Die Sicherheit der elektronischen Patientenakte – eine Zwischenbilanz

Datensicherheit und Datenschutz sind bei dem akut grassierenden Digitalisierungs- (und Vernetzungs-) Hype für die einen dringend notwendig, für die anderen nur lästig und hinderlich. So oder so kommt aber Sicherheit als Etikett ganz groß auf alle Plakate, die Reklame für die schöne neue eHealth-Welt machen. („gematikWir vernetzen das Gesundheitswesen. Sicher.“)

Seit Ende 2018 Martin Tschirsich Gesundheitsanwendungen wie Vivy, DocDirekt oder TK-Safe u.a. und ihren angeblichen Datenschutz so elegant und genüsslich zerlegt hat, habe ich den Respekt vor den publzierten Sicherheitsmerkmalen und –erklärungen ziemlich verloren, sondern frage mich eher, wann Krankenkassen oder Versicherungen, die so leichtfertig mit dem Vertrauen ihrer Mitglieder umgehen, die Berechtigung, personenbezogene Daten zu verarbeiten, entzogen werden könnte.

Aber gilt das auch für das IT-Großprojekt elektronische Patientenakte (ePA)? Wenn ich mich nicht mehr auf Konzepte und Absichtserklärungen verlassen will, kann unterm Strich eine Aussage über die Sicherheit der Telematik-Infrastruktur (TI) und der elektronischen Patientenakte erst gemacht werden, wenn diesesgrößte Puzzle, was wir je in der IT-Landschaft in Deutschland hatten“ (Dr. med. Markus Leyck Dieken) ein paar Jahre unter „Volllast“ läuft, zumal die gespeicherten Patientendaten eine Sicherheit von einigen Jahrzehnten (bzw. ca. 3 Generationen > 100 Jahre) benötigen. Und hier „schätzt“ das BSI (Bundesamt für Sicherheit in der Informationstechnik) die Lebensdauer von Verschlüsselungen auf ca. 6-7 Jahre, bis dann – möglichst bevor andere (Hacker, Staaten, Informanten, Nachrichtendienste etc.) die Schlüssel knacken können – alles ent- und wieder neu – nach dem Stand der Technik – verschlüsselt werden muss.

Naturgemäß werden solche Projekte immer schwieriger und komplexer, je mehr unterschiedliche Interessen berücksichtigt werden sollen. Die ePA dient ja nicht nur der besseren Versorgung des einzelnen Patienten: da würden die Notfalldaten in der Brieftasche und die Befundberichte auf der CD reichen! Aber wirtschaftliche und politische Interessenten aller Art „scharren schon mit den Hufen“. Der „Datenschatz“, der in der Arzt-Patient-Interaktion generiert und bislang in Aktenschränken vergraben war, muss endlich gehoben werden. Und es scheint Politikern aller Couleur unerträglich zu sein, dass die Bundesbürger ihre Daten an Google und Facebook verschleudern und die deutsche Wirtschaft leer ausgeht.

So unterscheidet z.B. die Bertelsmann-Stiftung, die sich hier sehr engagiert und deren Tochterfirma Arvato die TI-Server betreibt, bei der „Sekundärnutzung von ePA-Daten“ Versorgungsforschung, klinische Forschung und PublicHealth und vergleicht die heiß erwarteten Vorteile der jetzt heranbrechenden Digitalisierung des deutschen Gesundheitswesens international in 17 Ländern: „Sekundärnutzung von ePA-Daten: So bergen andere Länder Datenschätze

Im Februar 2019 schnitt Deutschland angeblich noch nicht so gut ab: „Minister Spahn stellte … fest, dass es „riesige Unterschiede zwischen dem deutschen und dem amerikanischen Gesundheitswesen“ gebe. Deutschland verfüge zwar grundsätzlich über einen attraktiven Gesundheitsmarkt, der Patienten und Verbrauchern einen hohen Datenschutz biete. Das hohe Regulierungsniveau und zum Teil veraltete Kommunikationsarten erschwerten Start-ups jedoch den Marktzugang. Zudem sei die Bevölkerung nicht bereit, aus eigenen Mitteln für digitale Gesundheitsdienstleistungen zu zahlen. Diese beiden Punkte gestalteten sich in Amerika in Bezug auf eine höhere Risiko- und Investitionsbereitschaft sehr viel unterschiedlicher. Das Bundesgesundheitsministerium habe auch aus diesem Grund eine Abteilung für digitale Innovation gegründet. „Wir wollen erst einmal ein Bewusstsein für die Potenziale der Digitalisierung im Gesundheitswesen schaffen“, sagte Spahn.“  (Die Atlantik-Brücke. Jahresbericht 2018-2019, S.76)

Sowohl als Behandler als auch als Patient ist es überhaupt nicht mein vorrangigstes Interesse, Daten für diverse Start-Ups oder die Gesundheitsindustrie zu generieren. Der Arzt/Therapeut-Patient-Kontakt hat dem Menschen zu dienen und ist zunächst auf genau diese exklusive Situation begrenzt. Dass dann auch abgerechnet und dokumentiert werden muss, dass beraten und informiert wird, dass Informationen mit anderen Behandlern ausgetauscht werden, das gehört alles dazu, aber ist untergeordnet. Und daran müssen sich m.E. ein Gesundheitssystem und alle die technischen und Verwaltungs-Innovationen messen lassen.

Eine funktionierende ePA gibt es in Deutschland noch nicht. Aber der geschätzte Kollege Dr. Andreas Meißner hat einmal über die Grenzen geschaut, welchen Nutzen und welche Probleme andere Länder mit der ePA haben. (Hier grob zusammengefasst aus: Elektronische Patientenakte international. Hype mit Hindernissen)

Österreich
Elektronische Gesundheitsakte –ELGA: Opt-Out-Regelung: Wer nicht widerspricht, ist automatisch mit drin. PDF-Sammlung, Software-Probleme, Verlangsamung beim Rezeptdruck.

