00:15

Inga Bergen

Martin Cziersich berät als Mitbegründer von ZFT Company seine Kunden in allen Belangen der Informationssicherheit. Bekannter ist er aber für sein Engagement beim Chaos Computer Club. Mit dem er regelmäßig Sicherheitsmängel in digitalen Prozessen aufdeckt, unter anderem auch in den Gesundheitsanwendungen. Im Podcast diskutieren Martin und Inga die Frage: Wie sicher ist sicher genug? Und welche Risiken müssen und wollen wir für mehr Nutzerfreundlichkeit in Kauf nehmen? Klären auf über die Arbeit und die Rolle des Chaos Computer Clubs und reden darüber, wie wir in Zukunft IT-Sicherheit und Anwendbarkeit in besseren Einklang bringen. Unseren Podcast Visionäre der Gesundheit präsentieren wir euch in Kooperation mit unserem Werbepartner DrLib. DrLib setzt seine digitalen Lösungen dafür ein, dass Menschen einen schnelleren und besseren Zugang zu Gesundheitsversorgung erhalten, und unterstützen Ärzte und Ärztinnen und ihre Teams, sodass sie mehr Zeit für ihre Patienten und Patientinnen haben.

01:13

Inga Bergen

Martin, ich freue mich total, dass du jetzt mein Gast bist. Wir haben tatsächlich schon Wir sind schon komplett ins Gespräch geraten in dem Vorgespräch, weil wir einfach so viele Themen haben oder mich auch so viele Themen interessieren, zu denen du was sagen kannst. Stell dich ganz kurz vor, dann stellst du dich selber vor. Martin Fürsich, wie Pfirsich. Du bist IT-Sicherheitsexperte, bist beim Chaos Computer Club aktiv. Ja, man kennt dich im Gesundheitswesen. Also als ich gesagt habe, dass ich mit dir den Podcast aufnehme, habe ich schon von einigen Hörerinnen und Hörern so: Wow, krass, der redet mit dir. Ganz ehrfürchtiges Feedback bekommen. Das klären wir gleich alles auf. Genau, du nickst und guckst etwas kritisch. Also darfst du dich jetzt selber vorstellen.

02:00

Martin Tschirsich

Ja, erst mal freue ich mich sehr herzlich, dass du mich hier eingeladen hast in deinen Podcast. Das ist ja eine sehr erlauchte Reihe an Gästen, die du hier in der Podcast schon empfangen hast. Und in der Reihe, da falle ich natürlich etwas raus aus dem klassischen Muster Gründer oder jetzt jemand, der in der Gesundheitspolitik eine Rolle spielt, der dort Macher und Gestalter ist, was das Thema Lösung, Patientenversorgung und so weiter angeht. Da falle ich raus komplett. Deswegen, ich habe jetzt auch, als ich mir deinen Podcast im Vorfeld, die verschiedenen Beiträge angehört habe, unter anderem von Like Deacon und anderen, dann gesagt, naja Mensch, also das ist schon mal eine Gelegenheit, dass du mich hier reinholst, dass ich mal auch mal zu dem Thema aus einer ganz anderen Perspektive beitragen kann. Das freut mich immer sehr. Und ich bin immer erreichbar, erreicht mich immer unter meiner E-Mail-Adresse. Ich korrespondiere auch gerne mit Ärztinnen, bin auch im Umfeld der Leistungserbringer da auch oft zu Gast und rede auch über die Themen, die, wo ich finde, dass sie wichtig sind, dass es dort Aufklärung geben muss, weil, und darüber haben wir uns im Vorgespräch auch schon unterhalten, das Thema Informationssicherheit, IT-Sicherheit, das ist eben eine ganz wichtige begleitende Dimension. Und da gibt es viel auch, ich sage mal, Vorurteile, da gibt es viel Missverständnisse, was den Einfluss und die Notwendigkeit von diesem Aspekt angeht. Deswegen vielen Dank für die Einladung.

03:15

Inga Bergen

Da können wir auch direkt einsteigen. Du bist nämlich, also man kennt dich als Mitglied des Chaos Computer Clubs und der Chaos Computer Club ist im Gesundheitswesen, kommt jetzt ganz oft vor. Und ich habe jetzt gerade noch mal geguckt, wo tauchst du so in den Medien auf? Und da gibt es eine Geschichte, da geht es um das Videoident-Verfahren, also wie identifiziert man sich als Mensch, um zum Beispiel eine elektronische Patientenakte zu kriegen oder irgendwas Digitales einzurichten, was man im Gesundheitswesen nutzen möchte, wo ja sensible Daten auch irgendwie ausgetauscht, gespeichert, sonst was werden. Und dieses Videoident-Verfahren habt ihr, glaube ich, damals gehackt. Ihr habt Sicherheitslücken irgendwie aufgedeckt, damit Im Prinzip wart ihr so auslösender Faktor, dass dieses Verfahren nicht mehr genutzt wurde und dass es so jetzt für mich gefühlt total kompliziert irgendwie alles geworden ist. Und ich fand es total einen super spannenden Case, weil ihr ja eigentlich so eine Gruppe, kann man sagen, von Aktivisten auch seid, die einfach sagen, Sicherheit ist total wichtig und wir setzen uns dann in unserer Freizeit hin und gucken uns an, ob das denn wirklich alles auch so hält, was es verspricht, was einem da so angeboten wird.

04:32

Martin Tschirsich

Also das Thema Ident, warum spielt das überhaupt eine Rolle? Ich finde, man sollte sich erstmal die Frage stellen, warum reden wir jetzt hier in dem Podcast, in dem es über Versorgung, Gesundheit, digitale Medizin geht, warum reden wir da über Videoident und Ident? Ganz klar, das Thema Ident, das wird uns vielleicht heute noch mehrfach oder öfter beschäftigen. Das ist der Ausgangspunkt, die Überführung von einer analogen in eine digitale Welt, gerade im Gesundheitswesen, wo wir eigentlich immer mit unserer bürgerlichen Identität irgendwo unterwegs oder verknüpft sind. Wenn ich irgendwo Daten haben möchte, wenn ich aufgenommen werde, wenn ich entlassen werde, wenn Arztbrief da heißt, dann steht ja immer Name drin, auf wen bezieht sich das? Und das ist ganz wichtig, muss ich, dass ich diese Identität da irgendwo habe, dass ich weiß, auf wen bezieht sich das, wer ist berechtigt, wem offenbare ich Daten, Informationen. Diese Relation, die muss sicher sein, da muss es Authentizität geben. Und deswegen ist das Thema Ident so wichtig. Wenn wir uns vom Analogen in die digitale Welt begeben, dann muss auch das Thema Identität, ich sag mal, eine digitale Lösung erfahren, weil wir können ja nicht mehr, also jetzt gerade, jetzt sind wir uns hier gegenüber in dieser Podcast-Aufnahme, wir sehen uns sogar, Inga, ich sehe dich, du siehst mich, aber dass ich wirklich derjenige bin, den du hier im Videobild siehst, dass meine biometrischen Gesichtsfeatures genauso aussehen, wie du sie jetzt wahrnimmst, das kannst du nicht wissen. Und das ist aber das Thema Videoident. Beim Videoident, da wird ein Videobild übertragen und da wird sowohl das biometrische Merkmal des Gesichts, sowohl als auch das Identitätstragedokument, das ID-Dokument, über ein Videobild übertragen. Und ich glaube, alle deine Hörer sind vertraut mit den neuesten Errungenschaften, DALL-E und die ganzen anderen, nicht nur ChatGPT. Die Möglichkeiten, um nicht nur Inhalt, also Text, sondern auch Bilder zu generieren und das auch Machine-Learning-gestützt, diese Möglichkeiten haben sich derart weiterentwickelt, dass wir heutzutage Bildern nicht mehr trauen können. Ich glaube, viel einfacher, wir müssen gar nicht zum Thema generative neuronale Netze gehen, sondern wir können auch einfach auf TikTok schauen. Die Filter, die wir dort haben, die sind heutzutage auch schon derart weitentwickelt, dass ich nicht mehr erkennen kann, wie diese Person eigentlich aussieht, welches ihre eigentlichen biometrischen Features sind. Und wenn ich nun ein ID-Dokument in eine Kamera halte, so etwas zu manipulieren und auszutauschen, ich meine, das sind Hollywood-Techniken, die kennen wir schon aus den 60er, 70er Jahren mit Greenscreen-Technik und Co. Und genau das sind alles Angriffsvektoren. Wir reden jetzt über Angriffsvektoren und Risiken eines Videoidents. Das heißt, wenn ich irgendwo zum Beispiel in einer Sprechstunde einem Arzt gegenübersitze und das ist jetzt eine Videosprechstunde, das ist ja gerade in den Pandemiezeiten Corona wirklich auch eine Erleichterung gewesen und ist auch weiterhin eine Erleichterung für einige und viele, zum Beispiel in einer Psychotherapie dann in einer vielleicht den ersten Gesprächen dann erstmal online irgendwo jemand gegenüber sitzt, ist vielleicht auch niederschwelliger. Das können Ärztinnen, Ärzte, Psychotherapeutinnen, Psychotherapeuten besser bewerten, was der Nutzen ist, aber der ist auf jeden Fall da. Dann muss ich aber ja doch wissen, wer sitzt mir da gegenüber. Klar. Dann das zweite Thema ist, wenn ich dann nicht nur eine Videosprechstunde mache, sondern wenn ich zum Beispiel einen Zugang zu einer digitalen Patientenakte, zur elektronischen Patientenakte eröffnen möchte, dann muss ich auch irgendwo einmal darlegen, dass ich wirklich Martin Tschirsich bin und auf diese Daten von diesem Martin Tschirsich, die jetzt bei der Kasse liegen, die bei einem Arzt liegen, die bei einem Krankenhaus liegen, auch zugreifen darf. Also ich muss mich ausweisen, weisen, meine Identität muss ich authentisieren, dass ich wirklich derjenige bin, der ich behaupte zu sein. Und dann auch, dass ich danach kann man dann prüfen, bin ich auch berechtigt, auf die Daten zuzugreifen. Und diese Ident-Frage, die geistert schon seit 2008 spätestens durch das Gesundheitswesen. Und schon seit damals wusste man, es ist auch von der Gematik, gibt es so ein übergreifendes Sicherheitskonzept. Da wusste man, dass das eine entscheidende Frage ist, also dass es da einen sehr hohen Schutzbedarf gibt oder wir ein sehr hohes Vertrauen haben müssen, in die behauptete Identität desjenigen, der uns da gegenübersitzt. Denn seien wir mal ganz ehrlich, alle Verschlüsselungstechnik der Welt nützt uns nichts, wenn ich nicht weiß, mit wem ich da verschlüsselt kommuniziere. Also wir kommunizieren jetzt auch gerade Ende-zu-Ende-verschlüsselt miteinander, nehme ich mal an.

