News DICOM: Patientendaten landen millionenfach ungeschützt im Netz

[Detti55]

Doctolib ,ist genauso eine Patientendatenschleuder^^

 

[Topi41]

Surprised Pikachu

 

[eloy]

@Rach78 warum sollte ich dir einen geahndeten Verstoß nennen müssen? Oder meinst du nur weil du keine Kennst wird es nicht geahndet?
Aber sonst gerne hier: LINK

 

[Arcturus128]

Warum braucht DICOM irgendwelche Sicherheitsfeatures? Man kann doch jede Datei einfach verschlüsselt speichern, das wäre die Lösung.

Oder haben die BWLer nun gänzlich jegliche Befehlsgewalt übernommen und sind auch in der Lage sicherheitsrelevante Dinge wegzurationalisieren?

Ja, leider. Nennt sich Kapitalismus.

Wenn Falschparken mit 50cent bestraft werden würde würde ich auch da parken wo ich Bock drauf habe und mich nen Dreck um andere scheren...

Das ist genau das, was falsch läuft in dieser Gesellschaft. Wenn es nichts kostet, dann wird auf anderer gepfiffen.

 

[Rach78]

@Rach78 warum sollte ich dir einen geahndeten Verstoß nennen müssen?

Warum fühlt man sich angeriffen nur weil man mal nachfragt weil man von solchen Fällen nichts gehört hat?

Das ist genau das, was falsch läuft in dieser Gesellschaft. Wenn es nichts kostet, dann wird auf anderer gepfiffen.

Tja so sind die MEISTEN Menschen aber eben. Es ist ja Aufgabe des Staates dies zu Begrenzen sodass es eben nicht in einem schamlosen "ich denke nur an mich" endet....

 

[iGameKudan]

Immer schön an die bevorstehende ePA denken... Wer weiß, was sich da für Lücken auftun werden.

 

[testwurst200]

Oder haben die BWLer nun gänzlich jegliche Befehlsgewalt übernommen und sind auch in der Lage sicherheitsrelevante Dinge wegzurationalisieren?

It Sicherheit kostete auf dem Papier nur unnötig Geld ohne Gegenleistung. Vor allem kleinere Unternehmen werden da nicht viel investieren...

Nur weil das Risiko von Datenleaks besteht, können wir nicht in der prä-digitalen Welt verweilen.

Ich möchte mich auch in Zukunft nicht online ausweisen können und mache die Behördengänge lieber persönlich...

Was wäre denn die sinnvollere Methode des Austauschs gewesen, offline Medien ausgenommen?

Bis jetzt habe ich immer eine CD vom MRT/CT bekommen.

Das beste war, meine Frau ist mit ihrer CD zum Arzt und er konnte es sich nicht angucken weil der PC kein Laufwerk dafür hat o_O.

Btw: kann ruhig jeder sehen :d

 

[Atnam]

Wieso wird hier eigentlich wieder ala "typisch Deutschland gehated"
Es sind weltweit Server davon betroffen. Das Format wird doch nicht nur exklusiv in Deutschland verwendet oder?

 

[Skidrow]

Digital first, Bedenken second ...

Das sind die (niemals enden werdenden) Folgen von Solutionismus.

 

[jnlkt]

Sorry aber ich finde den Bericht erschreckend oberflächlich und nichtssagend.
Aus welchem Land kommen die "Forscher"?
Aus welchen LÄndern kommen die Datensätze?
Ist das ein eher europäisches Problem oder eben eines welches uns vielleicht gar nicht so sehr betrifft?
Ich bin nunmal sicherheitsbeauftragter in Frankreich einer grossen radiologischen Klinik und da kommt so schnellkeiner auf das System, wenn diese Person nicht genug Wissen und kriminelle Energie mitbringt um dies zu wollen!
Hier ist ber das Hauptproblem. Die Krankenversicherungen in den alelrmeisten Ländern bezahlen schon langenicht mehr genug, damit grosse und kleine Kliniken wie auch Praxen up to date sein könnten. Denn sobald man im Internet ist, gibt es auch einen Weg an die Daten zu kommen.
Desweiteren gibt es gar nicht sooo viele Auswahlmöglichkeiten an PACS Programmen und da die Patienten ja nunlal an die Daten kommen wollen,am besten von überall aus, haben diese Firmen eben alle "schnell" ein Modl erstellt um von "aussen" an die Daten zu kommen.
Natürlich alles Passwortgeschützt.
Meist ist das Passwort dann das Geburtsdatum des Patienten, mehr als das merken will sich ja keiner.
Hier bei uns haben wir ein Passwort aus 20 verschieden Möglichkeiten und der Patient bekommt alle auf einer Karte mit, die er natürlich nicht verlieren darf (tut er aber dennoch) und die er kapieren muss (tut er aber nicht).
Die allermeisten beschweren sich bei lir es sei zu kompliziert bei uns, es wäre so viel einfacher mit dem Geburtsdatum.......

