35c3 Vorspannmusik Herald: Er beschreibt sich selber als integrierter Bürger mit Kenntnissen in grafischer Datenverarbeitung und IT- Sicherheit. Er wird euch jetzt mal sagen, warum all your Gesundheitsdaten not belong to you. Applaus Martin Tschirsich: Herzlichen Dank, dass so viele zu abendlicher Stunde hier sind. Es geht um "All Your Gesundheitsdaten Are Belong To Us". Sicherer als Onlinebanking, haben sie gesagt. Das wollen wir jetzt mal schauen, ob das so stimmt. Vivy – davon haben vielleicht einige von euch schon gehört. Vivy ist angetreten vor einigen Monaten als elektronische Gesundheitsakte. In Vivy, eine App, kann man Röntgenbilder austauschen, man kann seinen Impfpass führen, man kann seine Medikamente dort hinterlegen. Alles rund um die Gesundheit kann man mit Vivy machen und insbesondere man kann seine Dokumente an seinen Arzt schicken. Der Arzt kann Befunde dort hinterlegen, Diagnosen hineinschreiben und so weiter. Hier sehen wir drei Bildschirme von Vivi. So sieht das aus, eine App für iOS, Android und Vivy wurde am 17.09. veröffentlicht. Gar nicht so alt. Hat ein großes Medienecho in der Tagespresse erzeugt. Und das liegt daran, dass Vivy die erste App ist, die von so vielen privaten und gesetzlichen Krankenkassen gleichzeitig finanziert wird. Das heißt, da stehen für 13 Millionen – inzwischen deutlich mehr – Versicherte die Krankenkassen dahinter und bezahlen diese Anwendung. Kostet normalerweise so um die fünf Euro im Monat. Das übernehmen die Krankenkassen, damit ihr diese App nutzen könnt. Ein Tag nach dem Release von Vivy gab es wieder ein Medienecho, diesmal anderer Art: Datenschutzmängel. Ein Herr Kuketz hat Vivy angeschaut und gesehen: Vivy überträgt Telemetriedaten, also wertet das Benutzerverhalten aus und schickt die Daten an verschiedene Server in den USA, Singapur und so weiter. Das passt nicht zu so einer Gesundheits-App. Besonders eine, die von unseren ganzen Krankenkassen finanziert wird. Und das war der Aufhänger. Da habe ich mir Vivy heruntergeladen. Da habe ich gedacht: Jetzt wird's interessant. Und habs mir mal angeschaut. Das war das Resultat. Mehr als einen Monat später gab es dann nochmal ein Medienecho, auch noch Mal zum Thema Vivy: Diesmal Sicherheitsmängel. Es hieß dann Patientendaten in Gefahr. Vivy – gravierende Sicherheitsmängel in Krankenkassen-App. Und das Ganze habe ich dann zusammen mit Thorsten Schröder veröffentlicht in einem Bericht. Ich will mal kurz vorstellen, was denn bei Vivy so alles schief gegangen ist. Also, Vivy dient hauptsächlich dem Austausch von Dokumenten zwischen dem Patienten und dem Arzt. Das heißt, der Patient hat sein Smartphone, hat da verschiedene Röntgenbilder, Diagnosen, Berichte und möchte die seinem neuen Arzt senden. Das geht über die Vivy-Plattform. Vivy ist eine Cloud-Plattform. So. Ich schicke die in die Cloud. Vivy erzeugt dann eine "Session". Das ist eine fünfstellige Session-ID, bestehend aus Kleinbuchstaben. Lachen Einige haben es schon erfasst, ich sehe. Lachen Ich mache trotzdem weiter. Für die anderen. So, und der Arzt, dem gibt man diesen Link per E-Mail, Fax, Telefon, persönlich und er kann dann unter diesem Link das in dieser Session gespeicherte Dokumente einsehen. So. Ja, weswegen jetzt viele gelacht haben: Natürlich, eine fünfstellige Session-ID entspricht nicht so ganz den Sicherheitsvorstellungen, die einige hier wohl haben. So eine Session-ID, fünfstellig, kann man... Man kann quasi alle Session-IDs, die aus Kleinbuchstaben bestehen, aus fünf Kleinbuchstaben, kann man an einem Tag locker durchprobieren. Also nicht händisch, da schreibt man sich dann ein kleines Script und dann läuft das durch. Und dann hat man alle mal getestet, ob da ein Dokument liegt und eventuell wird man ja fündig. Und wenn man fündig wird, also wenn man eine Session-ID findet, unter der tatsächlich jemand ein Dokument gespeichert hat, sieht man sowas. Das sind Metadaten. Also sowas wie der Name des Versicherten, die Versichertennummer, das Bild, Adresse, behandelnder Arzt, Adresse des Arztes, Spezialität des Arztes, Alter, Geschlecht, Sprache – also nur Metadaten, aber wir sehen schon, diese Daten, die will man nicht öffentlich haben. Insbesondere, wenn ich dann bei einem sensiblen Thema zu einem Arzt gehe, sagen wir mal, Schwangerschaftsabbruch oder Schwangerschaft allgemein oder Psychologie. Ich gehe zum Psychologen, weil ich mich irgendeiner Behandlung unterziehen möchte. Und das können dann du, ich – jeder kann das einsehen, wenn er möchte oder konnte das einsehen auf der Vivy-Plattform. Wenn ich die Daten dann einsehen möchte, also das Dokument, was darüber transportiert wurde in dieser Session, dann muss ich eine vierstellige PIN eingeben. Okay, also ich sehe das, brauche ich nicht erklären. Vierstellige PIN das sind – wie viele Versuche? Tausend, genau und dann habe ich die. Also es ist kein Hexenwerk und ich muss nur schneller sein als der Arzt. Dann klappt das. Vivy hatte noch mehr Mail. Phishing war ein toller Aspekt, den man nicht erwarten würde in einer Gesundheits-App. Vivy erlaubt es, zwischen Versicherten Dokumente auszutauschen und auch Dokumente vom Arzt zu empfangen. Und hier sehen wir drei Dokumente: zweimal eine invoice, eine Rechnung und einmal eine prescription – eine Verschreibung – durch den Arzt. Und wenn ich die untere invoice öffne – oh, da muss ich mich neu einloggen. Das passiert bei Vivy sehr oft. Man muss sich sehr oft einloggen, ist ein Sicherheitsfeature. Die Session läuft sehr schnell ab. Wenn ich mich allerdings hier einlogge, dann geht das Passwort nicht an Vivy, sondern da geht es an mich. Ja. Liegt daran, dass ich HTML-Code in eine Webview in diese App einschleusen konnte und mir dann basteln konnte, was mir so gefällt. Phishing, das erwartet man nicht in der Gesundheits-App. Applaus Danke sehr. Applaus Aber wenn ich das Passwort geklaut hab, komme ich noch nicht in die App rein. Es gibt eine Zwei-Faktor-Authentifizierung. Klar, die Profis unter euch wissen: Phishing, Zwei- Faktor-Authentifizierung das geht auch. Aber sagen wir mal, ich habe den zweiten Faktor nicht. Den brauche ich aber, wenn ich mich einloggen möchte bei Vivy, dann geht das über folgenden HTTP Request: Username, Passwort und dieser Code. Dieser Code ist der zweite Faktor. Ein TOTP-Token. Den brauche ich, sonst komme ich nicht rein. Ja, was mache ich, wenn ich den nicht habe? Naja, probieren wir halt mal. Also bruteforcing, ganz großes Thema. So simpel es klingt, damit lagen alle Metadaten dieser Plattform über diese Session-IDs offen. Zweite Faktor- Authentifizierung konnte ich komplett umgehen. Die Dokumenten-PIN war nutzlos. Erwartet man so nicht. Aber, es geht auch weiter. Vivy hat eine Ende-zu-Ende- Verschlüsselung. Das heißt, wenn ich als Benutzer ein Dokument an den Arzt schicke, geht das nicht so direkt über die Leitung, sondern der Arzt, der öffnet ja diesen Link in seinem Browser und dann erzeugt der Browser – instant TAN – für den Arzt, einen Key. Einen kryptographischen Schlüssel, in JavaScript wird der erzeugt und er wird im Browser gespeichert. So. Der Arzt bzw. sein Browser schickt diesen Key dann an den Patienten bzw. an die App. Die App verschlüsselt damit das Dokument und