08:23

Inga Bergen

Das weiß ich ehrlich gesagt gar nicht.

08:26

Martin Tschirsich

Es ist auf jeden Fall bei der Videosprechstunde im Gesundheitswesen so, das ist mandatiert, es muss Ende-zu-Ende-verschlüsselt sein, WebRTC, alles ganz toll. Aber auch dort, wir hatten diese Ende-zu-Ende-Verschlüsselung nicht angegriffen, aber wir konnten trotzdem mithören, was in so einer Videosprechstunde passiert. Weil dort einfach nicht klar war, wer sitzt denn am anderen Ende der Leitung? Sitzt da vielleicht ein Man in the Middle? Also hat sich jemand da vielleicht doch dazwischen gehalten, hört auf der einen Seite zu und gibt die Botschaft auf der anderen weiter in einen neuen Kanal. Beides immer schön verschlüsselt, aber die Authentizität fehlt.

08:56

Inga Bergen

Für mich ist das manchmal, ich finde es halt super spannend, auch so als Beispiel für eure Arbeit, auch als Beispiel dafür, wie mit Datenschutz, Datensicherheitsthemen in Deutschland auch so medial dann umgegangen wird. Weil es bringt ja auch schon eine gewisse also von der fachlichen Perspektive abgetrennt eine gewisse Macht mit sich, wenn man eben solche Lücken aufdeckt, wenn man dann ein Narrativ in der medialen Wahrnehmung sozusagen auch dadurch entwickelt und ganze Funktionalitäten oder ganze Ideen, wie etwas gelöst wird, also Beispiel Videoident, können dann dadurch ja gekippt werden. Also die sind dann Sagen wir mal, ich bin jetzt ein Unternehmen und habe jetzt irgendwie eine Ausschreibung gewonnen für Videoident für die EPA. Dann bin ich damit irgendwie dead. Ja, also, und das kann nicht mehr angewendet werden und es muss irgendwie was Neues kommen, was dann in Deutschland total oft dazu führt, dass die Sachen super kompliziert zu nutzen werden. Es gibt 1000 Sicherheitsschritte, man muss irgendwie mit einem Papier irgendwo hingehen. Also es ist alles so, ich kämpfe mich gerade durch die Anmeldung zum E-Rezept und Deswegen hat es mich auch so interessiert, mit dir zu sprechen, weil du siehst ja auch den Nutzen. Und ich frage mich halt, was läuft da irgendwie schief, dass wir in Deutschland das als einzige nicht hinkriegen, was zu machen, was so einen gewissen Sicherheitsstandard erfüllt und dann auch noch nutzerfreundlich ist, weißt du?

10:26

Martin Tschirsich

Also ich denke, zuerst muss die Dimension des Nutzens irgendwie klar sein. Was wollen wir überhaupt erreichen? Und dann kann man schauen, so ein bisschen wie der Bauherr, die Baufrau, die ein Haus bauen möchte und sagt: Sowas hätte ich gerne. Ich hätte gerne da oben einen Glasturm drauf. Und dann kommt der Architekt und sagt: Ja, das können wir machen, aber Dativ X, Y, Z unter den Bedingungen. So, und das ist auch die Funktion der Informationssicherheit. Die sagt einfach: Okay, kannst du machen. Aber wenn du möchtest, dass die Daten wirklich dann auch vertraulich bleiben, dass sie auch integer bleiben und nicht unbemerkt verändert werden, dass es auch wirklich noch deine Daten sind und wir die nicht verwechseln mit denen von deinem Bettnachbarn oder so im Krankenhaus, Dann nur unter diesen Bedingungen. Dann müssen wir da noch eine statische Komponente irgendwo einziehen. Aber immer mit dem Ziel, den Wunsch möglich zu machen, den Nutzen zu ermöglichen. Weil fachlich, muss ich ganz ehrlich sagen, bekomme ich so viel mit, aber sagen dazu oder bewerten kann ich da nichts. Das möchte ich auch nicht. Das ist nicht meine Rolle. Ich kann nur sagen, okay, wenn ihr das so möchtet, dann— es gibt ja sowohl die Fachlichkeit im Sinne des Zwecks, der Erbringung, der Verarbeitung selbst, also welchen medizinischen Nutzen möchte ich daraus schließen oder Nutzen für die Versorgung? Und dann gibt es auch das Thema Nutzerfreundlichkeit, Zugänglichkeit, Barrierefreiheit. Da gibt es so viele Themen. Die sind alle schon so komplex, dass das eine Person gar nicht überblicken kann. So, und dann komme ich dann rein und sage: Ja klar, könnt ihr alles so machen, aber unter folgenden Bedingungen. Und manchmal muss man dann Abstriche machen, wenn man sagt, ich möchte zum Beispiel, dass ich ohne irgendwo vor Ort sein zu müssen, dass ich einfach remote sofort einen Zugang öffnen kann. Und ich möchte auch nicht, dass sich der Patient eine PIN für eine eID merkt und und und. Dann kommt zum Beispiel nur noch ein Videoident in Frage. Was das Thema Videoident angeht, da kann ich niederschwellig sofort jetzt hier gerade mit den Themen, mit den Auto-Ident-Anwendungen, Verfahren, die es gibt inzwischen, am Smartphone mich identifizieren lassen, brauche kein meinen Personalausweis mit einer PIN, sondern ich muss den einfach nur in die Kamera halten. Mein Gesicht, meine biometrischen Merkmale, die trage ich mit mir, die kann ich gar nicht vergessen. Und ein ID-Dokument, Personalausweis, Pass habe ich meist sowieso und Smartphone-Kamera auch. Also würde man sagen, eigentlich eine perfekte Lösung. Problem dabei ist schon, der BfDI hat vor vielen, vielen Jahren, also noch der Vorgänger von Herrn Kelber, darauf hingewiesen, dass das Verfahren—

12:27

Inga Bergen

Herr Kelber ist unser Bundesdatenschützer, ja, nur kurz für die, die es nicht wissen.

12:31

Martin Tschirsich

Ja, also der Bundesbeauftragte für den Datenschutz und Informationsfreiheit hat schon vor vielen Jahren darauf hingewiesen, dass dieses Verfahren erhöhten Risiken ausgesetzt ist. Und dann kam das BSI, das Bundesamt für Sicherheit in der Informationstechnik, hat 2017 dieses Verfahren angegriffen. Und die haben dort eine Forschungsgruppe um einen angesehenen Professor auf dem Feld darauf angesetzt, doch mal bitte die Risiken aufzuzeigen. Wenn ich sage angegriffen, das Verfahren ist ja nicht verändert worden. Das Verfahren ist vorher und nach dieser Analyse des BSI genau gleich. Nur nachher kennt man die Risiken, die damit einhergehen. Und dann kann ein Entscheider, der sagt, okay, diese Risiken können wir eingehen oder nicht, dann daraufhin handeln und sagen: Okay, ist okay, können wir akzeptieren, diese Risiken oder nicht.

13:10

Inga Bergen

Lass uns mal kurz da einhaken, weil wir kommen jetzt zu einem extrem spannenden Punkt jetzt an dieser Frage. Und das ist ja schon fast philosophisch. Welche Risiken wollen wir akzeptieren? Risiken. Wer entscheidet, welche Risiken akzeptiert werden? Weil ich frage mich manchmal, ich hätte gerne alles irgendwie einfach zugänglich. Gut, mich hat jetzt noch niemand irgendwo angegriffen. Das hat mir noch niemand die Identität gestohlen. Also ich war da noch kein Opfer. Ich hoffe auch, dass ich es so schnell nicht werde. Deswegen bin ich da vielleicht jetzt nicht so ganz so alert, weil für mich ist es immer wichtiger, dass es irgendwie einfach ist. Weil jetzt habe ich diesen Brief mit dem E-Rezept, mit der PIN, mit dem dies, das überfordert mich total bei allen anderen Themen, die ich schon irgendwie erledigen muss. Und wenn ich mir jetzt vorstelle, das macht jemand, der durch eine chronische Erkrankung vielleicht eingeschränkt ist, ja, vielleicht kognitiv. Also, ne, ich, ich habe einen Studienabschluss, ich befasse mich mit solchen Themen, ich kann mich da schon durchwühlen, aber es ist halt eben kompliziert. Und das finde ich, ist ja auch eine spannende Frage.

14:11

Martin Tschirsich

Ja klar, unbenommen. Also die Frage, also ich möchte das trennen in zwei Punkte. Einmal müssen die Risiken identifiziert und bewertet werden. Was ist die Eintrittswahrscheinlichkeit, was ist die Schadenshöhe? Und dann gibt es den nächsten Punkt. Also dann gibt es diejenigen, die dann sagen, okay, dieses Risiko, das kann ich akzeptieren, das kann ich tragen, oder das muss ich verringern. Ja, das ist eine Entscheidung, wie gehe ich damit um. Also erstmal nur die Identifikation und die Einordnung, okay, was für eine Wahrscheinlichkeit haben wir denn, dass dieses Risiko tatsächlich auch zu einem Schaden führt, und wie groß kann dieser Schaden für wie viele Patienten zum Beispiel dann sein, oder wie viele Menschen. Das ist das eine, das ist eine fachliche, ich sag mal, eine möglichst objektive Aufgabe. Das Zweite ist dann, möchte ich dieses Risiko tragen oder nicht, oder kann ich es tragen? Und da kommen wir jetzt in diese Debatte, die auch ganz zurecht geführt wird, wo ich auch ein Befürworter bin zu sagen, wenn ich es schaffe, diese Risiken, über diese Risiken aufzuklären und jemand verständlich zu machen, welches Risiko er oder sie damit eingeht, dann soll er oder sie selber entscheiden nach seinen eigenen Bedürfnissen, ob er oder sie dieses Risiko eingehen möchte. Weil das ist eine ganz persönliche Frage. Und da bin ich dabei, das sollte die Autonomie eines jeden sein, darüber selber zu entscheiden, ob ich das eingehen möchte oder nicht.

15:24

Inga Bergen

Ja, das ist eben so spannend, weil ich habe häufig, also häufig nehme ich das wahr im Gesundheitswesen. Wir reden ja über Digitalisierung ja schon Ewigkeiten und wir reden irgendwie so gefühlt so Berliner Flughafen-Vibe. Also weißt du ja, wie lange wir über eine ePA reden und elektronische Patientenakte und solche Themen. Wie schleppend das eben doch vorangeht. Und ich habe auch manchmal den Eindruck, dass jetzt erst das Bewusstsein entsteht, dass Dinge wirklich einfach zugänglich sein müssen, dass die nutzerfreundlich sein müssen und dass die ja wirklich auch konkurrieren mit jedem WhatsApp, TikTok, Instagram, Google Maps, Duolingo als Beispiel. Also allem, was wir irgendwie im Internet auf unserem Smartphone nutzen. Das setzt ja einen Standard und Menschen verstehen dann ja gar nicht mehr, Warum ist das denn jetzt so mit digitalen Anwendungen im Gesundheitsbereich so kompliziert? Und benutzen sie dann halt einfach nicht. Also eine Nutzendurchdringung ist einfach nicht möglich, wenn etwas zu kompliziert ist. Und da frage ich mich so oft, warum das in Deutschland so ist, dass es sozusagen, also das ist so meine Wahrnehmung. Vielleicht können wir, kann ich dich das einfach mal fragen, wie du das wahrnimmst. Meine Wahrnehmung ist oft, es gibt sagen wir irgendeine digitale Innovation, EPA oder sonst was. Dann wird aus irgendeiner Richtung das Thema Datenschutz und Datensicherheit aufgemacht, meinem Gefühl nach total überdimensioniert. Und das bekommt dann so viel Aufmerksamkeit, dass ganz viele kalte Füße kriegen und wieder irgendetwas dann vielleicht doch nicht gemacht wird oder doch nicht so nach vorne gepusht wird und Und ich nehme halt nur diesen rein äußeren Layer wahr. Das, was du jetzt mir aber erzählst, ist, dass du sagst, du musst eigentlich am Anfang dir ja schon diese Fragen stellen. Du musst am Anfang Expertinnen und Experten ja schon involvieren. Dann passiert es vielleicht gar nicht, dass hinten raus dann irgendwie so etwas an die Oberfläche kommt und sofort alle großen Zweifel sehen und sich dann die Bevölkerung wieder fragt: Ist das sicher? Was ist das? Können wir das überhaupt nutzen? Was bringt mir das? Und diese Kette losgeht. Haben wir da irgendwie ein prozessuales Problem im deutschen Gesundheitswesen, dass so was nicht vom Anfang her mitgedacht wird? Oder wie ist das?

17:42

Martin Tschirsich

Das kann man schon so sagen. Also mitgedacht wäre vielleicht falsch. Also ich möchte erst mal diesen medialen Aspekt, diese Kommunikation am Kristallisationspunkt Sicherheit und Datenschutz, die wird ja von sehr vielen Akteuren genutzt. Und das wird von sehr vielen Akteuren, wird dieses Thema genutzt, um eigene Botschaften zu transportieren. Und selten sind das diejenigen, die tatsächlich sich mit Informationssicherheit und Datenschutz beschäftigen. Oft sind es dann einzelne Verbände, die zum Beispiel auch Gesellschaften in der Gematik, die dann aus eigenen Erwägungen heraus das Thema aufgreifen. Meistens ist es ein Vehikel, um eine eigene Botschaft zu transportieren, um eine andere Botschaft zu transportieren. Und das ist auch ein Punkt, weswegen es uns hier im Gesundheitswesen so oft zerreißt, weil, das muss ich ja hier nicht ansprechen, da gab es ja auch schon vorher viele Gäste, die das so genannt haben. Wir haben einfach zu viele verschiedene Interessenten und Vertreter, die diesen Brei hier verderben. Und wenn wir jetzt mal runterbrechen, was ist Das eigentliche Thema. Also eigentlich brauchen wir im Gesundheitswesen eine solide Infrastruktur, eine IT-Infrastruktur, eine digitale Infrastruktur, weil alles, was ich bisher so 100 Jahre lang analog gemacht habe, ich gehe in eine Praxis, dann bin ich halt der Müller in der Praxis, der Herr Müller oder so, und unter diesem Namen wurde ich schon seit 10 Jahren behandelt, meine Daten liegen dort. Diese Prozesse, die werden jetzt versucht, nicht nur zu digitalisieren, elektrifizieren, sondern man möchte ja dann jetzt auch das Ganze noch besser machen. Man möchte sagen, wir haben eine neue Dings, eine Akte, die einrichtungsübergreifend lebenslang alle Dokumente zusammenführt, zum Beispiel eine Person, dann muss sich ein ganz neuer Prozess einfinden, der neue Anforderungen hat. Diese Anforderungen sind seit 2008, habe ich eingangs gesagt, schon auch verschriftlicht worden und man weiß, dass das Thema der initialen Identifikation, dieses Zusammenbringen, wer ist das eigentlich in der echten Welt, wer diese Zugangsinstrumente in der Hand hat zu diesen Daten, das muss geklärt werden. Man hat es aber nicht getan, weil auch hier wieder die Verantwortlichkeiten auseinanderfallen. Es gibt zwar eine Gematik, die Gematik verantwortet aber nicht die Gestaltung dieser Ausgabe dieser identifizierenden Attribute, also der Authentisierungsmittel, der Schlüssel, der Zugangsschlüssel, der Zugangskarten. Wir alle kennen eine Gesundheitskarte, klar. Die wenigsten kennen die PIN. Und wir wissen alle, dass eine Gesundheitskarte per Postbrief kommt. Das verantworten die Krankenkassen zum Beispiel. Die Krankenkassen haben im Namen des Krankenkassen, des GKV-Spitzenverbandes noch viele Jahre lang behauptet, dass die elektronische Gesundheitskarte kein Identifizierungsmittel ist, dass ich damit meine Identität nicht nachweisen kann. Heute reden wir darüber, dass ich in die Praxis gehe, meine Gesundheitskarte vorlege und dann hat der Arzt Vollzugriff auf die elektronischen Patientenakten unter der dort angegebenen Identität. Das heißt, diejenigen, die das entschieden haben, wie ist diese Karte auszugeben, also der Zugangsschlüssel, den wir damals 2008 festgelegt haben, was soll er sein, die waren sich ihrer Verantwortung nicht bewusst oder wenn sie es waren, dann haben sie gesagt, das interessiert aber uns nicht, das ist nicht die Aufgabe, die wir erfüllen möchten als kleines Zahnrädchen in diesem Gesamtsystem. Und das führt dazu, Das wäre, also das wäre wie wenn man eine Autobahn bauen möchte und jeder Abschnitt wird von einer eigenen Kommune getragen. Die Kommune, die sagt, ja, ich habe aber nichts davon, wir haben hier keine Abzweigung, also ich baue da nur eine Schotterpiste hin. Dann kann das natürlich nicht funktionieren. Wenn jetzt wollen wir die Autos darauf setzen, auf diese Schotterpiste, dann haben wir vielleicht von Berlin nach Tegel haben wir da irgendwie eine super Autobahn, dann dahinter auf einmal eine Schotterpiste, dann Acker und dann geht es wieder los mit einem dreispurig ausgebauten System. Das funktioniert natürlich nicht. Und jetzt merkt man das, die Autos gar nicht laufen und rennen können.

20:56

Inga Bergen

Aber das ist halt so spannend, weil, also du hilfst jetzt mir gerade sehr, das so ein bisschen zu entheddern, eben auf dieser Ebene Gesundheitssystem. Das ist natürlich ein Phänomen, was wir in total vielen Bereichen sehen. Wir digitalisieren etwas und die, sagen wir, prozessualen Probleme und, und sozusagen Fehler, die werden total sichtbar, weil digitaler Prozess muss ja irgendwie so seamless sein, der muss irgendwie ineinandergreifen. Ja, da haben wir bestimmte Erwartungen, auch wenn wir das nutzen. Und wenn wir jetzt so einen zerstückelten Prozess mit 50 verschiedenen Stakeholdern, die alle unterschiedliche Interessen verfolgen, dann versuchen zu digitalisieren und noch jedes Interesse zu bedienen, dann ist vollkommen klar, dass eigentlich am Ende was rauskommt, was nicht so, ja, was, was einfach nicht mithalten kann mit einem Nutzungserlebnis, was du halt hast, wenn du dich bei Amazon anmeldest oder bei Genau.

21:53

Martin Tschirsich

Und was sehr schwer ist zu kommunizieren oder zu bewerten, ist der Aspekt der Nutzbarkeit. Weil das muss gemessen werden. Da kann man vielleicht studieren, eine zweijährige Studie machen und sagen, okay, führt das wirklich zu einer Evidenz, haben wir eine Evidenz über eine Verbesserung der Versorgung? Ja, nein. Das ist eine Frage, die kann nicht von heute auf morgen, ist nicht schwarz oder weiß. Was aber ein ganz klarer Lackmustest ist, ist die Frage der Informationssicherheit. Weil wir haben gewisse Mindestanforderungen, wo ich sage, die müssen erfüllt sein. Zum Beispiel bei der Erstidentifikation. Wenn ich auf dich zukomme: Liebe Inga, möchtest du die elektronische Patientenakte nutzen? Die Frage kehren wir bald um, dann hast du ein Opt-out. Dann aber die Frage: Möchtest du die Daten für die Forschung freigeben? Oder bist du es, die auf diese Daten zugreifen möchte? Und soll ich dir den Schlüssel in die Hand geben? Da muss ich ja wissen, ob du wirklich diejenige bist, die du behauptest zu sein. Und diese Frage zu beantworten, da gibt es kein Drumherum. Da gibt es auch kein persönliches Abwägen. Weil wenn du sagst, auch mir ist es eigentlich egal, ich gehe auch gerne einfach nur mit meinem Smartphone in meine ePA rein und mir reicht es, wenn ich dann Biometrie mache. Also schon sicher, aber vielleicht haben andere einen höheren Anspruch. Das kannst du gerne für dich entscheiden, aber einmal muss klar sein, dass du diese Entscheidung triffst. Also nicht der Angreifer für dich sagt: Ach, die Inga, die braucht keine Sicherheit, da gehe ich jetzt einfach mal so rein in die Akte. Das musst schon du sein, der diese Entscheidung trifft. Und da wissen wir zum Beispiel, es gibt da Kriterien, es gibt so eine Angreiferbewertung. Da kann man sagen: Okay, wenn ein Angreifer für die Überwindung dieser Sicherheitsmaßnahmen 2 Wochen braucht, und der braucht dafür keine spezialisierten Tools und er muss auch kein Wissen haben, was irgendwie mehr ist als das, was man sich öffentlich aneignen kann. Er braucht keine Insiderinformationen. So, dann habe ich eine Angriffsbewertung und kann sagen, okay, das ist ein Angreiferniveau, das ist moderat oder niedrig. Und dann gibt es irgendwo eine Aussage vom BSI und da heißt es, nein, wir wollen zumindest, dass—

23:36

Inga Bergen

Bundesamt für Informationssicherheit.

23:38

Martin Tschirsich

Genau, hatte ich initial schon mal gesagt, das Bundesamt für Sicherheit in der Informationstechnik. Das hat diese Angriffsbewertung einmal auch ausgearbeitet und dann kann man sagen, okay, diese aktuelle Lösung, die wir hier anbieten, dieser Prozess, Der ist angreifbar durch einen Angreifer, der 2 Wochen seiner Zeit investiert. Es kann aber jedes Krippkind im Keller sein, das da irgendwie im Haus der Eltern noch wohnt. Und dieses typische Bild von dem Hacker. Oder ist es eine professionelle Hacker-Gruppe? Das kann man dann definieren und sagen, okay, gegen die möchten wir uns verteidigen, gegen die nicht. Und da muss man irgendwo mal eine Grenze ziehen. Aber wir unterschreiten dieses Niveau so derart, dass wir zum Beispiel bei dem Thema Ident, also wie komme ich überhaupt auf diese Daten drauf? Wie komme ich an diese elektronische Patientenakte? Wie komme ich an deine, Inge, an Deine in allen Einrichtungen in Deutschland hinterlegten Daten künftig, wie komme ich da ran? Und da war das Videoident vorgesehen und das war innerhalb von wenigen, also initial brauche ich mal 2 Wochen Vorbereitungszeit und dann kann ich jede Identität innerhalb von einem Tag übernehmen. Und das hat dazu geführt, dass man sagt, nee, also das geht natürlich auf jeden Fall nicht.

24:35

Inga Bergen

Ja, und was, da haben wir jetzt schon ausführlich drüber gesprochen. Lass uns da bei dem Beispiel jetzt noch mal eine Frage, und dann würde ich gerne noch mal ein anderes Thema anreißen. Aber jetzt bei dem Beispiel eine Frage: Was Was für ein Verfahren wäre denn möglich jetzt aus eurer Sicht? Oder macht ihr das nicht, dass ihr dann sagt, macht es doch so und so und gebt auch Empfehlungen? Ist euer Thema jetzt rein, sowas aufzudecken, oder würdet ihr auch eine Empfehlung geben?

