Teleradiologie in der diagnostischen und klinischen Radiologie

- 27 III. Sicherheit von Verschlüsselungssystemen Sofern in den Medien von einer unbefugten Entschlüsselung berichtet wird, handelt es sich meist um ein Verfahren, bei dem das Internet und die globale Vernetzung dienlich gemacht werden. Die zunächst als unlösbar geltende mathematische Berechnung wird auf einer Internet-Seite in einzelne, kleinere Aufgaben unterteilt, die dann von den weltweit Interessierten abgerufen und gelöst werden können. Durch diese Verteilung der Rechenaufgaben ist es möglich, jede verschlüsselte Nachricht innerhalb von einigen Monaten zu entschlüsseln46. Somit scheint ein wirklich sicheres Verschlüsseln nicht möglich. Diese Betrachtungsweise ist allerdings zu pauschal. Zum einen kann nur jeweils eine einzelne Nachricht entschlüsselt werden, d.h. es wird gerade nicht der private Schlüssel berechnet, sondern der in ihr enthaltene Text. Es handelt sich also nur um eine einmalige Information. Zum anderen muss der Aufwand beachtet werden: Um eine einzelne Information zu erhalten, ist die Verteilung auf eine Vielzahl (Tausende) von Rechnern notwendig. Dieses Entschlüsselungsbeispiel zeigt daher die Sicherheit von Verschlüsselungssoftware und gerade nicht ihre Unsicherheit. [...]

- 26 II. Umsetzung in die Praxis Vorteil können des bei asymmetrischen einem vernetzten Systems ist, dass zwischen den Kommunizierenden kein Schlüsseltausch notwendig ist, neue Teilnehmer Teilnehmerkreis wie der Teleradiologie unproblematisch hinzugefügt werden. Aufgrund der Langsamkeit des Systems unter alleiniger Verwendung asymmetrischer Verfahren in der Praxis werden asymmetrische und symmetrische Verfahren in der Praxis kombiniert: Zunächst erfolgt die Verschlüsselung der Daten mit einem symmetrischen Verfahren. Anschließend wird dieser Sitzungsschlüssel zur Entschlüsselung der symmetrisch verschlüsselten Nachricht mit einem asymmetrischen System verschlüsselt. Zur Entschlüsselung der Nachricht wird dementsprechend zuerst der Sitzungsschlüssel mit Hilfe des privaten Schlüssels des asymmetrischen Verfahrens entschlüsselt. Dieser gewonnene Sitzungsschlüssel dient dann zur Entschlüsselung der übersendeten Daten. [...]

- 25 Dabei unterscheidet man symmetrische und asymmetrische kryptographische Verfahren. Symmetrische Verschlüsselungsverfahren verwenden im Gegensatz zu asymmetrischen nur einen Schlüssel zur Verschlüsselung und zwar den selben zur Ver- und Entschlüsselung. Deshalb sollte dieses Verfahren nur bei geschlossenen Nutzergruppen verwendet werden, da ansonsten die Datensicherheit nicht gewährleistet werden kann. Beim asymmetrischen Verfahren erhält jede Person ein Schlüsselpaar aus einem privaten und öffentlichen Schlüssel, die nicht voneinander abzuleiten sind, mathematisch aber voneinander abhängen. Es handelt sich folglich um eine Gleichung mit zwei statt einer Unbekannten (wie bei symmetrischen Verfahren), wobei das Berechnungsverfahren den jeweiligen Schlüsselinhabern bekannt ist. Das Verfahren ist derart sicher, dass der öffentliche Schlüssel allgemein zugänglich und bekanntgegeben werden kann. Der zweite Schlüssel, der private Schlüssel, bleibt hingegen geheim. Zur Übertragung verschlüsselt der Absender die Nachricht mit dem öffentlichen Schlüssel des Empfängers und der Empfänger entschlüsselt sie mit seinem privaten Schlüssel. Bekanntestes asymmetrisches Verschlüsselungsverfahren ist der RSA Algorithmus41, den das allgemein für die Emailversendung und Teleradiologie benutzt Programm PGP (Pretty Good Privacy) verwendet42, 43. Beim RSA System wird zur Berechnung der beiden Schlüssel eine Primzahlzerlegung zugrundegelegt und die digitale Signatur mit den Verschlüsselungsverfahren kombiniert. Die digitale Signatur sichert die Integrität (Schutz vor Veränderung), nicht aber die Vertraulichkeit (Schutz vor Offenbarung), die asymmetrische Verschlüsselung hingegen sichert die Vertraulichkeit, nicht aber die Integrität der Information. Da bei der elektronischen Übertragung medizinischer Daten beide Kriterien erfüllt sein müssen, ist eine Verknüpfung beider Verfahren obligat44. [...]