[datensicherheit.de, 08.11.2022] Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Ulrich Kelber, geht in seiner aktuellen Stellungnahme vom 7. November 2022 auf die „unsichere Feature-Spezifikationsvariante ,Abruf der E-Rezepte in der Apotheke nach Autorisierung’“ ein und bekundet hierfür kein Einvernehmen: „Die geplante Schnittstelle ist nicht nach dem Stand der Technik abgesichert und verstößt damit gegen die DSGVO.“ Er schlägt indes eine sichere, für die Versicherten, Ärzte und Apotheker „vollkommen funktionsgleiche Alternative“ vor, bei der im Hintergrund andere Verfahren genutzt würden.

Foto: Bundesregierung/Kugler

Prof. Ulrich Kelber: Unzureichend gesicherte Schnellschüsse kann der BfDI bei seinem gesetzlichen Auftrag nicht mittragen!

BfDI enttäuscht über Ausstieg der Kassenärztlichen Vereinigungen aus Pilotprojekten

Der BfDI ist demnach „enttäuscht über den Ausstieg der Kassenärztlichen Vereinigungen aus den Pilotprojekten zur Einführung des E-Rezeptes“ sowie der Meinungsäußerungen der beiden kassenärztlichen Vereinigungen und des Apothekerverbands zum Thema:

„Das E-Rezept als solches und die drei ursprünglich vorgesehen Einlösungswege sind konsentiert und funktionsfähig. Auch die nun zusätzliche geplante Funktionalität der Einlösung durch Stecken der elektronischen Gesundheitskarte (eGK) ohne Eingabe einer PIN ist umsetzbar.“

BfDI sieht Patienten als Leidtragende, welche gerne das E-Rezept nutzen möchten

Die geplante Datenverarbeitung mit der zunächst von der gematik vorgelegten Umsetzung verursache allerdings ein „großes Risiko für die Rechte und Freiheiten aller Nutzerinnen und Nutzer des E-Rezepts“, bundesweit und bei allen Arztpraxen und Apotheken, warnt Professor Kelber und führt hierzu aus:

„Uns gegenüber gemachte Vorschläge zur Minderung des Problems abseits einer anderen Umsetzung verringern die Gefahren für die Versicherten nicht ausreichend.“ Unverständlich sei, dass Kassenärztliche Vereinigungen und Apothekerverband dieses Problem, dass ihnen seit Monaten und damit länger als dem BfDI selbst bekannt sei, nicht wahrnehmen wollten und stattdessen schon Basisabsicherungen von IT-Lösungen als überzogen diffamierten. Er betont: „Leidtragende sind die Patientinnen und Patienten, die gerne das E-Rezept auf einem der bereits funktionierenden Wege nutzen möchten.“

BfDI erwartet von allen Beteiligten bis zum Sommer 2023 eine sichere Lösung

Falls es zu einem – „wohl leicht umsetzbaren“ – Hack bei der unzureichend gesicherten, vom BfDI und auch dem Bundesamt für die Sicherheit in der Informationstechnik (BSI) nicht freigegebenen Umsetzungsvariante gekommen wäre, hätte das Vertrauen in das E-Rezept und andere Digitalisierungen des Gesundheitssystems enorm gelitten, moniert Professor Kelber und unterstreicht:

„Ich erwarte von allen Beteiligten, dass bis zum Sommer 2023 eine sichere Lösung für das Abholen von E-Rezepten durch Stecken der eGK zur Verfügung steht.“ Die kassenärztlichen Vereinigungen sollten ihren Ausstieg aus dem Pilotprojekt überdenken und nicht angeblich überzogene IT-Sicherheits- und Datenschutzanforderungen vorschieben. Schließlich stünden alle Möglichkeiten der Einreichung von E-Rezepten, „die auch zum Start des Pilotprojektes vorhanden waren“, weiter uneingeschränkt zur Verfügung.

Unzureichend gesicherten Lösungen wird der BfDI eine datenschutzrechtliche Absage erteilen

Neue Funktionalitäten müssten aber Standardanforderungen an IT-Sicherheit erfüllen und dürften nicht dem unberechtigten Zugriff auf den gesamten Bestand der E-Rezepte „Tür und Tor öffnen“. Eine Umsetzungszeit von sechs Monaten sei dabei in der Softwareentwicklung durchaus üblich und notwendig. „Unzureichend gesicherte Schnellschüsse kann der BfDI bei seinem gesetzlichen Auftrag nicht mittragen. Ich bedanke mich bei dem Teil der Berufsverbände im Gesundheitssektor, die uns in dieser Haltung klar und eindeutig unterstützen.“

Der BfDI fordert außerdem, dass das Bundesministerium für Gesundheit und der Deutsche Bundestag durchsetzen, dass vorhandene „sichere und bequeme Authentisierungsmittel“ zum Standard werden, wie beispielsweise eine PIN für die Gesundheitskarte oder den elektronischen Personalausweis: „Es ist alles da, überprüft und könnte sofort eingesetzt werden, wenn beispielsweise die Krankenkassen endlich ihre Versicherten mit der PIN zur eGK versorgen würden.“ Digitalisierung im Gesundheitssektor müsse richtig umgesetzt werden: Sicher, datenschutzkonform und bequem zu nutzen! Abschließend stellt Professor Kelber nochmals klar: „Unzureichend gesicherten Lösungen werden wir auch weiter eine datenschutzrechtliche Absage erteilen.“

