Auf Mastodon teilen

Die Fachzeitschrift c't berichtete am 23.10.20 unter https://www.heise.de/select/ct/2020/23/… über eine Sicherheitslücke im Programm "BosMon". "BosMon" ist ein kostenloses Programm zum Dekodieren von ZVEI-,FMS-und POCSAG-Telegrammen, wie sie bei bei der Alarmierung von Feuerwehr und Rettungsdienst im BOS-Funk zum Einsatz kommen. Damit können Alarmierungen und Statusmeldungen von Feuerwehr und Rettungsdienst an einem PC angezeigt und verarbeitet werden. Über die integrierte Anbindung an Dienste wie SMS, Prowl, NMA sowie durch die App BosMon Mobile können Einheiten automatisch oder manuell alarmiert werden. Die Sicherheitslücke bestand - wie oben berichtet - darin, dass der jeweilige "BosMon"-webserver über das Internet ohne Passwort oder Zugangsdaten erreichbar war. Die webserver waren über Dienste wie z.B. censys.io leicht auffindbar. Über den ungeschützen webserver-Zugang war es möglich, Einblick in die Alarmierung des jeweiligen Landkreises im Klartext zu erhalten. Die Sicherheitslücke der verschiedenen webserver wurde bis Ende 2020 nach und nach weitgehend geschlossen. Beim Einblick in die webserver in den verschiedenen Landkreisen/Städten fiel auf, dass oftmals unverschlüsselte digitale Alarmierung nach dem POCSAG-Standard verwendet wurde bzw. werden (Eintrag "POCSAG" in der Spalte "Kanal" in der webserver-Darstellung.) Dargestellt wurden dabei die persönlichen Daten der Patienten (Name, Adresse, Alter) und teilweise auch deren Gesundheitsdaten (z.B. das Symptom) in Klartext. Das Problem der unverschlüsselten Übertragung von Patientendaten und Gesundheitsdaten im BOS-Funk wurde bereits mehrfach medial thematisiert, siehe z.B.: https://www.golem.de/news/behoerdenfunk… und https://www.ndr.de/ratgeber/verbraucher… Das Telekommunikationsgesetz (TKG) schreibt in "§ 109 Technische Schutzmaßnahmen (1) Jeder Diensteanbieter hat erforderliche technische Vorkehrungen und sonstige Maßnahmen zu treffen 1. zum Schutz des Fernmeldegeheimnisses und 2. gegen die Verletzung des Schutzes personenbezogener Daten. Dabei ist der Stand der Technik zu berücksichtigen." Nach meiner Einschätzung ist der "Stand der Technik" bei der unverschlüsselten Übertragung von Patientendaten und Gesundheitsdaten im Klartext nicht gegeben. Daraus würde folgen, dass die jeweilige Rettungsleitstelle bzw. deren Träger bei der unverschlüsselten Übertragung von Patientendaten und Gesundheitsdaten gegen das TKG verstößt. Meine Fragen: 1) In wievielen Leitstellen in Nordrhein-Westfalen kommt die unverschlüsselte digitale POCSAG-Alarmierung von Feuerwehr und Rettungdienst aktuell zum Einsatz ? 2) Teilen Sie mein Verständnis, dass bei unverschlüsselter Übertragung von Patientendaten und Gesundheitsdaten die jeweilige Rettungsleitstelle bzw. deren Träger gegen § 109 TKG verstößt ? 3) Wie ist der Zeitplan für die Umstellung auf verschlüsselte digitale Alarmierung (z.B. mittels e*BOS oder TETRA-Digitalfunk) in den betroffenen Rettungsleitstellen ? Vielen Dank.