25:01

Martin Tschirsich

Also gerade im Chaos Computer Club möchte man natürlich oft auch sich jetzt Mail aufdecken und sagen, okay, da geht etwas schief, weil das ist schwarz-weiß. Ich habe gesagt, okay, hier komme ich rein, so komme ich rein. Das kann man nicht sagen, na ja, lass mal diskutieren, vielleicht war es ja doch nicht so. Ich habe auf die Daten zugreifen können, ich habe hier den Schlüssel in der Hand. Das ist ganz einfach zu zeigen und deswegen, wie gesagt, das ist auch der Lackmustest, da zeigt es sich üblicherweise am ehesten, wenn irgendwas schiefgelaufen ist in diesen vielen Jahren davor, bis so eine E-Paddel tatsächlich endlich im Feld angekommen ist. Das Thema konstruktiv jetzt umgehen, das liegt eher bei anderen. Ich meine, da haben wir ja eigentlich auch entsprechende Agenturen, wie es jetzt heißt, also eine Gematik zum Beispiel, die ja eigentlich verantwortlich ist, so was konstruktiv auszugestalten. Da haben wir aber auch Vorgaben aus dem BMG, die daraufhin dann angepasst werden müssen, wo man sagen muss, eigentlich ist das der Kreative, das ist der architektonischen Teil, um so eine Lösung zu schaffen. Wir geben aber natürlich gerne Empfehlungen. Und es gibt so gewisse Leitplanken, Leitlinien, die man einfach mitgeben muss. Und was das Thema zum Beispiel der Identität angeht, da kommen wir irgendwo nicht drum rum, mal einmal vor Ort uns auszuweisen, wie wir das auch bei der E-ID machen. Und deswegen gibt es ja auch jetzt inzwischen nach, ich weiß nicht wie vielen Jahren, endlich die Überlegung, so was zum Beispiel auch in der Apotheke oder bei einem Arzt anzubieten. Dass man sagt, okay, auch dort kann Identitätsfeststellung durchgeführt werden. Das ist eben das klassische Postident, das ist ätzend, da muss man irgendwo hingehen. Wir hätten aber auch eine E-ID, die hat jeder, fast jeder Bürger in Deutschland verfügbar und hat da eine PIN beispielsweise. In anderen Ländern schaffen wir das auch. Also wenn wir zum Beispiel nach Estland blicken oder nach Österreich, da gibt es eine Elga und so weiter. Die haben das Thema gelöst ohne Videoident. Hier ist das Videoident so ein Stopgap gewesen, der mal wieder letzte Minute reingedrückt worden ist, weil man vorher einfach diese Themen vernachlässigt hat. Und dann stellt sich raus, okay, dieses Pflaster, was wir jetzt über dieses Loch kleben, das hält doch nicht. Hätten wir es mal von Anfang an richtig macht.

26:45

Inga Bergen

Und da gibt es wirklich eine Lösung. Ja, genau. Und das finde ich super. Ich finde auch es sehr gut, wenn wir gleich mal in die Richtung gehen, was kann man denn konstruktiv jetzt mit solchen Informationen machen? Für mich ist übrigens das ganze Thema, ist etwas nutzerfreundlich? Also kann ich das wirklich, sagen wir vielleicht auch mit einem geringen Alphabetisierungsgrad benutzen? Komme ich da durch? Verstehe ich das? Das ist für mich ein absolut zentrales Thema. Und diese Kombination ist ja, glaube ich, nicht so, sagen wir mal, oder es geht dann oft zu Lasten der Frage, wie einfach zugänglich ist dann so ein Service. Also die Lösungen, die dann entwickelt werden, gerade jetzt so im Gesundheitswesen, die sind dann häufig so komplex. Max Leik-Dieken sagt immer, wir haben irgendwie ein Haus gebaut ohne Fenster und Türen. Und das soll es ja am Ende auch nicht sein. Aber da freut es mich natürlich zu hören, dass du das jetzt gar nicht als Ziel beschreibst, weil so wie ich zum Beispiel Karos Computerclub wahrnehme, ist es ja schon eine sehr mächtige Institution. Also ihr könnt schon, ihr könntet theoretisch, wenn ihr die richtige Lücke entdeckt, könntet ihr einen Börsenkurs schon auch zum Abstürzen bringen. Also wenn man jetzt mal, wenn man es jetzt mal so richtig hart ausdrückt. Das heißt, was mich interessiert, ich habe ja selbst auch Unternehmen aufgebaut, auch im Bereich Digital Health schon und arbeite mit vielen Unternehmen. Und das ist ja so eine Horrorvision, Irgendwie eines jeden Unternehmers, einer jeden Unternehmerin irgendwie. Ihr findet eine Sicherheitslücke. Wie ist das denn jetzt für Unternehmen im Gesundheitswesen, die digitale Services anbieten? Wie geht man am besten mit so was um aus eurer Sicht? Also wenn ihr jetzt euch so was anguckt, wir haben jetzt über das Ident-Verfahren gesprochen. Das kann aber auch jeder x-beliebige andere Fall sein. Ihr deckt die Sicherheitslücke auf. Was ist ein guter Umgang damit, deiner Sicht?

28:40

Martin Tschirsich

Vielleicht erst mal der CCC, der Chaos Computer Club, der verpflichtet sich und seine Mitglieder fühlen sich auch der sogenannten Hackerethik verpflichtet. Das sind gewisse moralische Grundsätze, die genau das eben nicht befürworten. Diese beispielsweise, wenn dort eine Schwachstelle identifiziert wird, wenn Zugang zu privaten Daten möglich ist, das zu missbrauchen. Das ist ein ganz klarer Verstoß gegen die ethischen Grundsätze des Chaos Computer Clubs.

29:03

Inga Bergen

Es gibt ja euch, aber es gibt ja auch andere Hacker, die kriminelle Energie haben. Gerade jetzt sehen wir die geopolitische Situation. Wir wissen, es gibt einen Cyberkrieg und das ist eigentlich jedem so präsent. Also so lieb wie ihr seid, sind dann ja nicht alle.

29:16

Martin Tschirsich

Also im Chaos Computer Club sind Mitglieder aller Wissensstufen, aller Bereiche auch vor Ort. Es geht nicht nur um die IT-Sicherheit, Informationssicherheit, sondern dort wird der Begriff Hacken positiv besetzt. Und es geht darum, kreativ neue Dinge mit vorhandener Technik und mit vorhandenen Instrumenten machen, auch auch Gesellschaft, Gesellschaftsstrukturen hacken. Da gibt es sehr, sehr viele Auslegungen und Ideen, wie man kreativ Neues schaffen kann, was vielleicht nicht so gedacht war. Aber das kann auch nutzbringend sein und es führt auf jeden Fall dazu, dass wir ja, ich sag mal, möglicherweise auch neue Risiken und Gefahren sehen im Sinne der Technikfolgenabschätzung, was ein sehr, sehr wertvoller Beitrag ist. Der CCC wird üblicherweise dann auch angehört, zum Beispiel im Ausschuss Digitale Agenda oder im Gesundheitsausschuss und so weiter. Dazu saß ich auch schon als Mitglied des CCC. Ich bin dort nicht Sprecher, aber teilweise konnte ich zu solchen Themen dann auch als Sachverständiger dann Auskunft geben, um genau, wie ich eingangs gesagt habe, da zu denken: Okay, wir haben folgenden Sachverhalt. Wenn wir das so machen, dann passiert Folgendes. Wenn A, dann B. Und daraufhin muss dann eine Entscheidung getroffen werden, ob man das so wirklich möchte oder nicht. Mächtig ist der CCC in dem Bereich nicht. Er kann als Sachverständiger angehört werden. Er kann auch eine Pressemitteilung rausgeben. Er kann auch darauf hinweisen. Er kann auch zeigen: Okay, wir haben hier mal einen Hack durchgeführt. Darüber ist er sehr bekannt geworden, dass man gesagt hat: Okay, wir haben hier Geld von einer Bank abgehoben, zum Beispiel. Aber das ist eine, diese Macht kommt nur daraus, dass andere sich dann bedroht sehen und sagen, okay, jetzt müssen wir handeln. Und das ist meist schon zu spät. Also das ist leider, wird der CCC genau dann nicht angehört, üblicherweise, wenn das relevant ist. Wir haben zum Beispiel im CCC 2019, also vor 3 Jahren, gefordert, dass bei Ausgabe der elektronischen Gesundheitskarte sichergestellt werden muss, wem gebe ich die aus. Jetzt haben wir heute den Herrn Lauterbach, der fordert, dass ich mit der Steckung der elektronischen Gesundheitskarte dann Zugriff zur ePA bekomme, um dieses dieses niederschwelliger zu ermöglichen. Leider wurde der CCC nicht gehört. Das heißt, das wird nicht möglich sein. Und das heißt, der CCC hat keine gestalterische Macht in dem Sinne, die wir uns zumindest wünschen würden, sondern er hat meist nur dann oder ist leider dann oft in der Aufgabe, den Finger in die schon offene Wunde zu legen und zu sagen: Leute, also jetzt ist es zu spät.

