Datensicherheit und Datenschutz sind bei dem akut grassierenden Digitalisierungs- (und Vernetzungs-) Hype für die einen dringend notwendig, für die anderen nur lästig und hinderlich. So oder so kommt aber Sicherheit als Etikett ganz groß auf alle Plakate, die Reklame für die schöne neue eHealth-Welt machen. („gematik – Wir vernetzen das Gesundheitswesen. Sicher.“)

Seit Ende 2018 Martin Tschirsich Gesundheitsanwendungen wie Vivy, DocDirekt oder TK-Safe u.a. und ihren angeblichen Datenschutz so elegant und genüsslich zerlegt hat, habe ich den Respekt vor den publzierten Sicherheitsmerkmalen und –erklärungen ziemlich verloren, sondern frage mich eher, wann Krankenkassen oder Versicherungen, die so leichtfertig mit dem Vertrauen ihrer Mitglieder umgehen, die Berechtigung, personenbezogene Daten zu verarbeiten, entzogen werden könnte.

Aber gilt das auch für das IT-Großprojekt elektronische Patientenakte (ePA)? Wenn ich mich nicht mehr auf Konzepte und Absichtserklärungen verlassen will, kann unterm Strich eine Aussage über die Sicherheit der Telematik-Infrastruktur (TI) und der elektronischen Patientenakte erst gemacht werden, wenn dieses „größte Puzzle, was wir je in der IT-Landschaft in Deutschland hatten“ (Dr. med. Markus Leyck Dieken) ein paar Jahre unter „Volllast“ läuft, zumal die gespeicherten Patientendaten eine Sicherheit von einigen Jahrzehnten (bzw. ca. 3 Generationen > 100 Jahre) benötigen. Und hier „schätzt“ das BSI (Bundesamt für Sicherheit in der Informationstechnik) die Lebensdauer von Verschlüsselungen auf ca. 6-7 Jahre, bis dann – möglichst bevor andere (Hacker, Staaten, Informanten, Nachrichtendienste etc.) die Schlüssel knacken können – alles ent- und wieder neu – nach dem Stand der Technik – verschlüsselt werden muss.

Naturgemäß werden solche Projekte immer schwieriger und komplexer, je mehr unterschiedliche Interessen berücksichtigt werden sollen. Die ePA dient ja nicht nur der besseren Versorgung des einzelnen Patienten: da würden die Notfalldaten in der Brieftasche und die Befundberichte auf der CD reichen! Aber wirtschaftliche und politische Interessenten aller Art „scharren schon mit den Hufen“. Der „Datenschatz“, der in der Arzt-Patient-Interaktion generiert und bislang in Aktenschränken vergraben war, muss endlich gehoben werden. Und es scheint Politikern aller Couleur unerträglich zu sein, dass die Bundesbürger ihre Daten an Google und Facebook verschleudern und die deutsche Wirtschaft leer ausgeht.

So unterscheidet z.B. die Bertelsmann-Stiftung, die sich hier sehr engagiert und deren Tochterfirma Arvato die TI-Server betreibt, bei der „Sekundärnutzung von ePA-Daten“ Versorgungsforschung, klinische Forschung und PublicHealth und vergleicht die heiß erwarteten Vorteile der jetzt heranbrechenden Digitalisierung des deutschen Gesundheitswesens international in 17 Ländern: „Sekundärnutzung von ePA-Daten: So bergen andere Länder Datenschätze“

Im Februar 2019 schnitt Deutschland angeblich noch nicht so gut ab: „Minister Spahn stellte … fest, dass es „riesige Unterschiede zwischen dem deutschen und dem amerikanischen Gesundheitswesen“ gebe. Deutschland verfüge zwar grundsätzlich über einen attraktiven Gesundheitsmarkt, der Patienten und Verbrauchern einen hohen Datenschutz biete. Das hohe Regulierungsniveau und zum Teil veraltete Kommunikationsarten erschwerten Start-ups jedoch den Marktzugang. Zudem sei die Bevölkerung nicht bereit, aus eigenen Mitteln für digitale Gesundheitsdienstleistungen zu zahlen. Diese beiden Punkte gestalteten sich in Amerika in Bezug auf eine höhere Risiko- und Investitionsbereitschaft sehr viel unterschiedlicher. Das Bundesgesundheitsministerium habe auch aus diesem Grund eine Abteilung für digitale Innovation gegründet. „Wir wollen erst einmal ein Bewusstsein für die Potenziale der Digitalisierung im Gesundheitswesen schaffen“, sagte Spahn.“  (Die Atlantik-Brücke. Jahresbericht 2018-2019, S.76)

