Eine neue Untersuchung liefert unerfreuliche Ergebnisse.

Foto: TAMAS KASZAS / REUTERS

Hochsensible medizinische Daten, unter anderem von Patienten aus Deutschland und den USA, sind einem Bericht zufolge auf ungesicherten Servern gelandet. Es gehe um die Daten mehrerer Millionen Patienten, wie der Bayerische Rundfunk am Dienstag nach Recherchen des Senders mit der US-Investigativplattform ProPublica berichtete.

Auf die Unterlagen – etwa Brustkrebsscreenings, Wirbelsäulenbilder, Röntgenaufnahmen eines Brustkorbs oder Herzschrittmacher – hätte jeder zugreifen können, so der Bericht. In Deutschland sind laut BR-Recherchen mehr als 13.000 Datensätze von Patienten betroffen, in mehr als der Hälfte sind Bilder enthalten. Sie waren demnach noch bis vergangene Woche zugänglich und stammen von mindestens fünf verschiedenen Standorten. Der größte Teil der Datensätze entfällt auf Patienten aus dem Raum Ingolstadt und aus Kempen in Nordrhein-Westfalen, wie die Recherchen ergaben.

Die Bilder seien hochauflösend und mit vielen Informationen versehen, fast alle davon personenbezogen: Geburtsdatum, Vor- und Nachname, Termin der Untersuchung und Informationen über den behandelnden Arzt oder die Behandlung selbst.

Umfang

Weltweit ist die Dimension demnach deutlich größer, Server auf der ganzen Welt seien ungeschützt. In rund 50 Ländern von Brasilien über die Türkei bis Indien sollen 16 Millionen Datensätze offen im Netz sein. Besonders betroffen seien Patienten aus den USA. Allein bei einem einzelnen Anbieter für radiologische Untersuchungen lagen nach einer Auswertung der US-Investigativplattform mehr als eine Million Datensätze von Patienten vor.

Wenn Patienten in einer MRT-Röhre untersucht werden, entstehen zwei- und dreidimensionale Bilder vom Körperinneren. Diese Bilder werden von den Geräten auf einen speziellen Server geschickt, der für die Bildarchivierung verwendet wird, ein so genanntes "Picture Archiving and Communication System" (PACS), wie der BR weiter berichtete. Auch Röntgenaufnahmen und Bilder aus der Computertomographie landen demnach auf diesen Servern.

Zugriff

Sind die Server nicht ausreichend gesichert, sei es trivial, an die Daten heranzukommen, sagte der Experte für Informationssicherheit Dirk Schrader, dem Sender. Er habe die Investigativ- und Datenjournalisten des Bayerischen Rundfunks kontaktiert, nachdem er weltweit mehr als 2.300 Rechner gefunden hatte, auf denen diese Datensätze lagen.

Schrader spricht von einem "near realtime-access", einem Zugriff nahezu in Echtzeit. "Bei den Systemen, die ich überprüft habe, hatte ich den Eindruck, dass ich im Zweifelsfall sogar in der Lage wäre, früher als der Arzt auf das Bild zuzugreifen", sagte er.

Journalisten von BR Recherche/BR Data vollzogen das Vorgehen von Schrader nach, wie der Sender mitteilte. Es seien auch stichprobenartig Betroffene kontaktiert worden, um die Echtheit der Daten zu bestätigen.

BSI bestätigt Datenleck

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat bestätigt, dass tausende medizinische Patientendaten ungeschützt abgeflossen sind. "Mehrere tausend Patientendaten sind offen im Internet abrufbar", teilte das BSI am Dienstag mit. Das BSI teilte mit, 46 internationale Partnerorganisationen über den Fall informiert zu haben.

"Wenn selbst bei so sensiblen Daten wie Röntgenaufnahmen, Mammografien oder MRT-Bildern grundlegende IT-Sicherheitsmaßnahmen missachtet werden, zeigt das, dass IT-Sicherheit noch immer nicht den Stellenwert einnimmt, den sie verdient", sagte BSI-Präsident Arne Schönbohm.

Nur wenn die Bürgerinnen und Bürger Vertrauen in die Sicherheit ihrer Daten hätten, werde die Digitalisierung erfolgreich sein. Die Bundesregierung arbeitet derzeit an der Einführung einer elektronischen Gesundheitskarte, auf der Patientendaten gespeichert werden sollen. (APA, 17.9.2019)