DICOM – Angriffe auf den wohl wichtigsten Standard im Medizinsektor

Fast alle Hersteller bildgebender oder bildverarbeitender Systeme in der Medizin wie z. B. Röntgen, MRT oder CT, implementieren den DICOM-Standard in ihren Produkten. Dadurch wird im klinischen Umfeld Interoperabilität zwischen Systemen verschiedener Hersteller ermöglicht.

Wahrscheinlich sind Sie selbst schon mit Bildern im DICOM-Format in Kontakt gekommen. Wurde Ihnen beispielsweise nach einer Röntgenaufnahme eine CD für Folgetermine mitgegeben, wurden auf dieser höchstwahrscheinlich Bilder im DICOM-Format gespeichert.

Neben Daten wie Vor- und Nachname, Geburtsdatum und Geschlecht werden innerhalb dieser Bilder meist auch sensible Informationen wie Befund- und Diagnosedaten gespeichert.

Um eine Verteilung solcher DICOM-Bilder zwischen Geräten und dem medizinischen Personal sicherzustellen, werden innerhalb von medizinischen Einrichtungen „PACS-Server“ verwendet. PACS steht für Picture Archiving and Communication System. Dies ist im Grunde eine Datenbank, in welcher alle medizinischen Bilder gespeichert sind. Jedes Krankenhaus verfügt in der Regel über einen eigenen PACS-Server. Jedes medizinische Bild, das innerhalb eines Krankenhauses aufgenommen wird, wird automatisch auf diesem PACS-Server gespeichert. Ärzte aus verschiedensten Abteilungen können so ohne weiteren Dateiaustausch untereinander von ihrem Client-PC aus auf die Datensätze zugreifen.

Vulnerable PACS-Systeme

Eine in der Praxis oft gesehene Sicherheitslücke ist, dass diese PACS-Systeme nur unzureichend gegen einen nicht-authentifizierten Zugriff abgesichert werden. Erfahrungsgemäß können Angreifer, die sich im internen Krankenhausnetz befinden, oft ohne Authentifizierung auf interne PACS-Server zugreifen, um so sämtliche Bilder und deren verknüpfte Patientendaten zu stehlen.

Folgendes erschreckende Beispiel soll zeigen, dass eine Vielzahl von solchen ungeschützten PACS-Systemen auch öffentlich aus dem Internet erreichbar ist.

Ein Angreifer kann beispielsweise die Suchmaschine Shodan (https://www.shodan.io) verwenden, um bestimmte Arten von Computern und Diensten (Webcams, Router, aber auch PACS-Server), die mit dem Internet verbunden sind, über eine Reihe von Filtern zu finden. Hier können international mehrere Tausend IP-Adressen identifiziert werden, welche den Zugang zu gespeicherten DICOM-Bildern ermöglichen:

 

 

Folgendes Beispiel zeigt einen aus dem Internet erreichbaren PACS-Server (auch z.T. DICOM-Server genannt).

Gelangt der Angreifer an diese IP-Adresse sowie an die Information, dass ein PACS-Service exponiert ist, kann er eine gewöhnliche DICOM-Viewer-Software (z.B. Radiant DICOM-Viewer) verwenden, um auf sämtliche gespeicherte DICOM-Bilder zuzugreifen, falls der Server nicht durch eine Authentifizierung abgesichert ist:

Best Practices innerhalb der Krankenhaus-IT

In der Praxis wurden Erfahrungen gemacht, dass auch durch Kennwort abgesicherte PACS-Systeme kompromittiert wurden, da allgemeine Security-Best-Practices innerhalb der Krankenhaus-IT nicht umgesetzt wurden. So verwenden etwa bildgebende Geräte sowie Ärzte aus verschiedenen Abteilungen identische Zugangsdaten, um auf das interne PACS-System zuzugreifen. Eine weitere verbreitete Sicherheitslücke ist eine nicht getrennte Rollenverteilung, sodass jeder PACS-Nutzer auf sämtliche Datensätze lesend und schreibend zugreifen darf. Gelangt ein Angreifer hier durch z.B. eine Phishing-Attacke in das interne Krankenhausnetz, kann so mit Leichtigkeit das System kompromittiert werden.

Falls Sie Ihre medizinische IT-Infrastruktur auf solche Schwachstellen hin untersuchen möchten, vereinbaren Sie gerne ein persönliches Gespräch mit uns.