Auf dem 38. Chaos Communication Congress, der Ende 2024 stattgefunden hat, wurde das Sicherheitskonzept der elektronischen Patientenakte diskutiert. Unter anderem war zu hören, dass das Narrativ der sicheren elektronischen Patientenakte nicht mehr zu halten sei. Hintergrund ist, dass zwei Sicherheitsexperten auf dem CCC nachweisen konnten, dass auf unterschiedlichen Wegen unautorisiert auf elektronische Patientenakten (ePA) zugegriffen werden kann.
Die elektronische Patientenakte (ePA) kommt im Februar 2025. Im Laufe der Jahre soll die ePA so weit sein, dass sämtliche Gesundheitsinformationen der gesetzlich Versicherten darin verfügbar sind. Die Vorteile liegen auf der Hand: Steigerung der Qualität von der Diagnostik bis hin zur Therapie. Und das Potenzial für eine deutliche Steigerung der Produktivität im Gesundheitswesen.
Nun haben Martin Tschirsich und Bianca Kastl auf dem 38. Chaos Communication Congress in Hamburg (Quelle: netzpolitik.org) aufgezeigt, wie kritisch es um die Datensicherheit der ePA steht.
Dass eine für so viele Menschen relevante Datensammlung Risiken birgt, ist nachvollziehbar. Allerdings kennen wir von Kreditkartenanbietern und anderen Dienstleistern, die sensible Daten handhaben, dass dass hohe Datensicherheitsstandards möglich sind. Dieses gesellschaftlich einzufordern, wenn es um Patientendaten von Millionen von Menschen geht, erscheint selbstredend.
Auf skandalverdächtige Schlagzeilen wird hier verzichtet. Denn es geht um den Gewinn von Erkenntnissen aus dem, was die genannten CCC-Experten geäußert haben, und nicht um eine destriktive bzw. polemische Darstellung.
Allerdings muss Bundesgesundheitsminister Karl Lauterbach (SPD) insoweit kritisiert werden, dass er mehrfach versichert hat, als dass die ePA sicher sei. „Der Datenschutz und die Datensicherheit waren uns zu jedem Zeitpunkt der Einführung das wichtigste Anliegen“, so kann der Minister zitiert werden. Warum auch die Präsidentin des Bundesamtes für Sicherheit in der Informationstechnik (BSI), Claudia Plattner, die ePA als „so sicher wie nur irgend möglich“ bezeichnete, ist in Anbetracht der aktuellen Erkenntnisse wenig nachvollziehbar.
Zurück zu den beiden vorgenannten Sicherheitsexperten: Bianca Kastl ist Vorsitzende des Innovationsverbunds Öffentliche Gesundheit e. V. und Kolumnistin bei netzpolitik.org. Martin Tschirsich ist beim Chaos Computer Club aktiv und arbeitet im Bereich der Informationssicherheit.
Auf der CCC-Veranstaltung in Hamburg zeigen die beiden Experten auf, dass mit geringem Aufwand ein nicht legitimierter Zugriff auf Gesundheitsdaten möglich ist. Und dies in quasi jede beliebige ePA. Es braucht hier nicht weiter ausgeführt werden, dass dies ein Problem ist: ein Problem für die Betriebsfähigkeit der ePA und ein Akzeptanzproblem. Von der Frage, wer für Schäden aufkommt, die potenziell daraus resultieren können, ganz abgesehen.
Die Einschätzung der Sicherheitsexperten ist klar: Das Sicherheitskonzept der ePA ist gescheitert. Dies ist keine gute Nachricht, da die ePA dieser Tage, also im Februar 2025, produktiv gesetzt werden soll.