Es ist also problematischer sich ein kompliziertes Passwort zu merken oder von einer Karte abzulesen als das Geburtsdatum einzugeben, wenn dann aber Dateien frei verfügbar sind ist das ein Skandal????

Aber noch einmal, ein wenig mehr Klarheit woher die Datensätze stammen, welche Länderhauptsächlich betroffen sind, ob die Datensätze tatsächlich auch missbraucht wurden wäre schon interessant zu wissen.

Vielen Dank

 

[FR3DI]

Nein, solche Daten dürfen einfach nicht offen für alle erreichbar

Nein? Ob nun Offline und oder online, deine Daten sind niemals (irgendwo und oder irgendwann) sicher! Sieh der Realität ins Auge und oder Trolle gerne weiterhin weiter.

Gruß Fred.

 

[T1984]

Aber noch einmal, ein wenig mehr Klarheit woher die Datensätze stammen, welche Länderhauptsächlich betroffen sind, ob die Datensätze tatsächlich auch missbraucht wurden wäre schon interessant zu wissen.

Im Artikel ist ja ein Link zur Seite der Black Hat Europe Conference enthalten, auf der man sich die Präsentation runterladen kann. Da gibt es dann etwas mehr Informationen, auch zu den Ländern:

 

[Vigilant]

Ich möchte mich auch in Zukunft nicht online ausweisen können und mache die Behördengänge lieber persönlich...

Absolut o.k. Nur dreht sich die Welt um ums herum weiter. Und leider nicht immer so, wie wir uns das gerne vorstellen.

Nehmen wir einmal nur hypothetisch an, der Datenaustausch zwischen Gesundheitseinrichtungen, Behörden etc. wäre klar gesetzlich reglementiert und soweit es irgendwie geht auch durch entsprechend gesicherte Übertragungswege und Verschlüsselungstechnik sicher. Ist ja nicht so, dass die entsprechenden Verfahren nicht vorhanden wären.

Würde uns das Leben, das der Patienten, Ärzte, Versicherungen etc. deutlich einfacher machen. Bspw. könnte durch eine zeitnahe lückenlose Dokumentation von Arzneimittelverordnungen und -abgaben rechtzeitig auf potentiell schädliche Wechselwirkungen hingewiesen werden.

Heute dauert das noch viel zu lange, weil die Abrechnungsdaten bis zu mehrere Monate später erst bei den Krankenversicherungen aufschlagen. Für eine (automatisierte) Analytik mit Einspielung einer Warnung auf eine App viel zu spät.

 

[Balikon]

Da kommt doch so richtig Vorfreude auf die ePA auf

Vorfreude? Die ePA ist in Krankenhäusern bereits Pflicht.

 

[_anonymous0815_]

Die Daten werden auch millionenfach übertragen.

Ohne genauer ins Detail gehen zu wollen, ich kenne die KIS/ RIS und ePA Software der KH weil ich bei einer Firma war, die diese entwickelt und vertreibt. Also per se sind mir die Vorgänge schon bewusst, aber jetzt kann es ja sein, dass entweder KIS/ RIS/ ePA Sicherheitslücken haben oder der Server falsch konfiguriert wurde. RIS wurde eigentlich immer auf sog. Langzeitarchive geschrieben, mit einer Sperrzeit von 30 Jahren. Das Ganze ist eine Blackbox, da kann man als Sysadmin auch nicht einfach mal eine HDD tauschen, da kommt ein Service Engineer der Firma und tauscht. Die Daten sind so erst mal unveränderlich, WOBEI das ja nichts heißen muss.

EDIT: Aber die Firma verspricht die Daten für 30 Jahre digital lesbar vorzuhalten + eine Unveränderlichkeit für 30 Jahre und dementsprechend kostet diese Hardware/Software auch entsprechend viel Geld. Da reden wir über mehrere zehntausende Euros, vermutlich auch um sich durch Versicherungen abzusichern, da dort auch nur WD/ Seagate und Toshiba im Mischbetrieb zum Einsatz kommt, die kochen auch nur mit Wasser.

 

[flaphoschi]

Oder haben die BWLer nun gänzlich jegliche Befehlsgewalt übernommen und sind auch in der Lage sicherheitsrelevante Dinge wegzurationalisieren?

Schon seit Jahrzehnten. Auf Grund fehlender Regulierung und Vendor Lock/in winkt in der Informationstechnik sowieso das schnelle Geld.

Sicherheit?
Zahlt keine Boni aus.

 

[Moeller13]

Mal wieder ein Beispiel, dass sensible Dinge möglichst nicht in private Hand gehören. Da weißte sofort, dass überall gespart wird um den letzten Cent Gewinn rauszuquetschen.
Damit will ich nicht sagen, dass es in staatlicher Hand zwingend besser läuft. Aber das grundsätzliche Ziel ist schonmal ein anderes...

