Bundesärztekammer rät von Nutzung ab
Elektronischer Patientenakte: Auch Ärzte warnen vor Sicherheitslücken
Seit dem vergangenen Wochenende steht fest: Die Einführung der elektronischen Patientenakte wird aufgrund ungelöster Sicherheitsprobleme auf unbestimmte Zeit verschoben. Der Chaos Computer Club hatte auf seinem Jahreskongress zuvor gravierende Schwachstellen im System aufgezeigt, die auch nach Ansicht von Ärzteverbänden sensible Gesundheitsdaten gefährden könnten.
Präsident der Bundesärztekammer Dr. med. Klaus Reinhardt | Bild: Die Hoffotografen
Kritik aus der Ärzteschaft
Der Präsident der Bundesärztekammer, Klaus Reinhardt, äußerte im Ärzteblatt jetzt Zweifel an der Sicherheit der ePA und erklärte, er könne Patienten derzeit nicht zur Nutzung der elektronischen Patientenakte raten. Ähnlich äußerte sich der Berufsverband der Kinder- und Jugendärzte (BVKJ). Beide Organisationen fordern Nachbesserungen, bevor die elektronische Akte für die breite Anwendung freigegeben wird.
Der BVKJ weist darauf hin, dass bestehende Sicherheitslücken den Schutz dieser besonders sensiblen Gruppe nicht ausreichend gewährleisten. Bereits im November seien Bedenken an das Gesundheitsministerium gemeldet worden, konkrete Maßnahmen zur Problemlösung stünden jedoch noch aus. Eltern wird daher empfohlen, die Nutzung der ePA vorerst auszusetzen.
- Massenzugriff möglich: Elektronische Patientenakte (ePA) gehackt
- Nach ePA-Hack: Elektronische Patientenakte verzögert sich
Digitalisierung bleibt Ziel
Der Chaos Computer Club kritisiert vor allem die Sicherheit der Heilberufs- und Praxisausweise, die für den Zugriff auf die ePA erforderlich sind. Mängel bei der Beantragung und Ausgabe dieser Ausweise könnten es Angreifern erleichtern, sich Zugang zu fremden Gesundheitsdaten zu verschaffen. Zusätzlich hatte der CCC demonstriert, dass Zugriffstoken für ePAs auch ohne Gesundheitskarte erstellt werden könnten.
Ein weiteres Problem bestehe darin, dass einmal eingerichtete Zugriffsberechtigungen möglicherweise nicht wirksam entzogen werden. Dadurch könnten ehemalige Berechtigte weiterhin auf sensible Daten zugreifen.
Sowohl die Politik als auch Ärzteverbände betonen, dass die Digitalisierung im Gesundheitswesen grundsätzlich unterstützt werde. Die ePA soll langfristig dazu beitragen, Behandlungsprozesse effizienter zu gestalten und die Patientenversorgung zu verbessern.
„Konnte bisher noch nie gehackt werden“
Neuland 2.0
Was ich ja immer nicht verstehe nach all den vielen vielen Sicherheitsproblemen, die der CCC in seiner Geschichte schon aufgedeckt hat: Warum bindet man diesen bei sensiblen Themen nicht von vornherein mit ein? Die Leute vom CCC sind im besten sinne das, was man „Ethical Hackers“ nennt, und sie wären sicher bereit, schon von Beginn solcher Entwicklungen an beratend zur Seite zu stehen und eben nicht erst hinterher nachweisen zu müssen, was alles unsicher ist…
+1
Weil man in der Planung überheblich ist … „Man hat ja seine eigenen hoch dotierten Experten (Familienmitglieder)“ und kann das allein. CCC sind doch nur Nerds …
Und hier spreche ich aus Erfahrung. Schade das man diese Chancen nicht nutzt.
So sieht es leider aus. Lieber ein paar Millionen in die eigene Tasche als echte Experten zu bezahlen.
Wenn’s um (und nur mit) öffentlicher Ausschreibung geht … denn das wird bei der ePA wohl der Fall gewesen sein: der günstigste Preis „gewinnt“.
+ 1
1+ schön gesprochen
Weil wir dann u.a. immer noch keinen ePerso hätten, der laut CCC ja katastrophale Sicherheitsrisiken aufweisen würde. Über 14 Jahre später ist immer noch kein Ausnutzen dieser großen Sicherheitsrisiken bekannt.
Wenn es nach dem CCC gehen würde, wäre die Digitalisierung in diesem Land noch viel weiter hinterher, als es aktuell sowieso schon der Fall ist.
Vorallem liegt das daran das letztlich der politische Wille fehlt es gleich richtig zu machen. Zu groß ist die Möglichkeit über arrangement’s Vorteile für sich zu gewinnen. Mehr sag ich dazu nicht. Allein was die Gesamtkosten bisher für die epa beträgt, hätte man den gesamten Bürokratieapparat Deutschlands Digitalisieren können.
@Nukular
Beim ePerso wurde alles richtig gemacht. Der CCC hat ihn dennoch extrem kritisiert und war gegen die Einführung in dieser Form.
+1 … wie der Herr so das Geschirr…
… weil der CCC dann Teil des Systems wäre und einen wichtigen Ansporn verlöre.
Wahrscheinlich (ohne es zu wissen), weil der CCC aus Computer Nerds ohne entsprechendes Studium besteht. In Deutschland wird man nur was, wenn man den entsprechenden Schein vorlegen kann, da kann man noch so gut sein, ohne wird das nichts. Vor 30 Jahren Haben Unternehmen Computer Nerds bei Ausschreibungen bevorzugt, das hat sich irgendwann gewandelt. Ich habe den größten Respekt vor diesen Club, die haben richtig was drauf! Wahrscheinlich hat jedes Mitglied dieses Clubs mehr drauf als jeder studierte iT „Experten“ den die Unis ausgebildet haben. Warum hat Deutschland ein Problem, lm weltweiten Vergleich, in Sachen iT und Software? Warum brauchen wir Indien wegen iT Fachkräfte? Dann wollen wir irgendwas digitales einführen? Selten so gelacht!
Das Problem an Nerds ohne Studium ist, mal plakativ gesprochen, dass sie ihre „intellektuellen“ Limitierungen nicht kennen. Sie denken einseitig und sind in einem sehr gut, verstehen aber keine komplexeren Zusammenhänge außerhalb dessen. Einfach gesprochen, sie wollen Probleme lösen anstatt Lösungen zu entwickeln (problem- anstatt lösungsorientiert). Das macht das arbeiten mit ihnen teilweise schwer, besonders in cross functional teams, wo es auf viele andere Kompetenzen ankommt, die du im Studium entwickelst.
Ist nicht die Aufgabe und Zeil des CCC. Der CCC wird niemals sagen: „Von CCC geprüft und für gut befunden“. Aber es gibt genug IT-Sicherheitsunternehmen im Umfeld des CCC, die sowas machen und der CCC würde sicher vermitteln.
Unfähigkeit 3.0.
Es ist ein gutes Zeichen, dass wir in Deutschland solche Leute haben, die im Vorfeld diese Sicherheitslücken finden und dass darauf auch reagiert wird.
Gerade weil ich von Berufs wegen der gematik etwas skeptisch gegenüber stehe, bin ich dankbar dafür.
Unglaublich
Vor diesen Sicherheitslücken wurde schon vorher gewarnt, weil das konzeptionelle und keine technischen Probleme sind. Der CCC hat „nur“ den Beweis geliefert.
Die Kritik vom CCC muss natürlich ernst genommen werden und die aufgezeigten Sicherheitslücken geschlossen werden. Ob aber die Ärzte die kompetenten Fachleute für IT-Sicherheitsfragen sind, wage ich zu bezweifeln.
Sorry aber auch Ärzte sitzen da mit im Bot. Selbst bei aktiven Störungen und Sicherheitsmängel sitzen Ärzte, Krankenhäuser etc. im Bot. Wenn genannte Störungen/ Sicherheitsmängel nicht melden. Sind Bußgeld von bis zu 250.000 Euro ans BMG fällig. Entsprechend nimmt man die CCC Meldung.
Die Ärzte sind schon lange sehr skeptisch bzw. dagegen. Sie haben Angst, dass man sie etwas kontrollieren kann. Was in vielen Fällen sicherlich gut wäre.
Insofern hat die Kritik der Ärtzeverbände für mich keinen hohen Wert.
+1
Das größte Problem ist nicht die ePA selbst, sondern dass man einfach an Heilberufsausweise kam.
Und wer vergibt diese?
Die Ärztekammer.
Wer kritisiert jetzt die ePA wegen den Sicherheitsrisiken? Die Ärztekammer.
Kann man sich nicht ausdenken.
