06.11.2011, 13:09

Denise Bergert

Sicherheits-Skandal

Tausende sensible Patienten-Daten im Internet aufgetaucht

Durch ein Datenleck im Gesundheitswesen waren vertrauliche Informationen über Patienten mit psychischen Erkrankungen für jedermann im Internet einsehbar.
Ende der vergangenen Woche wurde in Schleswig-Holstein ein Datenleck mit ungeahnten Ausmaßen bekannt. Vermutlich durch technische Unkenntnis konnten persönliche Daten mehrerer tausend Patienten mit psychischer Krankheit ins Internet gelangen und waren dort für jedermann einsehbar. Am stärksten von dem Sicherheits-Skandal betroffen, ist das Sozial- und Therapiezentrum Brücke in Rendsburg.

Ursprünglich sollten nur zahlreiche Patienten-Datensätze übermittelt werden und wurden für die Übertragung ins Internet gestellt. Während des Vorgangs sei die Übermittlung jedoch abgebrochen, wodurch die empfindlichen Informationen über einen längeren Zeitraum ohne entsprechendes Login einsehbar gewesen seien. Wie die "Lübecker Nachrichten" berichten, seien bis Donnerstag gegen 16 Uhr 3.593 Dokumente von dem Datenleck betroffen gewesen. Dabei handelte es sich um medizinische Befunde, psychologische Dokumentationen und Klinik- sowie Behördenbriefe.
Wie es zu dem Vorfall kommen konnte, will nun Schleswig-Holsteins Datenschutz-Beauftragter Thilo Weichert mit einem Spezialisten-Team aufklären. Das verantwortliche Unternehmen Rebus Consulting- und Verwaltungs GmbH wird sich am morgigen Montag also den Fragen des Unabhängigen Landeszentrums für Datenschutz (ULD) stellen müssen.
Kommentare zu diesem Artikel (12)
  • Thor Branke
    06.11.11
    Tausende sensible Patienten-Daten im Internet aufgetaucht

    Am schwersten betroffen vom Sicherheitsleck ist das Therapie- und Beratungszentrum „Die Brücke“ in Rendsburg. 3600 Dokumente konnten bis gestern Abend ohne jede Hürde auf der Webseite aufgerufen werden. Die Firma „Rebus GmbH“ ist ein Tochterunternehmen, sitzt im selben Haus wie die Geschäftsführung der „Brücke“. Nach einem Hinweis der LN schaltete der Betreiber den Server aus Sicherheitsgründen vorübergehend komplett ab. „Wir haben bislang keine Erklärung, wie das passieren konnte“, sagt Jörg Clausen von der „Rebus GmbH“. „Wir haben stets alles getan, diese vertraulichen Daten zu sichern.“ Quelle

    Als jemand, der an diesem Wochenende zum ersten Mal unmittelbar erlebt, wie es Betroffenen mit einem solchen Vorfall geht, bin ich ausgesprochen angepi**t und stimme Thilo Weichert zu:

    „Das ist eine Katastrophe“, sagt der Kieler Landesdatenschutzbeauftragte Thilo Weichert. Einen vergleichbaren Fall habe es in Schleswig-Holstein noch nicht gegeben. „Wenn diese sensiblen Daten aus dem Internet kopiert wurden und herumgereicht werden sollten, ist der Schaden für die Patienten irreparabel“, so Weichert. Quelle

    Wer oder was genau das Leck verursacht hat, ist bislang nicht klar. Man ermittele das noch, sagte Weichert. Auch die Firma Rebus hat noch keine Ursache identifizieren können, ein "Konfigurationsfehler" sei ebenso möglich wie ein "Hackerangriff".
    ...
    Über das Netz zugänglich seien Dokumente gewesen, die als Anhänge mit den Krankenakten verknüpft seien, eben all die Dinge, die wie Briefe und Beurteilungen auch zu einer Patientenakte gehörten, z. B. fachärztliche Notwendigkeitsbescheinigungen. Der Ordner mit diesen Begleitdokumenten habe sich nicht in der Datenbank selbst befunden, sondern sei an einem anderen Ort im System abgelegt gewesen. Er sei über einen Zugang erreichbar gewesen, "den wir selbst nicht kannten", sagte eine Sprecherin von Rebus. Quelle

    Gehts da zu wie bei Wilhelm Buschs Max und Moritz?
    "Ritscheratsche voller Tücke in die Brücke eine Lücke!"

