Ungeschützte Schweizer Patientendaten im Netz gefunden

Auf die Unterlagen - etwa Brustkrebsscreenings, Wirbelsäulenbilder, Röntgenaufnahmen eines Brustkorbs oder Herzschrittmacher - hätte jeder zugreifen können, wie der Bayerische Rundfunk (BR) am Dienstag nach Recherchen des Senders mit der US-Investigativplattform ProPublica berichtete. In der Schweiz sind laut einem Bericht der Greenbone Networks GmbH zwei Systeme mit 1500 Datensätzen von Patientinnen und Patienten und insgesamt 197'000 Bilder betroffen.

Um welche Systeme es sich handelt, gebe Greenbone nur den berechtigten Sicherheits- oder Datenschutz-Behörden preis, hiess es auf Anfrage der Nachrichtenagentur Keystone-SDA.

Greenbone Networks hatte zwischen Juli und September 2019 eine Analyse von rund 2300 mit dem Internet verbundenen Bildarchivierungssystemen (PACS) durchgeführt. Dabei stellten sie fest, dass mehrere hundert Systeme weltweit ohne jegliche Art von Schutz der gespeicherten Daten mit dem öffentlichen Internetverbunden sind. Ein nicht unerheblicher Teil dieser Systeme erlaube auch den Zugriff auf einzelne Bilddaten eines beliebigen Patienten, hiess es im Bericht.

Die Bilder seien hochauflösend und mit vielen Informationen versehen, fast alle davon personenbezogen: Geburtsdatum, Vor- und Nachname, Termin der Untersuchung und Informationen über den behandelnden Arzt oder die Behandlung selbst.

Greenbone identifizierte demnach 590 Archivsysteme weltweit, die 24,5 Millionen Datensätze preisgeben. Damit sind mehr als 737 Millionen Patientendaten verknüpft, von denen rund 400 Millionen frei einsehbar sind oder heruntergeladen werden können. 39 Systeme erlauben via unverschlüsseltem Webviewer - ohne jeglichen Schutz -  Zugriff auf Patientendaten. Betroffen sind 52 Länder weltweit.

In der Summe handelt es sich damit um eine der bisher grössten Datenpannen weltweit. Im Darknet hätte ein solch umfangreiches Datenpaket einen Gegenwert von über einer Milliarde US-Dollar, steht im Bericht.

Besonders betroffen seien Patienten aus den USA. Allein bei einem einzelnen Anbieter für radiologische Untersuchungen lagen nach einer Auswertung der US-Investigativplattform mehr als eine Million Datensätze von Patienten vor.

Sind die Bildarchivierungs-Server nicht ausreichend gesichert, sei es trivial, an die Daten heranzukommen, sagte der Experte für Informationssicherheit Dirk Schrader von Greenbone Networks dem Sender. Er habe die Investigativ- und Datenjournalisten des Bayerischen Rundfunks kontaktiert, nachdem er weltweit mehr als2300 Rechner gefunden hatte, auf denen diese Datensätze lagen.

Schrader spricht von einem "near realtime-access", einem Zugriff nahezu in Echtzeit. "Bei den Systemen, die ich überprüft habe, hatte ich den Eindruck, dass ich im Zweifelsfall sogar in der Lage wäre, früher als der Arzt auf das Bild zuzugreifen", sagte er.

Journalisten von BR Recherche/BR Data vollzogen das Vorgehen von Schrader nach, wie der Sender mitteilte. Es seien auch stichprobenartig Betroffene kontaktiert worden, um die Echtheit der Daten zu bestätigen.

Der Bericht im PDF-Format