Elektronische Patientenakte: CCC fordert besseren Schutz von Patientendaten

Die Zugangssysteme zur elektronischen Patientenakte sind nach Ansicht des CCC unsicher. Das könnte nun gesetzlich festgeschrieben werden.

Artikel veröffentlicht am ,
Der Streit um die elektronische Patientenakte erreicht den Bundestag.
Der Streit um die elektronische Patientenakte erreicht den Bundestag. (Bild: gematik/Screenshot: Golem.de)

Der Chaos Computer Club (CCC) warnt vor Sicherheitsproblemen bei der geplanten elektronischen Patientenakte. Obwohl mehrere Experten auf dem CCC-Kongress im vergangenen Dezember auf schlecht geschützte Zugänge zum Telematik-Netzwerk des Gesundheitswesens hingewiesen hätten, sehe der Entwurf der Bundesregierung zum Patientendaten-Schutzgesetz (PDF) keine höheren Anforderungen vor, kritisierte der Hackerclub anlässlich einer Anhörung im Bundestag.

"Die Schwachstellen wurden zunächst theoretisch angemahnt. Dann haben wir sie praktisch demonstriert. Eine Behebung wurde medienwirksam angekündigt. Und doch werden sie weiter ignoriert. Dieser Umgang ist einfach fahrlässig", sagte Martin Tschirsich vom CCC. Weil die Identitäten von Ärzten oder Patienten bei der Beantragung von Zugangskarten bislang nicht ausreichend überprüft werden, konnten sich Sicherheitsforscher des CCC über die Identitäten Dritter Zugang zum sogenannten Telematik-Netzwerk des Gesundheitswesens verschaffen.

Sicherheitsniveau wird gesenkt

Hintergrund ist die für Anfang 2021 geplante Einführung der elektronischen Patientenakte. Diese soll sämtliche elektronischen Daten eines Patienten lebenslang online speichern und damit den Austausch dieser Daten zwischen Ärzten, Krankenhäusern und anderen Gesundheitseinrichtungen und -diensten erleichtern. Dabei soll der Patient die alleinige Kontrolle über die Daten besitzen und entscheiden, wer darauf zugreifen darf.

Als problematisch sieht der CCC jedoch weiterhin an, dass ein bislang vom Bundesamt für Sicherheit in der Informationstechnik (BSI) gefordertes hohes Sicherheitsniveau abgeschwächt werden soll. So entfalle die Verpflichtung zur sicheren Identifikation des Versicherten bei der Herausgabe der elektronischen Gesundheitskarte (eGK). Ebenfalls werde die Ausgabe der Authentisierungsmittel nicht mehr auf hohem Vertrauensniveau vorgeschrieben, heißt es in der zehnseitigen Stellungnahme (PDF).

Höhere Bußgelder für Krankenkassen

In der Anhörung des Gesundheitsausschusses bekräftigte Tschirsich die Kritik. Bevor über technische Lösungen diskutiert werde, müssten zunächst die organisatorischen Probleme bei der Herausgabe der Zugangsmittel gelöst werden. So sei die Zustellung von eGK und Authentisierungsmitteln per Post in Haushaltsbriefkästen nicht zuverlässig genug. Dies sollte nicht in Paragraf 336 des Fünften Sozialgesetzbuches (SGB V) geregelt werden, sondern Teil eines Sicherheitskonzeptes sein, das regelmäßig den aktuellen Sicherheitsanforderungen angepasst werde.

Darüber hinaus fordert der CCC in seiner Stellungnahme, die Krankenkassen nicht von hohen Bußgeldern bei Datenschutzverstößen auszunehmen. Damit schließt sich der Hackerclub einem Vorschlag des Bundesdatenschutzbeauftragten an. "Die im Gesetzentwurf vorgesehenen und im Verhältnis zum Ausgabevolumen der gesetzlichen Krankenkassen von mehr als 25 Milliarden Euro völlig unzureichenden Bußgeldvorschriften setzen keinen dringend notwendigen Anreiz zur Schließung dieser datenschutzrechtlichen Lücken", heißt es zur Begründung. Denn die Krankenkassen kämen ihren datenschutzrechtlichen Verpflichtungen als Herausgeber der eGK regelmäßig nicht nach.

