c’t deckt auf

Viele Rettungsleitstellen und Krankenhäuser verlassen sich bei der Koordination von Notfällen mittlerweile auf Software und vernetzte Systeme. Eines der verbreitetsten Systeme heißt IVENA, kurz für „Interdisziplinärer Versorgungsnachweis“ – es wird mittlerweile in ganz Deutschland vertrieben. Die Krankenhäuser tragen im Online-System ihre Ressourcen ein und die Rettungsleitstellen finden über IVENA ein freies Krankenhaus für Patienten.

Seit Frühjahr 2020 gibt es in IVENA zudem ein Modul mit dem Namen „Sonderlage“ für die Corona-Pandemie, das freie Kapazitäten für Covid-Patienten verwaltet. Nach Angaben der Firma mainis IT-Service, die die Software IVENA zusammen mit dem Frankfurter Gesundheitsamt seit 2009 entwickelt, ist dieses Modul in der Hälfte der Bundesländer im Einsatz. IVENA läuft im Browser und jeder Kunde, also eine Kommune oder ein ganzes Bundesland, muss seine Instanz selbst betreiben – meist in Rechenzentren der öffentlichen Hand.

Bei einer NDR-TV-Reportage über den Rettungsdienst in Hannover fiel einem c’t-Leser ein verdächtiges Detail auf, das in einem Browserfenster eines Leitstellen-Computers zu sehen war: An die Adresse ivena-niedersachsen.de war eine kryptische Zeichenkette angehängt, offenbar eine sogenannte Session-ID. „Unseren Hinweisgeber erinnerte das daran, wie Webseiten früher häufig programmiert wurden und er wurde neugierig“, erklärt c’t-Redakteur Jan Mahn, der die Hinweise des Lesers nachrecherchierte. Auf dem Server der Entwickler fand er eine Datei mit Benutzernamen und Kennwort für das IVENA-System. „Mit den gefundenen Zugangsdaten konnte man Benutzeraccounts verwalten, Krankenhäuser abmelden und hätte somit viel Schaden anrichten können“, berichtet Mahn. Das Kennwort funktionierte, wie die Entwickler später bestätigten, nicht nur in Niedersachsen, sondern auf allen IVENA-Instanzen, unter anderem auch in Hessen, Berlin und München.

Mit diesen Beobachtungen kontaktierte c’t sofort die Entwicklerfirma und wies darauf hin, dass auch die Nutzerkennwörter potenziell in Gefahr waren. Das Unternehmen reagierte zügig. Fünf Stunden nach dem Hinweis erhielt c’t die Information, dass das Admin-Kennwort geändert und der Fehler auf dem Webserver beseitigt sei. Alle Nutzer wurden per E-Mail aufgefordert, ihre Kennwörter zu ändern.

„Damit ist zwar die akute Gefahr gebannt, doch auch aus organisatorischer und rechtlicher Sicht weist das eHealth-Projekt Mängel auf“, sagt Mahn. Es fehle es an klaren Verantwortlichkeiten. Wer diese Infrastruktur genau betreibt und vor allem verantwortlich ist, sei auch auf Nachfragen bei Kliniken und Behörden nicht klar. „Wir waren überrascht, wie hemdsärmelig Krankenhäuser und Rettungsleitstellen eine solche kritische Infrastruktur betreiben.“

Für die Redaktionen: Gerne stellen wir Ihnen die Artikelstrecke kostenlos zur Rezension zur Verfügung.