Konnektor-Update! Sonst Sperrung
Etwa 300 Konnektoren des Herstellers Rise droht Ende Oktober die Sperrung. Hintergrund ist eine Sicherheitslücke, die sich eigentlich durch ein Update beheben lässt. Wenn das nicht vorgenommen wurde, wird das Gerät gesperrt. Betroffene Konnektoren könnten auch in Apotheken stehen.
Bei Konnektoren der Firma Rise ist bereits Ende vergangenen Jahres eine sogenannte log4j-Sicherheitslücke aufgetreten. Bereits kurz nach Bekanntwerden hatte der Hersteller kostenfreie Updates bereitgestellt, um die Schwachstelle zu beheben. Auch Apotheken können laut Gematik von der log4j-Sicherheitslücke betroffen sein, sofern sie keine Updates der Konnektor-Software bei den betroffenen Produktversionen vorgenommen haben.
Mehr zum Thema
Statt Austausch
Konnektor-Update vielleicht doch möglich – später
Nach Secunet auch CGM
CCC-Hacker knacken weiteren TI-Konnektor
Apotheken und Praxen, die betroffene Produktversionen nutzen, sind laut Gematik auch immer wieder über VPN-Zugangsdienste über das fehlende Update informiert worden. Wer das bislang ignoriert hat, dem droht Ende Oktober die Sperrung des Konnektors. Die Gematik erklärt dazu: „Wenn eine Apotheke eine der betroffenen Produktversionen nutzt, die Software des Konnektors aber regelmäßig aktualisiert, dürfte das Problem nicht mehr bestehen. Nur wenn die Software nicht aktualisiert wurde, besteht weiterhin diese Sicherheitslücke (bei den genannten Produktversionen). Der VPN-Zugangsdienst müsste sich in diesem Fall bereits in Verbindung mit der betroffenen Apotheke gesetzt haben. Wichtig ist jetzt, dass eine betroffene Apotheke bis Ende des Monats das Update installiert. Damit erfolgt dann auch keine Sperrung.“
Welche Produktversionen der Rise-Konnektoren von der Log4j-Schwachstelle betroffen sind, finden Sie im Fachportal der Gematik im entsprechenden Eintrag.
Gematik: Updates gehören zur „allgemeinen Sorgfaltspflicht“
Laut heise online ist unklar, wie weitreichend Angreifer nach Missbrauch der Log4j-Lücke im System Zugriff erhalten und wie weit sie es kompromittieren könnten. Eine potenziell vollständige Kompromittierung sei denkbar. Eine derart schwerwiegende Sicherheitslücke rechtfertige den Schritt, die verwundbaren Konnektoren zu sperren.
Die Gematik erklärt gegenüber heise online, sie schätze die „Eintrittswahrscheinlichkeit für ein Ausnutzen der Schwachstelle […] insgesamt als relativ gering ein“. Die Analysen des Herstellers hätten ergeben, dass die bestehende Schwachstelle am Rise-Konnektor nicht von außen ausgenutzt werden konnte. Daher wurden nicht sofort „harte Maßnahmen“ ergriffen, die Praxen und Apotheken von der TI ausgeschlossen hätten. Dennoch werden die Konnektoren mit der Log4j-Lücke laut Gematik nun bald gesperrt, da ein Update zur „allgemeinen Sorgfaltspflicht“ gehöre.
Quelle: Den ganzen Artikel lesen