Sowohl als Behandler als auch als Patient ist es überhaupt nicht mein vorrangigstes Interesse, Daten für diverse Start-Ups oder die Gesundheitsindustrie zu generieren. Der Arzt/Therapeut-Patient-Kontakt hat dem Menschen zu dienen und ist zunächst auf genau diese exklusive Situation begrenzt. Dass dann auch abgerechnet und dokumentiert werden muss, dass beraten und informiert wird, dass Informationen mit anderen Behandlern ausgetauscht werden, das gehört alles dazu, aber ist untergeordnet. Und daran müssen sich m.E. ein Gesundheitssystem und alle die technischen und Verwaltungs-Innovationen messen lassen.

Eine funktionierende ePA gibt es in Deutschland noch nicht. Aber der geschätzte Kollege Dr. Andreas Meißner hat einmal über die Grenzen geschaut, welchen Nutzen und welche Probleme andere Länder mit der ePA haben. (Hier grob zusammengefasst aus: Elektronische Patientenakte international. Hype mit Hindernissen)

Eigentlich halten sich die durch Kriminelle verursachten Datenskandale bei den ePAs noch in Grenzen, vielleicht auch, weil Sammlungen von PDF-Dokumenten noch wenig attraktiv sind, vielleicht wird manches, was unter der Hand weitergegeben wurde oder abhanden kam, nicht an die große Glocke gehängt. Problematisch war eher der geringe Nutzen bei hohem Aufwand und wenn Regierungen mit den Daten Schindluder treiben, Geschäfte auf eigene Rechnung machen wollen und den Daten-Schutz ihrer Bevölkerung vergessen. Offen und anscheinend ohne Skrupel hat z.B. der israelische Staat erkannt, dass sich aus dem Verkauf der Gesundheitsdaten seiner Bevölkerung ein ganz guter Gewinn erzielen lässt.

Die Datenskandale, die sich wirklich häufen, geschehen anscheinend nebenher, weil Sicherheitsstandards auch von Klinken, Praxen, Dienstleistern nicht beachtet werden – oder weil es kaum noch möglich ist, bei stetig wachsendem Angriffsdruck vernetzte, kritische Strukturen ausreichend abzusichern.

• USA 2014 bis 2017: 130 Mill. geleakte Patientenakten
• Norwegen 2018: 3 Mill. geleakte Patientenakten
• Singapur 2019: Daten von 14.000 HIV-Patienten im Netz
• Deutschland 2020: Hackerangriff auf Uniklinik Düsseldorf führt zu erheblichen Betriebsstörungen
• Finnland 2020: Daten von 40 – 50 Tsd. Psychotherapiepatienten gestohlen und z.T. veröffentlicht
• Weltweit 2020: über eine Mrd. Patientendaten auf DICOM-Servern offen im Internet
• Frankreich 2021: 500 Tsd. Patientendatensätze aus Laboren gestohlen und veröffentlicht. Cybersecurity-Journalist Damien Bancal: „… und nichts hindert mich daran zu denken, dass die Hacker noch viel mehr haben.“

Patientendaten sind wertvoll, für eine Patientenakte können Preise von bis zu 2000 EUR im Darknet erzielt werden. Während der Angriffsdruck im Internet unablässig steigt, werden gleichzeitig in Deutschland und in anderen Ländern Arztpraxen gezwungen ihre Rechner ans Internet zu hängen und die Informationen über ihre Patienten nach international austauschbaren und maschinenlesbaren Standards zu codieren (SNOMED).

Bestimmt ist es nicht beabsichtigt, aber allein durch dieses staatliche Handeln werden Patientendaten auch für den Zugriff Krimineller aufbereitet, gesammelt und international verfügbar gemacht.

Lothar Seite