Datenskandal im Gesundheitswesen: Patientendaten öffentlich zugänglich

Der Bayerische Rundfunk BR und ProPublica berichten von einem riesigen Datenleck im Gesundheitswesen. Demnach befanden sich Daten von mehreren Millionen Patienten aus mehr als 50 Ländern auf öffentlich zugänglichen Servern. Entdeckt hat das Datenleck Dirk Schrader, Experte für Informationssicherheit der Firma Greenbone Networks.

Greenbone-Sicherheitsanalyse (PDF) (Screenshot: Greenbone)

In Deutschland sind den Berichten zufolge mehr als 13.000 Datensätze von Patienten betroffen, wovon mehr als die Hälfte Bilder enthalten. Sie stammen von mindestens fünf verschiedenen Standorten. Der größte Teil der Datensätze entfällt auf Patienten aus dem Raum Ingolstadt und aus Kempen in Nordrhein-Westfalen. Besonders betroffen seien jedoch Patienten aus den USA. Allein bei einem einzelnen Anbieter für radiologische Untersuchungen lagen mehr als eine Million Datensätze von Patienten vor.

Das Landesamt für Datenschutzaufsicht in Bayern hat den Vorfall inzwischen bestätigt. Demnach war ein Computer in einer Ingolstädter Praxis falsch konfiguriert gewesen. Dadurch waren Daten von 7.200 Patienten öffentlich zugänglich. Der Rechner wurde der bayerischen Datenschutzbehörde zufolge inzwischen abgeschaltet. Derzeit werde geprüft, ob für die Betroffenen ein Risiko entstanden sei. Nach Angaben des bayerischen Landesbeauftragten für den Datenschutz Petri gibt es bisher keine Hinweise, dass Daten aus öffentlichen Kliniken in Bayern frei zugänglich waren.

Laut Greenbone waren insgesamt 24 Millionen Datensätzen mit mehr als 700 Millionen Bildern von dem Datenleck betroffen, wovon 400 Millionen Bilder direkt herunterladbar waren. Neben der „Offenheit“ der Server hat Grenbone außerdem noch zahlreiche „echte“ Schwachstellen der Bildarchivierungsysteme, sogenannte PACS-Server (Picture Archiving and Communication Systems-Server) entdeckt, wie veraltete Webserver-Versionen und angreifbare Datenbank-Instanzen.

In Summe hat Greenbone mehr als 10.000 Schwachstellen auf den Systemen identifiziert. Etwas über 2.000 davon sind mit „High Severity“ eingestuft. In dieser Kategorie haben mehr als 500 Schwachstellen den höchsten Schweregrad im Common Vulnerability Scoring System (CVSS 10,0).