Die AP-HP-Nachrichtendienste laufen über ein Citrix NetScaler Gateway, das jede Remote-Verbindung an eine Mehrfaktorauthentifizierung knüpft. Diese technische Schicht, die in internen Leitfäden oft auf ein einfaches „Code zusätzlich“ reduziert wird, verdient eine detailliertere Betrachtung, um zu verstehen, was sie schützt, wo sie Schwierigkeiten bereitet und wie sie im Alltag betriebsbereit gehalten werden kann.
Rolle von Citrix NetScaler Gateway in der AP-HP-Authentifizierungskette
Das Portal messagerie.aphp.fr dient nicht direkt dem Webmail. Es bietet eine Citrix Receiver for Web-Schnittstelle, die den Zugriff auf Anwendungen, einschließlich der Exchange-Nachrichtendienste, virtualisiert. Die Benutzersitzung läuft zunächst über das NetScaler Gateway, das die SSL-Terminierung, die Inspektion des Client-Geräts und die Zugriffskontrolle verwaltet, bevor sie an die interne Infrastruktur weitergeleitet wird.
Diese Architektur impliziert, dass die Authentifizierung bereits vor dem Öffnen des E-Mail-Clients erfolgt. Das AD-Passwort (Active Directory) ist der erste Faktor. Der zweite Faktor, der nun für den Remote-Zugriff erforderlich ist, basiert auf Microsoft Authenticator oder einem gleichwertigen TOTP-kompatiblen Token. Der interne Enrollment-Leitfaden beschreibt das Verfahren zur Verknüpfung des Geschäftskontos mit der mobilen Anwendung.
Wir empfehlen, sicherzustellen, dass das Citrix Workspace-Profil auf dem Arbeitsplatz oder dem mobilen Gerät auf dem neuesten Stand ist, da eine veraltete Version des Clients stille Fehler beim zweiten Faktor verursachen kann. Ein Artikel, der das verstärkte Authentifizierungssystem der APHP-Nachrichtendienste beschreibt, erläutert genau diese Enrollment-Sequenz und die häufigen Fehler, die beim Provisionieren des Tokens auftreten.
Mehrfaktorauthentifizierung und Anforderungen der AP-HP-IT-Charta
Die IT-Charta der AP-HP, in ihrer Version von Februar 2022, legt einen strengen Rahmen fest. Der Zugang zum Informationssystem ist an die Einhaltung von Vertraulichkeitsregeln im Zusammenhang mit dem Arztgeheimnis gebunden, und jede illegitime Verbindung zieht die zivil- und strafrechtliche Verantwortung des Benutzers nach sich.
Die MFA ist keine Komfortoption, sondern eine Pflicht zur Einhaltung. Die Charta erwähnt ausdrücklich, dass die Berechtigungen für den Remote-Zugriff (Smartphone, Tablet, Outlook-Client außerhalb des Netzwerks) der Genehmigung der lokalen IT-Abteilungen unterliegen. In der Praxis bedeutet dies, dass ein Mitarbeiter, der sein persönliches Telefon ohne die offizielle Enrollment-Verfahren konfiguriert, sich in einer Rechtsverletzung befindet, auch wenn die Verbindung technisch funktioniert.
Wiederkehrende Reibungspunkte für die Benutzer
- Der begrenzte Online-Speicher (die Postfächer der Mitarbeiter haben einen eingeschränkten Speicherplatz) zwingt einige Mitarbeiter dazu, E-Mails an persönliche Adressen weiterzuleiten, wodurch die gesamte Sicherheitskette umgangen wird.
- Die Adresse [email protected] mit Inkrementierung im Falle von Namensgleichheit erschwert die anfängliche Konfiguration auf mobilen Clients, da der Benutzer nicht immer seine genaue Kennung kennt.
- Der Neustart des Arbeitsplatzes, der als erste Maßnahme vom Support empfohlen wird (erreichbar unter *75 intern oder 01 40 27 40 00 von extern), löst keine Probleme im Zusammenhang mit einem abgelaufenen MFA-Token oder einem abgelaufenen Citrix-Zertifikat.