 

[Mensch_lein]

@eloy

Wir haben in unserer Gesellschaft ein Regelwerk in Form von Gesetzen erlassen, an das sich die Bürger halten sollen.

Du hast es wirklich trefflich formuliert, NUR die Bürger sollen sich daran halten.

https://netzpolitik.org/2016/neues-...rt-und-sogar-noch-ausgeweitet/#netzpolitik-pw

Ich bin der Meinung, dass man sich an Gesetze halten muss, das gilt aber genauso für die Exekutive(einschliesslich Geheimdienst, Verfassungsschutz), also ausführende Gewalt, da sie ja das Gewaltmonopol besitzt und genau darum sich STRIKT an die Gesetze zu halten haben!

Ich bin mit dir einig, dass Moral und eben Gesetzestreue wichtige Güter sind, damit eine Demokratie, ein Rechtsstaat funktionieren. Dies gilt aber für beide Seiten, Bürger UND Regierung.

Ich finde es beschämend, dass so sensible Daten so schlecht abgesichert wurden und wäre für drastische Strafen für die Verantwortlichen. Da reichen läppische 20 000 Euro Schadensersatz nicht.
Wenn meine Krankendaten öffentlich werden, da ein Fritzel diese nicht genügend sichert(Stichwort Fahrlässigkeit), dann müsste er mindestens 500 000 Euro Schadensersatz bezahlen an JEDEN den es getroffen hat(Patienten) und eine Bewährungsstrafe von 10 Jahren, bei erneutem Fehlverhalten 10 Jahre Knast.

Leider ist mir klar, dass man diese Forderung letztendlich niemals durchsetzen können wird. Und so geht es munter weiter und man fragt sich, warum die Menschen dem Staat immer mehr misstrauen.

 

[_anonymous0815_]

Wenn meine Krankendaten öffentlich werden, da ein Fritzel diese nicht genügend sichert(Stichwort Fahrlässigkeit), dann müsste er mindestens 500 000 Euro Schadensersatz bezahlen an JEDEN den es getroffen hat(Patienten) und eine Bewährungsstrafe von 10 Jahren, bei erneutem Fehlverhalten 10 Jahre Knast.

Da haben wir schon ein Problem.

Die maximale Strafdauer, welche zur Bewährung ausgesetzt werden kann, beträgt fünf Jahre.

Darüber hinaus sind Computer von Menschen erschaffen worden, die Software ist von Menschen geschrieben worden. Das heißt, sie sind von Natur aus fehlerhaft. Was Du meinst, ist Fahrlässigkeit, aber Fahrlässigkeit ist ja nicht Vorsatz und wird i.d.R. strafmildernd gewertet.

Was sich definitiv im Sinne des Datenschutzes ändern muss, sind Strafen, die nicht nur weh tun, sondern so sehr weh tun, dass es wirtschaftlicher ist, die Software so aktuell und sicher zu halten, wie es das aktuelle Zeitgeschehen hergibt. (FINANZIELL wirtschaftlicher)

PS: Ich bin kein Jurist und habe die Information zum Strafmaß recherchiert.

 

[Mensch_lein]

Nope, was ich meinte ist grobe Fahrlässigkeit(man nimmt sozusagen den Schaden in Kauf, verkürzt Übersetzt). Wenn ich Sicherheit in dem Sinne vernachlässige, wie es hier anscheinen geschehen ist, so ist das, nach mir, grob Fahrlässig, anders gesagt, man nimmt das öffentlich werden der Daten in Kauf. Bei so sensiblen Daten ist das ein NO-GO.

Stammt aus der Versicherung, die bei grob Fahrlässigem Verhalten(Stichwirt Alkohol am Steuer) Regress nehmen kann.

Ich habe ja geschrieben, man müsste es so ahnden, nicht, dass man es jetzt bereits kann.

Der Fehler liegt nach meinem Verständnis des Textes in der Unfähigkeit/Dummheit/Ignoranz/Straffreiheit.

Es seien zwar nachträglich Sicherheitsfunktionen für DICOM bereitgestellt worden, um das Protokoll an neue Anwendungsfälle und Anforderungen anzupassen, viele Anbieter hätten diese aber schlichtweg nicht implementiert, da keine Verpflichtung zu deren Verwendung bestehe. Wirksame Autorisierungsmaßnahmen seien beispielsweise nur bei weniger als einem Prozent aller DICOM-Server umgesetzt.

Und da sind wir nun beim Kriminellen Teil. Grob Fahrlässig reicht da lange nicht mehr, das ist echt Übelst!

Darüber hinaus erklären die Forscher, es seien auch Manipulationen möglich. Ein Angreifer könne bestehende medizinische Aufnahmen etwa gezielt verändern, um gefälschte Krankheitsbilder zu erzeugen. Aplite habe mehr als 39,3 Millionen Datensätze ausfindig gemacht, die einer solchen Gefahr ausgesetzt seien.