    Und die Geschäftsführerin relativiert:

    Laut Rullmann waren nicht die besonders sensiblen Daten zur Pflege öffentlich zugänglich, also nicht das Herzstück der Datenbank, sondern Begleitdokumente wie ärztliche Notwendigkeitsbescheinigungen. Quelle

    Als ob aus dem Begleitmaterial, das oftmals Namen und Anschriften enthält, nix Kompromittierendes gebastelt werden könnte:

    Die ins Internet gestellten Papiere sprechen von paranoider Schizophrenie, Psychosen und anderen seelischen Krankheiten der jeweils namentlich genannten Patienten. Zahlreiche Briefe sind als pdf-Dateien in dem Verzeichnis hinterlegt. Mitunter sind diese nur wenige Tage alt. Quelle

    Was in den letzten 72 Stunden immer wieder betont wurde, ist das Nervenaufreibendste der Umstand, dass bislang keine Informationen darüber verlautet wurden, wer konkret betroffen ist. Natürlich muss man im Einzelfall abwägen, ob solche Informationen gut für die Gesundheit der Betroffenen sind:

    „Sowas darf einfach nicht passieren“, sagt Dr. Volkmar Sippel, Chefarzt des Psychiatrischen Krankenhauses. Unklar ist noch, wie mit betroffenen Patienten umgegangen wird. „Eigentlich müssten sie informiert werden, allerdings könnte dies angesichts der seelischen Erkrankungen schwerwiegende Konsequenzen haben“, so Drechsler. Quelle

    Ich hoffe sehr, dass dieses Daten-Fukushima für die Betroffenen so glimpflich wie irgend möglich verläuft (nicht zuletzt im Hinblick darauf, dass da nicht noch irgendwo etwas gespiegelt wurde) und auf allen Ebenen die Personen, die den GAU verschuldet haben, konsequent zur Verantwortung gezogen werden.
    Antwort schreiben
  • kazhar
    06.11.11
    Zitat: Thor Branke
    Gehts da zu wie bei Wilhelm Buschs Max und Moritz?
    "Ritscheratsche voller Tücke in die Brücke eine Lücke!"

    es wird halt zugehen wie in jedem anderen tochter unternehmen, dessen einziger zweck ist, die edv kosten auszulagern.
    der chef hat eine schöne sekreterin, der kaufmann hat einen spitzen bleistift und der (meist einzige) microsoft-certifed-expert-admin darf nebenbei die drucker im mutter unternehmen am laufen halten
    hauptsache kostet nix und funktioniert irgendwie...

    btw...
    warum gammeln die "anhänge" im dateisystem herum? von einem blob hat der datenbank designer wohl noch nix gehört gehabt...
    Antwort schreiben
  • Thor Branke
    06.11.11
    Zitat: kazhar
    es wird halt zugehen wie in jedem anderen tochter unternehmen, dessen einziger zweck ist, die edv kosten auszulagern.

    Dahinter steckt aber leider bittere Notwendigkeit (PDF, Grafik S. 2).

    ... und der (meist einzige) microsoft-certifed-expert-admin darf nebenbei die drucker im mutter unternehmen am laufen halten hauptsache kostet nix und funktioniert irgendwie...

    Fast ein Volltreffer! Es sind deren zweie, die meinen vollen Respekt genießen! :)
    Ihr Einzugsgebiet ist Rendsburg, Schleswig, Eckernförde und der RD-Rand von Kiel.
    Mit dem Subunternehmer für Rebus im niedersächsischen Bad Gandersheim haben die beiden AFAIK jedoch nichts zu tun.

    btw... warum gammeln die "anhänge" im dateisystem herum? von einem blob hat der datenbank designer wohl noch nix gehört gehabt...

    Da bin ich überfragt. :nixwissen
    Antwort schreiben
  • deoroller
    06.11.11

    Während des Vorgangs sei die Übermittlung jedoch abgebrochen, wodurch die empfindlichen Informationen über einen längeren Zeitraum ohne entsprechendes Login einsehbar gewesen seien.


    Das hört sich so an, als sei die verantwortliche Person weggelaufen und nicht mehr wiedergekommen.
    Antwort schreiben
  • peterbi
    07.11.11
    Sensible Krankheits-Daten zur Übermittlung UNVERSCHLÜSSELT ins Netz stellen? Entschuldigung: wie nachlässig - oder wie blöd - muss man denn da sein. Da passt die Notfall-Intervention per "Stecker ziehen" und die Ursachensuche bei evtl. Hackern noch wie die Faust aufs Auge.
    Antwort schreiben
  • deoroller
    07.11.11
    Das ist wie einen 500€ Schein an Rande der Fußgängerzone auf dem Autodach liegen lassen. Danach kann man auch auf die Alltagskriminalität schimpfen und strengere Gesetze fordern.
    Irgendwo wurde mal gesagt, dass es Anstiftung zum Kameradendiebstahl sei, wenn man sein Eigentum nicht sichere.
    Das gibt einen tierischen Anschiss. :D
    Antwort schreiben
  • Thor Branke
    07.11.11
    Zitat: deoroller
    Das hört sich so an, als sei die verantwortliche Person weggelaufen und nicht mehr wiedergekommen.

