Konnektoren bereiten Probleme in zwei Bereichen

Es ist nun beinahe ein Jahr her, seit kritische Sicherheitslücken bei E-Health-Konnektoren des Herstellers Research Industrial Systems Engineering (Rise) bekannt wurden. Bereits im Dezember 2021, so berichtet die Nachrichtenwebsite heise.de heute, habe die Kassenärztliche Bundesvereinigung (KBV) Praxen mit den betreffenden Produktversionen aufgefordert, entsprechende Updates auf ihre Geräte aufzuspielen. Die sogenannte Log4j-Lücke könne Angreifern Zugang zum System gewähren – mit sehr unklaren Folgen, wie heise.de schreibt. Die Autoren warnen: »Eine potenziell vollständige Kompromittierung ist denkbar.« Es handele sich um eine »schwerwiegende Sicherheitslücke«.

Um diese zu schließen, macht die Gematik jetzt Nägel mit Köpfen. Zwar seien alle betroffenen Arztpraxen seit Juni dieses Jahres durch deren VPN-Zugangsdienste aufgefordert worden, sicherheitstechnisch nachzubessern und die Software zu aktualisieren, schreibt die Gematik in ihrem Fachportal. Etwa 300 nicht aktualisierte Geräte befänden sich aber nach wie vor »im Feld«. Für diese gilt jetzt eine letzte Galgenfrist bis 31. Oktober: Alle bis zu dem Datum nicht aktualisierten Rise-Konnektoren werden dann gesperrt.

Diese Sperrung des TI-Zugangs geschehe mittels Deaktivierung der Contract-ID, so die Gematik. Sie wird demnach für alle betroffenen Geräte, die zuvor am 28. Oktober 2022 noch aktiv waren, durchgeführt. Die Gematik weist darauf hin, dass dadurch auch Praxen, die mehrere Konnektoren unter einer Contract-ID nutzen (etwa in einer Mehrfachpraxis), von der Aussperrung betroffen sein könnten.

Nach der entsprechenden Aktualisierung der Konnektor-Software könne der Zugang am VPN-Zugangsdienst wieder aktiviert werden. Da die Aktualisierung ohne TI-Zugang nicht per Fernwartung durchgeführt werden könne, müsse hier möglicherweise ein Dienstleister vor Ort eingreifen. Die deaktivierten Konnektoren könnten bis zu einem Update auf eine aktuelle FW-Version im Offline Modus weiterbetrieben werden, schreibt die Gematik. Warum die offenbar tief verwundbaren Konnektoren erst fast ein Jahr, nachdem die nötigen Software-Updates verfügbar waren, gesperrt werden, dazu machte die Gesellschaft aber keine Angaben.

Die log4j-Schwachstelle betrifft laut Gematik Rise-Konnektoren mit folgenden Produktversionen: 1.5.7:1.0.0, 1.8.10:1.0.0, 2.1.2:1.0.0, 2.1.4:1.0.0, 2.1.5:1.0.0, 2.1.6:1.0.0, 3.2.5:1.0.0, 3.5.9:1.0.0.

Probleme bereiten die Konnektoren aber auch – und nach wie vor – wegen ihrer bald ablaufenden Sicherheitszertifikate. Bekanntlich verlieren seit September die fünf Jahre haltbaren Zertifikate der ersten Konnektoren ihre Gültigkeit. Gleichzeitig lässt eine passende Softwarelösung noch auf sich warten, sodass die Praxen ihre Boxen demnächst gegen neuere Hardware austauschen müssen, um auch übergangsweise technisch bereit fürs E-Rezept-Prozedere zu sein. Die künftige TI 2.0 soll dann komplett cloudbasiert und ohne jede Zugangshardware laufen. So zumindest der Plan der Gematik.

Um einen solchen Aufwand, der viel Geld kostet und Unmengen an Elektroschrott produziert, wollen die Ärzte aber verständlicherweise herumkommen und protestierten lange gegen die Pläne. Erst ein Schiedsspruch, der GKV und PKV dazu verdonnerte, den Ärzten eine Ausgleichszahlung von 2300 Euro pro Praxis zu gewähren, besänftigte ihren Unmut ein wenig.

Damit ist das Thema Konnektorentausch aber noch lange nicht vom Tisch – dafür ist zu viel Geld im Spiel. Immerhin soll der Tausch der insgesamt rund 130.000 Boxen 300 bis 400 Millionen Euro kosten, wie verschiedene Medien berichten. Und so gibt es immer wieder den Ruf nach Alternativen zum kompletten Hardwaretausch. Zuletzt machten sich Hacker des »Chaos Computer Club« (CCC) an das Thema und fanden heraus, dass ein grundsätzlicher Austausch der Konnektoren nicht nötig sei. Hersteller hatten eben dies betont und mit technischen Bedingungen begründet.

Und noch mehr deckten die Hacker rund um den CCC-Sicherheitsexperten Carl Fabian Lüpke, genannt Flüpke, auf, wie heute etwa die »Welt« berichtet. Demnach verlangten die Hersteller für völlig veraltete Hardware »horrende Preise«; bereits in den Konnektoren der ersten Generation, die seit 2017 in den Praxen laufen, steckten demnach Chips aus dem Jahr 2007. CCC-Sprecher Dirk Engling vermutete laut »Welt«: »Hier will sich ein Kartell durch strategische Inkompetenz am deutschen Gesundheitssystem eine goldene Nase verdienen.«

Bei so viel Gegenwind schwankt nun auch die Gematik, die gestern per Mitteilung auf die CCC-Veröffentlichung zu den Konnektoren reagierte. Hatte sie bis dato darauf bestanden, dass ein kompletter Konnektorentausch der einzig gangbare, weil der sicherste Weg sei – was die Gesellschafter ein ums andere Mal beschlossen hätten –, ruderte sie nun ein wenig zurück.

Nun gibt es demnach die Option, je nach Gültigkeitsdauer der Zertifikate zu unterscheiden: Während die Konnektoren, deren Zertifikate bis August 2023 ablaufen, nach wie vor ausgetauscht werden sollen, sollen für solche, die erst ab September 2023 ungültig werden, »Alternativen angeboten werden«. Diese könnten eine Laufzeitverlängerung der Zertifikate durch ein Firmware-Update des Konnektors bis Ende 2025 sein oder ein Anschluss an einen Konnektor, der in einem Rechenzentrum betrieben wird. »Das bedeutet auch, dass längst nicht alle Konnektoren getauscht werden müssen und die dadurch entstehenden Kosten deutlich niedriger sind, als berichtet«, schreibt die Gematik. Voraussetzung hierfür sei aber ein neues Finanzierungsmodell, für das entsprechende Gesetzesgrundlagen geschaffen werden müssten.

Wie Arztpraxen brauchen auch Apotheken Konnektoren für einen sicheren TI-Zugang. Für die Offizinen wäre erst ab 2024 ein Hardwaretausch relevant, da sie laut Deutschem Apothekerverband erst seit 2019 mit Konnektoren ausgestattet sind. Bleibt die Gematik bei ihrem Angebot, nur Konnektoren mit einer Laufzeit bis August 2023 auszutauschen und bei den später ablaufenden lediglich ein Update durchzuführen, bliebe den Apotheken der Austausch somit komplett erspart.