Dazu ist Klaus Reinhardt auch Vorsitzender des Hartmannbundes. Der nicht unbedingt in der Vergangenheit positiv gegenüber der Digitalisierung eingestellt war.
KV steht nicht umsonst nicht nur für Kassenärztliche Vereinigung, sondern auch für „kannste vergessen“
Ich denke es ist eine Mischung aus Highlandern, Lobbyisten und Geldhungrigen. Dann noch Beratungsresistenz, dann haben wir doch alles zum Scheitern zusammen. Ich hatte selbst mit der Gematik zu tun und habe schnell gelernt, dass man als Mittelständler ohne vorherige Kontakte scheitern muss. O-Ton der Gematik auf der Medica: Sie finden alle Infos auf unserer Homepage…Warum hatten die dann einen Messestand?
So ein Quatsch. Das bringt nur Vorteile, gerade wenn man per Schlaganfall ins Krankenhaus muss. Natürlich kann es auch Nachteile geben, aber die Vorteile überwiegen. Schafft endlich die EU-Richtlinien und Brüssel generell ab. Wählt richtig und dann gibt es auch wieder richtige Grenzen!
Richtige Grenzen fehlen bei dir im Hirn, die solche dummen Äußerungen verhindern würden.
OMG: AFD-Geschwurbel wohin man sieht.
Nur mal so aus Neugierde… was soll jemand mit meiner Akte… sehen dass ich Rheuma.. einen Tumor und Handvoll OPs hatte… und dann?! Aber wahrscheinlich ist mir es einfach egal- defekt aber noch am Atmen .. haha
Nun, ich als Arbeitgeber könnte dann schon mal Bewerber aussortieren, die mehr Einträge als andere. Kreditgeber ob derjenige den Kredit überhaupt mit Arbeit und Verdienst bedienen kann. Wenn ich Schmerzmittelsüchtig bin, wo könnte ich die am besten abgreifen….. nur so Gedankenspiele ohne Gewähr.
Oh je bist du naiv oder verblendet, dann kannst du ja zu deinen Arzt gehen. Das er deine Akte auch in die Presse druckt. :))))
Wenn man extern auf deine zugreifen kann, wird man sicher auch die eine oder andere Abrechnung mit deiner Kasse tätigen können.
Ihr Arbeigeber , falls überhaupt vorhanden, könnte sich sehr dafür interessieren.
Auch Neueinstellungen könnten dann von den illegal erlangten Daten abhängen.
Ich habe 15 Jahre lang in den Personalabteilungen von großen Konzernen gearbeitet. Da würde keiner mit illegal erlangten Personendaten arbeiten. Seid ihr jeck? Ehrlich gesagt, da sind so viele so technikavers, dass die nicht mal wüssten wie man da dran kommt.
Das müssen verdammt lang zurück liegende Jahre und sehr nachschrittliche Unternehmen gewesen sein …
@Roy Basch
Mit Sicherheit nicht. Dies gilt für 99% aller Arbeitgeber.
Und wenn ein Arbeitgeber tatsächlich illegal Daten über mich sich aus dem Darknet holt, dann ist es ganz gut, dass dieser mich dann eventuell nicht einstellt.
Ich kenne einen Fall in HR, da wurden aktiv Mitarbeiterdaten -verkauft- !
Geld regiert die Welt.
Und der Arbeitgeber bedient sich dubioser Quellen, um rechtswiedrig an diese medizinischen Infos zu kommen, um sie dann auszuwerten?
Gibts dafür extra Kontenrahmen, damit das auch ordnungsgemäß verbucht wird?
Man hat u. U. ganz andere Probleme mit seinem Arbeitgeber bzw. dieser selbst, wenn er zu solch Mitteln greift.
Höhere Einstufung bei Versicherungsabschlüssen aus Gründen, keine (Lebensversicherungs)Policen aus Gründen, keine Kredite, erhoffte Jobs, etc. – aus Gründen …
wie kann man im 21. Jahrhundert tatsächlich noch so blauäugig sein …?!
Keine Versicherung würde mit Daten aus dem Darknet arbeiten.
Die Probleme sind woanders. Aber mit Sicherheit nicht dort.
Und darüber bist du dir warum genau so sicher?
„Kein Versicherung…“ das sagst du jetzt! Wenn es solche Daten gibt dann ist schnell Interesse da. Eine Begründung wird man finden einen Score einzuführen.
