Kolumne Geht’s noch?: Och, nur Laborwerte…
Die Gesundheitsdaten-App Vivy hat Sicherheitsmängel. Das an sich ist kein Skandal – die unprofessionelle Reaktion der Macher dagegen schon.
E ine App. Ein paar Sicherheitslücken. Und ein Hersteller, der, nachdem er darauf aufmerksam gemacht wurde, nicht etwa die App vom Markt nimmt und die Nutzer davor warnt, sie weiter zu verwenden, während er an der Fehlerbehebung arbeitet. Sondern die App laufen lässt, aber hinterher mitteilt, es habe ja nur ein hypothetisches Angriffsrisiko bestanden. Was Nutzer mit dieser App verwalten und austauschen sollen? Och, nur Gesundheitsdaten. Laborwerte, Röntgenbilder, Medikationspläne und so.
Das Problem ist nicht eine Sicherheitslücke an sich. Menschen machen Fehler, Menschen schreiben Software, also hat Software Fehler, und selbst wenn eines Tages standardmäßig Software neue Software schreibt, wird es Fehler geben, weil irgendwann mal jemand im Ursprungscode Mist gebaut hat.
Das Problem im aktuellen Fall der Gesundheitsdaten-App Vivy, die von mehreren Krankenkassen gefeatured wird, ist: Es waren Mängel, die auf einen eher entspannten Umgang mit Sicherheitsfragen schließen lassen. Ähnlich übrigens wie bei dem Facebook-Hack, der Ende September bekannt wurde.
Und: Statt die App erst mal zurückzuziehen, wie man es von einem Unternehmen erwarten sollte, das zum Start offensiv mit der Sicherheit warb, wiegelt der Hersteller hinterher ab. „Selbst im Falle erfolgreicher Angriffe wären maximal fragmentierte Datensätze einzelner Nutzer“ einsehbar gewesen.
Nicht die einzige App mit Mängeln
Würde es jemanden beruhigen, wenn es sich statt einer kompletten Patientenakte beispielsweise nur um einen Krankenhausbericht handelte? Oder kommen im Medikationsplan dann Schmerztabletten dazu, weil es dazu verleitet, den Kopf noch einmal mehr gegen die Wand zu schlagen, aus Fassungslosigkeit?
Dieser Text stammt aus der taz am wochenende. Immer ab Samstag am Kiosk, im eKiosk oder gleich im praktischen Wochenendabo. Und bei Facebook und Twitter.
Vivy – so deutet es das Unternehmen, das die Lücken entdeckt hat, an – ist erwartbarerweise nicht die einzige Gesundheitsapp mit gravierenden Sicherheitsmängeln. Die erste naheliegende Konsequenz wäre also: Finger weg. Die zweite: Software in derart sensiblen Bereichen muss Open Source sein. Damit möglichst viele kenntnisreiche Menschen sie überprüfen und Mängel entdecken können.
Die dritte: eine Verpflichtung – dazu, das Produkt temporär zurückzuziehen und die Nutzer umgehend zu informieren, egal, ob ein Angriffsszenario als hypothetisch, realistisch oder schon geschehen betrachtet wird. Im besten Fall schafft das mehr Vertrauen als die Ungewissheit, ob der letzte MRT-Befund vielleicht doch in unbefugte Hände gelangt ist.
taz lesen kann jede:r
Als Genossenschaft gehören wir unseren Leser:innen. Und unser Journalismus ist nicht nur 100 % konzernfrei, sondern auch kostenfrei zugänglich. Texte, die es nicht allen recht machen und Stimmen, die man woanders nicht hört – immer aus Überzeugung und hier auf taz.de ohne Paywall. Unsere Leser:innen müssen nichts bezahlen, wissen aber, dass guter, kritischer Journalismus nicht aus dem Nichts entsteht. Dafür sind wir sehr dankbar. Damit wir auch morgen noch unseren Journalismus machen können, brauchen wir mehr Unterstützung. Unser nächstes Ziel: 40.000 – und mit Ihrer Beteiligung können wir es schaffen. Setzen Sie ein Zeichen für die taz und für die Zukunft unseres Journalismus. Mit nur 5,- Euro sind Sie dabei! Jetzt unterstützen
Starten Sie jetzt eine spannende Diskussion!