IT-Fachleute haben auf dem Kongress des Chaos Computer Clubs auf massive Schwachstellen der elektronischen Patientenakte (ePA) hingewiesen. Ihr Fazit: Ein unsicherer Entwicklungsprozess und fehlende Kontrollen würden das Vertrauen in die Digitalisierung des Gesundheitswesens untergraben.

Auf dem diesjährigen Chaos Communication Congress in Hamburg stellten Martin Tschirsich und Bianca Kastl in einem Vortrag massive Sicherheitslücken und grundlegende Probleme bei der Einführung der elektronischen Patientenakte (ePA) vor. Unter dem Titel „Konnte bisher noch nie gehackt werden – Die elektronische Patientenakte kommt – jetzt für alle“ warfen sie einen kritischen Blick auf die technische und organisatorische Umsetzung der ePA, die ab Januar im sogenannten Opt-out-Verfahren für alle gesetzlich Versicherten eingeführt werden soll. Sie kritisierten sowohl die Komplexität des Systems als auch die unzureichende Absicherung sensibler Gesundheitsdaten und forderten grundlegende Reformen in der Entwicklung und Sicherheit solcher Systeme.

Laut Tschirsich und Kastl ist das System so komplex, dass Sicherheitslücken systematisch auftreten. „Der Prozess, in dem diese Akte entsteht, kann nicht zu einer sicheren, vertrauenswürdigen digitalen Gesundheitsakte führen“, resümierte Tschirsich.

Kritisch sehen die beiden etwa die Vielzahl an Beteiligten im System, von Krankenkassen und Gesundheitsinstitutionen bis hin zu technischen Dienstleistern, die alle Zugriffsmöglichkeiten auf unterschiedliche Ebenen der ePA haben.

Um die Sicherheitsmängel zu verdeutlichen, griffen Tschirsich und Kastl auf konkrete Beispiele zurück. Besonders problematisch: Die SMCB-Karten, die den Zugriff für Praxen und Kliniken auf das System ermöglichen. Diese Karten, die eigentlich nur berechtigten Institutionen ausgestellt werden sollten, könnten durch Schwachstellen in der Infrastruktur einfach angefordert oder manipuliert werden.

Ein besonders eindrückliches Beispiel zeigten die beiden Hacker anhand einer sogenannten SQL-Injection: Über fehlerhafte Eingabeformulare eines Kartenherausgebers sei es möglich gewesen, Datenbankabfragen zu manipulieren und sich Zugriff auf Patientendaten zu verschaffen. „Mit nur wenigen Zeilen Code konnten wir in einem Testsystem Zugriffsrechte für tausende Patientenakten freischalten“, erklärte Tschirsich. Das Problem sei nicht neu, sondern eine grundlegende Schwäche der technischen Infrastruktur, die schon seit Jahren bekannt sei. „Dass solche grundlegenden Angriffe immer noch möglich sind, zeigt, wie schlecht vorbereitet das System ist“, so Tschirsich weiter.

Auch den unzureichend gesicherten Versand von Gesundheitskarten kritisierten Tschirsich und Kastl: „Mit nur einem Anruf bei der Krankenkasse konnten wir Gesundheitskarten auf falsche Identitäten ausstellen lassen. Diese Karten bieten dann direkten Zugang zur Patientenakte – ohne weitere Sicherheitsprüfungen.“

Forderung nach unabhängiger Sicherheitsprüfung

Neben den technischen Schwachstellen kritisierten die beiden Referenten vor allem den Entwicklungsprozess der ePA. Es mangele an unabhängigen Sicherheitsprüfungen und einer transparenten Kommunikation der Risiken. „Es kann nicht sein, dass ehrenamtlich arbeitende Sicherheitsexperten wie wir immer wieder auf diese Probleme hinweisen müssen, während die Verantwortlichen aus Politik und Industrie entweder abwiegeln oder verspätet reagieren“, erklärte Tschirsich.