Strittig bei der Digitalisierung des Gesundheitswesens ist weiterhin der Zugriff von Krankenkassen auf die Daten der Versicherten. In diesem Zusammenhang warnt der CCC vor einer Öffnungsklausel in Paragraf 284 SGB V, die Krankenkassen die Erhebung und Speicherung von Sozialdaten für "die administrative Zurverfügungstellung der elektronischen Patientenakte sowie für das Angebot zusätzlicher Anwendungen" erlaubt. Damit könnten die Kassen "leicht über entsprechende Einwilligungen der Versicherten an solche Informationen gelangen, die zurecht der ärztlichen Schweigepflicht unterliegen", heißt es. Dies sei "als großes Risiko aus Sicht der Versicherten einzustufen".

Problematisch aus Sicht von Thilo Weichert vom Netzwerk Datenschutzexpertise ist zudem die Weitergabe von Patientendaten für Zwecke der Forschung und Qualitätssicherung. Denn beim sogenannten Forschungsdatenzentrum entscheide ein einzelner Sachbearbeiter, ob die pseudonymisierten Daten herausgegeben würden. Dann sei aber nicht mehr kontrollierbar, wie diese Daten verwendet würden. Die Datenschutzbehörden könnten nur auf Beschwerden hin tätig werden. "Beschwerden wird es aber keine geben, weil die Betroffenen keine Ahnung haben, was mit ihren Daten passiert", sagte Weichert. Dieses Problem sei aber schon im Digitale-Versorgung-Gesetz (DVG) angelegt, das Ende 2019 vom Bundestag beschlossen wurde.

Die Stellungnahmen sämtlicher Sachverständigen finden sich hier.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Apple
Vision Pro zwischen Finger-Tracking-Lob und Gewicht-Kritik

Sehr gutes Bild, nahezu perfekte Bedienung aber ein bisschen zu schwer: Die ersten Hands-ons von Apple Vision Pro sind insgesamt positiv.
Ein Bericht von Peter Steinlechner

Apple: Vision Pro zwischen Finger-Tracking-Lob und Gewicht-Kritik
Artikel
  1. Zen 4c Bergamo: So schrumpft AMD die Epyc-Kerne um fast die Hälfte
    Zen 4c Bergamo
    So schrumpft AMD die Epyc-Kerne um fast die Hälfte

    Bis zu 128 Kerne stellt AMD gegen ARM-Server-Prozessoren und Intels E-Cores. Kompromisse und neue Technik machen die kleineren Kerne möglich.

  2. Diablo 4 im Test: Blizzards Meisterwerk definiert das Genre neu
    Diablo 4 im Test
    Blizzards Meisterwerk definiert das Genre neu

    Unsere Hoffnungen bewahrheiten sich: Diablo 4 ist der beste Teil der exzellenten Spieleserie, an der sich auch Konkurrenten messen müssen.
    Ein Test von Oliver Nickel

  3. SAN: Zweites Leben für ausrangierte Firmenhardware
    SAN
    Zweites Leben für ausrangierte Firmenhardware

    Wenn die lokale Festplatte randvoll ist, können Speicherlösungen aus professioneller Umgebung die Antwort sein. Wir zeigen, wie.
    Eine Anleitung von Nico Ruch

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    • Daily Deals • PS5-Spiele & Zubehör bis -75% • Samsung 990 Pro 1TB (PS5) 94€ • AirPods 2 125€ • Crucial SSD 1TB 41,99€ • Thrustmaster T300 RS 299,99€ • Bis 50 % auf Gaming-Produkte bei NBB • PS5 inkl. Spiel 549€ • MSI RTX 4070 Ti 999€ • MindStar: AMD Ryzen 7 5800X3D 285€, RX 7900 XTX 989€ [Werbung]
    •  /