@Käsestulle
Wie soll man denn einen illegalen Score aus illegalen Daten aufbauen?
Allein schon die Kosten, da solche Daten eher nicht unentgeltlich zur Verfügung gestellt werden.
Dann den ganzen IT und Bürokratischen Aufbau.
Und das ganze noch so verschleiern, dass es von keiner Aufsichtsbehörde oder Ermittlungsbehörden gefunden wird. Wenn ein Mitarbeiter auspackt, einer klagt etc.
Da muss der Aluhut schon sehr eng sitzen, wenn man so etwas für realistisch hält.
Nein, ich meine wenn die Daten überhaupt schon angelegt werden. Erstmal speichern und dann werden noch weitere Instanzen ihr Interesse begründen und Zugriff bekommen. Den Kunden lockt man dann mit Versprechen „jetzt wird alles viele viel günstiger“ oder irgendwelche Prämien werden verteilt. Auch ein ausschließen in der Gesellschaft etc. wäre möglich wie uns die letzten Jahre gezeigt haben.
Nein das ist kein „Aluhut“ denken. Das sind Punkte den muss man sich stellen und die Gefahr dort erkennen und Mechanismen einbauen die dies verhindern bzw. Sicherstellen.
Insgeheim ob dein vielleicht zukünftiger Arbeitgeber deine Bewerbung abgelehnt hat aufgrund deines Bewerbungsbildes oder deines Alters wirst du nie erfahren.
Wenn solche brisanten Daten online sind und unverschlüsselt, ist das schon zu spät!
Es gibt eben Krankheiten, die in der Öffentlichkeit leider noch tabuisiert sind. Und dadurch sind Menschen damit erpressbar. Gerade Promis, Politiker etc.
Daher ist es schon wichtig, dass die Daten gut geschützt sind.
War das anders zu erwarten im digitalen Steinzeitalter Deutschlands. Wohl nicht. Meine Daten trage ich im den Hals da sehe ich wer drauf zu greift.
Auf eine Digitalen Ausweis wartet man, in DE ja auch vergeblich. Dazu sind sie auch nicht fähig…
Du meinst auf dem Smartphone? Dies ist international aber generell eher eine Seltenheit, hier hinkt Deutschland nicht hinterher.
Außerhalb von Europa ist das normal.
@jap
Nein, ist es nicht.
@jap. In Malaysia und Singapur zum Beispiel, das fand ich beeindruckend.
Hmm,
Grundsätzlich eigentlich ne gute Idee. Statt bei jedem Arzt nen neues Labor machen zu lassen, über alte Werte Veränderungen festzustellen- gibt es durchaus gute Gründe für eine Akte.
Warum kann die nicht verschlüsselt gespeichert werden, der Patient kann dem Arzt seines Vertrauens den Schlüssel zur Verfügung stellen?
Dann gäbe es keine Chance auf Massenzugriff …
Gute Idee!
Aber leider nicht gut wenn du nicht ansprechbar im Rettungswagen liegst.
Eine verschlüsselte digitale Akte ohne Zugang hilft dann genauso gut wie eine Papierakte, da niemand weiß, bei welchem Arzt diese liegt.
Kommt es mir so vor oder sind alle staatlichen oder ähnliche digitalen Dienste stark gefährdet von Sicherheitslücken?
Was hat das mit dem Staat zu tun?
Schau mal, wieviele private Dienste dieselben Probleme haben.
Selbst security Apps, firewall OS etc
Ich würde das Teil sogar mit sicherheitslücken benutzen. Wer mehrmals im Jahr ins Krankenhaus muss und jedes Mal den originalen mehrseitigen Anamese-Bogen ausfüllen muss, weiß von was ich rede
In der Uniklinik Mainz wird sogar ein zweiter ausgefüllt, wenn man die Station wechseln muss. Wenn man das sieht, versteht man warum das Gesundheitswesen immer teurer wird – der Verwaltungsaufwand ist einfach nicht mehr tragbar und da wäre ein persönlicher Datenspeicher mit allen relevanten Infos sehr hilfreich – warum man dazu eine extra Karte benötigt und dazu noch unterschiedliche Apps pro Krankenkasse ist der nächste kosten-GAU. Schließlich haben wir eine Unmenge Krankenkassen, wo doch 4-5 verschiedene ausreichen würden und als Karte könnte der Personalausweis dienen, den sowieso jeder dabeihaben muss.
