Verbände äußern erhebliche Bedenken zum ePA-Start
Knapp 30 Organisationen und Verbände äußern in einem offenen Brief “erhebliche Bedenken” hinsichtlich des Starts der elektronischen Patientenakte (ePA) “für alle” am 15. Januar. Wesentliche Schwächen seien weiterhin ungelöst. Erst kürzlich hatten IT-Sicherheitsforschende Schwachstellen in der ePA aufgedeckt.
Die Einführung der “ePA für alle” beginnt am 15. Januar: Ab diesem Zeitpunkt stellen Krankenkassen den gesetzlich Versicherten in Deutschland eine elektronische Patientenakte zur Verfügung, solange diese nicht widersprochen haben.
Kurz vor dem Start haben sich nun 28 Verbände und Organisationen in einem offenen Brief an Bundesgesundheitsminister Karl Lauterbach (SPD) gewandt. Sie schreiben, Deutschland und Europa benötigten eine “gut gemachte digitale Infrastruktur des Gesundheitswesens” – dazu könnte auch eine ePA einen wesentlichen Beitrag leisten. Doch: “Zum Start der ePA haben wir zum jetzigen Zeitpunkt allerdings erhebliche Bedenken.”
Zu den Unterzeichnern zählen beispielsweise der Verbraucherzentrale Bundesverband, die Deutsche Aidshilfe, der Ärzteverband MEDI Baden-Württemberg, der Paritätische Wohlfahrtsverband, der Innovationsverbund Öffentliche Gesundheit (InÖG) sowie der Chaos Computer Club (CCC). Auch 17 Einzelpersonen haben unterschrieben, darunter der ehemalige Bundesdatenschutzbeauftragte Ulrich Kelber.
Bedenken ausräumen
In dem Brief fordern sie, alle “berechtigten Bedenken” vor einem bundesweiten ePA-Start “glaubhaft und nachprüfbar” auszuräumen. Die entdeckten Sicherheitslücken zu schließen, sei dafür eine grundlegende Voraussetzung, aber alleine nicht ausreichend. Damit die ePA erfolgreich werden könne, sind aus Sicht der Organisationen und Verbände mehrere Maßnahmen notwendig.
Zunächst starten am 15. Januar Arztpraxen und weitere Leistungserbringer in den Modellregionen Hamburg, Franken und Umland sowie Nordrhein-Westfalen mit der Nutzung der ePA. Die Unterzeichner des offenen Briefes fordern, dieser Start dürfe nur unter zusätzlichen Sicherheitsmaßnahmen erfolgen, “die eine unmittelbare Ausnutzung der bekannten Lücken verhindern”.
Denn erst Ende Dezember hatten die IT-Sicherheitsforschenden Bianca Kastl und Martin Tschirsich vom CCC Schwachstellen in der ePA aufgezeigt. Sie demonstrierten unter anderem, wie sie sich mit wenig Aufwand gültige Heilberufs- und Praxisausweise sowie Gesundheitskarten Dritter beschaffen und damit auf Gesundheitsdaten zugreifen konnten. Mängel bei der Ausgabe dieser Ausweise hatte Tschirsich gemeinsam mit weiteren Experten bereits vor Jahren aufgedeckt.
Kastl und Tschirsich zeigten im Dezember außerdem, dass sie die sogenannten Zugriffstoken für Akten beliebiger Versicherter erstellen konnten, ohne Gesundheitskarten einlesen zu müssen. Damit hätten sich Kriminelle Zugriff auf die Akten von mehr als 70 Millionen Patientinnen und Patienten verschaffen können.
Echtes Mitspracherecht
Die Unterzeichner des offenen Briefs fordern außerdem, dass bei der Bewertung des ePA-Starts in den Modellregionen Patienten, Ärzte und Organisationen der digitalen Zivilgesellschaft “substanziell einbezogen” werden. Es brauche ein “echtes Mitspracherecht” für diese Akteure – der bundesweite Start der ePA dürfe erst nach einer gemeinsamen positiven Bewertung erfolgen.
Außerdem müssten Expertinnen und Experten aus Wissenschaft und digitaler Zivilgesellschaft die Möglichkeit erhalten, “eine belastbare Bewertung von Sicherheitsrisiken vorzunehmen”. Zu diesem Zweck müssten beispielsweise alle Quelltexte veröffentlicht und eine Testumgebung bereitgestellt werden. Die Arbeit von IT-Sicherheitsexperten müsse darüber hinaus rechtlich abgesichert werden. Unabhängige Sicherheitsüberprüfungen müssten gefördert werden.