    Der Verbindungsabbruch geschah durch das Stilllegen des Servers seitens Rebus.

    „Standen auch meine Daten im Internet?“ Mit dieser Befürchtung wandten sich gestern Menschen mit psychischen Erkrankungen immer wieder an das ULD in Kiel. Doch dort konnte man meist nicht weiterhelfen. Denn die Datenschützer hatten, als sie am Donnerstag eine Anfrage der Lübecker Nachrichten erhielten, zunächst das Unternehmen Rebus informiert und erst dann begonnen, Daten herunterzuladen. 2500 Datensätze über Patienten und ihre Behandlungen konnten die Datenschützer so sicherstellen, dann wurde um 15.50 Uhr die Verbindung zum Server gekappt.


    Antwort schreiben
  • kalweit
    07.11.11
    ...mei, man könnte auch einfach in die Serverlogs gucken. Da steht, was von wo herunter geladen wurde.
    Antwort schreiben
  • Thor Branke
    07.11.11
    Zitat: kalweit
    ...mei, man könnte auch einfach in die Serverlogs gucken.

    Das hat man heute im ersten Umlauf wohl getan und ist bereits jetzt zu einem vernichtenden Urteil gekommen:

    Der freie Zugang im Internet zu über 3000 hochsensiblen Psychiatrie-Datensätzen aus Schleswig-Holstein ist nach einer ersten Einschätzung von Datenschützern auf «ein organisatorisches Chaos» bei den beteiligten Firmen und Einrichtungen zurückzuführen.
    ...
    Es sei zu befürchten, dass die Datenlücke schon seit Jahren bestanden habe, sagte Weichert der Nachrichtenagentur dpa. Die vorläufige Bestandsaufnahme habe ergeben, «dass fast alle Anforderungen an ein funktionsfähiges Datenschutzmanagement nicht beachtet wurden».
    ...
    Beteiligt an dem Chaos bei Rebus sind laut Weichert mehrere Einrichtungen und Stellen, zwischen denen die Arbeitsverhältnisse und Verantwortlichkeiten unklar geregelt seien. «Aussagekräftige Dokumente konnten nicht vorgelegt werden, Qualitätskontrollen fanden beim IT-Einsatz nicht statt.» Eingesetzt worden sei eine spezielle Software, deren Sicherheit anscheinend nie ernsthaft hinterfragt wurde. «Keine der auf Unternehmensseite an der Prüfung beteiligten Personen hat einen Überblick über die erfolgte Verarbeitung der Daten der psychisch Kranken.»
    ...
    «Wir haben es hier mit einem undurchsichtigen Unternehmensgeflecht zu tun, in dem naturwüchsig und handgestrickt Lösungen erarbeitet wurden, die insgesamt keine Sicherheiten gewährleisten konnten», sagte Weichert. Quelle



    Als Kontrast noch ein O-Ton der Geschäftsführerin vom 04.11.2011 (NDR1)
    Antwort schreiben
  • kazhar
    07.11.11
    ich hatte mal einen vortrag über programmsicherheit im netzwerk (ist schon ein paar tage her).

    der vortragende hat so einiges erzählt, was ich mittlerweile verdrängt habe. was aber hängen geblieben ist: bastle nie an irgendwas sicherheitsrelevanten selber herum (oder mach es gar selber), weil man in 99,99% der fälle irgendwelche uralten fehler nachbaut, die schon lang bekannt sind.
    Antwort schreiben
  • kalweit
    07.11.11
    Zitat: kazhar
    bastle nie an irgendwas sicherheitsrelevanten selber herum (oder mach es gar selber),


    ...ich orakel mal: die Oberchefs haben festgestellt, dass einige Mitarbeiter in den Unternehmungen gemeinsam an die Daten kommen müssen. Das ist in den modernen Zeiten (quaken ja alle nach Clound unso) kein Problem. Es darf nur nichts Kosten und ausgebildetes Personal gibt's auch nicht dafür. Der Praktikant wird also mit der Aufgabe betraut. Er hatte erst vorgestern mit Hilfe eines Computerforums eine Festplatte an seine Fritzbox gefriemelt. Da kam ihm der Geistesblitz: wir spielen alles auf einen FTP-Server und richten für die fraglichen Mitarbeiter einen Account ein (natürlich nicht für jeden einen, das würde zu viel Arbeit machen - tut aber am Ende nichts zur Sache). Im Überschwang der Genialität seiner Lösung, hat er leider nicht bedacht, dass so ein FTP-Server in der freien Wildbahn nur selten allein vorkommt und meist seinen besten Kumpel, den Webserver, dabei hat. Dummerweise interessiert sich der Webserver nicht für die Passwörter von seinem Kumpel und schon war es passiert.
    Antwort schreiben
  • Thor Branke
    08.11.11
    Zitat: kalweit
    ...ich orakel mal: ...

