Aktuell | Datenleck in Schweizer Praxen | c't

Schweizer Praxen schalten Datenleck aus und wieder an

Zwei Schweizer Arztpraxen gaben jedem ihrer Patienten Zugriff auf die Befunde aller anderen Patienten. Auf Hinweis der c’t wird das Verhalten abgestellt. Und dann wieder angestellt. Und dann wieder abgestellt.

„hin hin“ ist der Account, über den alle Patienten ihre Befunde abrufen, aber auch die Befunde aller anderen Patienten einsehen konnten.

Die Dr. Kurz Röntgeninstitut AG betreibt zwei Praxen für medizinische Bildgebung in der Schweiz. Patienten bekommen einen Link, um ihre eigenen Bilder und Befunde abzurufen. Patienten mit IT-Security-Wissen bekommen außerdem einen Schreck, denn der Link sieht folgendermaßen aus:

https://ZENSIERT.ch/portal/?user_name=hin&password=ZENSIERT&password_encrypted=true&patient_id=ZENSIERT«

Die patient_id ist eine aufsteigende Nummer, die man nach Belieben ändern kann. So veränderte Links verschafften Zugriff auf jede gewünschte Patienten-ID; wir konnten Befunde von 2012 bis 2022 abrufen. So unerfreulich das für die Betroffenen ist: Probleme dieser Art sind leider so alltäglich, dass wir nicht über jeden Einzelfall berichten können.