Cyber-Kontext im Krankenhaus und Verstärkung der Sicherheitsstrategie
Französische Krankenhauseinrichtungen sehen sich einer Welle von Cyberangriffen zunehmenden Ausmaßes gegenüber. Die seit 2024 veröffentlichten Cybersecurity-Analysen empfehlen systematisch starke Authentifizierung für kritische Systeme: E-Mail, Remote-Zugriff, Patientenakten. Der Schutz erfolgt laut diesen Empfehlungen durch getestete Backups, schnelle Updates, Netzwerksegmentierung, strenge Zugangsverwaltung und umfassende MFA.
Die AP-HP bleibt diesem Druck nicht entkommen. Die aktuelle Konfiguration über das NetScaler Gateway erfüllt teilweise diese Anforderungen, aber die Citrix Receiver for Web-Schicht stammt aus dem Jahr 2016 in ihrer auf dem Portal angezeigten Version. Eine veraltete Web-Publishing-Infrastruktur erhöht die Angriffsfläche, auch wenn die MFA einen Teil des Risikos ausgleicht.
Grenzen des aktuellen Systems
Das Portal messagerie.aphp.fr verwendet Citrix Receiver in einem Modus, der die Conditional Access-Richtlinien von Azure AD nicht nativ unterstützt. Die Integration mit Microsoft Authenticator funktioniert, jedoch ohne die Compliance-Kontrollen des Clients (Zustand der Festplattenverschlüsselung, Version des Betriebssystems, Vorhandensein eines aktiven Antivirenprogramms), die eine neuere hybride Architektur ermöglichen würde.
Die Charta von 2022 verlangt eine Überprüfung der RGPD-Konformität für jede Verarbeitung personenbezogener Daten, die ein neues IT-Tool umfasst. Jede Migration des Portals zu einer Citrix Cloud-Lösung oder zu einem direkten Zugriff über Exchange Online würde daher eine vorherige Folgenabschätzung erfordern, insbesondere wenn die E-Mail-Datenströme durch Rechenzentren außerhalb des derzeit gehosteten Bereichs geleitet werden.
Netzwerkkonfiguration und Remote-Zugriff auf die AP-HP-Nachrichtendienste
Der interne Zugang zum Webmail erfolgt historisch über die URL courriel.aphp.fr, die in bestimmten Konfigurationen ohne MFA über das Krankenhausnetzwerk zugänglich ist. Der externe Zugang über messagerie.aphp.fr erfordert die NetScaler-Schicht und den zweiten Faktor.
Diese Dualität schafft einen blinden Fleck. Ein Benutzer, der mit dem WLAN des Krankenhauses verbunden ist, hat potenziell Zugriff auf sein E-Mail-Konto mit nur einem Faktor, während derselbe Benutzer von zu Hause aus den vollständigen Prozess durchlaufen muss. Die Sicherheit der E-Mail hängt daher vom Netzwerksegment ab, nicht nur von der Identität des Benutzers.
Wir beobachten, dass die lokalen IT-Abteilungen die Berechtigungen für den mobilen Zugriff je nach Standort unterschiedlich verwalten. Ein Mitarbeiter, der die Abteilung wechselt, kann vorübergehend seinen Remote-Zugriff verlieren, wenn die Berechtigungsübertragung zwischen zwei Einheiten nicht vorhergesehen wurde. Das codierte Trigramm des zugehörigen Standorts, das im E-Mail-Verzeichnis sichtbar ist, dient als Zuordnungsmarker, wird jedoch nicht immer in Echtzeit aktualisiert.
Die Robustheit des Systems beruht weniger auf der Technologie von Citrix selbst als auf der Strenge der Enrollment- und Widerrufsprozesse. Ein verwaistes MFA-Token (Mitarbeiter gegangen, Konto nicht deaktiviert) bleibt ein ausnutzbarer Zugangsvektor. Die Charta erinnert daran: Jeder Zugriff auf eine Patientenakte durch einen Fachmann, der nicht Teil des betreffenden Pflegeteams ist, ist illegitim, unabhängig davon, ob die MFA korrekt validiert wurde oder nicht.