Beiträge

Osnabrück, 15. 10. 2019 Greenbone, Lösungsanbieter zu Schwachstellen-Management und -Analyse von IT-Netzwerken, erweitert die Funktionen seines Security Feeds. Mit neuen Tests erkennt dieser nun ungeschützte digitale Systeme zur Verarbeitung, Verwaltung und Archivierung von medizinischen Bildern und Daten (Picture Archiving and Communication Systems, PACS). Kürzlich legte Greenbone eines der größten Datenlecks im Gesundheitssektor offen: Der Bayerische Rundfunk berichtete.

Sensible Patientendaten benötigen einen lückenlosen Schutz. Eine Datenanalyse von Greenbone fand jüngst jedoch 2.300 medizinische Bildarchivierungssysteme, die mit dem öffentlichen Internet verbunden und quasi für jedermann mit wenigen Klicks einsehbar waren. Mittels einer frei verfügbaren Viewer-Software für das „Digital Imaging and Communications in Medicine (DICOM)“-Protokoll sowie über die Suchmaschine Shodan konnten die entsprechenden IP-Adressen und Server ermittelt und die öffentliche Verfügbarkeit der Daten verifiziert werden.

Greenbone fand heraus, dass ein nicht unerheblicher Anteil der PACS weltweit den ungesicherten Zugriff auf bestimmte Bilddateien inklusive sensibler Daten wie Patientenname, Geburts- und Untersuchungsdatum sowie den Grund der Untersuchung, erlaubten. In Deutschland waren etwa 15.000 Datensätze im Internet zugänglich, mit 1,38 Millionen radiologischen Bildaufnahmen, wie CTs, MRTs oder Mammographie-Bildern – abrufbar ohne Passwort oder Authentifizierung. Nach Meldung von Greenbone an das Bundesministerium für Informationssicherheit (BSI) sind diese mittlerweile geschlossen.

Die neue Funktion des Greenbone Security Feeds soll Krankenhäusern, radiologische Praxen und anderen Gesundheitseinrichtungen in Zukunft dabei helfen, solche Datenlecks zu vermeiden. Mit neuen Vulnerability Tests im Security Feed der Schwachstellenmanagement-Lösung von Greenbone, testen Kunden aus dem Gesundheitssektor ihre Bildarchivierung auf ungeschützte PACS. In der Open-Source-Lösung, dem Greenbone Community Feed (GCF), lässt sich die Erreichbarkeit eines Dienstes über die hierfür vorgesehen Ports testen. Im Greenbone Security Feed (GSF) stehen weitere Überprüfungen zur Verfügung.

Kunden bekommen hier ein Mehr an Informationen: Nicht nur, ob eine verschlüsselte Verbindung für die Übertragung der sensiblen Daten verwendet wird, Daten abrufbar sind oder eine Authentifizierung konfiguriert ist. Nutzer können zusätzlich die Application Entity Titles (AET) des Systems überprüfen. Über den AE Title wird der Zugriff auf bestimmte Bild-Datenbanken des Systems geregelt. Via Brute-Forcing wird auf Standard-AETs geprüft, die unbefugten Zugriff auf die Datenbank erlauben könnten. Wichtig: Die öffentliche Erreichbarkeit von Geräten wird ebenfalls getestet. Sollte dieser Test positiv ausfallen, können Betreiber der Systeme umgehend Maßnahmen zur Schließung der Sicherheitslücken ergreifen.

Dirk Schrader, CISSP, CISM und ISO/IEC 27001 Practitioner bei Greenbone, kommentiert: „Das PACS-Server ausles- und angreifbar sind, haben in der Vergangenheit schon mehrere Sicherheitsforscher bemängelt. Was uns schockiert hat, war das Ausmaß des Datenlecks. Unsere Analysen haben weltweit offene PACS-Systeme aufgedeckt. Das darf einfach nicht passieren. Mit unserer neuen Funktion im Greenbone Security Feed zum Test auf ungeschützte PACS wollen wir unseren Beitrag leisten, um die Daten und Bilder von Patienten in Zukunft zu schützen.“

Die neue Erkennung von ungeschützten PACS-Systemen ist verfügbar für Kunden, die über einen Greenbone Security Manager (GSM) oder eine Installation der Greenbone Community Edition (GCE) beziehungsweise des Greenbone Vulnerability Managements (GVM) verfügen. Nutzer des Greenbone Community Feeds erhalten weitere Informationen auf der Community-Seite. Anwender des Security Feeds wenden sich an den Support. Allgemeine Hinweis zur Behebung von Schwachstellen erhalten User zusammen mit den Vulnerability Tests (VT) des Security Feeds.

Medizinische Systeme und Prozesse des Gesundheitssektors werden immer weiter digitalisiert. Dafür nutzen Arztpraxen und Krankhäuser – wie alle anderen Branchen auch – die Technologien des Internets und vernetzen sich auf IP-Basis untereinander. Das dies gründlich schief gehen kann, zeigt eine globale Daten- und Informationssicherheitsanalyse von medizinischen Bildarchivierungssystemen.