31:20

Inga Bergen

Aber das ist ja auch das, was irgendwie dann medial funktioniert, weil wenn du jetzt einmal irgendwo liest, 2 Millionen Patientendaten gehackt, dann klickt da natürlich jeder drauf.

31:30

Martin Tschirsich

Ja, aber was? Und wir kommen gleich zum Thema Disclosure. Was mache ich dann? Da ist das Kind ja schon in den Brunnen gefallen. Der Moment des Handelns, der wäre 2 Jahre oder 3 Jahre oder in der, bei der Grammatik 5 Jahre früher gewesen, ja, je nachdem wie lang so ein Zyklus ist und wie so ein Produkt geschaffen wird. Das ist so ein bisschen wie, wenn ich mir, wenn ein TÜV sich anschaut das Thema Brustimplantate, nehme ich jetzt mal raus, weil das war ja eins, was durch die Medien gegangen ist, dass da qualitativ minderwertige Medizinprodukte zum Einsatz kamen. Und da geht es nicht darum, mir die Qualität dieser Produkte anzusehen, sondern die werden die hergestellt, die Herstellungsprozesse Prozesse. Und da gab es schon viel im Vorfeld, da war, ist der Schaden aufgetreten, da war das Problem, dass diese ganzen vorherigen Prozesse gescheitert sind und nicht umgesetzt worden sind. Da war der Mangel, nicht am Produkt selber, das war dann nur noch sozusagen das Symptom, aber nicht die Ursache. Und der CCC, der kann dann sozusagen nur noch sagen, okay, jetzt sind die Symptome für alle sichtbar. Genau, wie gehe ich jetzt damit um, wenn so Symptom sichtbar wird? Also wir hatten, also auch meinerseits hatte ich jetzt die letzten Jahre leider sehr oft das die Situation, dass ich dort einen Mangel identifiziert habe, dass dort tatsächlich auch Daten verfügbar waren, also Echtdaten von Patientinnen und Patienten, zum Beispiel das Thema Terminverwaltung, dass dort Daten verfügbar waren. Wir hatten das jetzt ganz zuletzt wieder mit einem österreichischen Anbieter von Terminvereinbarungen, wo ich dann, oder auch so eine Warteschlangensoftware, ein tolles Thema. Ich komme in die Arztpraxis, ist überfüllt. Corona ist immer noch so ein Thema. Wir haben jetzt alle möglichen anderen viralen und sonstigen Infekte, denen ich mich nicht unbedingt ausgesetzt sehen möchte, wenn ich da 3 Stunden in so einer Warteschlange stehe. Wartezimmer sitze. Und kann ich die Zeit nicht besser nutzen? Klar, da gibt es Warteschlangensoftware. Ich ziehe mir ein Ticket, ich scanne QR-Code ab mit meinem Smartphone und da steht dann: Ihre Wartezeit beträgt noch 50 Minuten. In der Zeit gehe ich halt noch mal ins Einkaufszentrum oder in den Park. Und dann gibt es eine Realtime-Information. Ich sehe in Echtzeit: Okay, jetzt noch 10 Minuten, jetzt geht schon mal lieber wieder zurück. Tolle Sache. Was möglich war, was wir tun konnten, ist: Wir konnten in Echtzeit auf alle Warteschlangen der Welt zugreifen. Und insbesondere im deutschsprachigen Raum können wir dann sehen, okay, die Frau Inga, die steht bergens, die steht jetzt gerade in der Warteschlange zur Praxis YZ und hat folgenden Kommentar: Befundbesprechung XY. So hat der Arzt noch hinzugefügt oder die MFA und so weiter. Und das will man dann natürlich nicht. Also eine Seite eventuell nutzen. So, und jetzt hatten wir diese Daten, weil das war für alle sichtbar und das ist ein fortgesetzter Verstoß. Also das ist für jeden, der diese Webseite von diesem Service aufruft, sichtbar. Wenn der nur mal, ich glaube, man muss in dem Browser die Taste F12 drücken, dann kommt auch jeder Laie da an so eine Webkonsole ran und kann dann dort die entsprechenden Datenströme hin und her fliegen sehen. Also so einfach war diese Lücke auszunutzen. Und was haben wir gemacht? Wir sind zum BSI gegangen. Das BSI bietet ein sogenanntes koordinierter, also ein Prozess der Coordinated Vulnerability Disclosure an. Bedeutet, ich kann zum BSI gehen und denen sagen: Ich habe hier einen Sicherheitsmangel gefunden, ein Datenleck beispielsweise. Ich möchte, dass ihr die Koordination übernehmt, mit dem Hersteller dem mitzuteilen, dass es da ein Problem gibt und dafür zu sorgen, dass es möglichst schnell abgestellt wird. Das ist der übliche Prozess, die sogenannte koordinierte oder coordinated vulnerability disclosure. Kennt man auch unter dem Schlagwort Responsible Vulnerability Disclosure.

34:37

Inga Bergen

Und das machen die dann auch schnell und das ist jetzt nicht so ein behördlicher Prozess, wo das Unternehmen dann 4 Monate später Post kriegt, oder?

34:44

Martin Tschirsich

Ja, also in dem Fall, das war jetzt ein Negativbeispiel leider, da war so, dass das Unternehmen erstmal 2 Wochen lang gar nicht korrespondiert hat, und danach bin ich zum BSI gegangen, weil das Unternehmen einfach nicht reagiert hat. Und das BSI ist dann genau dafür da. Das BSI ist ja üblicherweise für unsere Bundesverwaltung und Behörden und so weiter da, deren Sicherheit hier im Rahmen dieses Programms zu bedenken. Das Problem war, das war jetzt ein österreichischer Anbieter, aber mit Auswirkungen auf die Versorgung in Deutschland, weil viele deutsche Arztpraxen da auch angeschlossen waren.. Und in dem Fall bietet das BSI sozusagen nur Hilfe, wenn es dann zu Konflikten kommt. Und natürlich, es kam zu diesem Konflikt, der Hersteller hat nicht reagiert, bin zum BSI gegangen, das hat 3 Monate gedauert. Nach 3 Monaten war dieser Fehler immer noch nicht behoben. Das BSI hat dort keine, ich sag mal, Autorität, da etwas zu tun, hat kein Bußgeld aussprechen können.

35:25

Inga Bergen

Weil die eben in Österreich sitzen.

35:27

Martin Tschirsich

Genau, richtig. Aber auch unabhängig davon, das BSI kann diesen Prozess, kann mit dem Hersteller reden, kann ihn darauf hinweisen, sagen, komm, mach das bitte. Aber wenn es nicht aufgrund des BSI-Gesetzes hier eine Rechtsgrundlage gibt für das BSI, etwas anzuordnen, oder zu handeln, dann kann es das nicht. Das BSI kann nur das tun, für was es auch vom Gesetzgeber beauftragt worden ist.

35:46

Inga Bergen

Spannend finde ich dann die Frage, weil wenn ich jetzt Herstellerin bin, Anbieterin bin und werde auf eine Sicherheitslücke hingewiesen, die mir signifikanten Vertrauensverlust bedeuten könnte und im Prinzip mein Geschäft killen, mir einen Shitstorm beschweren, dann würde ich ja an der Stelle was tun. Aber so wie du das beschreibst, scheint das jetzt gar nicht so unbedingt immer der Fall zu sein, dass jemand dann sagt: Ach ja, komm, ach, die Sicherheitslücke, da ist doch egal.

