News DICOM: Patientendaten landen millionenfach ungeschützt im Netz

[coffee4free]

Für die Speicherung und den Austausch medizinischer Bilddaten kommt häufig ein offener Standard namens DICOM zum Einsatz. Sicherheitsforscher haben in den vergangenen Monaten eine Vielzahl ungeschützter DICOM-Server entdeckt, über die millionenfach persönliche und medizinische Daten offengelegt wurden.

Zur News: DICOM: Patientendaten landen millionenfach ungeschützt im Netz

 

[Azeron]

viele Anbieter hätten diese aber schlichtweg nicht implementiert, da keine Verpflichtung zu deren Verwendung bestehe. Wirksame Autorisierungsmaßnahmen seien beispielsweise nur bei weniger als einem Prozent aller DICOM-Server umgesetzt.

Bestimmt ne Geldsache. Es muss eben immer erst was passieren bevor das Management bereit ist Geld für die Sicherheit auszugeben.

 

[Rainbowprincess]

Noch nie gabs so viele IT Experten auf dieser Welt und dennoch werden bis heute so empfindliche Systeme immer wieder gänzlich von sicherheitsüberpürfungen und Standards ausgenommen. Es ist mir unbegreiflich. Oder haben die BWLer nun gänzlich jegliche Befehlsgewalt übernommen und sind auch in der Lage sicherheitsrelevante Dinge wegzurationalisieren?

 

[FR3DI]

So ist das halt. Sicher ist, das nichts sicher ist. Findet euch damit ab und gut ist. Ich bin daher wenn auf solches vorbereitet und trage es mit Fassung. Selbst wenn der standard erneuert und verbessert werden sollte, gibt es immer einen der es irgendwie besser weiß.

Selbst "Offline" ist keinerlei Garantie für nichts.

Gruß Fred.

 

[ghecko]

Falls jemand Lust hat eine Diagnose-KI zu trainieren, der passende Datensatz ist verfügbar wie es scheint.

 

[_anonymous0815_]

Hab ichs überlesen oder ist bekannt, zu welcher Software die Bilder gehören? Meine alte Firma ist im HealthCare Sektor tätig und das wäre in deren Fall natürlich fatal.

 

[Termy]

Da kommt doch so richtig Vorfreude auf die ePA auf, vor allem da immer noch keine Opt-Out-Möglichkeit geschaffen wurde

 

[Vigilant]

@FR3DI
Da ist etwas dran, ändert aber nichts daran, dass stets versucht werden sollte und muss, sensible Daten zu schützen. Verbindliche, gesetzliche Vorschriften können das zumindest fördern.

Nur weil das Risiko von Datenleaks besteht, können wir nicht in der prä-digitalen Welt verweilen.

 

[dh9]

Noch nie gabs so viele IT Experten auf dieser Welt und dennoch werden bis heute so empfindliche Systeme immer wieder gänzlich von sicherheitsüberpürfungen und Standards ausgenommen. Es ist mir unbegreiflich. Oder haben die BWLer nun gänzlich jegliche Befehlsgewalt übernommen und sind auch in der Lage sicherheitsrelevante Dinge wegzurationalisieren?

Erstmal haben die IT Experten auch selbst genug Arbeit und Aufgaben und zweitens hoert sich das nicht danach an, als haetten das "IT Experten" gemacht. Immerhin haben IT Experten es entdeckt und darauf aufmerksam gemacht.

 

[Hovac]

Da kommt doch so richtig Vorfreude auf die ePA auf, vor allem da immer noch keine Opt-Out-Möglichkeit geschaffen wurde

Vor allem die verpflichtenden Fingerabdrücke.

 

[dh9]

Da hilft nur selber entfernen mit Saeure. Wo nichts ist, kann nichts gespeichert werden ;-)

 

[Sierra1505]

Empfehlungen zur Absicherung der DICOM-Server​

Dazu zählt beispielsweise, dass die Servervom öffentlichen Internet abgeschottet und in separaten Netzwerksegmenten untergebracht und nur über gesicherte Verbindungen zugänglich gemacht werden sollten. Aber auch gezielte Zugriffsbeschränkungen auf ausgewählte Nutzer sowie die Durchführung regelmäßiger Sicherheitstests gehören zu den empfohlenen Maßnahmen.

Wenn absolute Amateure für das Netzwerkdesign und Datensicherheit verantwortlich sind, werden Daten auf Systemen gehostet für die solche Empfehlungen erforderlich werden.

Einfach nicht zu fassen. Jedes Privat-Unternehmen könnte von seinen Geschäftskunden „rasiert“ werden (z.b. durch Schadensersatzforderubgen u.ä.), falls man deren Daten unzureichend sichert.