Statt immer wieder dieselben Fehler zu machen, fordern sie einen offenen Entwicklungsprozess und eine unabhängige Instanz, die das System überprüft. „Wir brauchen ein vertrauenswürdiges digitales Gesundheitssystem. Und das erreicht man nur mit einer sicheren, transparenten und belastbaren Infrastruktur.“

Die Vortragenden warnten eindringlich vor den Folgen der Einführung eines unsicheren Systems: „Wenn das Vertrauen in die ePA und die Digitalisierung des Gesundheitswesens weiter schwindet, werden gerade die Menschen, die am meisten von den Möglichkeiten der Digitalisierung profitieren könnten, die Nutzung verweigern.“

Kurz nach der Verkündung von Gesundheitsminister Lauterbach, er „sei schon im Gespräch mit Meta, Open AI und Google“, um den Konzernen die Nutzung der Krankheitsdaten der deutschen Bevölkerung für kommerziellen Zwecke zu ermöglichen, fand Ende November in Berlin der Jahreskongress der Freien Ärzteschaft statt, bei dem ganz andere Töne zu hören waren.

Prof. Dr. Kelber ( Bonn ):

„Tiefgrüne Schrumpelbananensoftware“

Der ehemalige Bundesdatenschutzbeauftragte Prof. Ulrich Kelber ( Bonn )  äußerte schwere Bedenken gegen die „ePA für alle“ in ihrer jetzt vorgestellten Form. Auf das Gesundheitswesen komme eine unvollständig getestete „tiefgrüne Schrumpelbananensoftware“ zu, die erst in den Praxen reifen solle.

Als „bekennender Fan der Digitalisierung“ kritisierte er Sicherheitslücken, veraltete Technikkomponenten, die zentrale Datenspeicherung und die jetzige Opt-out-Regelung. Man bräuchte einen „akuten Behandlungsplan und eine Langzeitbehandlung“ für das TI-Projekt. Er sehe aber weder bei der jetzigen noch bei möglichen zukünftigen Bundesregierungen, dass ein Umsteuern geplant sei.

Mit Blick auf die Sichtweise von Ärzten und Psychotherapeuten referierte Dr. Silke Lüder, stellvertretende Bundesvorsitzende der Freien Ärzteschaft, vor allem über neue juristische Fallstricke, weil die „ePA für alle“ die berufsrechtlich und strafrechtlich fixierte Schweigepflicht für Ärzte und Psychotherapeuten unter den Bedingungen der Opt-out-Regelung faktisch abschaffe. In Zukunft, so Lüder, könnten zwei Millionen Mitarbeiter des deutschen Gesundheitswesens durch die neuen Zugriffsregelungen einfach die ganze Krankengeschichte eines Bürgers lesen. „Nur nach dem Einlesen der Versichertenkarte in der Apotheke beim Einlösen eines E-Rezepts kann das ganze Team dort drei Tage lang alle Arztbriefe lesen. Ein Unding!“, so Lüder in Berlin.

Profit statt Benefit im Fokus?

Als Forschungsexperte äußerte sich Prof. Dr. Jürgen Windeler, bis vor kurzem Leiter des IQWIG (Institut für Wirtschaftlichkeit und Qualität im Gesundheitswesen) zur Behauptung der Politik, dass der künftige Datenberg aus den Versorgungsdaten der ePA einen Quantensprung für die medizinische Forschung erzeugen werde. „Bei Entscheidungen in einem Gesundheitssystem geht es in allererster Linie um die Frage, ob diese gesundheitliche Verbesserungen für die Betroffenen bringen. Die Vorteile sind gegen Nachteile (Nebenwirkungen) abzuwägen.“ Das sei mit Abrechnungsdaten und unsortierten ePA-Daten nicht möglich, so Windeler. Falsche Versprechungen brächten die Gefahr, Prozessverbesserungen zu vernachlässigen.