[datensicherheit.de, 01.05.2020] „Bis Freitag gepatcht oder bis Montag gehackt“, warnt der leitende Sicherheitsberater Olle Segerdahl von F-Secure . „So würde ich das Dilemma beschreiben, in dem sich momentan Admins befinden, die Salt einsetzen.“

Bei Salt handelt es sich um eine Open-Source-Software des Unternehmens SaltStack, die in Infrastruktur-, Netzwerk- und Sicherheitsautomatisierungslösungen eingesetzt wird. Es ist ein beliebtes Tool, das zur Wartung von Rechenzentren und Cloud-Umgebungen verwendet wird. Olle und sein Team haben im Rahmen eines Kundenauftrags die Schwachstellen entdecktet und Mitte März 2020 SaltStack gemeldet. Darüber hinaus hat F-Secure die neue Schwachstellen bei Salt (CVE-2020-11651 and CVE-2020-11652) in einem Advisory von F-Secure Labs bekannt gegeben.

Angreifer können Authentifizierungs- und Autorisierungskontrollen umgehen

Die Schwachstellen ermöglichen es Angreifern, die Authentifizierungs- und Autorisierungskontrollen zu umgehen, mit denen der Zugriff auf die Salt-Implementierungen (die aus einem „Master“-Server und einer beliebigen Anzahl von sogenannten „Minions“-Clients bestehen) geregelt wird. Ein Angreifer kann diese Schwachstellen ausnutzen, um aus der Ferne Code mit Root-Privilegien auf dem Master und schließlich auf allen mit dem Master verbundenen Minions auszuführen.

Angreifer könnten einfach den Master und seine Minions (von denen es Hunderte von Servern geben könnte) einsetzen, um Kryptowährungen zu farmen. Erfahrene Angreifer können jedoch auch Angriffe mit größerer Wirkung durchführen. Sie können zum Beispiel Hintertüren installieren, durch die sie das Netzwerk erkunden können, und dann zum Diebstahl vertraulicher Daten übergehen, zu Erpressung (entweder durch Lösegeld oder die Drohung, vertrauliche Informationen nach außen preiszugeben) oder zu einer Vielzahl anderer Angriffe, die auf ihr spezifisches Ziel und ihre Ziele zugeschnitten sind.

Schwachstellen sehr kritisch

Wie Mikko Hyppönen, Chief Research Officer bei F-Secure, Anfang der Woche twitterte, werden die Schwachstellen im Common Vulnerability Scoring System mit einer 10 bewertet. Das ist somit die höchstmögliche Bewertung des Schweregrades. Sie wird nur für Schwachstellen vergeben, die von der National Vulnerability Database als sehr kritisch eingestuft werden.

Was Olle jedoch wirklich beunruhigt, sind die 6000 Master, die er bei seinen Nachforschungen im Internet entdeckt hat und die, wie er sagt, in Cloud-Umgebungen wie AWS und GCP sehr beliebt sind.

„Ich hatte eigentlich erwartet, dass nicht so viele Master öffentlich im Internet stehen. Es gibt nicht viele Gründe, Infrastrukturmanagementsystemedem Internet auszusetzen“, sagt Olle. „Wenn neue Schwachstellen bekannt werden, versuchen Angreifer schnellst möglich anfällige Hosts auszunützen, bevor Admins sie patchen können. Wenn ich also einen dieser 6000 Master betreiben würde, würde ich mich nicht wohl dabei fühlen, mich ins Wochenende zu verabschieden, obwohl ich weiß, dass ich noch ungepatchte Systeme habe .“

Von den Sicherheitslücken sind die Salt-Versionen 3000.1 und älter betroffen, die im Grunde alle Salt-Implementierungen abdecken, die vor dem heute veröffentlichten SaltStack Update im Einsatz waren. Und obwohl es für Angreifer schwieriger sein wird, vom Internet versteckte Hosts zu erreichen, können sie die Master dennoch ausnutzen, indem sie auf andere Weise auf Unternehmensnetzwerke zugreifen.

Olle empfiehlt Organisationen, die Auto-Update-Funktionen von Salt zu nutzen, um sicherzustellen, dass sie diese und künftige Patches erhalten, sobald sie verfügbar sind. Er schlägt außerdem vor, dass Unternehmen mit gefährdeten Salt-Hosts zusätzliche Kontrollen einsetzen, um den Zugang zu den Salt-Master-Ports (4505 und 4506 bei Standardkonfigurationen) einzuschränken. SaltStack hat auf seiner Website zusätzliche Anleitungen zur Absicherung von Salt-Implementierungen veröffentlicht.

Bisher kein Exploit bekannt

Auch wenn es sich um eine kritische Schwachstelle handelt, gibt es Stand heute noch keinen Exploit, um es Angreifern zu ermöglichen, die Schwachstelle auszunutzen. Und wenn, ist es für Unternehmen möglich, Angriffe zu erkennen. Betroffene Unternehmen können in den gespeicherte Logs nach Anzeichen für bösartige Inhalte oder verdächtige Aktivitäten suchen.

Weitere Informationen zum Thema:

F-Secure
SaltStack authorization bypass

datensicherheit.de, 31.05.2019
Venafi warnt: Open-Source-Bibliotheken gefährden Unternehmen

datensicherheit.de, 11.04.2014
OpenSSL: BSI stuft „Heartbleed Bug“ als kritisch ein