Datenschutz: 16 Millionen Datensätze von Patienten im Netz

16 Millionen Datensätze, unter anderem von Patienten aus Deutschland, lagen lange Zeit ungeschützt und frei zugänglich auf sogenannten PACS-Servern im Internet. Auch Bilder sollen über Jahre hinweg abrufbar gewesen sein. Dies ergaben Recherchen der US-Journalisten von ProPublica und des Bayerischen Rundfunks.

16 Millionen Datensätze frei zugänglich seit Jahren

Bereits im Jahr 2016 veröffentlichte Prof. Dr. Oleg Pianykh, Professor für Radiologie an der Harvard Medical School, eine Studie über die Missstände von ungeschützten PACS-Servern. PACS steht für das „Picture Archiving and Communication System“, auf dessen Server Bilder von MRT-, CTG- und Röntgenaufnahmen automatisiert hochgeladen werden, nachdem diese bei einer Untersuchung aufgenommen wurden. Schon zum damaligen Zeitpunkt schilderte der Professor in seinem Report, er habe 2.700 offene Systeme ausfindig machen können.

Wir haben ein Riesenproblem mit medizinischen Geräten, die komplett ungesichert und ungeschützt sind. Und irgendjemand, ein x-beliebiger Hacker, kann sich mit diesen Geräten verbinden und die Patientendatensätze kompromittieren.

Prof. Dr. Oleg Panykh

Scheinbar hat sein Appell nicht zum Umdenken beigetragen und Patientendaten wurden weiterhin auf die unsicheren Server geladen. Zuletzt waren rund 16 Millionen Datensätze, darunter 13.000 aus Deutschland, völlig ungeschützt und frei zugänglich über das Internet abrufbar. Die Patientendaten enthielten neben den persönlichen Daten wie Name, Geburtsdatum und Anschrift auch sensible Aufnahmen von Herzschrittmachern, Krebserkrankungen, Wirbelsäulenverletzungen und Knochenbrüchen. Auch Versicherungsdaten der Patienten konnten abgerufen werden.

Journalisten von BR Recherche, BR Data und ProPublica konnten das Vorgehen eines Sicherheitsexperten, der selbst von einem „near realtime-access“ spricht, nachvollziehen und stichprobenartig mit Betroffenen sprechen, um die Echtheit der Datensätze zu überprüfen.

BSI informierte 46 Länder

Sicherheitsexperte Dirk Schrader, der die Journalisten überhaupt erst auf die Missstände aufmerksam gemacht hatte, informierte anschließend auch das für IT-Sicherheit zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI), welches seinerseits bereits 17 Fällen nachgeht und „drei betroffene Einrichtungen direkt über den Sachverhalt“ informiert hat. Das BSI, welches rechtlich selbst nicht auf die Daten zugreifen darf, informierte in 14 weiteren Fällen den zuständigen Provider und setzte sich mit den IT-Sicherheitsbehörden von insgesamt 46 Ländern in Kontakt. Anschließend äußerte sich das BSI selbst zu der aktuellen Situation.

Wenn selbst bei so sensiblen Daten wie Röntgenaufnahmen, Mammografien oder MRT-Bildern grundlegende IT-Sicherheitsmaßnahmen missachtet werden, zeigt das, dass IT-Sicherheit noch immer nicht den Stellenwert einnimmt, den sie verdient.

BSI-Präsident Arne Schönbohm

Wie groß das Risiko jedes einzelnen Servers ist, zeigt ein Fall in den USA. Allein bei einem einzelnen US-Anbieter für radiologische Untersuchungen lagen nach einer Auswertung von ProPublica mehr als eine Million Datensätze von Patienten ungeschützt auf dem PACS-Server. Aber auch in Deutschland sieht es nicht viel besser aus. Wie das Bayerische Landesamt für Datenschutz bestätigt, war ein Computer in einer Arztpraxis falsch konfiguriert gewesen, weshalb die Daten von 7.200 Patienten ohne Passwortschutz im Netz abrufbar waren.

Auch die Politik reagiert

Auch die deutsche Politik reagierte bereits und äußerte sich zum Thema Patientendaten im Netz und Datenschutz. Der Bundestagsabgeordnete und Bundesbeauftragte für Datenschutz, Ulrich Kelber warnt vor den Folgen. „Sie möchten nicht, dass ein Arbeitgeber, ein Versicherungskonzern, eine Bank diese Daten kennt und ihnen keinen Vertrag oder keinen Kredit gibt“, so der SPD-Politiker. Auch Politiker aller anderen großen Parteien meldeten sich zu Wort und mahnten Bundesgesundheitsminister Jens Spahn dazu, die Warnsignale nicht zu ignorieren.

Ob mittlerweile ein Großteil der Server vom Netz genommen wurde und welche Schadensersatzforderungen betroffene Patienten geltend machen können, steht zum jetzigen Zeitpunkt noch nicht fest. Laut Datenschutzgrundverordnung (DSGVO) müssen Personen, deren Daten von einem Sicherheitsleck betroffen sind, von den dafür verantwortlichen Betreiber informiert werden, sofern für diese ein Risiko entstanden ist.