Schwachstellen-Management und -Analyse

Medizinische Bildarchivierungssysteme absichern

| Redakteur: Ira Zahorsky

Rund 1,4 Millionen radiologische Bildaufnahmen, wie CTs, MRTs oder Mammographie-Bilder waren eine zeitlang offen über das Internet abrufbar.
Rund 1,4 Millionen radiologische Bildaufnahmen, wie CTs, MRTs oder Mammographie-Bilder waren eine zeitlang offen über das Internet abrufbar. (Bild: © romaset - stock.adobe.com)

Sensible Patientendaten benötigen einen lückenlosen Schutz. Eine Datenanalyse von Greenbone fand jüngst jedoch 2.300 medizinische Bildarchivierungssysteme, die mit dem öffentlichen Internet verbunden und quasi für jedermann mit wenigen Klicks einsehbar waren. Der Security Feed von Greenbone soll nun ungeschützte medizinische Bildarchivierungssysteme erkennen.

Im September 2019 legte Greenbone eines der größten Datenlecks im Gesundheitssektor offen. Mittels einer frei verfügbaren Viewer-Software für das „Digital Imaging and Communications in Medicine (DICOM)“-Protokoll sowie über die Suchmaschine Shodan konnten die entsprechenden IP-Adressen und Server ermittelt und die öffentliche Verfügbarkeit der Daten verifiziert werden. Der Lösungsanbieter zu Schwachstellen-Management und -Analyse von IT-Netzwerken fand heraus, dass ein nicht unerheblicher Anteil der PACS weltweit den ungesicherten Zugriff auf bestimmte Bilddateien inklusive sensibler Daten wie Patientenname, Geburts- und Untersuchungsdatum sowie den Grund der Untersuchung, erlaubten. In Deutschland waren etwa 15.000 Datensätze im Internet zugänglich, mit 1,38 Millionen radiologischen Bildaufnahmen, wie CTs, MRTs oder Mammographie-Bildern – abrufbar ohne Passwort oder Authentifizierung. Nach Meldung an das Bundesministerium für Informationssicherheit (BSI) sind diese mittlerweile geschlossen.

Um solchen Datenlecks künftig vorzubeugen, erweitert der Hersteller die Funktionen seines Security Feeds. Mit neuen Tests erkennt dieser nun ungeschützte digitale Systeme zur Verarbeitung, Verwaltung und Archivierung von medizinischen Bildern und Daten (Picture Archiving and Communication Systems, PACS). Mit neuen Vulnerability Tests testen Kunden aus dem Gesundheitssektor ihre Bildarchivierung auf ungeschützte PACS. In der Open-Source-Lösung, dem Greenbone Community Feed (GCF), lässt sich die Erreichbarkeit eines Dienstes über die hierfür vorgesehen Ports testen. Im Greenbone Security Feed (GSF) stehen weitere Überprüfungen zur Verfügung.

Kunden bekommen hier Informationen, ob eine verschlüsselte Verbindung für die Übertragung der sensiblen Daten verwendet wird, Daten abrufbar sind oder eine Authentifizierung konfiguriert ist. Nutzer können zusätzlich die Application Entity Titles (AET) des Systems überprüfen. Über den AE Title wird der Zugriff auf bestimmte Bild-Datenbanken des Systems geregelt. Via Brute-Forcing wird auf Standard-AETs geprüft, die unbefugten Zugriff auf die Datenbank erlauben könnten. Außerdem wird die öffentliche Erreichbarkeit von Geräten getestet. Sollte dieser Test positiv ausfallen, können Betreiber der Systeme umgehend Maßnahmen zur Schließung der Sicherheitslücken ergreifen.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46222144 / Schwachstellen-Management)