Martin Tschirsich, Mitglied im Chaos Computer Club und Experte für IT-Sicherheit, diskutiert mit Christoph Saatjohann, Professor für IT-Sicherheit, und Tim Weiler von EELS Experts über einen aktuellen Hack der elektronischen Patientenakte (ePA). Sie beleuchten die Schwachstellen der Telematikinfrastruktur und erklären, wie Sicherheitslücken die digitale Gesundheit gefährden. Die Diskussion reicht von technischen Details über das Walled Garden-Prinzip bis hin zu praktischen Lösungen zur Verbesserung der IT-Sicherheit im Gesundheitswesen.
01:10:40
forum Ask episode
web_stories AI Snips
view_agenda Chapters
auto_awesome Transcript
info_circle Episode notes
insights INSIGHT
Walled Garden Prinzip der TI
Die Telematik-Infrastruktur (TI) funktioniert nach dem "Walled Garden"-Prinzip: Ein geschützter, umzäunter Bereich, in dem nur zugelassene Teilnehmer Zugang haben.
In der Praxis ist dieser "Zaun" sehr groß mit vielen Toren, was die Sicherheit erschwert und das Prinzip fragwürdig macht.
question_answer ANECDOTE
Käsetheke-Hack der Heilberufsausweise
Früher konnte man Heilberufsausweise per Anruf oder E-Mail an veränderte Adressen beziehen und so unberechtigt E-Rezepte unterschreiben.
Die PIN wurde damals oft ohne Identifizierung verteilt, was Missbrauch stark vereinfacht hat.
insights INSIGHT
PIN wird bei ePA verzichtet
Bei der heutigen ePA reicht das einfache Einstecken der Gesundheitskarte für den Zugriff, es wird keine PIN mehr benötigt.
Diese Vereinfachung widerspricht der ursprünglichen Sicherheitsarchitektur der TI und öffnet erhebliche Sicherheitslücken.
Get the Snipd Podcast app to discover more snips from this episode
In Folge 177 des eHealth-Podcasts spricht Christian mit Martin Tschirsich, Christoph Saatjohann und Tim Weiler über einen aktuellen Sicherheitsvorfall im Umfeld der Telematikinfrastruktur (TI). Während der Startschuss für die bundesweite ePA-Nutzung am 29. April 2025 fiel, wurde bereits einen Tag später ein neuer ePA-Hack durch den CCC veröffentlicht. Die Nachricht fand breite mediale Beachtung, unter anderem in der Tagesschau und in Spiegel-Eilmeldungen.
Im Podcast sprechen wir darüber, was sich genau hinter dem Hack verbirgt.
Die drei Gäste erläutern zunächst einige Grundlagen rund um die TI:
• Aus welchen Komponenten besteht sie?
• Wie funktioniert das sogenannte „Walled Garden“-Prinzip?
• Welche Rolle spielen Konnektoren und andere TI-Komponenten in der Sicherheitsarchitektur?
Anschließend schildert Martin Tschirsich, wie bei der Analyse der Infrastruktur verschiedene Schwachstellen identifiziert wurden. Dabei geht es weniger um spektakuläre Angriffe, sondern viel mehr um die konkreten technischen Gegebenheiten, die Nachbesserungsbedarf aufzeigen. An dieser Stelle dürfen natürlich keine Hinweise fehlen, wie sich die Sicherheit der TI verbessern ließe – sowohl technisch als auch organisatorisch.
Tim Weiler ergänzt die technische Perspektive um eine Einordnung. Er betont, dass Sicherheit immer in Abwägung mit dem praktischen Nutzen betrachtet werden muss – ein Aspekt, der bei der Entwicklung und Weiterentwicklung digitaler Infrastrukturen eine wichtige Rolle spielt.
Im Rahmen des neuen "ePA-Hacks" wurde zudem erstmals öffentlich kommuniziert, dass die gleiche technische Grundlage, die für die Schwachstelle in ePA verantwortlich war, auch dafür sorgte, dass viele E-Rezepte abrufbar waren.
Shownotes
Medien
Martin Tschirsich, Bianca Kastl: C38C3 - „Konnte bisher noch nie gehackt werden“: Die elektronische Patientenakte kommt
Tagesschau: Video Elektronische Patientenakte: Lauterbach bestätigt Probleme mit Sicherheitslücken
Logbuch Netzpolitik: LNP522 Security by Hippocrates
Personen
Martin Tschirsich auf linkedin
Christoph Saatjohann auf linkedin
Tim Weiler auf linkedin
eHealth-Podcast