Folge #177 – Der neueste ePA-Hack des CCC

In Folge 177 des eHealth-Podcasts spricht Christian mit Martin
Tschirsich, Christoph Saatjohann und Tim Weiler über einen
aktuellen Sicherheitsvorfall im Umfeld der Telematikinfrastruktur
(TI). Während der Startschuss für die bundesweite ePA-Nutzung am
29. April 2025 fiel, wurde bereits einen Tag später ein neuer
ePA-Hack durch den CCC veröffentlicht. Die Nachricht fand breite
mediale Beachtung, unter anderem in der Tagesschau und in
Spiegel-Eilmeldungen. Im Podcast sprechen wir darüber, was sich
genau hinter dem Hack verbirgt. Die drei Gäste erläutern zunächst
einige Grundlagen rund um die TI: • Aus welchen Komponenten besteht
sie? • Wie funktioniert das sogenannte „Walled Garden“-Prinzip? •
Welche Rolle spielen Konnektoren und andere TI-Komponenten in der
Sicherheitsarchitektur? Anschließend schildert Martin Tschirsich,
wie bei der Analyse der Infrastruktur verschiedene Schwachstellen
identifiziert wurden. Dabei geht es weniger um spektakuläre
Angriffe, sondern viel mehr um die konkreten technischen
Gegebenheiten, die Nachbesserungsbedarf aufzeigen. An dieser Stelle
dürfen natürlich keine Hinweise fehlen, wie sich die Sicherheit der
TI verbessern ließe – sowohl technisch als auch organisatorisch.
Tim Weiler ergänzt die technische Perspektive um eine Einordnung.
Er betont, dass Sicherheit immer in Abwägung mit dem praktischen
Nutzen betrachtet werden muss – ein Aspekt, der bei der Entwicklung
und Weiterentwicklung digitaler Infrastrukturen eine wichtige Rolle
spielt. Im Rahmen des neuen "ePA-Hacks" wurde zudem erstmals
öffentlich kommuniziert, dass die gleiche technische Grundlage, die
für die Schwachstelle in ePA verantwortlich war, auch dafür sorgte,
dass viele E-Rezepte abrufbar waren. Shownotes Medien Martin
Tschirsich, Bianca Kastl: C38C3 - „Konnte bisher noch nie gehackt
werden“: Die elektronische Patientenakte kommt Tagesschau: Video
Elektronische Patientenakte: Lauterbach bestätigt Probleme mit
Sicherheitslücken Logbuch Netzpolitik: LNP522 Security by
Hippocrates  Personen Martin Tschirsich auf linkedin Christoph
Saatjohann auf linkedin Tim Weiler auf linkedin