Sicherheitslücke legt Teile der Telematik-Infrastruktur lahm

Die Telematik-Infrastruktur (TI) dient gewissermaßen als Datenautobahn im Gesundheitswesen und wurde in den vergangenen Jahren Schritt für Schritt aufgebaut, damit in Zukunft digitale Dienste wie das E-Rezept oder die elektronische Patientenakte (EPA) darüber zwischen Heilberuflern und Krankenkassen digital transportiert werden können. Noch ist die TI nicht in intensiver Benutzung, da die großen Anwendungen, wie beispielsweise das E-Rezept, noch nicht flächendeckend eingeführt wurden beziehungsweise funktionieren. Einige Dienste, wie etwa das Versichertenstammdaten-Management, laufen allerdings schon heute über die TI und sind daher auf ein dauerhaft intaktes System angewiesen.

Die Gematik war am vergangenen Wochenende dazu gezwungen, aus Sicherheitsgründen einige Teile der TI vorerst vom Netz zu nehmen. Grund dafür war eine sehr eindringliche Warnung des BSI wegen der Sicherheitslücke »Log4Shell«, die derzeit in mehreren Bereichen des Internets weltweit für erhebliche Probleme sorgt. Konkret warnt die Behörde vor Sicherheitsproblemen in der von vielen Computern und mobilen Endgeräten verwendeten Software »Java« – hier soll es konkret um eine Java-Bibliothek gehen, die »Log4j« genannt wird.

In seiner Mitteilung vom Samstag teilt das BSI mit, dass man die Warnstufe Rot ausgegeben habe, weil das Softwaremodul so weit verbreitet sei und die aufgedeckte Sicherheitslücke »trivial ausnutzbar« sei. Erste Schäden seien über die Java-Sicherheitslücke bereits angerichtet worden: »Dem BSI sind welt- und deutschlandweite Massen-Scans sowie versuchte Kompromittierungen bekannt. Auch erste erfolgreiche Kompromittierungen werden öffentlich gemeldet«, teilt die Behörde mit. Das ganze Ausmaß der Bedrohungslage sei derzeit nicht feststellbar, heißt es weiter. Klar ist allerdings, dass alle Produkte, die »Log4j« verwenden, angepasst werden müssen. Die Behörde empfiehlt daher allen Behörden und Institutionen, entsprechende Abwehrmaßnahmen einzusetzen.

Ebenfalls noch am Wochenende hatte die Gematik auf diese Meldung reagiert und einige Teile der TI vom Netz genommen. Wörtlich teilte die Gesellschaft mit: »Aufgrund der aktuellen Meldung des BSI zur ›log4j‹ Schwachstelle mussten einige Dienste der Telematik-Infrastruktur präventiv vom Internet getrennt werden. Die betroffenen Dienste sind potentiell von der Schwachstelle betroffen und werden erst nach dem Schließen der Lücke wieder erreichbar sein. Die getroffenen Vorsichtsmaßnahmen dienen zum Schutz der Daten von Patientinnen und Patienten. Wir arbeiten zusammen mit unseren Partnern mit Hochdruck daran und informieren umgehend bei einem neuen Kenntnisstand.«