das verschlüsselte Dokument geht dann an den Arzt. So weit, so gut. Problem ist nur, dieser Schlüssel liegt im Browser. Der lag im local storage, falls das jemandem was sagt, im Browser. Und Browser-Apps sind anfällig gegenüber Cross-Site- Scripting. Häufig. Vivy war anfällig gegenüber, ich glaube, drei Persistenten haben wir gefunden, haben wir aufgehört mit Cross-Site-Scripting-Angriffen. Das heißt, ich musste dem Arzt nur einen Link schicken und das machen viele, die schicken dem Arzt ja Links. Und klickt der Arzt darauf, dann kann ich den privaten RSA-Key auslesen. Applaus Insgesamt ergaben sich dann über 15 Befunde, zum großen Teil von aus meiner Sicht hoher Kritikalität. Natürlich sieht Vivy das anders. Das habe ich zusammen mit Thorsten Schröder veröffentlicht, der hat sich da ein bisschen vor mich gestellt wegen der responsible disclosure, auch nochmal ganz herzlichen Dank dafür hier, öffentlich. Coordinated disclosure. Applaus So sah das aus, also eigentlich aus meiner Sicht: So soll es laufen, coordinated disclosure. Wir haben Vivy informiert. Am 21. hatten wir direkt eine Telefonkonferenz, Vivy gehört der Allianz zu siebzig Prozent. Da kam der Allianz-CISO, hat sich das auch angehört, waren wir schön in kleiner Runde. Um elf nachts saßen wir in Berlin, haben darüber diskutiert. Finaler Bericht ging raus, haben wir ein bisschen verlängert die Frist und am 30.10. veröffentlicht. Aber dann haben sich unsere Meinungen ein bisschen auseinander dividiert. Reaktion von Vivy auf unsere Veröffentlichung: "Ein reales Risiko für die Sicherheit der Gesundheitsakten der Nutzer bestand zu keinem Zeitpunkt." Ich glaube, ihr würdet das jetzt anders sehen. Netzpolitik hat dann öffentlich gemacht, was im Hintergrund passiert ist, Vivy hatte allen Magazinen, Online- Berichterstattern vorgeworfen, Falschaussagen zu veröffentlichen, hat angerufen in den Redaktionen und gesagt, dass sind Falschaussagen. Modzero kann das nicht belegen, das heißt, das war mein Arbeitgeber, ich kann das nicht belegen. "Das müsst ihr zurücknehmen, müsst ihr öffentlich schreiben, das ist alles wohl nicht wahr." Zum Glück gab es ein paar Leute, unter anderem bei netzpolitik.org, die den Braten gerochen haben, haben dann veröffentlicht, was da im Hintergrund passiert. Vivy versucht die Berichterstattung zu korrigieren. Der Thorsten Schröder, von dem ich eben geredet hatte, hat dann sich noch anhören müssen, dass es da juristische Konsequenzen geben soll und das Ganze ging dann auf eine, ich sage mal, auf eine nicht zu erwartende Art wurde dieser Streit dann fortgeführt. Die Details erspare ich euch jetzt, nur falls ihr davon was mitbekommen habt zu Vivy, wisst ihr jetzt die Hintergründe. Also aus unserer Sicht haben wir wirklich versucht coordinated disclosure so verantwortungsvoll wie möglich zu machen. Und ich hoffe auch weiterhin, dass... ich werde das auch weiterhin so machen, dass es vielleicht auch bei Vivy angekommen ist, dass das von unserer Seite aus verantwortungsvoll laufen sollte und das nicht erwartet war. Frage ist jetzt: Vivy hat gesagt, innerhalb von 24 Stunden haben die alle Fehler behoben. Wer glaubt's? Kurzer Applaus Ja, ich habe für euch nachgeschaut. Also offiziell natürlich nicht, aber ich habe jetzt vor vier Wochen nochmal nachgeschaut und es gibt da einen lustigen Angriff – das Wort "lustig" nehme ich zurück. Das sollte man hier nicht verwenden bei Gesundheitsdaten. Dokument an den Arzt schicken als Versicherter, als Vivy-Nutzer. Ich kann dem Arzt natürlich auch ein bösartiges Dokument schicken. In diesem Dokument ist JavaScript drin. Dieses JavaScript wird im Browser vom Arzt ausgeführt und stiehlt dann alle Dokumente, auf die dieser Arzt Zugriff hat, von allen anderen Versicherten, und sendet sie an mich. Aus meiner Sicht kritisch. Ich habe mal geschaut, so nach... Applaus Innerhalb von 24 Stunden behoben. Da sehen wir auf der einen Seite den Angreifer, der gibt sich als Vivy- Nutzer aus, das ist sein Vivy-Bildschirm auf dem Handy und im Browser, das ist der Arzt. Der hat den Browser offen und wartet dass er den Link bekommt und eingeben kann. Ich muss jetzt kurz wechseln, ich will nämlich das als Video zeigen. So sieht das aus, der Arzt gibt die Session-ID ein, die wurde jetzt verlängert, die Session-ID. Das sind nicht mehr 5 Stellen. Das haben sie behoben. So. Jetzt gibt der Arzt seine PIN ein, als bösartiger Nutzer gebe ich die natürlich dem Arzt. Jetzt lädt der Arzt das Dokument, es wird entschlüsselt und jetzt öffnet der Arzt das Dokument im Browser. So. Was ist passiert? Das Dokument hatte JavaScript, das JavaScript wurde ausgeführt. Es hat jetzt von anderen Versicherten, hier ist es der Peter, dem seine Diagnose heruntergeladen und seine Befunde und hat diese Befunde an allyourgesundheitsaktenarebelongtous.com geschickt. So. Das passiert jetzt alles im Browser des Arztes. Angriff funktioniert weiterhin. Naja... nicht behoben. Applaus Was aber auch geht... Eine Sache haben sie behoben: Man kann den Key nicht mehr auslesen. Der ist lesegeschützt, aber er ist nicht schreibgeschützt! Gelächter und Applaus Natürlich überschreibe ich dann den privaten Key mit dem des Angreifers bzw. dem eigenen. Und wenn ich dann zukünftig solche Dokumente in die Hände bekomme, kann ich die alle mit meinem Schlüssel entschlüsseln. Das ist das Problem, wenn ich Ende-zu-Ende- Verschlüsselung habe, ohne dass ich eine Identität für den Arzt habe, ohne dass ich den authentifizieren kann, dann muss ich jeden Schlüssel akzeptieren. Ich kann es ja nicht verifizieren. So what. Es gibt Hunderttausende kaputte Gesundheits-Apps. Warum ist Vivy interessant? Warum ist es relevant? Da muss ich ganz kurz in das E-Health-Gesetz einsteigen. Es wurde 2015 verabschiedet und sieht vor, dass letztes Jahr die Video-Sprechstunde eingeführt wurde. In Baden-Württemberg ist es schon soweit, da können gesetzlich Versicherte per Video den Arzt kontaktieren und mit dem Arzt auch eine Fernbehandlung durchführen lassen. 2018, also dieses Jahr, gab es den bundeseinheitlichen Medikationsplan. Und ab nächstem Jahr 1. Januar soll es die elektronische Patientenakte geben. Bis 2021 soll sie flächendeckend eingeführt sein. Elektronische Patientenakte. Elektronische Gesundheitsakte gibt's – das ist Vivy. Schon seit 2004 haben die Krankenkassen die Möglichkeit, das zu erstatten. Läuft teilweise auf der Telematik-Infrastruktur mit Anbindung eben an die Telematik- Infrastruktur. Ärzte müssen sie aber nicht nutzen. Die elektronische Patientenakte, die nächstes Jahr kommen soll, ist jetzt schon von der gematik spezifiziert, in Teilen zumindest. Die wird dann zwingend auf der Telematik-Infrastruktur laufen und wird auch zwingend genutzt werden müssen von den Ärzten. Es gab da ein Update für dieses E-Health-Gesetz in diesem Jahr, weil... Telematik-Infrastruktur, Gesundheitskarte und so... das läuft ja alles nicht so richtig. Da müssen wir was machen. Dann hat sich unser Gesundheitsminister gedacht: "Tablet und Smartphone – darüber müssen wir auf diese Patientenakte zugreifen können. Gesundheitskarte ist ein bisschen old fashioned, das brauchen wir nicht mehr." Online-Banking ist das Vorbild. Deswegen auch der Subtitle von dem