Die Ausgangslage

Röntgenbilder und andere bildgebende Verfahren wie CT und MRT sind aus dem Klinikalltag schon lange nicht mehr wegzudenken. Diese daraus resultierenden Bilder helfen Ärzten und Therapeuten dabei, eine Diagnose zu stellen, für einen Patienten die richtige Behandlung zu erarbeiten oder den Behandlungsfortschritt zu beobachten und zu dokumentieren. Dazu nutzen Klinikbetriebe umfangreiche Bildarchivierungsysteme, sogenannte PACS-Server (Picture Archiving and Communication Systems-Server), in denen die Bilder gespeichert werden und von Medizinern bei Bedarf abgerufen werden können. Das PACS-Server angreifbar sind, ist schon länger bekannt [1]. Was bis heute unbekannt war, ist, wie groß und verbreitet dieses globale Datenleck tatsächlich ist.

Doch worum geht es genau. Einfach formuliert, betrifft dieses Datenleck einen Standard, der in den 80er Jahren entwickelt wurde. Dieser Standard nennt sich DICOM (Digital Imaging and Communications in Medicine) und beschreibt, wie Medizingeräte der Bildgebung miteinander vernetzt werden können, um so Informationen zu Patienten und Bildern auszutauschen und zu archivieren. PACS-Server nutzen diesen Standard, der auch die Verwendung des IP-Protokolls einbezieht. Damit sind diese Systeme auch im Internet auffindbar. Die daraus entstandene Liste an IP-Adressen war Gegenstand der Sicherheitsanalyse.

Die Schwächen

Sowie etwas mit dem öffentlichen Internet verbunden wird, stellt sich die Frage nach der Absicherung des jeweiligen Systems vor unbefugtem Zugriff. Wer soll was mit dem System machen können? Für die gefundenen Archivsysteme scheint die Antwort, sei sie noch zu unbeabsichtigt, zu sein: Jeder und alles.
Wie zu erwarten, enthalten diese Archive sensible medizinische und persönliche Informationen von Millionen von Menschen weltweit. Name, Geburtsdatum, Datum einer Untersuchung, Details der Untersuchung, behandelnde Ärzte, Kliniken, bis hin zu Informationen wie der amerikanischen Social Security Number und den eigentlichen Bildern, ist alles abrufbar und teilweise als Download verfügbar.

Das dies möglich ist, liegt an der nachlässigen Konfiguration dieser Systeme, die ohne jeglichen Schutz, ohne Passwort oder Verschlüsselung, diese Daten einem Internetnutzer, der ein paar Handgriffe tätigt, bereitstellen.

Der Begriff Internetnutzer ist ganz bewusst gewählt, denn für diese Abfrage muss kein Code geschrieben werden, keine Software-Schwachstelle ausgenutzt werden, oder eine Zero-Day-Attacke gefahren werden. Man muss also kein Hacker sein, um sich Zugang zu diesen hochsensiblen Daten zu verschaffen, sondern bekommt unter Zuhilfenahme von frei verfügbaren Tools direkt auf den Bildschirm geliefert. Um diese Daten zu sehen und – falls gewünscht – herunterzuladen, benötigt man nur eine Liste von IPs und einen entsprechenden Viewer. Beides gibt es zum Download im Netz.

Das Ausmaß

Die Zahlen, die dabei zusammenkamen, sind erschreckend. Über 24 Millionen Datensätze mit mehr als 700 Millionen verlinkten Bildern. Aus diesen sind 400 Millionen tatsächlich herunterladbar. Diese ungeschützten Systeme stehen in 52 Ländern der Welt. Neben der “Offenheit‘“ der Systeme, haben diese auch noch tausende „echte“ Schwachstellen, also veraltete Webserver-Versionen und angreifbare Datenbank-Instanzen. Zum Teil erlauben es die PACS-Server auch, via http und einen Webbrowser die Patientendaten und Bilder zu betrachten.

Der Bericht

Greenbone hat einen vollständigen Bericht verfasst, der hier zum Download [2] zur Verfügung steht. Der Bericht enthält weitere Zusammenfasungen der Gesamtsituation, eine Analyse des Gefahrenpotentials verbunden mit diesem Datenleck sowie eine Schätzung, welche Summe dieser Datenschatz im Darknet möglicherweise erbringen könnte. Für einen tieferen Einstieg in die digitale Widerstandsfähigkeit von kritischen Infrastrukturen, zu denen der Gesundheitssektor gehört, ist das Whitepaper [3] geeignet. Hier erhalten Sie weitere allgemeine Informationen zum Thema Datensicherheit.[4]  

Details für einzelne Systeme beziehungsweise die Detaillisten eines bestimmten Landes, geben wir aufgrund der Sensibilität der Daten nur an berechtigte Stellen, zum Beispiel die jeweiligen Datenschutzbehörde des Landes, heraus.

Anmerkung: Wir haben keine kompletten Datensätze oder vollständige Archive heruntergeladen sondern nur auf die Zahlen der einzelnen Systeme geachtet wofür ein Download nicht notwendig ist. Ein Download wäre allerdings jederzeit möglich gewesen.

[1] McAfee.com  bzw. CT-GAN: Malicious Tampering of 3D Medical Imagery using Deep Learning

[2] Greenbone Sicherheitsbericht – Ungeschützte Patientendaten im Internet

[3] Greenbone Whitepaper – Gesundheitssektor

[4] Was ist IT-Sicherheit, Informationssicherheit und Datensicherheit?