    In Ansätzen und Details wirst Du damit vermutlich richtig liegen, aber das Chaos, von dem Weichert spricht, hat andere Ursachen. In dem Firmengeflecht der Brücke schaut kaum noch jemand durch, schon gar nicht von Nutzerseite. Es wurde in den letzten Jahren munter expandiert und ausgelagert, statt sich auf Kerngeschäfte zu besinnen und den Laden zu konsolidieren. Ich kann gerade kein Organigram finden, aber eine Idee davon bekommt man schon durch die Fülle an Angebotsstandorten. Die Folgen davon sind Kommunikations- und Wartungsprobleme, das Fehlen durchgängiger Konzepte und daraus resultierend Insellösungen, die mühsam aufeinander abgestimmt werden müssen ("social@web").

    Im Hinblick auf die Betreuungssituation kann das (IMHO mit Mühe!) immer noch gehandhabt, die Vielschichtigkeit der Angebote muss sogar als großes Plus gewertet werden. Viele Einrichtungsformen sind in dieser Region alternativlos.

    Aber irgendwann kommt man in einem extrem komplexen Gebilde in irgendeinem Bereich an seine Grenzen, wobei hier Systemschwächen ergänzt durch einige menschliche Fehlleistungen nun zum Daten-GAU geführt haben dürften.

    Die großen Verlierer sind so oder so die Nutzer: einerseits diejenigen, deren Daten zugänglich waren und die nun befürchten müssen, noch in irgendeiner Form bloßgestellt zu werden. Zum anderen sämtliche Brückenutzer, falls die Strafmaßnahmen der Ordnungsbehörden nicht auch auf die Bedürfnissituation der psychisch Kranken ausgerichtet werden.

    Das "System Brücke" bedarf Reformen und ggf. einzelner neuer Köpfe, aber nicht Zerschlagung. Man sollte schließlich nicht vergessen, dass im Gegensatz zu so manch anderem Skandal dieser Art es sich hier nicht um ein profitorientiertes Unternehmen handelt.

    Was mich besonders ärgert, ist, wie sich momentan einige Politiker zu Wort melden. Es sind eben auch politische Entscheidungen in Form von Sparmaßnahmen im sozialen Sektor gewesen, die mit dazu beigetragen haben, ein System zu schaffen, das gerade an der Notwendigkeit zu ewig währender Flexibilität partiell gescheitert ist. Die Volksvertreter aller Couleur in Kiel sollten sich lieber auf die Organisation einer rundum gelungenen Landtagswahl im nächsten Jahr konzentrieren, wofür man sich gewiss mehr als genug Geld zugestanden hat.
    Antwort schreiben
Jetzt antworten
Thema im PC-WELT-Forum anzeigen
PC-WELT-Experten lösen Ihr PC-Problem
Immer informiert mit dem PC-WELT Newsletter
Best-of PC-WELT   PC-WELT Apps
PC-WELT Business-IT   PC-WELT Community
PC-WELT iPhone- und Android-App
PC-WELT iPhone- und Android-App

Gratis! Laden Sie sich die PC-WELT-App jetzt auf Ihr Smartphone oder Ihr Tablet und lesen Sie auch unterwegs aktuelle News, Tests & Ratgeber aus der PC- und Smartphone-Welt.

Facebook-Freunde empfehlen
3x PC-WELT testen!
Ja, ich teste 3x die PC-WELT mit DVD für nur 11,90 € (19,- Sfr). Den 4 GB USB-Stick erhalte ich gratis dazu.
PC-WELT 6/ 2012
PC-WELT 6 / 2012

Zurück
Anrede:
Vorname:
Nachname:
Straße/Nr:
PLZ/Ort:
Land:
E-Mail:
Nur wenn ich innerhalb von 2 Wochen nach Erhalt der 3. Ausgabe nichts von mir hören lasse, möchte ich die PC-WELT mit DVD zum gleichen Preis weiterbeziehen (D: 55,80 €/Jahr, EU: 64,80 €/Jahr, CH: 103,70 Sfr/Jahr). Nach dem Testzeitraum ist der Bezug jederzeit kündbar.
Ich bin damit einverstanden, dass die IDG Tech Media GmbH und ihre Partner mich per E-Mail über interessante Vorteilsangebote informieren.
Aktuelle Forumsthemen
1165299
Content Management by InterRed