36:18

Martin Tschirsich

Genau, häufig haben wir das Erlebnis, dass man anruft und wenn man sagt, hier Mitglieder im CCC oder das CCC haben Folgendes identifiziert oder eine Privatperson hat folgende Sicherheitsmängel identifiziert. Sobald man da einmal durchgedrungen ist und das auf der Gegenseite auch die richtigen Ansprechpartner in die Hände bekommt, Dann wird üblicherweise, so in zwei Drittel der Fälle, wird auch schnell gehandelt. Dann wird das abgestellt, man ist sich dieses Problems dann natürlich bewusst, weil es ein Reputationsschaden ist, es ist ein Verstoß gegen die informationelle Selbstbestimmung von den Patienten, von den Nutzern und, und, und. Das führt zu finanziellen Verlusten, was weiß ich. Also die Schadensszenarien kann man sich da ausmalen, da gibt es viele. Sobald das erkannt wird, wird das natürlich üblicherweise schnellstmöglich abgestellt. Aber es gibt eben auch die schwarzen Schafe und die gibt es zuhauf leider. Die gibt es doch noch. Wenn ich von zwei Dritteln spreche, dann ist ein Drittel mindestens mal grenzwertig unterwegs oder tatsächlich schwarzes Schaf. Und da wird dann sehr gerne gespielt im Sinne von, entweder wir haben nichts gehört, wir melden nicht, wir versuchen, das unter die Decke zu kehren, wir versuchen, ein NDA zu vereinbaren, Schweigepflichterklärung beispielsweise dann abzuringen. Oder es gibt auch die Drogen dann mit der, ich mache mal, das war ja strafbar, was sie da gemacht haben. Hatten wir auch schon, das war der Fall Vivi, das ist schon länger her. Vivi war so eine Gesundheitsakte, die so ein bisschen wie elektronische Patientenakte jetzt auch auch einrichtungsübergreifend den Patienten den Austausch mit Dokumenten mit ihren Arztpraxen ermöglichen sollte und auch Ende-zu-Ende-Verschlüsselung und alles Mögliche wurde da kommuniziert. Und auch dort hatten wir dann die Möglichkeit, tatsächlich den kompletten Datenaustausch zumindest von den Metadaten her abzufiltern, aber auch im Einzelfall Arztpraxen anzufragen. Und das gab dann auch da ein Responsible-Disclosure-Verfahren. Wir sind dann auch zu dem Hersteller gegangen. Das lief auch soweit ganz angenehm. Haben gesagt, folgendes ist unser Problem, ihr habt da ein Riesen- Sicherheitsmangel. Und im Nachgang, wenn ihr das alles behoben habt, dann würden wir das gerne kommunizieren. Weil diejenigen Patientinnen und Patienten, die dieser Sicherheit vertraut haben, die müssen ja auch irgendwo informiert werden, dass ihre Daten doch nicht vertraulich waren. Wir wissen ja nicht, also wir haben das sehr schnell identifiziert, dieses Sicherheitsleck. Wie viele andere haben es noch identifiziert?

38:13

Inga Bergen

Weiß man nicht.

38:14

Martin Tschirsich

Deswegen gehört es dazu, im Nachgang Transparenz darüber herzustellen, wenn keine Gefahr mehr besteht. Wenn Dritte das nicht mehr ausnutzen können. Kamen dann auf einmal die Anrufe im Sinne von: Ja, was ihr gemacht habt, ist ja strafbar. Das wäre ja ganz schade, wenn das jetzt hier die Staatsanwaltschaft erfahren würde. Und wir würden ja mal schauen. Das war ja hier Paragraph Y. Also das sind ganz, ganz schwierige Anrufe. Da wurde dann eine Kanzlei für Reputationsmanagement angeheuert. Und das führt natürlich dazu, dass solche Prozesse, wo auf der einen Seite der Entdecker eines Sicherheitsmangels und auf der anderen Seite des Unternehmens, zwei Drittel sind dann die Guten, dass die dann teilweise auch nicht mehr so laufen, wie man sich das wünscht, weil diese schlechte Erfahrung dazu führt, dass man dann lieber gleich die Boxhandschuhe anzieht und nicht dann erst mal mit den Samthandschuhen freundlich in das Gespräch geht. Und das führt auf beiden Seiten dazu, dass es Verstimmungen gibt.

39:03

Inga Bergen

Das ist schade. Und das ist natürlich eigentlich schade, weil im Grunde müssen wir uns klarmachen, es gibt immer Sicherheitsmängel oder es kann immer Sicherheitsmängel geben. Das ist etwas, das kann man eben nicht ausschließen. Gut ist es, wenn sie entdeckt werden von jemand, der hehre Absichten hat. Und gut, noch besser ist es, wenn sie dann behoben werden, bevor wirklich krimineller Energie damit dann auch gearbeitet werden kann. Das heißt, ich glaube, das ist etwas, was wir wahrscheinlich uns auch bewusst machen müssen. Es kann einfach immer Sicherheitsmängel irgendwo geben. Selbst wenn man wirklich alles probiert, kann das passieren.

39:37

Martin Tschirsich

Genau, aber das ist ein ganz wichtiges Thema. Es wird immer Sicherheitsmängel geben, die gibt es. Und darüber, das ist auch nichts, hat auch keinen Nachrichtenwert oder sollte keinen haben, weil ein richtig, also das ist so ein bisschen wie wenn ich ein Auto baue. Von außen sehen die modernen Autos meist gleich aus. Aber erst beim ADAC-Crashtest sehe ich dann, welches hat 5 Sterne und welches fällt mit einem Stern durch. Von außen sehen sie erst mal alle schick aus und halten auch erst mal. Aber das ist nicht die Qualität, auf die es ankommt. Das sind die inneren Werte. Und so was haben wir auch bei digitalen Prozessen, bei Software. Und da wird es dann aber undurchsichtig. Weil bei einem Auto, okay, da können wir wissen, wir haben eine Knautschzone und so weiter. Was ist denn die Knautschzone einer Software? Das ist leider noch vielfach nicht verstanden worden. Ich möchte jetzt mal ein Beispiel elektronische Patientenakte aufführen. Die gibt es ja nun schon seit, ich glaube, so 2 Jahren im Feld. Die Spezifikation wurde ja schon öfter mal wieder über den Haufen geworfen und so weiter, aber seit 2 Jahren haben wir sie glaube ich im Feld. So, diese elektronische Patientenakte ist schon mindestens 3-mal komplett gehackt worden. Was heißt das? Naja, initial war es so, wir konnten uns diese Gesundheitskarten und die PINs einfach bestellen, anrufen, Postbrief zukommen lassen. Da spielt die ganze restliche Sicherheitsbrücke keine Rolle. Das war ein Sicherheitsmangel, aber an einer zentralen Stelle. Und dieser Mangel wurde nicht bedacht und dazu geführt, dass diese gesamte Akte kompromittiert war, also dass ich dann jeden gezielt hätte angreifen können. Jeden Patienten, jede Patientin. Wenn diese Akte mit einer echten Ende-zu-Ende-Verschlüsselung gebaut worden wäre, wo die Hoheit über das Schlüsselmaterial wirklich im Besitz der Nutzerinnen und Nutzer gewesen wäre, hätte ich das möglicherweise verhindern können. Also da hätte man so eine Art Verteidigungslinie in der Tiefe noch mal einziehen können. Nicht nur einen Burggraben außenrum oder einen Burgwall, und wenn der fällt, dann war es das. Da gibt es immer noch den Turm in der Burg, auf den sich dann die Besatzung der Burg dann auch zurückziehen kann. Und das brauchen wir hier auch. Und es gibt leider, und das ist auch bei der elektronischen Patientenakte so der Fall, eine viel zu große sogenannte Trusted Computing Base, also tragende Wände, die wenn die einstürzen, alles zum Fall bringen. Das sind einfach zu viele und die sind nicht bekannt und für deren Sicherheit fühlt sich niemand verantwortlich. Wir haben diese elektronische Patientenakte dann im Nachgang nochmal geknackt. Die Ende-zu-Ende-Verschlüsselung, die war angreifbar. Das heißt, der Betreiber sollte eigentlich technisch und auch organisatorisch keinen Zugang zu den Daten der Akte haben. Die Akte wird ja unter anderem von IBM und anderen betrieben, die Anbieter dieser elektronischen Patientenakte, der Dokumentenverwaltung und so weiter. Und auch dort wurde ein kryptografisches Protokoll gebaut, was angegriffen werden konnte. Wurde dann auch noch, ich glaube, das wurde 2 Wochen vor Veröffentlichung der EPA dann schnell versucht zu beheben und wurde dann im Feld irgendwie paar Monate später dann auch mit einem Update dann umgesetzt.

42:18

Inga Bergen

Was super ist, also ja, also weil ich glaube, das ist so spannend, finde ich, das geht mir jetzt gerade auf, weil das Narrativ, auch das mediale Narrativ ist ja, es gibt diese Sicherheitsmängel, wir können das jetzt alles nicht benutzen, wir müssen das alles stoppen. Es muss alles gestoppt werden, es darf nichts digitalisiert werden. So, das ist ja oft so ein bisschen das, was so mitschwingt. Das ist aber gar nicht euer Ziel, sondern euer Ziel ist, die Sachen aufzudecken, in einen konstruktiven Dialog zu gehen und dabei zu helfen, dass sie eben behoben werden. Dass aber Digitalisierung ja weiter Leuten zugutekommt. Du sagst ja selber, du bist pro Telemedizin, du bist eigentlich so pro Datenaustausch. Das finde ich so spannend. Also reden wir eigentlich von einem grundsätzlichen Missverständnis.

