Software Mikropro Health: Massive Sicherheitsprobleme in Gesundheitsämtern aufgedeckt

Dass Gesundheitsämter hochgradig sensible Daten verarbeiten, dürfte wohl die wenigsten überraschen. Umso schwerer wiegt es, wenn die IT-Systeme dieser Einrichtungen massive Schwachstellen aufweisen, die Datenschutzverletzungen zur Folge haben können. Genau das scheint in vielen deutschen Ämtern aber der Fall zu sein.

Externe Untersuchung deckt Probleme auf

Betroffenen Gesundheitsämtern seien die Sicherheitsprobleme oftmals sogar bekannt, heißt es in einem Bericht von Zeit Online, in dem entsprechende Fälle aus Rheinland-Pfalz geschildert werden. Statt die Sicherheitslücken zu schließen, diskutiere man sie aber lieber weg. Im Zentrum des Problems steht wohl eine Software namens Mikropro Health. Diese diene als einheitliche Datenverarbeitungsplattform für die Ämter, entspreche nach Meinung von Experten aber nicht dem aktuellen Stand der Technik. Mehrere Sicherheitsprobleme seien im Rahmen einer externen Untersuchung der Anwendung aufgedeckt worden.

Sicherheitsprobleme von Mikropro Health sind vielfältig

So seien etwa Zugangsdaten eines für die Ersteinrichtung der Software vorgesehenen Benutzerkontos einfach im Quellcode hinterlegt. Jeder, der auf den Code zugreifen könne, habe damit potenziell Schreib- und Lesezugriff auf sämtliche Daten von Mikropro. Darüber hinaus könne er jederzeit weitere Nutzerkonten generieren und diese mit umfassenden Rechten ausstatten.

Defekte Zugriffsrechte

Letzteres scheint aber ohnehin mehr oder weniger belanglos zu sein, da das Berechtigungskonzept von Mikropro wohl generell nicht ordnungsgemäß funktioniert. „So können Mitarbeitende aus einem Fachbereich auch Daten aller anderen Fachbereiche sehen – auch jene, mit denen sie überhaupt nichts zu tun haben“, behauptet die Zeit. Ähnliche Probleme gebe es auch direkt in der Datenbank der Anwendung. In der Standardkonfiguration könne dort jeder Nutzer beliebige SQL-Abfragen ausführen, ganz egal, ob er dazu berechtigt sei oder nicht. Wer einen Datenbankzugriff habe, könne folglich alle darin enthaltenen Daten lesen, ändern oder gar löschen.

Passwörter im Klartext gespeichert

Erschwerend komme hinzu, dass Mikropro die Passwörter der Nutzer bei bestimmten Anwendungen standardmäßig im Klartext speichere. Obendrein könne auch der Hersteller der Software potenziell auf die Daten der Gesundheitsämter zugreifen. Um mögliche Fehler zu analysieren, fordere der Support des Unternehmens oftmals eine Kopie der gesamten Datenbank an, die dann sogar in unverschlüsselter Form übertragen werde. Sowohl der Hersteller selbst als auch potenzielle Angreifer, die die Daten während der Übermittlung abgreifen, erhalten damit Zugriff auf alle in der Datenbank gespeicherten Informationen.

Es fehlt an Geld und Kompetenz

Viele der genannten Probleme sollen sich wohl durchaus durch entsprechende Konfigurationsänderungen beheben lassen. Dabei kommt dann aber ein finanzieller Engpass ins Spiel. Den Kommunen fehle es schlichtweg an Geld und Fachkompetenz, um ihre IT sicher zu betreiben, heißt es im Bericht der Zeit. Für die Administration gebe es oftmals gar kein ausgebildetes IT-Fachpersonal. Die Arbeit werde dann von normalen Verwaltungsangestellten übernommen, denen für eine sichere Konfiguration der eingesetzten Software das nötige Wissen fehle.

Land sieht Verantwortung bei den Kommunen

Dass die genannten Sicherheitsprobleme zugleich ein massives Datenschutzproblem sind, erscheint offensichtlich. Der Landesdatenschützer Dieter Kugelmann sieht das aber offenbar anders. Der Zeit zufolge sehe Kugelmann keine Probleme in dem Projekt. Hinweise zu Schwachstellen würden seiner Behörde nicht vorliegen. Einen Grund, datenschutzrechtliche Bedenken gegen die Digitalisierungsstrategie der Landesregierung zu äußern, sehe man bislang nicht. Die Verantwortung habe Kugelmann außerdem auf die Kreisverwaltungen abgeschoben – diese seien schließlich für „die Datensicherheit verantwortlich“.

Potenziell bundesweit problematisch

Die Zeit warnt außerdem davor, dass die Probleme nicht nur auf Rheinland-Pfalz beschränkt seien. Auch außerhalb dieser Region gebe es viele Kommunen, in denen das ähnlich laufe: „Die eingesetzte Technik ist veraltet, die Verantwortlichen waren vor Sicherheitslücken gewarnt worden. Sie wussten von ihnen – und änderten dennoch nichts an ihren Plänen“, so der Vorwurf. „Der Fall ist exemplarisch dafür, wie schwer sich deutsche Verwaltungen mit IT-Sicherheit tun.“

Cyberangriffe auf deutsche Kommunen sind schon jetzt ein Problem

In jüngster Vergangenheit gab es bereits mehrere Cyberangriffe, die deutsche Kommunen betrafen. Wiederholt kam es zu DDoS-Attacken, die dafür sorgten, dass Webseiten schlichtweg für einige Zeit nicht erreichbar waren. Noch schlimmer hatte es zuletzt den Dienstleister Südwestfalen IT erwischt: Nach einer Ransomware-Attacke auf IT-Systeme des Unternehmens sind noch immer zahlreiche Verwaltungen in NRW beeinträchtigt. Das wahre Ausmaß des Angriffs ist weiterhin Gegenstand laufender Untersuchungen. Gerade Gesundheitsämter beherbergen viele hochsensible Daten deutscher Bürger, was sie ebenfalls zu einem attraktiven Ziel für Cyberkriminelle macht.