Schwachstellen-Management und -Analyse Medizinische Bildarchivierungssysteme absichern

Sensible Patientendaten benötigen einen lückenlosen Schutz. Eine Datenanalyse von Greenbone fand jüngst jedoch 2.300 medizinische Bildarchivierungssysteme, die mit dem öffentlichen Internet verbunden und quasi für jedermann mit wenigen Klicks einsehbar waren. Der Security Feed von Greenbone soll nun ungeschützte medizinische Bildarchivierungssysteme erkennen.

Anbieter zum Thema

Moxa Europe GmbH

Cohesity GmbH

valvisio international AG

Vogel Communications Group GmbH & Co. KG - Office Center Wiesbaden

Im September 2019 legte Greenbone eines der größten Datenlecks im Gesundheitssektor offen. Mittels einer frei verfügbaren Viewer-Software für das „Digital Imaging and Communications in Medicine (DICOM)“-Protokoll sowie über die Suchmaschine Shodan konnten die entsprechenden IP-Adressen und Server ermittelt und die öffentliche Verfügbarkeit der Daten verifiziert werden. Der Lösungsanbieter zu Schwachstellen-Management und -Analyse von IT-Netzwerken fand heraus, dass ein nicht unerheblicher Anteil der PACS weltweit den ungesicherten Zugriff auf bestimmte Bilddateien inklusive sensibler Daten wie Patientenname, Geburts- und Untersuchungsdatum sowie den Grund der Untersuchung, erlaubten. In Deutschland waren etwa 15.000 Datensätze im Internet zugänglich, mit 1,38 Millionen radiologischen Bildaufnahmen, wie CTs, MRTs oder Mammographie-Bildern – abrufbar ohne Passwort oder Authentifizierung. Nach Meldung an das Bundesministerium für Informationssicherheit (BSI) sind diese mittlerweile geschlossen.

Um solchen Datenlecks künftig vorzubeugen, erweitert der Hersteller die Funktionen seines Security Feeds. Mit neuen Tests erkennt dieser nun ungeschützte digitale Systeme zur Verarbeitung, Verwaltung und Archivierung von medizinischen Bildern und Daten (Picture Archiving and Communication Systems, PACS). Mit neuen Vulnerability Tests testen Kunden aus dem Gesundheitssektor ihre Bildarchivierung auf ungeschützte PACS. In der Open-Source-Lösung, dem Greenbone Community Feed (GCF), lässt sich die Erreichbarkeit eines Dienstes über die hierfür vorgesehen Ports testen. Im Greenbone Security Feed (GSF) stehen weitere Überprüfungen zur Verfügung.

Kunden bekommen hier Informationen, ob eine verschlüsselte Verbindung für die Übertragung der sensiblen Daten verwendet wird, Daten abrufbar sind oder eine Authentifizierung konfiguriert ist. Nutzer können zusätzlich die Application Entity Titles (AET) des Systems überprüfen. Über den AE Title wird der Zugriff auf bestimmte Bild-Datenbanken des Systems geregelt. Via Brute-Forcing wird auf Standard-AETs geprüft, die unbefugten Zugriff auf die Datenbank erlauben könnten. Außerdem wird die öffentliche Erreichbarkeit von Geräten getestet. Sollte dieser Test positiv ausfallen, können Betreiber der Systeme umgehend Maßnahmen zur Schließung der Sicherheitslücken ergreifen.

(ID:46222144)