Alle Daten der digitalen Gesundheitsakte sind für jeden zugänglich
Hamburg: Der deutsche Chaos Computer Club (CCC) hat kurz vor Silvester auf seinem 38. Kongress die erste Silvester-Rakete gezündet. Die elektronische Gesundheitsakte, die im Januar in Hamburg und im Februar im restlichen Deutschland eingeführt werden soll, ist komplett unsicher. Grundsätzlich, kann ein Angreifer ohne großen Aufwand auf alle Gesundheitsdaten aller Versicherten zugreifen.
Alle Gesundheitsdaten?
Die Autoren Tschirsich und Kastl haben in ihrem Vortrag nachgewiesen, dass das ePA-System der Firma Gematik nicht nur weiterhin die seit 2019 bekannten riesigen Sicherheitslücken aufweist, wodurch ein Angreifer im einfachsten Fall durch ein falsch gestecktes Kabel auf alle Patienten einer Praxis eines Quartals, also durchschnittlich rund 1000 Datensätze, voll zugreifen kann. In Erweiterung ihrer schon 2019 vorgetragenen Analyse haben sie zudem dargestellt, wie sie mit einer Prompt-Injection alle Daten der Zentraldatenbank abgreifen können, weil diese nicht ordentlich mit dem Patientencode und Passwort gesichert sind. Eine Authentifikation durch einen sicheren zweiten Faktor fehlt vollständig. Für einen solchen Angriff auf alle Daten ist nur eine geringe Vorbereitungszeit von rund zwei Wochen nötig. Um an die Daten nur einer Praxis zu gelangen, setzen sie ungefähr zwei Stunden an.
Bundesdatenschutzbeauftragter?
Der damalige Bundesdatenschutzbeauftragte, Ulrich Kelber, hatte schon früher als inakzeptabel kritisiert, dass die individuelle Einwilligung in die Freigabe nur bestimmter Daten fehle. Dieses ist nur in ganz groben Bereichen möglich. Die Sicherheitsvorgaben und die Verschlüsselung hält er ebenfalls für unzureichend.
Haftung wegen schlechter Datenqualität?
Die Datenqualität ist dadurch extrem eingegrenzt, so dass zum Start keine Bilder und nur „nicht-durchsuchbare” PDF-Daten gespeichert werden können. Das birgt große Haftungsprobleme für Ärzte, die sich jeweils alle PDFs eines Patienten durchlesen müssen, um nicht wegen eines Kunstfehlers belangt zu werden.
Sie können vorhandene Praxis-Software nicht sinnvoll anbinden. Jedenfalls müssen Sie dafür teure Updates kaufen. Sie brauchen die Zusatzfunktion vorhandene Bilder, in PDF umwandeln zu können, da diese sonst nicht in der ePA nicht gespeichert werden können. In den meisten Fällen werden so Bürokratieverluste erhöht, ohne einen Effizienzgewinn zu erzielen.
Meine Mitarbeiter?
Ihre Mitarbeiter können Sie über dieses Thema an den Datenschutz heranführen und für Gesundheitsdaten sensibilisieren. Jeder gesetzliche Versicherte kann der ganzen ePA noch bis 15. Januar (Hamburg, Franken, Teile von NRW) bzw. 15. Februar (Deutschland) widersprechen (Opt-Out). So kann er verhindern, dass seine Daten in die unsichere Zentraldatenbank gelangen. Jede Krankenkasse hat dafür unterschiedliche Wege. Beim ersten Arztbesuch kann man in der Sprechstunde seinem Widerspruch ebenfalls Ausdruck geben.
Korrekturen?
Die Firma Gematik hat verkündet, dass sie Korrekturen für die oben genannten Sicherheitsprobleme kurzfristig zur Verfügung stelle. Angesichts dessen, dass das komplette Systemdesign schon seit 2019 an mehreren Stellen anfällig ist und seitdem keine merklichen Verbesserungen eingeführt wurden, erscheint das nur als reines Wunschdenken oder eine PR-Strategie. Fazit: Es gibt hohe Bürokratiekosten ohne nennenswerte Vorteile für die Patienten oder Ärzte.
Weiterführend
-
CCC | CCC fordert Ende der ePA-Experimente am lebenden Bürger vom 27.012.2024
-
Entwickler zu E-Patientenakte: Ab Januar "dunkelgrüne Schrumpelbananensoftware" vom 08.11.2024
-
Kelber zu E-Patientenakte: Völliger Fehler, Sicherheitsmaßnahmen herauszunehmen vom 28.06.2024
Autor: Thomas Hofmann, Data Privacy Consultant, 07.01.2025
