CCC: ePA für alle und datenschutzrechtliche Bedenken

In ein paar Tagen ist es soweit. Die elektronische Patientenakte (ePA) für alle steht kurz vor ihrer flächendeckenden Einführung in Deutschland. Diese digitale Revolution im Gesundheitswesen verspricht zahlreiche Vorteile, wirft aber auch ernsthafte datenschutzrechtliche Bedenken auf. Unter anderem mit diesem Thema beschäftigte sich auch der Chaos Computer Club (CCC) auf dem diesjährigen Kongress in Hamburg und deckte weitere Sicherheitslücken auf.

ePA und ihre Vorteile

Ab dem 15. Januar 2025 wird die „ePA für alle“ eingeführt, bei der für alle gesetzlich Versicherten automatisch eine elektronische Patientenakte angelegt wird. Diese digitale Akte bündelt relevante Gesundheitsdaten und macht sie für den Versorgungsalltag nutzbar. Um nicht gleich auf die negativen Punkte, die mit der Einführung der ePA für alle in Zusammenhang gebracht werden, einzugehen, ist zunächst festzuhalten, dass die ePA aus gesundheitlicher Sicht einige zu beachtende Vorteile aufweist. Ärzte sollen schneller auf wichtige Informationen zugreifen können, was zu einer individuelleren und effektiveren Behandlung führen kann.

Die ePA soll den Austausch von Gesundheitsdaten zwischen Patienten und Ärzten erleichtern. Befunde, Arztberichte, Laborergebnisse und Röntgenbilder können zentral gespeichert und zugänglich gemacht werden. Dies könnte Doppeluntersuchungen vermeiden und Behandlungsprozesse beschleunigen. Auch soll die Patientensicherheit erhöht werden und eine verbesserte Notfallversorgung stattfinden können. Ein schneller Zugriff auf wichtige Gesundheitsinformationen in Akutsituationen kann gewiss auch dazu beitragen, Menschenleben zu retten.

Datenschutzrechtliche Bedenken

Trotz der potenziellen Vorteile gibt es auch erhebliche datenschutzrechtliche Bedenken. Im Folgenden eine Auflistung weniger zentraler Punkte:

1. Zentralisierte Datenspeicherung: Die zentrale Speicherung sensibler Gesundheitsdaten erhöht das Risiko für Datenmissbrauch und Hackerangriffe.
2. Umfassender Datenzugriff: Obwohl Patienten theoretisch die Kontrolle über ihre Daten haben, bleibt die Frage, wie sicher diese vor unbefugtem Zugriff sind.
3. Opt-out statt Opt-in: Die Umstellung auf ein Opt-out-Modell ab 2025 bedeutet, dass Patienten aktiv widersprechen müssen, wenn sie keine ePA wünschen. Dies könnte zu unbeabsichtigter Teilnahme führen.
4. Datennutzung für Forschungszwecke: Ab 2025 sollen Versicherte die Möglichkeit haben, ihre Daten für Forschungszwecke zur Verfügung zu stellen. Dies wirft Fragen zur Anonymisierung und möglichem Missbrauch auf.
5. Technische Sicherheit: Die Sicherheit der Telematikinfrastruktur ist von entscheidender Bedeutung. Betreiber müssen Störungen und Sicherheitsmängel unverzüglich melden, bei Versäumnissen drohen hohe Bußgelder.

Kritik des Chaos Computer Clubs

Der CCC hatte sich bereits auch schon in der Vergangenheit kritisch hinsichtlich der Sicherheit der ePA geäußert. Nun haben IT-Experten im Rahmen des 38. Chaos Communication Congress in Hamburg, einer Veranstaltung des CCC, eine Analyse vorgestellt, die erneut Sicherheitslücken bei der ePA (Version 3.0) aufgezeigt hat.

Unter anderem ist ein Zugriff auf fremde Gesundheitsdaten möglich gewesen, weil es zu leicht war, gültige Heilberufs- und Praxisausweise zu beschaffen. Ursächlich sind wohl Mängel in den Ausgabepro­zessen, den Beantragungsportalen sowie im real existierenden Umgang mit den Karten im Alltag, so die Redner auf dem Kongress des CCC. Zudem demonstrierten die Forscher, wie es Mängel in der Spezifikation ermöglichen, Zugriffstoken für die ePA beliebiger Versicherter zu erstellen – und zwar ohne, dass die Gesundheitskarten präsentiert oder eingelesen werden müssen.

Auch die Ärzteschaft sorgt sich

Aufgrund der aufgedeckten Sicherheitslücken des CCC auf dem Jahreskongress sorgen sich auch Ärzte um den Schutz von Gesundheitsdaten in der ePA. Diese Sichtweise der Bundesärztekammer (BÄK) und des Berufsverbands der Kinder- und Jugendärztinnen und -ärzte (BVKJ) geht zumindest aus einem Bericht im Ärzteblatt hervor. Es besteht akuter Handlungsbedarf. Der BVJK-Präsident äußerte sich wie folgt:

„Es ist frustrierend, wie die Verantwortlichen versuchen, eine für professionelle Angreifer leicht zu überwindende Datenlücke kleinzureden und den Eindruck zu erwecken, die ePA würde die Datensicherheit in Deutschland sicher­stellen [..].“

Ende gut, alles gut?

Die Einführung der ePA stellt einen bedeutenden Schritt in der Digitalisierung des deutschen Gesundheitswesens dar. Während sie erhebliche Vorteile für die Patientenversorgung verspricht, bleiben datenschutzrechtliche Bedenken bestehen. Dabei ist auch immer wieder im Blick zu behalten, dass es sich bei den Gesundheitsdaten um bedeutende personenbezogene Daten handelt, welche besonders schützenswert sind.

Es ist entscheidend, dass bei der Umsetzung der ePA höchste Sicherheitsstandards eingehalten werden und die Patientenrechte gewahrt bleiben. Die kritische Begleitung durch Organisationen wie den CCC kann dazu beitragen, potenzielle Schwachstellen frühzeitig zu identifizieren und zu adressieren.