Unsichere Ärztepost - Schwachstellen im E-Mail-System aufgedeckt
Ein digitales System soll sensible Daten in Arztpraxen schützen. Doch Forscher zeigen auf dem CCC-Hackerkongress: Wichtige Standards werden nicht eingehalten. Mittlerweile wurden Sicherheitsupdates veröffentlicht. Von S. Eckert und L. Ueberall.
exklusiv
Stand: 27.12.2025 10:34 Uhr
Ein digitales System soll sensible Daten in Arztpraxen schützen. Doch Forscher zeigen auf dem CCC-Hackerkongress: Wichtige Standards werden nicht eingehalten. Mittlerweile wurden Sicherheitsupdates veröffentlicht.
Von Svea Eckert und Leon Ueberall, NDR
Was viele Patienten nicht wissen: Wenn Praxen und Krankenhäuser untereinander Diagnosen, Laborbefunde oder Medikationsanweisungen per Mail verschicken, dann tun sie es nicht einfach so. Es gibt ein als besonders sicher geltendes System, KIM "Kommunikation im Medizinwesen" genannt, mit dem solche sehr sensiblen Gesundheitsinformationen sicher verschickt werden.
Dort werden sie verschlüsselt, damit Angreifer sie nicht abfangen oder auslesen können. Spezifiziert wird dieses System von einer staatlichen Stelle, der Gematik.
Recherchen von NDR und Süddeutsche Zeitung zeigen: Dieses Sicherheitsversprechen wurde offenbar über Jahre nicht vollständig eingelöst. Erkenntnisse, die der IT-Sicherheitsforscher Christoph Saatjohann vor Monaten machte und heute auf dem 39. Chaos Communication Congress in Hamburg vorstellt. Die Gematik hat darauf reagiert und inzwischen ein umfassendes Sicherheitsupdate veröffentlicht. Dennoch würden einige Unsicherheiten zunächst weiter bestehen.
Absenderadressen konnten gefälscht werden
"Wenn E-Mails über KIM kommen, dann wirkt das für die Praxis seriös und wird angeklickt", erklärt der Sicherheitsforscher. Genau darin liege ein Risiko. Die Gematik habe vor Jahren diese Lösung für Praxen, Kliniken und Apotheken vorgegeben, aber Sicherheitsstandards nicht umgesetzt.
So würden Arzt-Mails zwar eine digitale Signatur tragen, die bestätigt: Diese Mail wurde über das geschützte System verschickt. Doch sie sage eben nicht zuverlässig, wer genau der Absender ist. Vergleichen lässt sich die Lücke etwa mit einem Brief, der zwar mit einem Siegel versehen ist, aber der Absender auf dem Umschlag frei wählbar bleibt. Der Brief ist dann zwar echt, doch der Name kann falsch sein.
Schwachstelle mit möglichen Folgen
Angreifer hätten diese Schwachstelle ausnutzen können, etwa für Spam oder Phishing, erklärt der Wissenschaftler von der FH Münster, der dort Cybersicherheit im Medizinumfeld lehrt. Denkbar wären zum Beispiel täuschend echte Nachrichten gewesen, die wie legitime Arztpost aussehen - in Wirklichkeit aber Schadsoftware enthalten könnten, um Praxen lahmzulegen oder Patientendaten zu stehlen. Kliniken sind ein beliebtes Angriffsziel, immer wieder tauchen gehackte Patientendaten im Darknet auf und werden dort verkauft.