 

[knoxxi]

Alle meine DICOM Datensätze der letzten Wochen, die ich bekommen habe. 2x MRT und 1x Röntgen, jede Untersuchung war bei einem anderen Doc, bestand die Verifizierung aus einem 16 (?) Stellingen Code und dem Geburtsdatum bei dem jeweiligen Anbieter.

Was wäre denn die sinnvollere Methode des Austauschs gewesen, offline Medien ausgenommen?

 

[Termy]

Vor allem die verpflichtenden Fingerabdrücke.

"Die" ist schon der richtige Artikel gewesen
Ich meinte nicht den elektronischen PersonalAusweis, sondern die elektronische PatientenAkte, deren Inhalt ja zum Nulltarif an jeden dahergelaufenenen Clown mit "berechtigtem Interesse" verschenkt werden soll - und das gerade mal so halbherzig pseudonymisiert...

 

[Rainbowprincess]

Erstmal haben die IT Experten auch selbst genug Arbeit und Aufgaben und zweitens hoert sich das nicht danach an, als haetten das "IT Experten" gemacht. Immerhin haben IT Experten es entdeckt und darauf aufmerksam gemacht.

damit meinte ich eher, dass man sie engagieren sollte um die Sicherheit der Daten gewährleisten zu können

 

[Dr. MaRV]

Hab ichs überlesen oder ist bekannt, zu welcher Software die Bilder gehören? Meine alte Firma ist im HealthCare Sektor tätig und das wäre in deren Fall natürlich fatal.

Zu keiner Software, DICOM ist eine Art Container, welcher die eigentlichen Bilder, Anmerkungen usw. enthält. Anschauen kann man die Bilder und Informationen dann mit verschiedenen Programmen, und/oder Geräten die dieses Containerformat unterstützen. Horos ist bspw, eines solcher Programmme.

Stell dir das einfach so vor, wie eine MKV, das ist auch nur ein Container mit Videodaten, Tonspuren und Untertiteln im inneren. Anschauen, oder wiedergeben kannst du den Containerinhalt mit jedem Player, der MKV unterstützt und auf jedem Gerät, für das es einen kompatiblen Player mit MKV Unterstützung gibt.

 

[Yesman9277]

Dazu zählt beispielsweise, dass die Server vom öffentlichen Internet abgeschottet und in separaten Netzwerksegmenten untergebracht und nur über gesicherte Verbindungen zugänglich gemacht werden sollten.

Sowas ist doch das 1+1 der Netzwerktechnik?! Wie kann so etwas nicht implementiert sein?

 

[Tulol]

Es ist mir unbegreiflich. Oder haben die BWLer nun gänzlich jegliche Befehlsgewalt übernommen und sind auch in der Lage sicherheitsrelevante Dinge wegzurationalisieren?

So funktioniert eine kapitalorientierte Wirtschaft.
Das wollten die meisten Menschen der sog. 'westlichen Welt'. Zumindest wird das immer so behauptet.
Läuft alles genau so wie erwartet. Wo ist das Problem?

 

[senf.dazu]

Wie war das - bei persönlichen Daten ist technischer Standard die verschlüsselt im Serversystem abzulegen - damit ein Hack des Servers nicht zum Diffundieren derselben und insbesondere nicht von irgendwelchen Zugangsdaten in nutzbarer Form erfolgt. Das ist doch eigentlich schon lange Stand der Technik. Und sollte haftungsrechtliche Konsequenzen haben wenn dagegen verstoßen wird.

Warum jetzt nicht für medizinische Systeme ? Ist der Stand der Technik da ein anderer ? Eigentlich müßte da doch jeder der da einfach so irgendwelche offene Zugangsmöglichkeiten schaltet oder so eine Lösung weiterbetreibt - jetzt am Rand einer Klage oder Abmahnung stehen ?

Wenn nicht stimmt irgendwas mit unserer Gesetzeslage nicht.

 

[_anonymous0815_]

Zu keiner Software, DICOM ist eine Art Container, welcher die eigentlichen Bilder, Anmerkungen usw. enthält. Anschauen kann man die Bilder und Informationen dann mit verschiedenen Programmen, und/oder Geräten die dieses Containerformat unterstützen. Horos ist bspw, eines solcher Programmme.

Schon klar, das war aber nicht die Frage, die Bilder sind ja entweder archiviert in einer digitalen Patientenakte oder in einem Radiologieprogramm. Liegen die auf einem FTP, einem Samba Drive oder einem Webserver.