43:02

Martin Tschirsich

Das ist ein Missverständnis. Wie ich schon eingangs gesagt habe, das Thema Informationssicherheit wird auch gerne genutzt, um Kommunikationsbotschaften reinzubringen. Das machen wir ja auch. Also wenn zum Beispiel der CCC jetzt einen Datenleck identifiziert, dann bringt der CCC gleich wieder seine Forderungen an. Die sind berechtigt. Macht das früher, Jungs und Mädels, die dafür verantwortlich seid. Kümmert euch früher um die Sicherheit, baut sogenannte echte Sicherheit ein, Verteidigung in der Tiefe, Architekturen, die sicher sind. Sicherheitsmangel kommen. Das sind die Botschaften des CCC und die verstehen wir als Dienst an der Gesellschaft, weil dann müssen wir nicht warten, bis sich die Symptome an der Oberfläche zeigen und drin schon alles morsch ist, sondern dann können wir von Anfang an ein sehr solides Auto auf die Straße setzen. Es gibt andere Akteure, die dann bei jeder Sicherheitsmangel, jedem Datenleck dann natürlich auch gerne Panik schüren. Und das finde ich dann nicht mehr verantwortlich, weil viele Dinge sind nicht vergleichbar. Greifbar. Wenn ich zum Beispiel einen Lada, der hat einen Unfall und dann sage ich, oh, da ist ja die ganze Fahrerkabine zerstört, dann muss ich jetzt auch das Auto B von einem anderen Hersteller, der vielleicht eine viel sichere Karosserie baut, das muss ich dann nicht einstampfen. Sondern das sind diese inneren Werte, von denen ich sprach. Und das große Problem mit der Informationssicherheit allgemein bei der Digitalisierung ist, diese Sachen sind nicht greifbar. Es ist viel zu verborgen, was dort tatsächlich für Risiken existieren oder nicht. Wenn ein Kind über die rote Ampel läuft, da kommt das Auto, das ist der Threat Actor. Da kann ich sagen, okay, Okay, Problem Auto, der Schaden ist Knochenbruch, was weiß ich noch mehr. Das ist sehr klar und deutlich. Das muss ich dem Kind aber auch beibringen. Wenn es aber um eine Anwendung geht, was sind das überhaupt für Risiken, was bedeutet das überhaupt, dann muss ich da sehr analytisch vorgehen und auf Papier erst mal Dinge aufbringen, die ich dann erst erklären muss. Das ist erklärungsbedürftig. Das eignet sich nicht für die großen Schlagzeilen. Leider braucht es die großen Schlagzeilen, damit das überhaupt überhaupt angegangen wird, das Thema. Weil es ist eine Kostenstelle. Es ist ein Kostenfaktor, Informationssicherheit zu bringen. Ich kann darüber keine Kunden werben. Ich kann es schlecht kommunizieren. Es ist kein Markt in dem Sinne. Vielleicht eine Veranschaulichung dazu. Es gibt dieses Thema Gebrauchtwagen. Da gibt es die sogenannte Lemon, Market of Lemons. Also Gebrauchtwagen, wenn ich als Käufer einen Gebrauchtwagen erwerbe, gehe ich immer davon aus, dass mich der Verkäufer irgendwie belügt, versucht zu schummeln. Deswegen zahle ich auch immer nur den Preis, den ein absoluter Schrottkarren auch noch gerade hergeben würde. Unabhängig davon, ob ich vielleicht Glück habe und ich erwische doch ein super gepflegtes, checkheftgepflegtes Auto, wo auch der Kilometerstand nicht manipuliert worden ist. Ich gehe einfach davon aus, nee, die sind alle durchweg nicht vertrauenswürdig. Dasselbe haben wir auch bei der Software. Wenn jetzt einer sagt, meine Software, die ist jetzt teurer und dafür brauche ich auch noch mal vielleicht 2 Monate mehr Entwicklungszeit und vielleicht mehr Ressourcen, die ist aber auch dann wirklich sicher. Das heißt sicher, auch wenn ich einen Mangel habe, ein technisches Sicherheitsproblem, führt das nicht dazu, dass gleich ein Schaden eintritt. Das kann ich nicht honorieren als Auftraggeber, weil ich kann das ja nicht vergleichen. Mir fehlt als Auftraggeber, und das ist auch wieder das Thema Kompetenz in denjenigen, die diese Aufträge vergeben, diese Externalisierung auch dieser Kompetenzen. Das ist ein Thema, über das Lillith Wittmann üblicherweise auch mit CCC sehr, sehr oft spricht. Das ist nicht da. Das heißt, für mich sehen alle Angebote gleich aus. Dann gibt es die EPA A und die EPA B und sind ja alle unsicher. Und das ist absolut nicht zielführend.

46:17

Inga Bergen

Ich glaube, ich habe auf jeden Fall sehr viel besser verstanden, wie ihr arbeitet, was auch euer Ziel ist und dass es total viel Sinn macht, Expertinnen und Experten für Datensicherheit wirklich von Anfang an einzubinden, genauso wie für Datenschutz und da auch ein signifikantes Budget für locker zu machen, damit man hinterher nicht teuer sozusagen alles wieder einfangen muss. Und ich habe auch noch mal die Motive verstanden und auch verstanden, dass es jetzt manchmal gar nicht so einfach ist, tatsächlich auch mit Anbietern dann in Kontakt zu treten. Das hätte ich auch nicht gedacht. Also ich hätte irgendwie gedacht, dass jeder da sofort super alert ist und was tut, sobald ihr auftaucht, weil der Schaden, der entstehen kann, einfach in sich groß ist. Finde ich enorm spannend und ich glaube, da ist noch einiges zu tun. Ich würde mir total wünschen, dass wir irgendwann zu Lösungen kommen, die wirklich einfach zugänglich sind, die einfach nutzbar sind und wo eben Datensicherheit und auch Datenschutz nicht dazu führen, dass wir zu unbenutzbaren Lösungen kommen, die man im Prinzip dann auch gar nicht bauen braucht, weil die so kompliziert sind, dass es sowieso keine Verbreitung dann findet in der Bevölkerung. Weil das ist ja leider das Resultat oft. Und das kann es ja nun auch nicht sein, dass ich Milliarden ausgebe für Lösungen, die so kompliziert sind, dass eben keiner mehr benutzen kann. Und so wie du es beschreibst, muss eben auch nicht sein. Also Datensicherheit und gute Usability können trotzdem Hand in Hand gehen.

47:51

Martin Tschirsich

Genau, die Datensicherheit und Informationssicherheit ist eine nachgelagerte Dimension. Das setzt quasi die Leitplanken, das ist quasi die Statik des Gebäudes. Aber der Architekt ist nicht derjenige, der die Statik macht. Das ist ganz klar. Stimmt voll überein.

48:04

Inga Bergen

Ja, wunderbar. Ja, Martin, vielen, vielen tausend Dank. Ich habe dir übrigens auch einfach geschrieben und dich gefragt. Du hast ja eingangs gesagt, man kann dich auch einfach kontaktieren. Du bist wirklich immer im Austausch auch zu diesen Themen. Interessiert. Das ist ja auch dein Fachgebiet. Du hast ja auch, also du beschäftigst dich auch professionell mit Datensicherheit und Informationssicherheit und berätst und machst dir auch genau diese Erfahrung ja auch zunutze. Ich bedanke mich auf jeden Fall ganz, ganz herzlich bei dir für dieses für mich sehr, sehr spannende Gespräch.

48:35

Martin Tschirsich

Ja, danke für die Einladung.

48:37

Inga Bergen

Ja, und ich hoffe, den Zuhörerinnen und Zuhörern hat es auch gefallen. Ihr habt was Neues gelernt und es hat ein bisschen Licht ins Dunkel gebracht. Macht, was der Chaos Computer Club macht und was das auch bedeutet für Datensicherheit und Informationsschutz im Gesundheitswesen. Also vielen Dank.

48:52

Inga Bergen

Unser Werbepartner DrLib ist Marktführer für die Onlinebuchung und Organisation von Arztterminen in Praxen und Krankenhäusern in seinen Kernmärkten Frankreich, Deutschland und Italien. Mit seiner Software begleitet DrLib 340.000 Ärzte, Ärztinnen und Gesundheitsfachkräfte in Europa. Probiert es aus und organisiert eure Arzttermine digital unter www.drlib.de. Oder in der Dr. Lib App. Wenn ihr mehr wissen wollt, findet ihr alle Links und Informationen auf www.visionäre-gesundheit.de. Visionäre mit AE.