Talk. Online- Banking soll als Vorbild in Sachen Sicherheit dienen. Und: diese Maßnahmen dulden keinen Aufschub. Das heißt, ab sofort, ich glaub, in drei Monaten will die gematik das fertig spezifiziert haben. Wie ich mich in diese Patientenakte einlogge, auf meinem Smartphone, ohne Gesundheitskarte. Das ist also der Hintergrund. Und Vivy ist so etwas wie der Testballon der Krankenkassen für die Akzeptanz dieser elektronischen Patientenakte. Denn die Krankenkassen, gesetzlich und privat, sind natürlich sehr interessiert daran, dass möglichst viele diese Akte nutzen, Vivy oder auch Konkurrenten. Denn damit sich auch Einsparungen verbunden, damit sind auch Vorteile verbunden für uns alle. Ja, so what, nehmen wir halt nicht Vivy. Ich habe ja eben gesagt, es gibt auch Konkurrenten. Es gibt einige, zum Beispiel von CompuGroup gibt es CGM LIFE. Es gibt vitabook. Es gibt einen ganz alten Vertreter dieser Art, das ist gesundheitsakte.de von careon. Es gibt von der TK in der Beta-Phase noch TK-Safe. Und auch was die Video-Sprechstunde anbelangt, da gibt es einige Anbieter. Hier nur eine kleine Auswahl: TeleClinic, da ist in Baden-Württemberg dieses Experiment, das ist docdirekt. Und von Ärzten selbst geschaffen gibt es meinarztdirekt, Fern- Behandlungen für alle. Wer kann es besser? Wer macht es besser als Vivy? Das war die Frage, die ich gestellt habe, ich kann ja hier nicht nur mit Vivy ankommen. Da müssen wir mal ein bisschen quantitative Analyse machen. vitabook – vitabook gibt es schon seit 2011. Die haben schon Erfahrung in dem Thema, waren die ersten Kunden der Microsoft Cloud in Deutschland und gewährleisten Datensicherheit, Datenschutz und Compliance auf höchstem Niveau. So sieht das aus. Das hier ist die Susanne. Das ist ein Testkonto von vitabook. Kann man mal reinschnuppern, wie das so aussieht. Dasselbe wie bei Vivy. Ich kann Dokumente da speichern, hochladen, mit dem Arzt teilen, Gesundheitsangaben machen, Notfalldaten hinterlegen, Impfpass eintragen und alles was ich will. Ich kann meine gesamte Gesundheit damit verwalten. Das nennt sich Gesundheitskonto, quasi das Girokonto für Ihre Gesundheit. Klingt erst mal gut. Na ja gut, jetzt 2018 erwartet man das nicht, aber es erlauben Zugriff auf verschlüsselte Gesundheitsdaten, keine Ende-zu-Ende-Verschlüsselung. Wir haben unsalted SHA1-Passwort-Hashes in diesem Ding. Massiven Datenreichtum wohin man schaut. Und, kleines Schmankerl: Wenn man sich in dieses "Susanne"-Testkonto einloggt, da sind auch Test-Dokumente. Und woher nimmt man Test-Dokumente, man fotografiert sie vor seinem Schreibtisch. Zum Beispiel die höchstvertraulichen Emails die ausgedruckt auf dem Schreibtisch bei Vitabook rum liegen. Über die letzte Sicherheitsanalyse. Applaus Hier wird irgendein Befund aus irgendeiner IT-Security-Analyse nicht anerkannt. Also wenn ihr stöbern wollt, Susanne hat es für euch. Vitabook flat-lining, klinisch sicherheitstechnisch, eher mau. Beschäftigen wir uns nicht weiter mit. Interessant noch: Vitabook waren die ersten, die Vivy retweetet haben. Lachen. Vivy schaut mal ja, ja sollte man nicht machen. Das war auch nicht unsere Intention. Wir wollen wollten da keine Schadenfreude oder irgendwas auslösen. Ja gut, sind halt Tech-Startups. Vitabook ist glaube ich ein ehemaliger CISCO-Manager – also nur Vermutung, dahin gestellt. Lasst die Ärzte ran, lasst die Ärzte ran. Die wissen um die Sensitivität dieser Gesundheitsdaten Bescheid, die haften ja auch persönlich. Ein Arzt, wenn er die Schweigepflicht verletzt, haftet er. Das kann teuer werden. Das kann auch Freiheitsentzug bedeuten. Lasst die Ärzte diese Anwendung mitbetreuen mitentwickeln. Interessantes Beispiel meinarztdirekt.de: Das ist ein Hausarzt, der das ins Leben gerufen hat. Kein Investor im Nacken. "Wenn wir Ärzte die Digitalisierung nicht aktiv mitgestalten, dann haben wir alle verloren." Also, lassen wir die Ärzte mitgestalten und schauen Sie sich das man an. meinarztdirekt.de. So sieht das aus. Hier habe ich, ich habe versucht auf eine Rechnung zuzugreifen, das ist natürlich verboten. Ich darf ja nicht auf andere Rechnungen von anderen Leuten zugreifen und mir anschauen, was die da für Leistungen bezogen haben. Das geht nicht. Ich wollte es mir anzeigen lassen, da sehen wir, irgendwiewie "meinarztdirekt.de/ invoice/view/id-1". Was ist, wenn ich diese Daten drucken möchte – nicht anzeigen, nicht view, sondern print? Oh! Was ist denn das? Applaus Nicht so schön, das will man gar nicht. Eigenbau – schreiben wir das ab, lassen die Profis ran. Also Arzt ist schon gut, wenn er dabei ist, aber da müssen Profis, müssen Profis ran. TeleClinic. TeleClinic im Vorstand, drei Leute: Ein Arzt, ein Informatiker. Viel Geld dahinter. Ganz Baden-Württemberg dafür bei docdirekt. TeleClinic nutzen. Da wird eine Videosprechstunde hergestellt mit Ärzten in Baden-Württemberg. Wenn einer von euch gesetzlich versichert in Baden-Württemberg ist, einfach mal docdirekt, sich einloggen, – okay, nicht mit echten Daten einloggen – und kann mit dem Doktor sprechen, mit einem Arzt, mit einer Ärztin und sich diagnostizieren lassen. Dokumente austauschen. Oder auch eine von den Versicherten hier, Arag Debeka, die bietet das auch an.TeleClinic bietet maximale Datensicherheit und verhindert Missbrauch auf jeder Ebene. Ein vierstufiges Sicherheitssystem bietet die höchste Datensicherheit Deutschlands. Meine Damen und Herren die höchste Datensicherheit Deutschlands. Applaus. Applaus Für TeleClinic. So. Wenn ich jetzt bei TeleClinic mein Passwort ändern möchte, dann sieht es so aus: Dann habe ich in rot meine User-ID und in gelb mein Passwort, mein neues und dann sende ich da diesen HTTP-Request aus meinem Browser ab. Da habe ich mich jetzt gefragt: Was passiert denn, wenn ich diese rote User-ID ändere. Wenn ich da mal... GelächterApplaus Ah! Jup. Das ist nicht lustig, das ist die höchste Datensicherheit Deutschlands. Na typisch: kleine mittelständische Unternehmen – lasst mal die Profis ran. Die, die es wissen. Die ganz Großen, die wirklich die Mittel dafür haben. Die, die es wirklich besser machen können. Wir können lachen über die kleinen, aber, wir müssen auch die großen anschauen – der Fairness halber. TK-Safe sei ein Beispiel. Die haben es richtig gemacht: Ende-zu-Ende verschlüsselt. Ich habs mir nicht weiter angeschaut, aber: Hier sehen wir den Schlüssel. Der wird erzeugt in der App. Das ist der Schlüssel für den User. Wenn dieser Schlüssel verloren geht, dann geht der Zugang zur gesamten Akte verloren, wenn alles richtig gemacht wurde. Das heißt: Wenn ich mein Handy verliere, dann habe ich meine gesamten Gesundheitsdaten verloren. Das will keiner, deswegen, Vivy und alle anderen, die Ende- zu-Ende Verschlüsselung anbieten, fordern einen auf, diesen Schlüssel zu exportieren. Allerdings sind wir mit Schlüsseln ja noch gar nicht so vertraut. Was ist denn ein Schlüssel? Passwörter, das hat ziemlich lange gedauert, bis wir wussten, wie wir Passwörtern umgehen sollen. Und die meisten kriegen es immer noch nicht hin. Und diesen Schlüssel müssen wir irgendwo sichern, exportieren. Wie geht das? Wird als QR-Code gespeichert, die Schlüssel. Einige sehen es schon, der wird nämlich in der Galerie gespeichert. Und