Entwicklerfehler: Medizinische Daten aus der Cloud auf GitHub durchgesickert

VECTRA kommentiert Sicherheitsrisiken durch Cloud-Nutzung im Gesundheitswesen

[datensicherheit.de, 29.08.2020] Laut einer aktuellen Meldung von VECTRA soll ein Entwicklerfehler den Leak von 150.000 bis 200.000 in „Office 365“ und „Google G Suite“ gespeicherten Gesundheitsdaten von Patienten verursacht haben, die kürzlich auf „GitHub“ gefunden worden seien.

Foto: Vectra

Andreas Müller: Kein System und kein Benutzer jemals perfekt…

Patientendaten von neun Gesundheitsorganisationen aus der Cloud entdeckt

Der niederländische Security-Forscher Jelle Ursem habe neun separate Dateien mit hochsensiblen persönlichen Gesundheitsdaten (PHI) von neun verschiedenen Gesundheitsorganisationen entdeckt. Die darin gefundenen Patientendaten stammten von den Gesundheitseinrichtungen Xybion, MedPro Billing, Texas Physician House Calls, VirMedica, MaineCare, Waystar, Shields Health Care Group, AccQData und einem weiteren im Bericht beschriebenen, aber nicht genannten Unternehmen.

Betroffene Cloud-Nutzer schwer zu erreichen

Ursem habe Schwierigkeiten gehabt, diese Unternehmen zu erreichen, deren Daten durchgesickert seien, und habe den Vorfall schließlich an „DataBreaches.net“ gemeldet, „das mit ihm zusammenarbeitete, um ein gemeinsames Paper mit dem Titel ,No Hack When It’s Leaking‘ über die Ergebnisse zu veröffentlichen“.

Nichts Neues: Klinikverwaltungen versäumen grundlegende Schritte zur Sicherung von Cloud-Diensten und -Anwendungen

„Klinikverwaltungen, die es versäumen, grundlegende Schritte zur Sicherung von Cloud-Diensten oder -Anwendungen zu unternehmen, sind nichts Neues“, kommentiert Andreas Müller, „Director DACH“ bei VECTRA AI. Es seien so viele Fälle bekannt geworden, in denen private Daten versehentlich dem Internet ausgesetzt worden seien. „Die sofortige Bereitstellung und Skalierbarkeit von Cloud-Computing sind zwar wertvolle Vorteile, aber die Funktionen und Standardkonfigurationen des Cloud-Service-Providers sind ständig im Wandel begriffen.“

Fähigkeit entscheidend, den unbefugten oder böswilligen Zugriff auf Cloud-Dienste zu überwachen, zu erkennen und darauf zu reagieren

Administratoren müssten wissen, „was sie tun, Anpassungen vornehmen und sicherstellen, dass geeignete Zugriffskontrollen zum Schutz ihrer Daten vorhanden sind“. Da kein System und kein Benutzer jemals perfekt sei, könne die Fähigkeit, den unbefugten oder böswilligen Zugriff auf Cloud-Dienste zu überwachen, zu erkennen und darauf zu reagieren, den Unterschied zwischen einem eingedämmten Sicherheitsvorfall und einem ausgewachsenen Datenschutzproblem ausmachen, „mit dem die betroffenen Gesundheitsdienstleister und ihre Patienten jetzt konfrontiert sind“.

Weitere Informationen zum Thema:

VECTRA Blog, Andreas Müller, 09.07.2020
Gravierende Cyber-Risiken im Gesundheitswesen

DataBreaches.net
Health Data

datensicherheit.de, 27.08.2020
VECTRA: Kritische Systeme auf den Prüfstand stellen