichen Kassen zu 70 Prozent der größten privaten Versicherung in Deutschland, der Allianz. Für Versicherte ist die App, die ihnen Zugriff auf die Versendeplattform gibt, kostenlos.

Die App-Betreiber versprechen, dass der Datenaustausch ebenso privat ist wie eine ärztliche Behandlung hinter verschlossener Tür. Also so sicher wie die Trennung zwischen Wartezimmer und Behandlungsraum in einer Praxis. Dies jedoch bezweifelt netzpolitik.org angesichts der aufgezeigten Sicherheitslücken. Man könne vielmehr sagen, Nutzer sollten nicht von mehr Privatsphäre als im Wartezimmer oder der Straße von der Praxis ausgehen.

Trackingdaten ins Ausland gesendet?

Grund: Bereits eine Kurzuntersuchung der App vom 18. September ergab, dass unnötig Trackingdaten über die Nutzung des Programms ins Ausland gesendet werden. Gegenüber der Ärzte Zeitung hatte Vivy geantwortet, dass Tracking für Nutzererfahrung und Verbesserung der App notwendig sei. Die Antwort in einem ähnlichen Artikel bei Spiegel Online war, dass das sensible Gesundheitsdaten nicht betreffe. Sie würden verschlüsselt und auf deutschen Servern gesichert.

Weitere identifizierte Mängel bei Vivy und die Antworten der App-Betreiber finden Sie hier und hier.

21126812091065209106620910672111612 2111613 2091069
preload image 1preload image 2preload image 3preload image 4preload image 5preload image 6preload image 7preload image 8preload image 9preload image 10preload image 11preload image 12preload image 13preload image 14preload image 15preload image 16preload image 17preload image 18preload image 19preload image 20preload image 21preload image 22preload image 23preload image 24preload image 25preload image 26preload image 27preload image 28preload image 29preload image 30preload image 31preload image 32preload image 33preload image 34preload image 35preload image 36preload image 37preload image 38preload image 39preload image 40preload image 41preload image 42preload image 43preload image 44preload image 45preload image 46preload image 47preload image 48preload image 49preload image 50preload image 51preload image 52preload image 53preload image 54preload image 55preload image 56preload image 57preload image 58preload image 59preload image 60preload image 61preload image 62preload Themeimage 0preload Themeimage 1preload Themeimage 2preload Themeimage 3preload Themeimage 4preload Themeimage 5preload Themeimage 6preload Themeimage 7preload Themeimage 8preload Themeimage 9preload Themeimage 10preload Themeimage 11preload Themeimage 12preload Themeimage 13preload Themeimage 14preload Themeimage 15preload Themeimage 16preload Themeimage 17preload Themeimage 18preload Themeimage 19preload Themeimage 20preload Themeimage 21preload Themeimage 22preload Themeimage 23preload Themeimage 24preload Themeimage 25preload Themeimage 26preload Themeimage 27preload Themeimage 28
Bitte bestätigen Sie
Nein
Ja
Information
Ok
loginform
Kommentarvorschau
Kommentarvorschau schliessen
Antwort abbrechen
Ihr Kommentar ist eine Antwort auf den folgenden Kommentar

Keine Kommentare