Massive Daten­schutz­lücken bei der Ein­führung der elek­tro­ni­schen Pati­en­tenakte: Mil­lionen sen­sibler Daten lan­deten auf unge­si­cherten Servern

Ein Riesen-Skandal! Per­sön­liche Bilder und Daten­sätze von meh­reren Mil­lionen Pati­enten aus rund 50 Ländern – auch aus Deutschland – waren auf unge­si­cherten Internet-Servern zugänglich. Der Bun­des­da­ten­schutz­be­auf­tragte Kelber sprach gestern  in der ARD von einem erschre­ckenden Ausmaß. Es gebe im Gesund­heits­wesen inter­na­tionale Anbieter digi­taler Infra­struktur, die sich nicht an grund­le­gende Sicher­heits­stan­dards hielten. Dadurch könnten Daten aus Kran­ken­häusern ohne Pro­bleme ein­ge­sehen werden.
(von Vera Wagner)
Mir war klar, dass das so kommen würde! Denn neulich erzählte mir ein befreun­deter Psy­cho­the­rapeut mit einem leid­ge­plagten Seufzen von der – wie er es nannte – „Zwangs­ein­führung“ eines Gerätes, mit dem er die Daten seiner Pati­enten erfassen muss. Kon­nektor heißt das Gerät, eine Art Router für die soge­nannte Tele­matik-Infra­struktur. Die 3.000 Euro, die das Gerät kostet, musste er vor­legen, sie werden aber von der Kas­sen­ärzt­lichen Ver­ei­nigung erstattet, sprich von den Bei­trägen der Ver­si­cherten. Die Instal­lation hat viel Zeit und Nerven gekostet. Drei Stunden bas­telte ein Tech­niker. Nun läuft das Ding, doch Ronald F. weiß nicht, ob es richtig instal­liert wurde. Denn nicht die IT-Dienst­leister haften für die Instal­lation, sondern die Ärzte.
Die Technik ist offenbar nicht aus­ge­reift. Keiner weiß, wie viele Kon­nek­toren in Deutschland falsch instal­liert wurden. Ver­mutlich gibt es eine hohe Dun­kel­ziffer. Es sind schon einige Fälle doku­men­tiert, in denen die Service-Mit­ar­beiter den Rechner ohne Viren­schutz und Firewall ans Internet ange­schlossen haben. So kann man von außen auf intimste Daten zugreifen. Der selb­ständige IT-Tech­niker Jens Ernst hat das Problem öffentlich gemacht und bekommt regel­mäßig Bilder von Kon­nek­toren, die falsch instal­liert sind und von abge­schal­teten Fire­walls. Eine bun­des­weite Befragung ergab: Bei gut drei Vierteln der befragten Praxen gab es Instal­la­ti­ons­pro­bleme, bei jeder zweiten stürzte nach der Instal­lation das System ab, bei rund zwei Drittel der Praxen gab es Ver­zö­ge­rungen im Echt-Daten­ab­gleich. Das größte Problem: Die Praxen können oft die immer noch im Umlauf befind­liche „elek­tro­nische Gesund­heits­karte 1“ nicht mehr ein­lesen und müssen auf­wendige Umwege gehen.
Doch nicht nur die Kin­der­krank­heiten des Kon­nektors machen den Ärzten Sorgen. „Das erste und größte Problem ist die Miss­achtung der Rechte aller Pati­enten“, schreibt Dr. Markus Fischer auf heise online: „Schlimm genug was für ein Schrott für viel Geld ange­schafft wird. Aber noch schlimmer ist, dass das kri­mi­nelle Regime uns erpresst bei der Daten­heh­lerei mit unseren(!) Pati­en­ten­daten mit­zu­wirken. Unser Recht auf infor­ma­tio­nelle Selbst­bestim-mung wird einfach bei­sei­te­ge­schoben. Da ist eine kri­mi­nelle Ver­bre­cher­bande am Werk!“
In Ländern, in denen Gesund­heits­daten bereits zentral gespei­chert werden, gibt es immer wieder Pannen. Vor kurzem wurden in Sin­gapur die Namen von 14.000 HIV-posi­tiven Pati­enten öffentlich gemacht. Was ist, wenn sen­sible Daten meiner Pati­enten gehackt werden und in falsche Hände geraten? Diese Frage stellt sich nicht nur Ronald F. Ärzte und Psy­cho­the­ra­peuten haben sich zur Initiative „Freiheit für 1 %“ zusam­men­ge­schlossen. Der Name kommt daher, dass jenen, die sich der Digi­ta­li­sierung ver­weigern, Sank­tionen drohen: Zunächst 1 Prozent Hono­rar­abzug. Mög­li­cher­weise bald mehr. Unter dem Namen „Gesund­heits­daten in Gefahr“ wurde am 2. Sep­tember eine Bun­des­tags­pe­tition ein­ge­reicht gegen die Spei­cherung von Pati­en­ten­daten auf Servern und in Clouds, sowie gegen den Zwang zur Instal­lation der Tele­matik-Infra­struktur. Eine zen­trale Spei­cherung aller Pati­en­ten­daten erleichtere Hacker­an­griffe und ermög­liche die Kon­trolle von Ärzten und Pati­enten. Die Unter­zeichner befürchten eine Gefährdung der Schwei­ge­pflicht. Strafen gegen die­je­nigen, die das System ver­weigern, sollen abge­schafft werden, statt­dessen sollen alter­native Lösungen gesucht werden, die sicherer sind und weniger öko­no­mi­schen und poli­ti­schen Inter­essen folgen.
Zum bes­seren Ver­ständnis: Die für die Digi­ta­li­sierung des Gesund­heits­wesens zuständige Firma Gematik wird seit dem 1. Juli von einem Pharma-Manager geleitet. Laut SPIEGEL soll der neue Allein­ge­schäfts­führer Markus Leyck Dieken min­destens 300.000 Euro pro Jahr ver­dienen – das Dop­pelte wie sein Vor­gänger. Erst kürzlich hat das Bun­des­ge­sund­heits­mi­nis­terium die 51-Prozent-Mehrheit an der Gematik über­nommen – unge­achtet hef­tiger Kritik von ver­schie­denen Seiten. Beides sorgt für Unruhe im Gesund­heits­wesen. Trans­pa­rency Inter­na­tional erin­nerte an Spahns ehe­malige Bera­tungs­firma, die er gemeinsam mit dem heu­tigen Doc-Morris-Vor­stands­mit­glied Max Müller auf­gebaut hatte und for­derte die Selbst­ver­waltung und die Bun­des­tags­frak­tionen dazu auf, die Ernennung zu ver­hindern. Ohne Erfolg.