Erste Apps „auf Rezept“: IT-Spezialisten stoßen auf Sicherheitslücken

Gesundheits- und Medizin-Apps auf Rezept, das ermöglicht das in diesem Jahr in Kraft getretene Digitale Versorgungsgesetz (DVG). Nun hat das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) die ersten Apps in das neue Verzeichnis für digitale Gesundheitsanwendungen (DiGA) aufgenommen. Doch IT-Spezialisten haben bereits mehrere Sicherheitslücken entdeckt.

Eine App für Patienten mit chronischer Tinnitusbelastung und eine Webanwendung für Personen mit Symptomen bestimmter Angststörungen sind die beiden ersten Anwendungen, die offiziell im DiGA-Verzeichnis gelistet sind und deren Nutzung damit zukünftig von der Krankenkasse übernommen wird. Gemäß Herstellereigenerklärung und anschließender Prüfung durch das BfArM erfüllen diese somit die notwendigen Anforderungen des DVG an den Datenschutz und die Datensicherheit einer digitalen Gesundheitsanwendung.

IT-Sicherheitsexperten stoßen auf Sicherheitslücken

IT-Sicherheitsexperten haben sich eine der beiden Apps jedoch genauer angesehen und dabei laut Handelsblatt und IT-Magazin Golem gleich mehrere Sicherheitslücken entdeckt. So konnten sie über die „Passwort vergessen“-Funktion beispielsweise ermitteln, ob eine bestimmte E-Mail-Adresse auf der Plattform für Patienten mit Angststörungen registriert war und dadurch Rückschlüsse auf entsprechende psychische Probleme ziehen. Hinzu kommt, dass der Code, der an die jeweilige Mail-Adresse zwecks Zurücksetzung geschickt wurde, nur 4 Zeichen lang und 24 Stunden gültig war. Durch das automatische Durchprobieren vieler verschiedener Codes wäre es dadurch möglich gewesen, das Passwort zu ändern und den Account zu übernehmen. Darüber hinaus konnten über eine Programmierschnittstelle sowohl die Nutzernamen als auch die E-Mail-Adressen der registrierten Personen abgefragt werden.

Die dargestellten Sicherheitsmängel wurden laut Golem mittlerweile durch den Hersteller behoben.

Kritik an Herstellereigenerklärung als Nachweis

Die Tatsache, dass eine Herstellereigenerklärung in Form eines Fragebogens ausreicht, um die Forderungen an Datenschutz und Datensicherheit nachzuweisen, wurde bereits vielfach kritisiert. Das aktuelle Beispiel zeigt, dass entsprechende Anträge auf Zulassung durch das BfArM zwar auf Plausibilität geprüft, auf Behördenseite allerdings keine IT-Security-Experten zu Rate gezogen werden. Das kann mitunter dazu führen, dass Sicherheitsmängel unentdeckt bleiben und das Vertrauen der Bevölkerung in digitale Gesundheitsanwendungen geschmälert wird. Denn Penetrationstests sind erst dann explizit gefordert, wenn eine Anwendung mit erhöhtem Schutzbedarf vorliegt.

Der sicherste Weg für DiGA-Hersteller

Für Hersteller ist es aber grundsätzlich sinnvoll nicht nur auf den geforderten Fragebogen zu setzen, sondern von Anfang an einen Experten für IT-Sicherheit hinzuzuziehen. Dieser kann mithilfe von Penetrationstests und Assessments zu Datenschutz und Datensicherheit mögliche Sicherheitslücken aufdecken und dabei unterstützen, diese zu schließen. „Gerade bei Gesundheitsdaten wie Befunden, Blutwerten oder Medikationsplänen handelt es sich um hoch sensible Daten, die selbstverständlich auch besonders geschützt werden müssen“, weiß Dirk Kretzschmar, Geschäftsführer der TÜV Informationstechnik GmbH. „Die Bewertung der eigenen Anwendung durch einen unabhängigen Dritten sorgt für deutlich mehr Sicherheit und Vertrauen, da auch Schwachstellen ausfindig gemacht und korrigiert werden können, die dem Hersteller bis dato vielleicht gar nicht bewusst gewesen sind.“ Darüber hinaus kann auch die Einführung eines Informationssicherheits-Managementsystems (ISMS) dabei helfen, das Thema IT-Sicherheit und Datenschutz nicht nur in Bezug auf einzelne Anwendungen umzusetzen, sondern ganzheitlich im Unternehmen zu verankern. Vor allem im Hinblick auf eine eventuell kommende Zertifizierungspflicht sind Hersteller mit einer ISMS-Zertifizierung optimal aufgestellt.

Mögliche Zertifizierungspflicht ab 2022?

Aktuell müssen digitale Gesundheitsanwendungen noch nicht zertifiziert werden. Im DVG ist jedoch zu lesen, dass das BfArM spätestens ab dem 1. Januar 2022 einen Nachweis der Erfüllung der Anforderungen an die Informationssicherheit in Form von Zertifikaten verlangen kann. Damit behält sich die Behörde vor, ab dem Jahr 2022 gegebenenfalls eine Zertifizierungspflicht einzuführen.

Mit TÜViT zur sicheren Kassenleistung

Wir begleiten Betreiber und Hersteller digitaler Gesundheitsanwendungen auf ihrem Weg zu einer sicheren und nach DVG erstattungsfähigen Anwendung: Von der Unterstützung bei der Bewertung der Anforderungen zu Datenschutz und Datensicherheit über die Durchführung von Penetrationstests bis hin zu GAP-Analysen, internen Audits oder Supervising im Rahmen einer geplanten ISMS-Zertifizierung.  

Über die TÜV Informationstechnik GmbH

Die TÜV Informationstechnik GmbH ist auf die Prüfung und Zertifizierung der Sicherheit in der Informationstechnik ausgerichtet. Als unabhängiger Prüfdienstleister für IT-Sicherheit ist die TÜV Informationstechnik GmbH international führend. Zahlreiche Kunden profitieren bereits von der geprüften Sicherheit des Unternehmens. Zum Portfolio gehören Cyber Security, Evaluierung von Software und Hardware, IoT/Industrie 4.0, Datenschutz, ISMS, Smart Energy, Mobile Security, Automotive Security, eID und Vertrauensdienste sowie die Prüfung und Zertifizierung von Rechenzentren hinsichtlich ihrer physischen Sicherheit und Hochverfügbarkeit. Die 1995 gegründete TÜV Informationstechnik GmbH mit Sitz in Essen ist ein Unternehmen der TÜV NORD GROUP, die mit über 10.000 Mitarbeitern und Geschäftsaktivitäten in weltweit 70 Ländern als einer der größten Technologie-Dienstleister agiert.

TÜViT ist die Dachmarke des Geschäftsbereiches IT, einem der sechs weltweit aufgestellten Geschäftsbereiche in der TÜV NORD GROUP. Der Geschäftsbereich IT wird vertreten durch die Gesellschaften TÜV Informationstechnik GmbH und der im Januar 2018 neu gegründeten Beratungsgesellschaft TÜV NORD IT Secure Communications GmbH & Co. KG mit Sitz in Berlin.

Firmenkontakt und Herausgeber der Meldung:

TÜV Informationstechnik GmbH
Am TÜV 1
45307 Essen
Telefon: +49 (201) 8999-9
Telefax: +49 (201) 8999-888
http://www.tuvit.de

Ansprechpartner:
Verena Lingemann
Redakteurin
Telefon: +49 (201) 8999-658
E-Mail: v.lingemann@tuvit.de
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel