Kurz nach Einführung Hacker knacken Schutz der E-Patientenakte
Gesundheitsminister Lauterbach hatte zur Einführung der elektronischen Patientenakte versichert, dass diese sicher sei. Nun ist es Hackern offenbar gelungen, auch die verbesserten Schutzvorkehrungen auszuhebeln.
Entgegen der Ankündigung des geschäftsführenden Bundesgesundheitsministers Karl Lauterbach ist die elektronische Patientenakte (ePA) nicht vor Hackerangriffen geschützt. Der Chaos Computer Club (CCC) bestätigte Informationen des Spiegel, wonach es weiterhin erhebliche Schwachstellen gibt.
Wie das Magazin berichtet, gelang es ethischen Hacker des Clubs, auch eine neu hinzugefügte zentrale Schutzvorkehrung zu überwinden. Demnach ist es sogar möglich, auf eine konkrete Patientenakte zuzugreifen. Damit würde die ePA nicht die vorgegebenen Sicherheitsanforderungen erfüllen.
Für die technische Umsetzung der E-Patientenakte ist die bundeseigene Digitalagentur Gematik zuständig. Nach eigenen Angaben behob sie die Sicherheitslücke umgehend.
Gesundheitsdaten werden zentral erfasst
Die elektronische Patientenakte war am Dienstag für alle 73 Millionen gesetzlich Versicherten bundesweit an den Start gegangen. In der ePA werden Diagnosen, Arztbriefe, eingenommene Medikamente und sonstige Gesundheitsdaten digital erfasst.
Die Nutzung der ePA bleibt für die Ärzte, Apotheken und Krankenhäuser zunächst freiwillig. Die verpflichtende Nutzung für alle Leistungserbringer ist ab 1. Oktober 2025 vorgesehen. Versicherte können der Nutzung aktiv widersprechen, entweder generell oder für bestimmte Anwendungen und Nutzungsrechte. Die Anwendungsmöglichkeiten der ePA sollen schrittweise weiter ausgebaut werden.
Sicherheitslücken schon im vergangenen Jahr erkannt
Für Lauterbach ist die Einführung der ePA neben der Krankenhausreform das wichtigste Projekt. Er nennt es eine "Zeitenwende in der Digitalisierung". Der SPD-Politiker hatte immer betont, dass das System erst dann eingeführt werde, wenn kein Hackerangriff mehr möglich sei.
Denn der eigentliche Zeitplan für den Roll-out hatte sich bereits wegen Sicherheitsmängeln verzögert, die ebenfalls der Chaos Computer Club öffentlich gemacht hatte. Die Experten des CCC hatten Ende vergangenen Jahres demonstriert, wie es zum Beispiel theoretisch möglich wäre, auf sämtliche elektronischen Patientenakten zuzugreifen. Dafür hatten sie sich Zugang zur Telematikinfrastruktur (TI) verschafft, über die die ePA läuft. Etwa indem sie ohne viel Aufwand an gültige Praxisausweise und Gesundheitskarten Dritter gelangen konnten.
Chaos Computer Club warnte vor Problemen
Mitte April erklärte Lauterbach, dass inzwischen zusammen mit dem Bundesamt für die Sicherheit in der Informationstechnik (BSI) Sicherheitsmaßnahmen umgesetzt worden seien. Diese würden einen "Massenangriff auf die ePA" verhindern. Es sei technisch nicht mehr möglich, "dass man viele Daten von den Versicherten sieht". Es sei lange daran gearbeitet worden, zu verhindern, dass Daten abgegriffen werden könnten. "Diese Gefahr ist gebannt", sagte Lauterbach.
Nun erklärte der geschäftsführende Minister, in der Frühphase der ePA sei mit solchen Angriffsszenarien zu rechnen gewesen. Die Akte müsse sehr gut geschützt werden und Massenangriffe müssten grundsätzlich ausgeschlossen bleiben.
Mit Informationen von Nadine Bader und Birthe Soennichsen, ARD-Hauptstadtstudio