zwar, das ist jetzt ein Android-Bildschirm. Wir sehen der QR-Code, der diesen Schlüssel darstellt, den ich auch wieder einscannen kann, der wird in der öffentlichen Bildergalerie auf meinem Handy gespeichert. Der geht dann bei Google Fotos hoch und überall und alle Apps haben Zugriff drauf. Das ist ein bisschen, wenn man jetzt hier Schlüssel durch Passwort ersetzt und beide haben ja die gleiche Funktion. Also wenn ich jetzt Schlüssel durch Passwort ersetze dann heißt da: Bitte speichern Sie ein Passwort im Klartext in ihrer Bildergalerie. Will man nicht. Da braucht man einen Passwort Manager, aber für Schlüssel, aber das gibt's ja noch nicht. Da sehen wir auch wie schwer es ist, sowas richtig zu implementieren. Gut, ist halt TK-Safe, ist noch in der Betaphase. Die sind noch nicht live damit in der Produktivphase, also im Betatest. Ihr könnt euch wieder anmelden wenn ihr möchtet, aber Flüchtigkeitsfehler, passiert. Lasst mal die Erfahrung sprechen, die die schon lange dabei sind, die wirklich seit Jahrzehnten auf dem Markt sind. Das ist CompuGroup. CompuGroup CGM Life, 5000 Mitarbeiter, knapp 600 Millionen Jahresumsatz, in 55 Ländern, die müssten's wissen. Die haben eine Plattform, "CGM Life" nennt die sich. Und auf dieser Plattform, das ist eine Secret Medical Cloud. Da laufen alle möglichen Anwendungen, viele Anwendungen, die Gesundheitsdaten austauschen wollen verknüpfen sich einfach mit diesem CGM Life und speichern da ihre Daten und tauschen die aus. So, einige dieser Anwendungen sind durch Zwei-Faktor- Authentifizierung geschützt, zum Beispiel bei der Axa. Wenn ich mich bei der Axa "Meine Gesundheit" einloggen möchte. Wer ist hier privatversichert bei der Axa? Nicht die Hand heben! Aber, wir sollten es wissen. Da brauche ich einen Authentification- Code, ansonsten komme ich da nicht rein. Und das ist diesmal richtig gemacht, nicht wie bei Vivy. Da kann ich nichts bruteforcen, das ist schön sicher. Problem ist es nur, ich habe ja gesagt, das ist eine Plattform und ich kann entweder über Axa da reingehen, da geht es nicht. Oder ich gehe direkt über CGM Life in diese Plattform: Wow, da geht's. Da brauche ich keinen zweiten Faktor. Ist natürlich bisschen doof, wenn ich verschiedene Zugänge habe, verschiedene Türen zum Haus, die eine ist mit Kamera ausgestattet, die andere lässt sich mit einem Schlüssel oder mit eine Hammer öffen – bringt nichts. Dasselbe wie bei Vivy ist hier auch passiert. Ich weiß nicht, wer da von wem abgeschaut hat. Wahrscheinlich eher Vivy von denen, weil die sind älter. Ich kann Akten austauschen: sechsstellige PIN. Das sagt einigen vielleicht jetzt schon was. Ich kriege eine sechsstellige PIN. Unter dieser PIN, die gebe ich meinem Arzt, dann kann der Arzt unter aktenblickpunkt.de diese PIN eingeben und da auf meine komplette Gesundheitsakte zugreifen. Ja gut, sechsstellige PIN, ist ziemlich leicht gebruteforced und das geht hier auch. Und da kann ich wieder auf entweder auf die Gesundheitsdaten komplett zugreifen oder zumindest ein paar Meta-Informationen abgreifen. Erstaunliche Parallele. Was wir sonst noch... was ist jetzt allerdings das große Problem ist dieser Plattform? Das ist, ja, diese Plattform macht alles richtig und versucht alles richtig zu machen. Man hat eine Elliptic Curve Encryption hier implementiert mit einer sicheren elliptischen Kurve. Das wird Client-seitig alles verschlüsselt, es werden keine Passwörter über den Äther geschickt. Ich sende also nur meine E-Mail-Adresse an CGM, bekomme dann einen Public Key und einen Secret zurück. Da habe ich mir gedacht: Einen Secret bekomme ich zurück, wenn ich eine E-Mail-Adresse hinschicke?. Warum heißt das Secret? Es ist ein Key Derivation Secret. Was nehmen wir jetzt? Ich habe hier eine Key Derivation Function, Schlüsselableitungsfunktion. Der gebe ich mein Passwort plus dieses Secret, was ich da bekomme und dann kriege ich Client- seitig, offline den Private Key, also das Passwort, der Zugang zu dieser Gesundheitsakte. Wenn ich das richtige Passwort gewählt habe, dann passt diese Private Key zum Public Key von meyer@ccc.de. Dann kann ich mich einloggen. Wenn er nicht stimmt, das Passwort, muss ich halt nochmal weiter probieren. Wenn ich nicht der Meyer bin, probiere ich es halt so lange, bis es klappt. Und ich habe ja den Public Key und das Secret offline verfügbar. Da muss ich nicht mehr mit CGM, mit einem Server interagieren. Ich lade mir das runter und starte dann einen Wörterbuch-Angriff oder etwas Ähnliches. Das ganze Verfahren sogar patentiert worden, inklusive des Fehlers. Gelächter Also nicht nachbauen! Kostet. Ja, ich hab mal geschaut, ob das überhaupt relevant ist. Dropbox: der Vinzent Haupert, der sich mit Online-Banking beschäftigt hat, letztes, vorletztes Jahr, hat auch Dropbox genommen. Da habe ich gedacht, das passt ja thematisch: Onlinebanking, zu diesem Talk. Habe ich auch Dropbox genommen, habe die E-Mail-Adressen aller Deutschen runtergeladen und mal geschaut, wer davon bei CGM angemeldet ist und dann mal ein großes Wörterbuch genommen und mal geschaut, was da so für Passwörter rausfallen. Also für eine Gesundheitsakte waren die jetzt nicht sehr kreativ. Also, muss ich sagen. Da hätte ich von den Deutschen mehr erwartet, die ja im Datenschutz so gebildet sein sollen. Aber gut. Drei Prozent aller Dropbox-User aus Deutschland waren auch bei CGM angemeldet und auf meinem kleinen Laptop von vor vier Jahren habe ich drei Prozent davon errechnet. Applaus Natürlich nur eine Stichprobe. Also wir haben jetzt gezeigt, so ein kleiner Rundumschlag: Ist wohl nichts. Das ArzneimittelkontoNRW basiert übrigens auch auf CGM Life – wer das nutzen sollte... Vivy, gesundheitsakte.de habe ich hier jetzt ausgeklammert. Aber die haben auch ein paar Probleme. docdirect, CGM Life, CLICK DOC, TeleClinic, CGM Life, eSERVICES, TK-SAFE, mediteo, MEINE GESUNDHEIT, meinarztdirekt und so weiter und so fort und so fort. Alle haben die irgendwie dann doch nicht. Wir sind noch nicht mal auf dem Niveau vom Online- Banking. Schade. So what. Wir wissen alle, es gibt keine perfekte Sicherheit. Das werden wir nie erreichen. Wir müssen mit Wahrscheinlichkeiten rechnen. So, dann schauen wir uns mal die Wahrscheinlichkeiten an. So große Unternehmen wie CGM, die müssen Risiko veröffentlichen. Also in ihrem Finanzreport, hab ich mal geschaut, gibt's Datenverarbeitungsrisiken. Ist der Finanzreport vom letzten Jahr. Da steht: "Die Kunden von uns nutzen unsere Produkte, um sehr vertrauliche Informationen zur Gesundheit zu speichern, zu verarbeiten und zu übertragen." Sollten eben doch Sicherheitsprobleme auftauchen, dann könnte das zu Schadenersatzansprüchen, Bußgeldern, Geldstrafen und Ähnlichem führen, die dann GCM abführen muss. Und deswegen ist es ein Risiko für CGM, weil natürlich ein finanzieller Schaden entsteht. Und jetzt schauen wir mal. Gegenüber dem Kunden sagt CGM: Paramount priority. Da gibts nichts, Security ist alles. Also absolut sicher. Hier heißt es: Ja wir erwarten im Jahr vier Millionen Schaden. Im Durchschnitt. Jahreshöchstschaden, da sind wir schon bei 18 Millionen. Mit fünf Prozent Wahrscheinlichkeit tritt ein höherer, unerwarteter Schaden in den Datenverarbeitungsrisiken ein. Das