Die Organisationen und Verbände betonen zudem, dass Sicherheitslücken in technischen Systemen nie ausgeschlossen werden können. Deshalb müssten die Versicherten auch transparent über Risiken der ePA aufgeklärt werden. “Das Vertrauen der Versicherten in die Datensicherheit der ePA kann nur mit maximaler Transparenz über die getroffenen Maßnahmen gewonnen beziehungsweise wiederhergestellt werden”, heißt es weiter.
Zudem müsste geäußerte Kritik aufgegriffen und berücksichtigt werden. Auch nach dem Start der ePA müsse die Weiterentwicklung in einem offenen Prozess erfolgen, um unterschiedliche Interessen, etwa von Leistungserbringern und Patienten, miteinander in Einklang zu bringen. Die Unterzeichner des Briefes möchten sich in diesen Prozess konstruktiv einbringen.
Beschädigtes Vertrauen
Michaela Schröder, Geschäftsbereichsleiterin Verbraucherpolitik beim Verbraucherzentrale Bundesverband, konstatierte: “Die Menschen brauchen Gewissheit, dass ihre Gesundheitsdaten in der ePA sicher sind. Die aufgedeckten Sicherheitslücken haben das Vertrauen der Versicherten in die ePA beschädigt. Ein bundesweiter Roll-out der ePA darf erst dann erfolgen, wenn alle berechtigen Zweifel ausgeräumt sind.”
Svea Windwehr, Co-Vorsitzende des ebenfalls unterzeichnenden Digitalvereins D64, sagte: “Was lange währt, wird nicht automatisch gut. Die ePA – und die Digitalisierung des Gesundheitswesens – kann nur dann ein Erfolg werden, wenn die Bedürfnisse der Patient*innen konsequent im Vordergrund stehen. Dazu gehört neben Sicherheit, Transparenz und Selbstbestimmung auch die langfristige Beteiligung der Zivilgesellschaft – auf Augenhöhe.”
Calvin Baus, Sprecher des Chaos Computer Clubs, kritisierte: “Die ePA in ihrem aktuellen Zustand auszurollen, ist angesichts ihrer besorgniserregenden Sicherheitsprobleme eine falsche Entscheidung. Denn die Behauptung, dass die ePA sicher ist, trifft nicht zu. Dass Bundesgesundheitsminister Karl Lauterbach dies wahrheitswidrig und unverfroren behauptet, leugnet die belegten und beweisbaren Schwachstellen.”
Versicherte müssen gegebenenfalls widersprechen
Nach Einführung der ePA werden darin beispielsweise wichtige medizinische Dokumente wie Arztbriefe und Befundberichte gespeichert. Auch eine Übersicht über verordnete Medikamente wird dort abgelegt. Dem Bundesgesundheitsministerium zufolge soll die ePA beispielsweise den Behandlungsprozess bei Ärztinnen und Ärzten erleichtern, weil diese einfach auf die jeweilige Krankheitsgeschichte zugreifen können.
Es gibt aber auch seit langem Kritik an der ePA, unter anderem weil die Gesundheitsdaten von Millionen Versicherten zentral gespeichert werden. Das sei ein attraktives Ziel für IT-Angriffe, kritisiert etwa die Deutsche Aidshilfe. Sie warnt zudem, die ePA könne zu Diskriminierung im Gesundheitswesen führen.
Erst in der vergangenen Woche hatte der Präsident der Bundesärztekammer, Klaus Reinhardt, laut Ärzteblatt gesagt, er würde seinen Patienten Stand jetzt die ePA nicht empfehlen – die möglichen Einfallstore seien zu groß.
Bei der Einführung der ePA hat sich die Bundesregierung für ein sogenanntes Opt-out-Verfahren entschieden. Das bedeutet, Versicherte müssen Widerspruch einlegen, falls sie keine ePA wollen. Die Krankenkassen informieren jeweils über die unterschiedlichen Widerspruchswege; teils gibt es etwa eigene (Online-)Formulare. Grundsätzlich kann unter Angabe der Versichertennummer auch per Brief widersprochen werden. Das ist zu jedem Zeitpunkt möglich – eine bereits eingerichtete ePA wird dann gelöscht. (js)