Datenschutz muss sichergestellt sein Die ePA braucht mehr Zeit

Gesundheitsminister Jens Spahn hält weiterhin am 1. Januar 2021 für die Einführung der elektronischen Patientenakte (ePA) fest. Bei der Einführung gibt es allerdings grundsätzliche Probleme mit der geplanten Umsetzung, sowie mit einer solchen elektronischen Akte an sich.

Mit der Einführung der elektronischen Patientenakte (ePA) hat jeder Versicherte die Möglichkeit, eine Akte mit seinen Gesundheitsdaten wie Vorerkrankungen, Behandlungen, Untersuchungsergebnissen zentral anlegen zu lassen. Anschließend können einzelne Daten aus dieser Akte beispielsweise für Ärzte freigegeben werden, um den Datenaustausch zu beschleunigen. Doch es gibt Probleme, die vor der Einführung bedacht werden sollten, damit die ePA kein Flop wird.

Manche dieser Probleme haben mit der Infrastruktur zu tun, die den Zugang zu den Patientendaten regelt. Die technische Umsetzung der ePA wird in Deutschland von der Gematik realisiert. Das Netzwerk aus Patienten, Ärzten, Krankenhäusern, Apotheken sowie dessen technische Umsetzung wird als Telematikinfrastruktur (TI) bezeichnet. Der Zugang zur TI, und damit zu Patientendaten, ist über Smartcards für die verschiedenen Benutzergruppen sowie sogenannte Konnektoren, ein Stück Hardware, vorgesehen.

Unsichere TI

Bereits Ende letzten Jahres wurde klar, dass der Zugang zu diesen Smartcards und Konnektoren alles andere als sicher ist. Dem Team um den IT-Sicherheitsforscher Martin Tschirsich ist es gelungen, jeweils einen Heilberufsausweis (HBA), einen Praxisausweis (SMB-C) und eine elektronische Gesundheitskarte (eGK) an frei gewählte Adressen verschicken zu lassen. Damit wurde gezeigt, dass potenziell Unbefugte Zugriffe auf die TI erhalten können. Außerdem gelang es, einen Konnektor im Internet zu bestellen. Als Konsequenz auf diese Veröffentlichung wurde die Ausgabe der Praxisausweise erst einmal gestoppt. Das Sicherheitsteam hat mehrfach darauf hingewiesen, dass sie sich bisher lediglich die organisatorischen Mängel angesehen hätten. Die konkrete Software wurde dabei noch gar nicht auf Mängel oder mögliche Sicherheitslücken geprüft.

Diese Problematik ist unabhängig von den derzeitigen technischen Möglichkeiten und Mängeln der Datenverschlüsselung. Die Verschlüsselung kann beliebig komplex und sicher sein – wenn die Verwaltung des Zugangs zum Netzwerk unsicher ist, ist das unerheblich. Nichtsdestotrotz lohnt es sich, auch Probleme der Datenverschlüsselung im Auge zu behalten.

Dabei ist es nicht notwendig, auf konkrete Verschlüsselungsansätze einzugehen. Denn es gibt Probleme, die unabhängig von jeder derzeitig vorhandenen Umsetzung sind. So weist Professor Johannes Buchmann, Experte für Kryptographie, auf grundlegende Probleme in der Ver- und Entschlüsselung von Daten hin: „Alle heute genutzten Verschlüsselungsverfahren werden in den nächsten Jahren und Jahrzehnten unsicher. […] Die Rechenkapazitäten von Angreifern werden immer größer und ihre Angriffe besser. Wir können darum davon ausgehen, dass nach spätestens 20 Jahren alle verschlüsselten Daten offenliegen.“

Selbst wenn – und auch das ist nicht gesichert – die Software der TI in Hinblick auf die Verschlüsselung einwandfrei ist, ist das nicht genug, um eine ausreichende Datensicherheit zu gewährleisten. Spätestens nach 20 Jahren können die heute erfassten Daten mit neuen technologischen Möglichkeiten entschlüsselt und damit für Dritte lesbar gemacht werden. Zwar arbeitet Professor Buchmann in einem Sonderforschungsbereich an Methoden der Verschlüsselung, die diese Mängel überwinden, es handelt sich aber um Forschungsarbeit, die weit entfernt davon ist, ihren Weg in die ePA zu Beginn des kommenden Jahres zu finden.

Verstoß gegen die DSGVO

Probleme mit dem Datenschutz sind es auch, die die ePA womöglich noch in größere juristische Probleme stürzt. Erst vor kurzem hat der Bundesbeauftragte für Datenschutz und Informationssicherheit, Prof. Ulrich Kelber, erklärt, dass die derzeitige Konzeption der ePA gegen die DSGVO verstößt. Zur Kritik von Datenschutzrechtlern kommen also auch sehr konkrete Verstöße gegen geltendes Datenschutzrecht hinzu.