kann man sich jetzt ausmalen, das kann natürlich auch sein, dass die ganze Datenverarbeitung den Bach hinuntergeht. Aber es kann natürlich auch sein, dass die ganzen Daten offenliegen. Also fünfprozentige Wahrscheinlichkeit. Nehmen wir einfach mal diese fünf Prozent und schauen wir, was passiert. Also im ersten Jahr: 95 Prozent der Wahrscheinlichkeit sind wir sicher. Im zweiten Jahr 90 Prozent. Im dritten Jahr sind wir noch bei 86 Prozent. Das Problem bei Gesundheitsdaten ist: Die sind sehr langlebig. Nach fünfizig Jahren sind meine Gesundheitsdaten immer noch sehr wertvoll, denn ich kann meine Gesundheit ja nicht ändern. Also wenn ich damals eine Erbkrankheit hab, hab ich in 50 Jahren immer noch. Es sei denn, die Zukunft bringt eine Erlösung in dem Bereich. Aber wir gehen mal davon aus. So, 50 Jahre: habe ich acht Prozent Wahrscheinlichkeit. Naja... Das will man nicht. Aber vielleicht ist ja diese fünf Prozent übertrieben. Oder nicht nur auf, dass diese Daten veröffentlicht werden, bezogen. Vielleicht habe ich einen Fehler gemacht oder was anderes hineininterpretiert. Schauen wir in die USA. In den letzten fünf Jahren in den USA wurden im Durchschnitt dreißig Millionen Patientenakten gestohlen, gehackt, verkauft. Und das sind nur die öffentlich gemeldeten, also die meldepflichtig waren. 30 Millionen, das sind knapp zehn Prozent der US Population. Naja, zehn Prozent. Ich habe eben mit fünf Prozent geschätzt. Kommt eigentlich ganz gut hin. Norwegen 2018. Nicht dass wir sagen, es sind nur die Amerikaner. In Europa haben wir ja höheren Datenschutz. In Norwegen, dieses Jahr: Jeder dritte Norweger ist jetzt einem unbekannten Angreifer gegenüber sehr bekannt, wie seine Gesundheit aussieht. Drei Millionen Patientenakten wurden gestohlen. Dänemark 2016 gab es einen lustigen Vorfall. Ah, nicht lustig. Tschuldigung. Das Wort muss ich wirklich hier zurücknehmen. Da wurden zwei CDs mit allen, fast allen Gesundheitsdaten der Bevölkerung aus Versehen an die Visastelle, an die chinesische Visastelle geschickt. Verhaltenes Lachen Das passiert, ja. Passiert. Ich habe auch schon mal ne Adresse falsch geschrieben. Lachen und Applaus Ich weiß nicht, ob sie die zurückgeschickt haben. Lachen Müssen wir mal nachfragen. Ja gut. Aber wir sind hier Deutschland, da kann man solche Sachen ja prüfen lassen, zertifizieren lassen, gemäß Standards arbeiten, Normen anlegen. Wir haben ja Mittel dagegen. Helfen Zertifikate? Diese Zertifikate stammen von den Apps, die ich eben gezeigt habe. Wir sind hier bei allen möglichen, unter anderem Security, Trusted Privacy, E-Privacy. Der Landesbeauftragte für Datenschutz Rheinland-Pfalz hat unter anderem CGM LIFE geprüft, meine- gesundheit, und für gut befunden und so fort und so weiter. Zertifikate können das Problem nicht beheben. Sie sind vielleicht ein Indikator, ein Hinweis für etwas, aber nicht dafür, dass diese Apps frei sind von Sicherheitsmängeln. Wir schauen es bei Vivy noch mal ganz kurz an. Vivy hatte ein Datenschutzgutachten machen lassen und ein Gütesiegel bekommen, eine Sicherheitsprüfung und ein TÜV-Zertifikat bekommen, zwei Pentests von unterschiedlichen Unternehmen durchführen lassen. Ich kann nicht sagen, welcher Scope oder – das wird ja nicht veröffentlicht. Nach diesem Sicherheitsvorfall noch einmal zwei komplette Pentests und danach dann dieses Beispiel eingangs, das ich gezeigt habe. Nach diesem ganzen Aufwand war die App nicht sicher. Und jetzt? Was machen wir jetzt? Ich zähle noch mal auf: Es gibt grundlegende Probleme bei allen elektronischen Gesundheits-Apps, bei denen, die einmal unsere Gesundheitsdaten verwalten sollen. Sicherheit ist ein Wettbewerbsnachteil, das haben wir zum Beispiel bei Vivy gesehen. Vivy hat Pentests, Zertifikate, Bugbounties erst nachher durchführen lassen. Zum großen Teil auch vorher schon, aber eben nicht in sichere Architektur gesetzt. Das zeigt sich schon: Wenn von der Allianz der CISO kommen muss, weil man bei Vivy eine Sicherheitslücke meldet, dass da bei Vivy kein professioneller IT-Security-Analyst da war, der sich damit auskennt. Ist halt ein Start-Up. Von all diesen Apps, die ich eben aufgezählt habe, mit diesen Apps laufen coordinated disclosure-Verfahren. Die sind schon seit zweieinhalb Monaten bekannt. Wenn ich jetzt diesen Report nicht mit Kostenstelle veröffentlicht hätte, hätte keiner von euch davon gehört. Es gab hier keine Meldungen an Aufsichtsbehörden oder irgendwen. Das heißt: Wenn kümmerts. Ein Angreifer würde das nicht öffentlich machen. Und dann haben wir jetzt neu: 2019 soll die Patientenakte kommen. Die Patientenakte soll wirklich sicher werden. Die ist vom BSI mit der gematik zusammen ausgearbeitet worden. Die Spezifikation ist seit ein paar Tagen online. gematik.de, einfach mal anschauen. Die Spezifikationen für den Tablet und mobilen Zugang kommt noch, in drei Monaten, spätestens. Unbedingt mal reinschauen, was da drin steht für die, die es interessiert. Die soll dann auch wirklich sicher sein. Wer weiß. Aber es ist auch gar nicht so relevant, weil, wenn ich ein Anbieter bin, warum soll ich eine Patientenakte anbieten, wenn ich genauso gut eine Gesundheitsakte anbieten kann und mit der Gesundheitsakte auch an die Telematik in der Infrastruktur gekoppelt werde, aber eben nicht diese ganzen Standards einhalten muss. Vivy ist eine Gesundheitsakte und keine Patientenakte. Das ist ein sehr wichtiges Wortspiel. Das wird aber wahrscheinlich keiner in der Öffentlichkeit wahrnehmen, dass es da einen großen Unterschied gibt. Das Hauptproblem aus meiner Sicht ist: Gesundheitsdaten sind keine Bankdaten. Ich kann hier keine finanzielle Risikoanalyse ausstellen und sagen: "Wir haben ein Jahresbudget von 18 Millionen und damit hat sich das." Das hat gesellschaftliche Auswirkungen, wenn diese Daten öffentlich sind. Wir können nicht 18 Millionen zahlen und dann haben wir eine neue Kreditkarte und dann ist alles vergessen. Das geht nicht. Die Daten sind dann bei irgendwem, irgendwo. Als HIV- Infizierte darf ich dann nicht mehr in andere Länder reisen, weil die dann ganz genau wissen, was ich da für ansteckende Krankheiten habe. Dann kann ich mir das streichen. Oder, falls ein deutscher Politiker auf die Idee kommt, dass man Infizierte mit bestimmten Krankheiten... Die Szenarien kann man sich ausdenken. Die sind jetzt nicht erfunden. Seehofer hatte mal drüber nachgedacht, HIV-Infizierte zu konzentrieren, als das Thema neu war. Mit so einer Gesundheitsakte oder Patientenakte ist das kinderleicht. Es entsteht hier nicht ein finanzieller Schaden, sondern ein gesellschaftlicher Schaden und ein langfristiger Schaden über Generationen hinweg. 