2018 wollte die Regierung Daten ohne Patientenerlaubnis für die Forschung freigeben, das konnte gerade noch verhindert werden.

Estland
Zugriffsmöglichkeit über Zifferncode, Smartphone oder Personalausweis und für jeden Mitarbeiter im Medizinsystem „An  eine  nationale  Infrastruktur zum  verschlüsselten  Datenaustausch sind alle staatlichen Einrichtungen angeschlossen, zudem über 50.000 Unternehmen und Organisationen.“

Mehr als jedem zweiten Bürger hätte (2017) aufgrund von Sicherheitslücken die digitale Identität gestohlen werden können.

Tschechien
Die von einer Privatfirma betriebene elektronische Patientenakte wurde 2015 wg. Korruptionsvorwürfen, Datenschutzbedenken und mangelnder Akzeptanz eingestellt.
Frankreich
teure PDF-Sammlung unter Mitwirkung von Microsoft,

2004 gestartet, mittlerweile von 500.000 bis 5 Mill. Patienten (je nach Quelle) genutzt.

England
Opt-Out-Prinzip, deutlich langsamer und teurer (34 Mrd. EUR!) als geplant,

2012 Daten von 47 Mill. Pat. an die Versicherungsindustrie verkauft, 2014 zentrale Speicherung der Daten aller NHS-Versicherten mit Einkaufsmöglichkeiten für Pharma- und Versicherungskonzerne und einer Back-Door für die Strafermittlungsbehörden usw.

Niederlande
„Das Projekt mit Zwang für Ärzte und Apotheker, zentraler Datenspeicherung  sowie  automatischer Teilnahme der Patienten scheiterte 2011 zunächst am Widerstand der ärztlichen Selbstverwaltung,“

mittlerweile freiwillige (für alle!), dezentrale Struktur der Selbstverwaltung

Dänemark
Regional organisiert ohne Weitergabe an Forschung oder kommerzielle Zwecke.

Datenpanne: die Gesundheitsdaten nahezu der gesamten Bevölkerung landeten aus Versehen bei der chinesischen Visumsstelle.

 

Eigentlich halten sich die durch Kriminelle verursachten Datenskandale bei den ePAs noch in Grenzen, vielleicht auch, weil Sammlungen von PDF-Dokumenten noch wenig attraktiv sind, vielleicht wird manches, was unter der Hand weitergegeben wurde oder abhanden kam, nicht an die große Glocke gehängt. Problematisch war eher der geringe Nutzen bei hohem Aufwand und wenn Regierungen mit den Daten Schindluder treiben, Geschäfte auf eigene Rechnung machen wollen und den Daten-Schutz ihrer Bevölkerung vergessen. Offen und anscheinend ohne Skrupel hat z.B. der israelische Staat erkannt, dass sich aus dem Verkauf der Gesundheitsdaten seiner Bevölkerung ein ganz guter Gewinn erzielen lässt.

Die Datenskandale, die sich wirklich häufen, geschehen anscheinend nebenher, weil Sicherheitsstandards auch von Klinken, Praxen, Dienstleistern nicht beachtet werden – oder weil es kaum noch möglich ist, bei stetig wachsendem Angriffsdruck vernetzte, kritische Strukturen ausreichend abzusichern.

  • USA 2014 bis 2017: 130 Mill. geleakte Patientenakten
  • Norwegen 2018: 3 Mill. geleakte Patientenakten
  • Singapur 2019: Daten von 14.000 HIV-Pat. im Netz
  • Deutschland 2020: Hackerangriff auf Uniklinik Düsseldorf führt zu erheblichen Betriebsstörungen
  • Finnland 2020: Daten von 40 – 50 Tsd. Psychotherapiepat. gestohlen und z.T. veröffentlicht
  • Weltweit 2020: über eine Mrd. Patientendaten auf DICOM-Servern offen im Internet
  • Frankreich 2021: 000 Patientendatensätze aus Laboren gestohlen und veröffentlicht Cybersecurity-Journalist Damien Bancal: „… und nichts hindert mich daran zu denken, dass die Hacker noch viel mehr haben.“

Patientendaten sind wertvoll, für eine Patientenakte können Preise von bis zu 2000 EUR im Darknet erzielt werden. Während der Angriffsdruck im Internet unablässig steigt, werden gleichzeitig in Deutschland und in anderen Ländern Arztpraxen gezwungen ihre Rechner ans Internet zu hängen und die Informationen über ihre Patienten nach international austauschbaren und maschinenlesbaren Standards zu codieren (SNOMED).

Bestimmt ist es nicht beabsichtigt, aber allein durch dieses staatliche Handeln werden Patientendaten auch für den Zugriff Krimineller aufbereitet, gesammelt und international verfügbar gemacht.

Lothar Seite

Dieser Beitrag hat einen Kommentar

  1. Lothar Seite

    Hier noch ein Nachtrag zur ELGA in Österreich: Die Patienten, die von ihrem Weigerungsrecht gebrauch gemacht haben, ihre Daten doch nicht zentral speichern zu lassen, werden jetzt gerade gesetzeswidrig benachteiligt, da sie von der kostenlosen Coronatest-Ausgabe in den Apotheken ausgeschlossen werden. Es soll geklagt werden!
    https://patientenrechte-datenschutz.de/2021/03/05/oesterreich-sanktionen-fuer-versicherte-die-die-elektronischen-gesundheitsakte-elga-verweigern/

Schreibe einen Kommentar