Schwachstellenmanagement und -analyse

Medizinische Bildarchivierungssysteme absichern

| Redakteur: Ira Zahorsky

Rund 1,4 Millionen radiologische Bildaufnahmen, wie CTs, MRTs oder Mammographie-Bilder waren eine zeitlang offen über das Internet abrufbar.
Rund 1,4 Millionen radiologische Bildaufnahmen, wie CTs, MRTs oder Mammographie-Bilder waren eine zeitlang offen über das Internet abrufbar. (Bild: © romaset - stock.adobe.com)

Sensible Patientendaten benötigen einen lückenlosen Schutz. Eine Datenanalyse von Greenbone fand jüngst jedoch 2.300 medizinische Bildarchivierungssysteme, die mit dem öffentlichen Internet verbunden und quasi für jedermann mit wenigen Klicks einsehbar waren. Der Security-Feed von Greenbone soll nun ungeschützte medizinische Bildarchivierungssysteme erkennen.

Im September 2019 legte Greenbone eines der größten Datenlecks im Gesundheitssektor offen. Mittels einer frei verfügbaren Viewer-Software für das „Digital Imaging and Communications in Medicine“-Protokoll (DICOM) sowie über die Suchmaschine Shodan konnten die entsprechenden IP-Adressen und Server ermittelt und die öffentliche Verfügbarkeit der Daten verifiziert werden. Der Lösungsanbieter zu Schwachstellenmanagement und -analyse von IT-Netzwerken fand heraus, dass ein nicht unerheblicher Anteil der PACS weltweit den ungesicherten Zugriff auf bestimmte Bilddateien inklusive sensibler Daten wie Patientenname, Geburts- und Untersuchungsdatum sowie den Grund der Untersuchung erlaubte. In Deutschland waren etwa 15.000 Datensätze im Internet zugänglich, mit 1,38 Millionen radiologischen Bildaufnahmen wie CTs, MRTs oder Mammographiebildern – abrufbar ohne Passwort oder Authentifizierung. Nach Meldung an das Bundesministerium für Informationssicherheit (BSI) sind diese mittlerweile geschlossen.

Um solchen Datenlecks künftig vorzubeugen, erweitert der Hersteller die Funktionen seines Security-Feeds. Mit neuen Tests erkennt dieser nun ungeschützte digitale Systeme zur Verarbeitung, Verwaltung und Archivierung medizinische Bilder und Daten (Picture Archiving and Communication Systems, PACS). Mit neuen Vulnerability-Tests kontrollieren Kunden aus dem Gesundheitssektor ihre Bildarchivierung auf ungeschützte PACS. In der Open-Source-Lösung, dem Greenbone Community Feed (GCF), lässt sich die Erreichbarkeit eines Dienstes über die hierfür vorgesehen Ports testen. Im Greenbone Security Feed (GSF) stehen weitere Überprüfungen zur Verfügung.

Kunden bekommen hier Informationen, ob eine verschlüsselte Verbindung für die Übertragung der sensiblen Daten verwendet wird, Daten abrufbar sind oder eine Authentifizierung konfiguriert ist. Nutzer können zusätzlich die Application Entity Titles (AET) des Systems überprüfen. Über den AE Title wird der Zugriff auf bestimmte Bilddatenbanken des Systems geregelt. Via Brute-Forcing wird auf Standard-AETs geprüft, die unbefugten Zugriff auf die Datenbank erlauben könnten. Außerdem wird die öffentliche Erreichbarkeit von Geräten getestet. Sollte dieser Test positiv ausfallen, können Betreiber der Systeme umgehend Maßnahmen zur Schließung der Sicherheitslücken ergreifen.

Kommentare werden geladen....

Was meinen Sie zu diesem Thema?

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Kontaktieren Sie uns über: support.vogel.de/ (ID: 46261936 / Zugriffsschutz)