Den Personalausweis muss man nicht immer dabei haben, man muss nicht einmal einen besitzen. Reisepass reicht, eine Mitführpflicht hat man bei beiden nicht.
+1
Ich habe das selber auch so erfahren, nicht im Detail, aber vergleichbar. Du hast damit vollkommen Recht. Das mit dem Personalausweis sehe ich kritisch, Gründe wurden hier schon genannt.
Was mir aber immer wieder bei solchen Projekten und den dazugehörigen Problemen auffällt, ist, die doch sehr unsachliche Diskussion. Jeder meint ein Experte zu sein. Ich kann da wirklich nur staunen. Wenn alle so schlau sind, warum geht denn dann in Deutschland immer weniger Vorwärts? Kann es sein, dass wir mehr Lust am Zerreden haben, als am richtig Machen? Ist die breit geführte, durch alle Schichten gehende Diskussion am Ende gar nicht so hilfreich? Ich habe leider keine Antworten auf all die Fragen, aber ich kann mich wirklich nur wundern wo wir 2025 stehen. Habt einen schönen Tag und kommt gut da an wo ihr hinkommen müsst. Es schneit, oh Gott!
„Sie bringt so viele Vorteile, dass man das Risiko von Datenlecks eingehen sollte, sagt Alena Buyx.“…
„Die elektronische Patientenakte wird nächste Woche für alle eingeführt. Sie bringt so viele Vorteile, dass man das Risiko von Datenlecks eingehen sollte, sagt Alena Buyx.“ ..
Die Sicherheitsbedenken waren doch schon alt. Warum wurde bisher nichts dagegen unternommen? Warum wird das Projekt kurz vor knapp „verschoben“?
Hier wurde (mal wieder) geschlampt und die Kosten dürfen wir alle bezahlen.
Ich habe schon vor Monaten überall in Technik Blogs davor gewarnt! Man wird ja nicht ernst genommen, ausgelacht oder angepöbelt und als Aluhutträger beschimpft. Schlimm wenn die Verschwörungstheorethiker dann doch recht haben!
Von 5000 Theorien, trifft eine zu: „Wir Schwurbler hatten die ganze Zeit Recht!!!“
Dazu ist das größte „Problem“ nicht die ePA selbst, sondern ist an anderer Stelle zu finden.
Neben der Diskussion um die ePA ist auch das ganze Drumherum kafkaesk gestrickt. Meine Frau ist selbstständig in eigener Praxis. Sie hat immer versucht, bei der Digitalisierung vorne mit dabei zusein. Praxisausweis über mehrstufige Authetifizierungen bestellen? Da muss eine gescannte Unterschrift hochgeladen werden. Dann muss man sich bei der Post über Ident-Verfahren nochmals verifizieren. Blöd nur, auf den digitalen Pads die Unterschrift vergleichbar hinzubekommen. Wenn die beiden Unterschriften nicht übereinstimmen, gibt es eben keinen Ausweis (wurde mittlerweile verbessert). eToken wurde gerade auf 2-Faktor sToken umgestellt. Dazu hatte irgendeine KV-Mitarbeiterin mitten am Tag während der Sprechstunde angerufen und TELEFONISCH die Email-Adresse abgefragt. Weitere Infos kamen nie an. Sie hat die Mailadresse falsch verstanden. Natürlich lag die Mailadresse der KV bereits vor. Warum die dann nicht einfach übernehmen und meinetwegen telefonisch bestätigen lassen? Der elektronische Arztbrief? Kann vierenverseucht sein. Schwarzer Peter liegt bei den Arztpraxen. Dubiose oder fehlgeleitete Arztbriefe kann man aber nicht einfach löschen, wenn eine Lesebestätigung angefordert wurde. Die MÜSSEN dann erst mal geöffnet werden, bevor der nächste Brief angesehen werden kann (kein normales Emailprogramm, sondern in die Praxissoftware über Modul des Anbieters implementiert). Schön auch der völlig fachfremde Kollege aus sonstwo, der ihr mal eben fälschlich 45 Arztbriefe mit zwingend erforderlicher Lesebestätigung gesendet hatte. Und dann die Begleitschreiben zu jeder neuen „Eskalationsstufe“. 20 Seiten behandeln jede nur erdenkliche Eventualität, um eine Authentifizierungs-App zu installieren und zu initialisieren. Dazu hat doch niemand Zeit! Warum keine Schnellanleitung?