Die Sache mit den Email-Attachements

Anfang August landete eine etwas eigenartige Mail in meiner Inbox:

Irritierend war vor allem, dass die Mail:

• keine Anrede enthielt und keinen direkten Bezug auf meinen Namen machte
• zwar nicht direkt dringlich, aber mit der verschlüsselten Nachricht doch irgendwie wichtig wirkte
• und vor allem ein Attachment (secure-email.html) enthielt welches ich für den Zugriff auf den verschlüsselten Inhalt doch bitte öffnen möge.

Auf den ersten Blick sah das sehr nach einer Phishing- oder Malware-Mail aus, welche es trotz Spamfilter in meine Inbox geschafft hatte. Gerade vor dem Trick mit den Attachments werden Mail-Benutzer regelmässig gewarnt, sind entsprechend präparierte Dateinen doch ein beliebtes Einfallstor für Malware.

Andererseits hatte ich einige Wochen zuvor in der Tat ein Datenauskunftsbegehren bei meineimpfungen.ch gestellt, war die Email an eine nur auf dieser Plattform eingesetzten Mail-Adresse geschickt worden und war der viersprachige Text sprachlich korrekt (was bei Spam- und Phising-Mails ja selten der Fall ist). Und, wie ein kurzer Blick auf hin.ch und dort insbesondere auf https://support.hin.ch/de/thema/hin-mail-global/empfaenger/ verrät, bietet HIN effektiv einen Email-Service an mit welchem Gesundheitsanbieter verschlüsselte Mails an Patienten oder Versicherte verschicken können auch wenn die Empfänger HIN nicht nutzen.

Wie das grundsätzlich funktioniert, kann man unter https://support.hin.ch/de/hin-mail-global/wie-kann-ich-die-e-mail-oeffnen-und-lesen/ nachlesen und nachschauen. In Kürze und mit etwas technischen Details ergänzt funktioniert es wie folgt:

1. Die verschlüsselte Mail an sich ist mittels S/MIME (einen Public Key-Verfahren insbesondere für Emails) verschlüsselt im HTML-Attachment enthalten, dieses öffnet man im Browser
2. Beim erstmaligen Empfangen einer verschlüsselten Mail muss man eine Mobiltelefonnummer angeben, diese wird anschliessend mit der Email-Adresse verknüpft
3. An diese Telefonnummer wird dann beim Öffnen von verschlüsselten HTML-Files jeweils ein PIN-Code per SMS verschickt, mit dem man sich für die Entschlüsselung einloggen kann
4. Mit der Anmeldung wird der Key zur Entschlüsselung der Mail an den Browser geschickt, dieser entschlüsselt die Mail anschliessend lokal.

Und warum das alles: Nun, neben meineimpfungen.ch stehen auch andere Gesundheitsanbieter (zum Beispiel Krankenkassen und HMOs welche in der einen oder anderen Form Telemedizin anbieten) vor dem Problem, mit den Patienten auf eine sichere Art und Weise kommunizieren zu können. Und bei diesen haben vermutlich die wenigsten einen sicheren Email-Account, ergo braucht es eine alternative Lösung.

Ein kleiner Knackpunkt im Ablauf ist Schritt 2: sofern ich es schaffe, die erste – an eine Patientin geschickte – HIN-Mail abzufangen (zum Beispiel indem ich ein oft genutztes Mailsystem wie GMX angreife oder, vermutlich realistischer, indem ich den in einer Partnerschaft oder Familie lockereren Umgang mit Passwörtern dazu missbrauche, die Mails meiner Partnerin zu lesen) und mich mit einer eigenen Mobiltelefonnummer anzumelden, erhalte ich Zugriff auf die Email-Inhalte ohne dass dies der Patientin auffällt (vor allem wenn ich verhindere, dass sie die Email überhaupt erhält). Natürlich dürfte das früher oder später auffliegen (spätestens wenn sich die die Patientin beim Arzt über nicht erhaltene Mails beschwert), aber Daten können bis dann schon in falsche Hände geraten sein. Gemäss Auskunft von HIN hat der Absender allerdings die Möglichkeit, die Telefonnummer der Empfängerin vorab zu registrieren. Damit liesse sich diese potentielle Schwäche vermeiden.

Das im Gesamtbild grössere Problem ist aber, dass die Benutzer lernen, dass es durchaus Mails gibt die zwar nach Spam/Phising aussehen, deren Attachments man aber öffnen und dazu dann persönliche Daten auf einer Webseite eingeben muss, um an die eigentlich wichtigen Inhalte zu kommen. HIN liegen bisher nach eigenen Angaben keine Hinweise darauf vor, dass es hier zu Irritationen von Anwendern oder zu Missbrauch gekommen ist. Das mag unter Umständen allerdings auch daran liegen, dass die Digitalisierung des Gesundheitswesen noch immer in den Kinderschuhen steckt und eher wenige Patienten (bzw. generell Empfänger ohne eigenen HIN-Zugang) HIN-verschlüsselte Mails erhalten.

So oder so landen wir hier in einem Dilemma:

• Entweder werden Privatpersonen darauf trainiert, dass auch Attachments in anonym wirkenden Mails angeklickt werden sollen, und erhöhen so ihr Risiko, einer Phishing-Attacke zum Opfer zu fallen
• Oder HIN-Mails werden als gefährlich angesehen und die (sachlich gesehen wichtigen) Mails von Gesundheitsanbietern werden ignoriert/als Spam verstanden.

Beides kann nicht der Weisheit letzter Schluss sein.

Leicht entschärfen liesse sich die Situation, wenn HIN die Absender dazu verpflichten würde, die Telefonnummer der Empfänger vorab zu registieren (momentan ist das optional) und wenn die Mail zumindest eine persönliche Anrede sowie einen kurzen Anriss im Sinne von „Ihr Gesundheitsanbieter Medgate hat Ihnen eine verschlüsselte Nachricht geschickt, bitte öffnen Sie …“ enthalten würde (oder wenn die Mail direkt als von Medgate kommend erkennbar wäre). Ansonsten hat man als Privatperson nur die Option, sich eine HIN-Email-Adresse zuzulegen, diese für den digitalen Verkehr mit seinen Gesundheitsanbietern zu verwenden und das Problem so lösen. Es ist allerdings zu bezweifeln, dass dieser Weg bei Kosten von CHF 240/Jahr auf viel Interesse stösst. So bleibt mangels etablierter sicherer Email-Infrastruktur dem digitalen Gesundheitswesen für die Kommunikation mit den Patienten vorderhand nur ein suboptimaler und tendenziell risikobehafteter Weg offen. Vielleicht ist das mit ein Grund, wieso Telemedizin-Anbieter und Versicherungen teilweise eher auf Kommunikation via Apps anstatt Email setzen (sofern sie nicht, wie SwissMedic, einfach auf unverschlüsselte Mails setzen).