23andMe und so weiter, die ganzen DNA-Analyse-Services, gab es ja schon Vorfälle, aber was Richtiges ist wohl noch nicht passiert. Wir wissen es nicht. Aber wenn ich mein Genom dann sequenziert in der App speichere, dann haben auch meine Kinder noch was davon. Es gibt keine langfristig sicheren Datenspeicher. Der Professor Buchmann von der TU Darmstadt hat jetzt erst vor zwei Wochen – ein anerkannter Kryptologe – darüber veröffentlicht, dass wir in 20 Jahren keine sicheren Gesundheits-Apps haben. Nein, keinen Speicher haben, der für 20 Jahre sichere Speicherung garantieren kann. In 20 Jahren sind wahrscheinlich alle jetzt auf höchstem Stande verschlüsselten Daten öffentlich, für jeden, der sie jetzt einsammelt. Und das ist ein ganz großes Problem, das wird nirgendwo besprochen. Also wenn ich jetzt fleißig Daten sammele, in zwanzig Jahren haben die noch denselben Wert oder einen viel höheren Wert. Das ist anders als Bankdaten. Wenn ich jetzt anfange, Bankdaten zu sammeln, interessiert die in zwanzig Jahren keiner mehr. Gesundheitsdaten schon. Und das denke nicht ich, das denkt Johannes Buchmann, Professor an der TU Darmstadt, und wenn er das so sieht, dann vertrau ich dem. Wie sieht die Zukunft aus? Die Welt hat es mal schön dargestellt: "Angst vor Datenmissbrauch hemmt Fortschritt im Gesundheitswesen.": "Der Patient muss wissen, dass Datenmissbrauch sowohl strafbar als auch enorm schwer durchzuführen ist." Enorm schwer. "Wer sich der elektronischen Gesundheitsakte bei erfolgreicher Implementierung trotz jeglicher Sicherheitsvorkehrungen verweigert, sollte zwar zunächst keinen spürbaren Qualitätsverlust der Behandlung per se erleiden, kann aber auch nicht in den Genuss eines schnellen und bequemen Behandlungsablaufs kommen." Und dann resümiert man bei der Welt: "Längerfristig muss man damit rechnen, dass mangelndes Vertrauen mit Einbußen in der Behandlungsqualität vergolten wird." Da muss ich zustimmen, die Patientenakte wird kommen. Das führt zu vielen Vorteilen. Es hat wirklich Vorteile. Die liegen auf der Hand. Ich kann Doppeluntersuchungen vermeiden. Ich kann Fehlmedikation vermeiden, weil ich die Wechselwirkungen automatisch erkenne. Ich kann Patienten besser steuern. Ich kann sie anschreiben, wenn irgendwo was aufgetaucht ist: Neue Behandlungsmethode, Wechselwirkungen zu irgendeinem Medikament, irgendein Rückruf. Es geht alles über die Patientenakte, hat sehr viele Vorteile. Und wenn sich jemand hier entscheidet, seinen Kindern keine solche Akte anzulegen, Patientenakte, trägt er dann das Risiko dafür, dass die Kinder eine höhere Sterblichkeit haben oder schlechtere Behandlungsqualität oder länger warten müssen? Wenn neunzig Prozent der Bevölkerung diese elektronische Patientenakte nutzen und ihr seid die zehn Prozent oder zwei Prozent oder ein Prozent, leidet ihr darunter, beziehungsweise auch wir. Und das ist die Realität. Damit schließe ich den Talk. Hat jetzt mehr Fragen aufgeworfen am Ende. Genau das ist aber auch die Intention. Ich will das zeigen, wie es aussieht,was kommt und will jetzt eine Debatte anstoßen. Denn jetzt können wir noch beeinflussen. Jetzt haben wir noch die Möglichkeit, auf das Update für das E-Health-Gesetz, das heißt Termin- irgendwas Vorsorge-Gesetz, Einfluss zu nehmen. Noch können wir Abgeordnete anschreiben. Noch können wir Dinge fordern oder uns Gedanken machen. Und wir können uns überlegen, wie eine Gesellschaft aussieht, in der alle unsere Gesundheitsdaten offenliegen. Wir können uns überlegen, wie wir diese Folgen davon abschätzen und wie wir sie vielleicht auch verhindern können. Und Technikfolgenabschätzungen, damit beschäftigen wir uns ja hier. Deswegen ganz herzlichen Dank, dass ihr alle zugehört habt. Und wenn jetzt es Fragen da sind, Anregungen, Diskussionen, freue ich mich sehr. Applaus Herald: Sind denn Fragen aus dem Internet da? Dann mach mal, stell eine. Signal Angel: Ich fang mal mit einer vom Anfang an. Da geht es mehr oder weniger um Nutzung von Vivy, wie man da hinkommt und inwiefern das mit Identifikationssystemen verbunden ist. Also wahrscheinlich Post- Ident oder so, oder ob man eine Wegwerfadresse nutzen kann. Martin: Bei Vivy zum Beispiel muss man ein Video von sich aufnehmen mit seinem Personalausweis. Ich habe einen Zwillingsbruder. Ich wollte das mal testen. Man muss nur seinen Namen austauschen und wird dann als der auf dem Personalausweis identifizierte Bürger in Vivy hinterlegt und kann dann im Namen dieses Versicherten Daten anfragen. So sieht es bei Vivy aus. Andere Verfahren nutzen gerade die privaten Krankenversicherten, andere Methoden der Verifikation, aber nicht unbedingt sicher. Herald: Du, mir fällt da gerade noch eine Frage ein. Für diese supertoll geschriebene Software, wie viel Geld haben die nochmal bekommen? Martin: Vivy? Herald: Ja. Martin: Das ist von Bitmarck, von dem IT- Dienstleister von neunzig Krankenkassen ausgeschrieben worden. Wieviel Geld die dafür bekommen haben, kann man bestimmt erfragen. Das wäre mal eine interessante Frage. Fragdenstaat.de. Herald: Sehr schön. Mikrofon acht bitte. Mikrofon 8: Moinmoin. Ich hatte überlegt, noch einen Kommentar zu geben, aber ich mache eine Frage draus. Herald: Danke. Mikrofon 8: Letztens, im zweitvorherigen Talk, ging es um diese Venenbilder. Und da meinte der... wie war sein Name? Ich habe es vergessen. Der meinte, wir müssten mal in der Datenschleuder dann die Venenbilder von irgendeinem Minister haben. Und ich denke, eigentlich bräuchten wir die Gesundheitsakte von einem Minister. Martin: Das hätte eine Schockwirkung, ja. Mikrofon 8: Und das ist meine Frage. Martin: Aber... Mikrofon 8: Würde das irgendwas bringen? Martin: Wahrscheinlich nicht. Es wäre zumindest eine Aktion, die nicht den Respekt der Gesellschaft dir bringt, der es dir ermöglicht, eine Änderung zu erkämpfen, aus meiner Sicht. Aber da haben viele andere Meinungen. Das wäre vielleicht etwas, was man persönlich diskutieren kann. Herald: Mikrofon vier bitte. Mikro 4: In den letzten Tagen ging eine Meldung durch die verschiedenen Zeitungen, dass Frau Dorothea Bär, Staatsministerin, gesagt habe, das Problem, dass die Digitalisierung des Gesundheitswesens bei uns so hintendran ist, da gab's einen OECD-Report, wo wir auf dem vorletzten Platz gelandet sind, das läge an dem Datenschutz. Und wir müssten dort abrüsten. Haben wir nicht schon längst abgerüstet? Martin: Ich meine, wir können jetzt nicht Deutschland sagen, ohne die gesamte Europäische Union zu vergleichen. Wir haben ja überall dieselbe Datenschutzgrundsatzverordnung. Deshalb verstehe ich das Argument erstmal nicht, dass wir in Deutschland einen besonders guten Datenschutz haben. Das ist nämlich dasselbe wie in allen anderen Ländern der Europäischen Union. Und ich habe ja paar Beispiele gezeigt: Norwegen usw. Da hilft es ja auch nichts. Also abrüsten ist, glaube ich, nicht die Lösung. Nein. Das Gegenteil ist der Fall. Herald: Das Internet, bitte nochmal! Internet: Inwiefern wurden denn bei den — es waren ja jetzt bisher nur gesetzliche Krankenkassen — wurden denn betriebliche Krankenkassen überprüft? Martin: Betriebliche Krankenkassen? Ich glaube, da waren einige dabei. Bei Vivy sind, glaube ich - oder bei TeleClinic z. B., die stellen Betriebsärzte und so weiter. Also alle Anbieter, also Vivy, TeleClinic, CGM, vitabook, die sind sowohl privaten als auch gesetzlich Krankenversicherungen offen. Und die arbeiten auch sehr viel mit privaten Krankenversicherungen zusammen. Z. B. AXA. Wie weit jetzt betriebliche noch mit involviert sind, müsste man recherchieren. Herald: Mikrofon drei, bitte! Mikro 3: Mich würde interessieren, ob es da nicht eine Möglichkeit gibt, dass man da tatsächlich mit einem Lesegerät und der Gesundheitskarte etwas macht. Ich verstehe nicht, dass man da einen