Debatte um Sicherheitslücken bei Gematik-Spezifikation

Sind die Card-Link-Spezifikation der Gematik fehlerhaft oder gar widersprüchlich? Dazu hat sich am Wochenende eine rege Diskussion über einen PZ-Beitrag in den sozialen Medien entsponnen. Begonnen hatte den Austausch bei Linked-In Detlef Hühnlein, Chef der IT-Firma Ecsec, der mit seinem Projekt »Epotheke« einen Card-Link-Dienst gemäß der Spezifikation der Gematik betreibt und derzeit noch auf die Zulassung wartet.

Eine Branchenlösung für die Apotheken steht bekanntlich noch aus, die Versender hingegen können schon loslegen – Doc Morris und Shop Apotheke haben ihre Angebote bereits gelauncht.

Card-Link in der Fläche interoperabel zu ermöglichen, das haben sich Hühnlein und seine Mitstreiter, etwa Manuel Blechschmidt, Chef des Unternehmens Service Health ERx, in einer Card-Link-Taskforce auf die Fahnen geschrieben. In den laufenden Zulassungsverfahren machte Hühnlein nun ein massives Problem mit der Spezifikation aus und warnte gegenüber der PZ vor Sicherheitslücken in der technischen Architektur.

So fänden sich dort teils sich ausschließende Schemata, die aber alle erfüllt werden müssten – und dadurch letztlich ein Sicherheitsproblem darstellten. Hier müsse die Gematik dringend eine korrigierte Spezifikation nachlegen, forderte Hühnlein.

Carlos Thees, Geschäftsführer des Apothekenrechenzentrums (ARZ) Darmstadt, zeigt sich bei Linked-In besorgt über die offensichtlichen Mängel. »Kann es wirklich sein, dass wir ein Verfahren mit einer fehlerhaften oder widersprüchlichen in Produktion haben?«, fragt er. Das klinge für ihn »krass«. Oder sei es nur eine »Kleinigkeit«? Hierzu würde ihn die Meinung Blechschmidts interessieren.

Dieser meldete sich prompt zu Wort und betonte, dass es bei der Spezifikation durchaus Verbesserungsmöglichkeiten gebe, aber so gut wie jede Spezifikation biete Interpretationsspielräume und eine technische Eindeutigkeit könne nicht immer erreicht werden, wenn sie auch wünschenswert sei. Wichtige sei aber die schnelle Umsetzung. Hier hätten alle Beteiligten »einen tollen Job gemacht«.

Ja, mit der Spezifikation könne zwar »etwas« implementiert werden, aber es sei »ziemlich unglaublich«, dass »wir auf Basis der offensichtlich kaputten Spezifikation zugelassene Systeme haben«, entgegnet Hühnlein. Er warnt dabei erneut davor, bei der Implementierung auf die Schemavalidierung zu verzichten, auch wenn dieser Verzicht vordergründig eine Möglichkeit biete, die Widersprüchlichkeit der Schemata zu umschiffen.

Die Validierung wegzulassen, stelle ein erhebliches Sicherheitsrisiko dar und begünstige Angriffe von außen. »Ein sorgfältig arbeitender Sicherheitsgutachter wird hier also die Hand heben und um entsprechende Nachbesserung bitten«, so Hühnlein. Die Reparatur der »kaputten« Spezifikation solle die Gematik nun endlich in Angriff nehmen.

Blechschmidt stimmt der Forderung zu, räumt aber auch ein, dass das Risiko von Cyberangriffen nur als »mittel« eingestuft sei, wohingegen menschliche Fehler und »Insider-Bedrohungen« als »hoch« bewertet worden seien. Grundsätzlich sei das Sicherheitsniveau bei der Spezifikation hoch genug.

Hühnlein schließt sich dem nicht an. Risiken eines Cyber-Angriffs seien aus seiner Sicht wesentlich höher einzuschätzen »als menschliche Fehler oder gar Innentäter im Betrieb«. Die Schwachstelle müsse mit einem korrigierten Schema behoben werden. Das »kaputte« Schema verstoße gegen die internationale Norm für Informationssicherheits-Managementsysteme und damit gegen die eigenen Sicherheitsanforderungen der Gematik, warnt Hühnlein. Bei der nächsten Sitzung der Card-Link-Taskforce am 13. Juni dürften die Widersprüche bei den Schemata Thema werden.