KIM: Sicherheitslücke bei Krankenkassen

Berlin -

Ein E-Health-Team des Fraunhofer SIT und der FH Münster hat herausgefunden, dass mehrere Krankenkassen die gleichen Schlüssel für das Messengersystem KIM („Kommunikation im Gesundheitswesen“) nutzten. Fatal: Denn so hätten theoretisch auch die Mails anderer Krankenkassen entschlüsselt werden können. Die Fehlerquelle sei mittlerweile durch die Gematik behoben worden.

Damit sich zugelassene Leistungserbringer untereinander austauschen können, sollen E-Mails mittels KIM geschickt werden. So versenden Krankenhäuser, Arztpraxen, Apotheken oder auch Pflegeeinrichtungen vertrauliche Dokumente theoretisch sicher. Dadurch sollen unsichere Kommunikationswege beispielsweise per Fax eingedämmt und der digitale Austausch von Patientendaten gefördert werden. Das System zählt zu den meist genutzten Anwendungen: In den vergangenen zwei Jahren wurden über KIM mehr als 200 Millionen E-Mails verschickt.

Um die sichere Ende-zu-Ende-Verschlüsselung zwischen allen Einrichtungen des Gesundheitswesens in ganz Deutschland zu gewährleisten, bekommen alle Beteiligten sichere kryptografische Schlüssel (S/MIME-Zertifikate) zugeteilt. Genau hier lag das Problem, wie das E-Health-Team des Fraunhofer-Instituts herausfand: Bei insgesamt acht Krankenkassen war die Verschlüsselung für das Mailsystem fehlerhaft eingerichtet. Denn mehrere große Kassen hatten den gleichen Schlüssel für die Ver- und Entschlüsselung sowie das digitale Signieren ihres KIM-Mailverkehrs genutzt.

Mails mitlesen

„Damit hätte jede der betroffenen Krankenkassen auch alle Mails mitlesen können, die für eine der anderen betroffenen Kassen bestimmt sind“, so Sebastian Schinzel von der Fachhochschule Münster. Die Erkenntnisse wurden am 27. Dezember in Hamburg auf dem „Chaos Communication Congress (37c3) des Chaos Computer Clubs (CCC)“ vorgestellt. „Alle Lücken sind vorab im Coordinated-Vulnerability-Disclosure-Verfahren der Gematik gemeldet worden“, heißt es dazu in einer Mitteilung des Fraunhofer Instituts.

Der Ursprung des Problems habe bei der KIM-Einrichtung gelegen: „Die betroffenen Krankenkassen hatten externe IT-Dienstleister beauftragt, das KIM-Mailsystem für sie zu betreiben. Diese hatten kryptografische Schlüssel generiert und diese Schlüssel für mehrere Krankenkassen verwendet“, so die Forschenden.

Das Problem sei durch die Gematik bereits behoben worden: „Alle betroffenen Schlüssel wurden zwischenzeitlich neu generiert und ausgetauscht“, so das Fraunhofer Institut. Mehr noch: „Aufgrund der Meldung hat die Gematik die Spezifikation zur Konfiguration von KIM erweitert und verbessert. Jetzt muss vor der Ausstellung eines Zertifikats geprüft werden, ob der Schlüssel schon einmal verwendet wurde“, so das Institut.