externen Chip hat, auf dem man möglicherweise die Private Keys eben nur schreibbar etc. speichern kann und auf der Basis nicht irgendwie ein sicheres Authentifizierungsmerkmal oder -methode dann eben ausbaut. Martin: Eine sehr gute Frage. Also wir haben ja ein Trust Anchor: Das ist ja die elektronische Gesundheitskarte. Da haben wir einen privaten Schlüssel drauf. Warum nehmen wir den nicht? Ganz einfach: Keiner hat ein USB-Lesegerät, was er einfach an sein Smartphone stecken kann. Und die Vision von unserem Gesundheitsminister ist ja, dass das über ein Smartphone, wie Online-Banking, genutzt werden soll. Denn bisher nutzt es ja keiner. Es nutzt ja keiner, und das bringt dann den Krankenkassen auch nichts. Herald: Du kannst einmal tief durchatmen - wir haben richtig Zeit noch, 12 Min. Martin: Ah, wir haben noch 12 Min. Da kann ich nochmal ganz kurz was dazu sagen: Wir haben nämlich in dem aktuellen Standard, den die gematik verabschiedet hat, jetzt vor paar Tagen, vor einer Woche glaub ich genau, ist die elektronische Patientenakte so spezifiziert, dass der Zugang nur über die elektronische Gesundheitsakte möglich ist. Das Problem ist, das wird niemand nutzen. Außer ein paar Verschrobene, die halt ihren Cardreader an den PC anschließen und dann einen Androidsimulator laufen lassen, oder das vielleicht gleich an das Androidgerät stecken. Also – das wird nicht genutzt. Und deswegen wurde jetzt auch schon gleich von der gematik gesagt: Spätestens bis zum März, Ende März 2019, kommt das Update raus. Und zwar: Patientenakte 1.1. Und da sind wir dann soweit. Und da wird dann spezifiziert, wie wir ohne die Gesundheitskarte darauf zugreifen dürfen. Und es bringt auch nichts zu sagen: "Die Patientenakte können wir nur mit Gesundheitskarte benutzen. Nur sicher, nur mit Gesundheitskarte." Denn da kommen Anbieter wie Vivy und sagen: "Bei uns geht das ohne! Kommt doch zu uns! Viel einfacher!" Und klar, dann nutzen die Mehrheit der Versicherten natürlich die einfache Variante. Das heißt, hier haben wir wirklich diesen Wettbewerbsnachteil, über den ich geredet habe. Die sicher spezifizierte Akte wird niemand nutzen. Herald: Mikrofon sechs, bitte! Mikro 6: Ja, also eine Anmerkung: Es wird wahrscheinlich sehr interessant, sobald es Quantencomputer gibt, die genug physikalische Qubits haben, um reale Qubits fehlerfrei genug zu simulieren, dass man tatsächlich auch Anwendungen wie beispielsweise Brute-Force an verschiedensten Verschlüsselungsverfahren ausführen kann, wird es sehr interessant, genau solche Daten eben geheim zu halten. Gerade wenn man so Reaktionen sieht, wie langsam das dann abläuft. Es muss ja, sobald irgendwie bekannt wird, dass es so einen Quantencomputer gibt, sofort auf andere Algorithmen umgestellt werden, die dann... ja, ich beende das einfach jetzt. Martin: Ja, also man müsste klar auf Quantenkryptographie zurückgreifen, Algorithmen die dort noch als sicher gelten. Im Zeitalter der Quantenkrypto – da gab es doch diesen Einführungstalk – wer war alles da? Vielleicht können da Leute jetzt die Frage beantworten. Also – das Problem ist, dass wir in zwanzig Jahren nicht sagen können, ob dieser oder jener Algorithmus dann noch Sicherheit bietet. Auch mit Quantenkryptographie. Es gibt Vorschläge, wie wir auch über zwanzig Jahre hinaus Gesundheitsdaten sicher speichern können. Und da setzen wir eben nicht auf Kryptographie, sondern auf verteilte Speicherung. Das heißt wir müssen die Daten ein bisschen hier, ein bisschen da, ein bisschen dort speichern, und versuchen, diese Zuordnung irgendwie geheim zu halten. Wie das genau geht, das weiß ich nicht. Habe ich nur kurz gelesen. Das ist der Prof. Buchmann von dem ich vorhin geredet habe. Der hat sich da wohl – der ist da wohl sehr kundig. Also es gibt da Ansätze, wie wir auch ohne kryptografisch sichere Algorithmen in zwanzig Jahren Daten noch sicher halten können. Problem ist nur: Die gematik spezifiziert eine zentrale Datenhaltung. Also, es ist jetzt spezifiziert und das ändert sich auch so schnell nicht. Herald: Mikrofon fünf, bitte! Mikro 5: Du hast in deinem Talk die Datenschutz-Grundverordnung und das finanzielle Risiko der Betreiber angesprochen. Wie viele Betroffene oder potentiell Betroffene müssten sich beschweren oder sich vertreten lassen beim Beschweren durch so etwas wie "Datenschmutz", damit es denen wirklich weh tut, damit die wirklich etwas daran ändern. Martin: Das ist nicht mein Gebiet, ist aber eine sehr gute Frage, und die würde ich gerne weitergeben. Vielleicht gibt es jemanden im Publikum, der sich damit auskennt. Also, das Problem ist ja auch: Wie bezifferst du den Schaden der dadurch entsteht? Also bislang hat der Betreiber ja keine persönliche Haftung dafür, dass er deine Gesundheitsdaten veröffentlicht und dass du dann in zehn Jahren keinen Job bekommst. Wie willst du das nachweisen? Ich glaube das wird ganz schwer und das ist etwas was wir vielleicht jetzt anregen sollten, darüber mal nachzudenken: Also wie beziffere ich den Schaden der entsteht, wenn meine Gesundheitsdaten komplett offenliegen. Meine Gesundheit für die nächsten 80, 70 Jahre, je nachdem wie lange ich leben möchte. Also auch die meiner Kinder. Herald: Mikrofon zwei! Mikro 2: Bei den Dingen, die ihr da entdeckt habt, an diesen Applikationen dort, da wird es keine zwanzig Jahre dauern, bis die Daten alle öffentlich sind. Aber diese Aussage, es gibt keinen Datenspeicher der auf die nächsten zwanzig Jahre sicher ist, ist jetzt auf einen zentralen Datenspeicher bezogen. Mal darüber nachgedacht, wie es eigentlich aussieht mit den ganzen Patientenmanagementsystemen, die wir jetzt so verstreut haben, und dann muss es eigentlich eine sehr ähnliche Aussage geben, und ich bin eigentlich erstaunt darüber dass man wirklich noch mit zwanzig Jahren rechnet. Gibt's da irgendwie Daten zu? Martin: Also diese zwanzig Jahre, die habe ich aus einem Zeitungsbericht oder Interview von dem Prof. Buchmann genommen. Da würde ich sagen: Besser mal in die Literatur schauen, was da wirklich dahinter steht. Aber, was die Datenspeicherung angeht: Momentan liegen die Daten alle verstreut in Arztinformationssystemen, Klinikinformationssystem, und natürlich wird hier und da schon mal was geleakt oder gestohlen. Problem ist halt nur, wenn die Daten auf einmal auch ausgetauscht werden können, und wenn es eine zentrale Datenhaltung gibt, dann wird das Ganze auf einmal angreifbarer. Und da muss ich nicht überall hingehen und ein bisschen was klauen. Und dann wird das auch viel eher genutzt, diese Datenspeicherung. Und dann hab ich viel eher die Möglichkeit, auch zentral Daten abzuführen. War das so – oder worauf zielte die Frage ab? Mikro 2: Die Firma CGM, die da genannt worden ist, hat mehrere Konkurrenzunternehmen aufgekauft und bietet den Ärzten an, dass dann die Daten konvertiert werden, weil sie diese Produkte nicht mehr fördern, aber eine eigene Applikation haben, die natürlich ganz wunderbar ist, die sie den Ärzten dann gerne verkaufen. Und dann werden die Daten konvertiert. Das heißt also, da gibt es schon so an einer gewissen Stelle eine gewisse zentrale Datenhaltung. Martin: Ja, das Problem ist, ich glaube, vielleicht wissen wir auch vieles noch