Gesundheitskarten-Telematik nicht von Heartbleed-Bug betroffen
In diesem Jahr steht der Test des Online-Rollouts Stufe 1 bevor, bei dem Stammdaten auf der Gesundheitskarte über Server-Dienste aktualisiert werden sollen. Die Gematik hat alle Anbieter befragt, ob deren Systeme für den Heartbeat-Bug anfällig sind.
Die telematische Infrastruktur der Gesundheitskarte ist nicht vom Heartbleed-GAU betroffen. Das teilt die Betreibergesellschaft Gematik mit. Derzeit seien überhaupt noch keine Dienste online erreichbar. Die Gematik habe zudem alle Anbieter entsprechender Systeme um Stellungnahmen gebeten, ob OpenSSL in den betroffenen Versionen (1.0.1 bis 1.0.1f) verwendet wird.
Grundsätzlich kann nach Darstellung der Gematik die OpenSSL-Bibliothek innerhalb von Diensten und Komponenten der im Aufbau befindlichen telematischen Infrastruktur verwendet werden, auch wenn dies nicht explizit in der neuesten Fassung der Spezifikationen erwähnt wird. Daher habe man bei allen Anbieter angefragt.
"Falls ja, müssen die Anbieter neues Schlüsselmaterial generieren, auch wenn die Systeme nicht extern erreichbar waren. Das Schadensszenario ist dadurch eingeschränkt, dass ohnehin noch keine Dienste online erreichbar sind, die potenziell von der Schwachstelle betroffen wären", erklärte Unternehmenssprecherin Heike Fischer gegenüber heise online. Erst wenn der Testlauf des Online-Rollouts Stufe 1 (OSR1) beginnt, sind überhaupt Server-Dienste erreichbar.
Bei der Gematik gibt es nach Aussage von Fischer ein Information Security Management System für die Schwachstellenanalyse. In Fällen wie dem Heartbleed-GAU soll ein klar definierter Prozess ablaufen, bei dem potenziell betroffene Anbieter zu dem Vorfall befragt werden. Diese müssten eventuelle Schwachstellen prüfen und beheben und dies an die Gematik zurückmelden. In der Regel betreiben die Hersteller zudem ein eigenes Schwachstellenmanagement und sollen häufig bereits eigene Maßnahmen eingeleitet haben. (anw)