Es zeigt sich also: Ein perfekter Schutz der Daten vor der Weiterleitung an Dritte ist aufgrund eingeschränkter technischer Möglichkeiten nur sehr schwer erreichbar. Das gilt natürlich nicht nur für die Daten der ePA, sondern allgemein für alle elektronisch erfassten Daten. Nichtsdestotrotz ist Online-Banking schon lange gängige Realität. Sollte diese Kritik also beispielsweise auch für die elektronische Verwaltung von Bankdaten gelten?

Sensible Daten sind unbezahlbar

Die Antwort auf diese Frage lautet nein. Der Grund dafür liegt in den Unterschieden zwischen Bankdaten – und den meisten anderen Daten, die bereits elektronisch erfasst und zentral verwaltet werden – auf der einen und Gesundheitsdaten auf der anderen Seite. Während Bankdaten ihre Relevanz für den Einzelnen nach Jahren oder gar Jahrzehnten verlieren, ist das für Gesundheitsdaten nicht der Fall. Der Kontostand vor 20 Jahren sagt wenig über das jetzige Vermögen aus. Aber die Information über eine Erbkrankheit oder eine psychiatrische Behandlung vor 20 Jahren kann auch heute noch privat oder in der Arbeitswelt schwerwiegende Konsequenzen haben.

Im Fall von Bankdaten können deswegen nach einer Risikoeinschätzung Aufwände eingeplant werden, die den finanziellen Schaden aufheben. Im Fall von sensiblen Gesundheitsdaten ist eine solche Kompensation nicht möglich. Die potenziellen persönlichen Schäden, die durch die Weitergabe dieser Daten an Dritte entstehen, können weder finanziell noch anderweitig aufgehoben werden.

Derzeit ist die ePA nicht als Pflicht für jeden Bürger geplant, sondern verfolgt ein Opt-in-Modell. Das bedeutet: Nur auf Wunsch des Patienten wird eine elektronische Patientenakte angelegt. Tatsächlich suggeriert eine aktuelle Umfrage des Bundesverbands der Arzneimittel-Hersteller e.V. (BAH), dass das Interesse der Patienten an der Nutzung der ePA groß ist. So halten 72 Prozent der Befragten die Erfassung patientenbezogener Daten in einer elektronischen Akte für sinnvoll. Gleichzeitig zeigt eine andere Umfrage des DPNW, dass 88 Prozent der befragten Psychotherapiepatienten die ePA ablehnen.

Das legt nahe, dass die Bereitschaft relativ unproblematische Daten – wie über Allergien oder Impfungen – elektronisch erfassen zu lassen groß ist. Diese Bereitschaft nimmt aber stark ab, sobald es um sensiblere Daten geht. Zwar ist vorgesehen, dass Patienten einzelne Datensätze für ausgewählte Ärzte freigeben können, nichtsdestotrotz können auch sensible Daten in der ePA erfasst werden, sobald sie angelegt ist. Mit einem gestiegenen Bewusstsein der Patienten über die Bandbreite der erfassten Daten und die oben beschriebenen Sicherheitsprobleme bleibt fragwürdig, wie viele Versicherte sich aktiv und langfristig für die Verwendung der ePA entscheiden werden.

Fazit

Wird die ePA aber nicht umfassend genutzt, hat das gleich zwei negative Konsequenzen. Erstens bedeutet es, dass der geringe Nutzen die immensen Kosten und Aufwände nicht rechtfertigen kann. Zweitens besteht sicher auch die Hoffnung, einer statistischen (anonymisierten) Auswertung der Patientendaten. Je weniger Nutzer die ePA jedoch hat, desto weniger aussagekräftig werden die abgeleiteten Statistiken sein.

Die Entwicklung und Einführung der ePA steht unter großem politischem Druck. Trotz der Veröffentlichung diverser Probleme mit der ePA hält die Bundesregierung an ihren Plänen zur Einführung am 1. Januar 2021 fest. Nicht zuletzt auf Grund dieses Drucks macht die ePA einen überstürzten und undurchdachten Eindruck: Die Organisation des Zugangs zur Infrastruktur ist unsicher, eine angemessene Verschlüsselung ist nicht verfügbar, die Umsetzung verstößt gegen die DSGVO und es bleibt unklar, in welchem Ausmaß Versicherte überhaupt bereit sind, die elektronische Akte zu nutzen. Soll die ePA also ein Erfolg werden, braucht sie auf jeden Fall mehr Zeit.

*Die Autoren:

Oliver Hehlert leitet den Bereich Professional Services Krankenversicherung der adesso insurance solutions GmbH. Er verfügt über mehr als 20 Jahre Erfahrung in der Versicherungsbranche sowie im Rechtswesen und beschäftigt sich seit Jahren mit den Themen Cyber Risk und IT-Sicherheit.

Jonathan Dittrich studierte Philosophie mit einem frühen Schwerpunkt auf Logik und ihre Anwendungen in Tübingen, Oslo, St. Andrews, und promovierte in diesem Bereich an der LMU München. Heute arbeitet er als Consultant bei adesso insurance solutions insbesondere an der Digitalisierung der Leistungsabrechnung verschiedener Krankenversicherungen.

(ID:46862341)