Verkauf der Daten an Monopolisten befürchtet

Alle Referenten kritisierten scharf die augenblicklich laufende Werbekampagne von Politik und Kassen für Versicherte und Öffentlichkeit. „Die Werbekampagne suggeriert, dass es bei der künftigen Krankheitsdatensammlung nur um die Verbesserung der medizinischen Behandlung gehe. Dabei zeige sich jetzt gerade, dass eher der Verkauf unserer Daten an die Monopolisten Meta, Open AI und Google das vorrangige Ziel sei“, so Lüder in Berlin. Die Allgemeinmedizinerin prangerte zudem an, dass sich Kassenärztliche Bundesvereinigung und Bundesärztekammervorstand völlig unkritisch an der Werbekampagne beteiligten, statt sich aktiv um den Schutz der ärztlichen Schweigepflicht und der grundrechtlich geschützten informationellen Selbstbestimmung der Bürger zu kümmern.

Quelle DZW:

ePA: „Täuschung von Patienten und Ärzten“

Nach dem Bruch der Ampel-Koalition sieht die Kassenärztliche Bundesvereinigung (KBV) wenig Hoffnung auf entscheidende Gesundheitsreformen in dieser Legislaturperiode. Zentral geplante Gesetze bleiben ungewiss, während drängende Probleme im Gesundheitssystem weiter ungelöst sind.

Bundesministerium für Gesundheit
Nach dem politischen Zerwürfnis in der Ampel-Koalition ziehen die Verantwortlichen der Kassenärztlichen Bundesvereinigung (KBV) eine ernüchternde Bilanz der vergangenen drei Jahre. Trotz zahlreicher Herausforderungen im Gesundheitswesen und einem allseits anerkannten Reformbedarf wurden bisherige Gesetzesinitiativen nur unzureichend umgesetzt. Wichtige Themen wie die Reform der Notfallversorgung, das Gesundheitsversorgungsstärkungsgesetz und das Digitalagenturgesetz stehen auf der Kippe, da aktuell keine politischen Mehrheiten für deren Verabschiedung in Sicht sind.

Fehlende Entbudgetierung und wirtschaftliche Entlastung für Hausärzte
Die Entbudgetierung hausärztlicher Leistungen gilt seit langem als zentraler Ansatz, um Praxen zu entlasten und eine effektivere Versorgung sicherzustellen. Dr. Stephan Hofmeister, stellvertretender Vorsitzender der KBV, betont, dass die Umsetzung dieser Maßnahme lediglich „wenige hundert Millionen Euro“ kosten würde. Doch auch diese vergleichsweise geringe Investition wurde in der bisherigen Legislaturperiode nicht priorisiert. Ebenso wurde eine Entlastung bei den Wirtschaftlichkeitsprüfungen durch eine Bagatellgrenze von 300 Euro nicht umgesetzt, obwohl diese Regelung sowohl Praxen als auch Krankenkassen erheblich administrativen Aufwand ersparen könnte, so KBV-Vorstandsmitglied Dr. Sibylle Steiner.

Krankenhausreform mit weitreichenden Folgen für die Versicherten
Im Kontext der Krankenhausreform weist Dr. Andreas Gassen, Vorstandsvorsitzender der KBV, auf die finanzielle Belastung für Versicherte hin. Das IGES Institut prognostiziert einen Anstieg der Sozialversicherungsbeiträge auf bis zu 50 Prozent in den kommenden Jahren. Dieser Anstieg könnte zu Leistungseinschränkungen für die Versicherten führen. Die hohe finanzielle Belastung und die gleichzeitig ungelösten strukturellen Probleme im Krankenhaussektor stellen das geplante Reformvorhaben infrage und verdeutlichen den umfassenden Handlungsbedarf.

Wichtige gesundheitspolitische Fragen bleiben unbeantwortet
Rückblickend resümierte Gassen die Gesetzesbilanz der Koalition als „dürftig“: Wichtige Reformen wie die Verbesserung der hausärztlichen Versorgung und die Digitalisierung wurden nur unzureichend adressiert. Einzig das Cannabisgesetz, das Krankenhausversorgungsverbesserungsgesetz und kleinere Digitalisierungsansätze wurden umgesetzt, doch blieben die großen Strukturprobleme im Gesundheitswesen ungelöst.

Autor:
Nina Haußer
Stand:
08.11.2024