Elektronische Patientenakte – so sicher wie Onlinebanking?

Krankgeschrieben, Medikamente und Kontaktdaten vom Arzt online und damit zentral abrufbar – klingt praktisch? Ist es bestimmt auch. Doch wie sicher ist die elektronische Patientenakte? Niemand will schließlich, dass die sensiblen Daten über Gesundheit und Wohlbefinden für jeden einsehbar sind. Ist doch gerade die Datenhaltung für viele Betreiber die Achillesverse. Das beweisen allein die zahlreichen, bekanntgewordenen Datendiebstähle.

Die elektronische Patientenakte kommt!

Bis spätestens 2021 sind die gesetzlichen Krankenkassen in Deutschland verpflichtet elektronische Patientenakten (ePA) einzuführen. In diesen sollen alle wichtigen Gesundheitsdaten gespeichert und online abrufbar sein. Dieses Vorhaben wird von unserem derzeitigen Gesundheitsminister Jens Span (CDU) vorangetrieben:

Versicherte sollen auch per Tablet und Smartphone auf ihre elektronische Patientenakte zugreifen können (Spahn, 2018).

Demnach sollen Befunde, Diagnosen, Therapiemaßnahmen, Behandlungsberichte und Impfungen in der ePA zentral gespeichert werden. Auf dem35. Chaos Communication Congress (35C3), der vor kurzem im Leipzig stattgefunden hat, wurden aktuelle Apps für Patientenakten untersucht. Martin Tschirsich hat dabei kritische Sicherheitslücken finden können – und das trotz zahlreicher Zertifizierungen. Der Zweifel an der Wirksamkeit der Gütesiegel wächst mit jedem Vorfall. Aber auch Organisationen untersuchen diese Arten von Apps aus unterschiedlicher Motivation.

Apps weisen Lücken auf –
für die elektronische Patientenakte der Sargnagel!

Bei der durch Krankenkassen finanzierten App Vivy stellten sich ebenfalls zahlreiche Sicherheitslücken heraus. So ist die Kommunikation zwischen Arzt und Patient unzureichend geschützt. Eine lediglich 5-stellige Session-ID, die aus Kleinbuchstaben besteht, wird dazu genutzt. Mit einem simplen Brute-Force-Angriff ist es Tschirsich bereits gelungen u.a. den Namen des Versicherten, Versichertennummer, Bild, Adresse, behandelnder Arzt, Alter, Geschlecht, Sprache auszulesen. Alle weiteren aufgedeckten Sicherheitslücken (auch aller anderen Apps) können angesehen werden.

Die sichere Speicherung von sensiblen Daten, wie es Gesundheitsdaten sind, ist ein äußerst komplexes Vorhaben. Allein schon unter der Berücksichtigung des heutigen Stands der Technik – Quantencomputer und leistungsfähigere Rechner zum Knacken von im Augenblick sicheren Verschlüsselungsmethoden mal außen vor. Ähnlich wie die Daten über die DNA verlieren Gesundheitsdaten nicht an wert. Im Gegensatz zu anderen (Meta-)Daten, wie z.B. Adresse oder Telefonnummer, die sich gelegentlich ändern, sind die Gesundheitsdaten stets von Relevanz. Der Trend biometrische Merkmale zur Authentifizierung zu verwenden, stellt die Problematik dar.

Wird der Fingerabdruck einmal gestohlen, ist es schwierig diesen „neu zu setzen“. Eine PIN oder ein Passcode lässt sich einfacher austauschen. Informationen über sensible und/oder chronische Krankheiten, wie z.B. HIV, sollten schließlich in keiner öffentlichen Datenbank stehen.

Für die elektronische Patientenakte steht noch viel Arbeit vor uns.

„Einfach mal machen“ – in manchen Situationen ein guter Vorschlag. Für die elektronische Patientenakte sollte jedoch mehr Aufmerksamkeit (und monetäre Mittel) bereitgestellt werden. Sonst kann sich das Vorhaben beim beA (besonderes elektronisches Anwaltspostfach) und dem elektronischen Personalausweis einreihen. Projekte, die vor dem Start zum Scheitern verurteilt worden sind.