Wie das Handelsblatt berichtet, haben IT-Sicherheitsexperten beim digitalen Gesundheitsprogramm Velibra Mängel festgestellt. Diese wurden noch vor dem Start der Gesundheits-App behoben.
Ein Schaden für Patienten ist nicht entstanden, weil die Sicherheitsmängel noch vor dem Launch der App aufgedeckt und behoben wurden. Dennoch pikant: Velibra ist eine der beiden ersten digitalen Gesundheitsanwendungen, die das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) zugelassen hat. Sie kann von Ärzten verschrieben werden, die gesetzliche Krankenversicherung übernimmt die Kosten. Velibra soll Patienten mit Angst- und Panikstörungen als eine Art „digitaler Psychohelfer“ dienen.
Fehler vor dem Start behoben
Der IT-Sicherheitsexperte André Zilch und der im Chaos Computer Club (CCC) aktive Martin Tschirsich haben die Sicherheitslücken bei Velibra festgestellt. Der Betreiber hat daraufhin schnell reagiert und die sicherheitsrelevanten Lücken noch vor dem offiziellen Start der Gesundheitsapp geschlossen.
Die Auswertungen von Zilch und Tschirsich sind somit primär als Kritik am bisherigen Prüfverfahren des BfArM zu werten. Gegenüber dem Handelsblatt betonte Tschirsich: „Wir wollen, dass der Zulassungsprozess sinnvoll gestaltet wird, sodass Vertrauen in die Anwendungen entstehen kann und die ‚App auf Rezept‘ auch ein Erfolg werden kann.“
Zwei-Faktor-Authentifizierung notwendig
Die Sicherheitsexperten fanden heraus, dass Nutzer im Rahmen des Anmeldeverfahrens bei Eingabe einer bereits vergebenen E-Mailadresse einen Hinweis erhielten. Theoretisch war es somit durch die Eingabe einer E-Mail-Adresse von Freunden oder Kollegen möglich herauszufinden, wer eine digitale Therapie wegen Angststörungen macht.
Vermeidbar ist eine solche Form der Spionage durch die sogenannte Zwei-Faktor-Authentifizierung, wie sie beim Online-Banking heute üblich ist. Unmissverständlich ist hierzu auch eine technische Richtlinie des Bundesamts für Sicherheit in der Informationstechnik (BSI), in der es heisst: „Der Nutzer muss mittels zweitem Faktor authentifiziert werden, bevor sensible Daten in der Anwendung verarbeitet werden.“