nicht. Vielleicht ist es auch noch nicht so an die Öffentlichkeit gelangt, wo es denn schon Leaks gab. Also, das was ich aus den USA gezeigt habe, dass waren halt meldepflichtige Leaks, da wo Daten abhanden gekommen sind. In Deutschland habe ich da zu Gesundheitsdaten noch nicht viel gefunden. Herald: Mikrofon vier, bitte! Mikro 4: Die Gesundheitsdaten, die sollen ja auch pseudonymisiert für Forschungszwecke verwendet werden dürfen. Könntest das vielleicht noch ausführen? Martin: Ja, das habe ich jetzt nicht in diesen Talk eingebaut, das wäre nochmal ein komplett eigenes Thema: Pseudonymisierte Speicherung. Kann man kritisieren. Vivy speichert auch pseudonym, schickt dann aber z. B. deinen lacht 2-Faktor-Code mit. Lacht Oder: Wenn du dich in Vivy einloggst, loggt sich Vivy zeitgleich in dein pseudonymisiertes Konto ein und schickt dann die Daten pseudonymsiert da hoch. Das heißt, du bist in dein Originalkonto eingeloggt und gleichzeitig auch in ein Schattenkonto. Nennt sich so, "Shadow Profile". Das heißt du bist immer gleich zweimal angemeldet: Mit deinem Gerät, mit deinem Token und so weiter. Das heißt: Auf der Seite der Vivy- Plattform ist es eigentlich technisch machbar, dich wieder zuzuordnen. Da muss man wirklich dem Anbieter vertrauen. Es gibt ja auch schon Forderungen, dass man Datenspenden einfordert. Das heißt, es gab politisch die Forderung, dass die Datenspende erzwungen werden muss, um forschenden Pharmaunternehmen Zugriff zu gewähren. lacht ...ja. Herald: Mikrofon drei, bitte! Mikro 3: Nümünümünümüne...Ich dachte eigentlich immer, dass der Austausch von verschlüsselten Daten oder generell von, naja, verantwortungsvollen Daten gelöst sei. Also ich meine, in den Gremien, in denen ich sitze, schaffen es Leute auch wirklich sichere Daten miteinander auszutauschen. Ich meine, mein Seafile kann das. Warum kriegen das die Ärzte nicht hin? Gibt es eine Alternative, die wir den Ärzten vorschlagen könnten, die sie zumindest für die nächsten zehn Jahre benutzen könnten. Ob dann eben mit Post- Quantum-Kryptographie die Daten in Nevada, die im DE-CIX ausgelesen werden, dann doch entschlüsselt werden, ist ja nochmal eine andere Debatte. Martin: Das Problem ist: Spezifikation ist nicht immer das, was implementiert wird. Also für Vivy gibt es ein Whitepaper des Fraunhofer-Instituts AISEC, wo das alles schön spezifiziert ist. Aber was dann implementiert wurde, ist nicht unbedingt das, was da drin steht. Das heißt, da gibt es eine Kluft. Da wird nicht verifiziert oder validiert, dass das auch so stimmt. Und dann, räusper wenn ich diese Daten – Entschuldigung, die Frage nochmal ganz kurz? Mikro 3: Gibt es eine Alternative, die wir den Ärzten jetzt empfehlen können, um gemeinsam Daten auszutauschen? Martin: Schwierig. Also wirklich sehr schwierig. Immer möglichst dezentral, möglichst nicht über einen zentralen Datenspeicher. Da kann ich jetzt nichts empfehlen. Also bislang geht das halt: ausdrucken und mitnehmen. Es ist jetzt auch keine Alternative für die, die chronisch krank sind. Mikro 3: Faxen! Martin: Ja, faxen. lacht GelächterApplaus Herald: Das Schlimme ist: Er hat wahrscheinlich Recht, oder? Martin: Das große Problem ist: Wir haben halt keine - Wenn wir Ende-zu-Ende verschlüsseln wollen, wie bei PGP, dann brauche ich ja Keys, die muss ich ja mal ausgetauscht haben, verifiziert haben. Und das muss irgendwie automatisiert gehen sonst läuft das im großen Stil nicht. Und das fehlt halt. Wir haben halt auf Seiten der Ärzte inzwischen die Telematik- Infrastruktur bei vielen. Da gibt es dann eine Identität, darüber können wir das laufen lassen. Auf Seiten der Patienten gibt es die Gesundheitskarte. Ja, das ist genau das Problem: Patientenakte wollen wir halt nicht mit der Gesundheitskarte verknüpfen, weil es keiner nutzt. Herald: So, und jetzt die letzten drei Fragen die hier stehen, die möchte ich alle drei noch abschießen. Ganz schnelle Frage – ganz schnelle Antwort. Nummer vier! Mikro 4: Was ist der Unterschied zwischen Gesundheitsdaten und Patientendaten? Martin: Die Gesundheitsakte und Patientenakte, die zwei? Gesundheitsakte ist optional zu verwenden für die Ärzte. Patientenakte ist – wenn du eine hast, müssen die Ärzte die Daten da reinspeichern. Das ist quasi funktional der einzige Unterschied. Und: Patientenakte wird von der gematik spezifiziert. Herald: Die Nummer acht! Mikro 8: Zu Vivy: Du hast gesagt, die haben den Schlüssel, den Private Key, auf dem Ärztefrontend irgendwie lesegeschützt. Wie soll denn das gehen im Browser, wenn du XSS kannst? Martin: Es gibt diese Web-Crypto-API im Browser. Und die Web-Crypto-API, da kannst du sagen: "Exportable". Also kannst du sagen: "Der Key kann ich exportiert werden." Das heißt, das ist ein Objekt, das Objekt kapselt den Zugriff und solange die JavaScript-Engine richtig implementiert ist, kannst du dann auch nicht auf diesen internen privaten Variablen zugreifen. Mikro 8: Also du gibst dann deine Daten rein, der macht Crypto, und... Martin: Ja, du hast ein Objekt mit der Methode Encrypt() und Decrypt(), aber den Schlüssel bekommst du nicht zu sehen. Mikro 8: Alles klar! Herald: Last but not least. Nummer fünf! Mikro 5: Ich habe keine Frage, ich würde noch kurz eine Idee anmerken, die halt nicht auf einer technischen Ebene ist, aber wie schon angesprochen wurde: Alle Gesundheitsdaten sind sensibel und besonders auch so Sachen wie Schwangerschaftsabbruch und HIV oder andere Diagnosen, so Schizophrenie, Depression, alles. Und ich würde sagen, die Idee ist halt sich auch mit den Leuten und den Interessenverbänden jetzt schon mal auseinanderzusetzen und was die jetzt schon an Forderungen haben zu versuchen umzusetzen, weil technisch glaube ich werden die Daten halt öffentlich sein und dann ist es halt: Wie gehen wir gesellschaftlich mit Leuten um, die schwierige Diagnosen haben. Martin: Genau das ist auch die Aussage von meinem Talk. Ich kann die technischen Probleme aufzeigen, aber die gesellschaftliche Antwort – wie wir damit umgehen oder was die Forderung daraus sind, das müssen wir gemeinsam machen, bzw. auch mit den Medical Professionals, mit denen, die sich wirklich damit ihr Leben lang beschäftigt haben. Herald: Doch noch eine Frage, weil ihr seid nicht barrierefrei, Ich kann durch euch nicht durchschauen. Bitte einmal Mikrofon drei! Mikro 3: Dankeschön. Meins rangiert eher unter Anmerkung. Ich habe vor etwas über einem Jahr an CGM eine Mail geschickt, die habe ich gerade mal rausgekramt. Da wurde von einem Facharzt, habe ich einen Link gehabt: http. Und da sollte ich dann meine persönlichen Daten eingeben. Da hab ich gedacht ok, das breche ich jetzt ab. Habe denen gemailt: "Leute, https wäre mir an der Stelle lieber gewesen." Und habe dann die Antwort bekommen: "Zu Ihrer Anmerkung bezüglich der verschlüsselten Verbindung können wir sie beruhigen: Die Übermittlung der Daten erfolgt über eine interne sichere Leitung in verschlüsselter Form." Das sei vorgeschrieben und – toll! GelächterApplaus Martin: Interessanter Beitrag! Herald: Auf die Qualität können wir uns in Zukunft freuen, ne? Martin: lacht ja... Herald: Martin Tschirsich! 35C3 Abspannmusik Untertitel erstellt von c3subtitles.de im Jahr 2019. Mach mit und hilf uns!