Ver­schwö­rungs­theo­re­tiker hatten wieder recht: Hacker können ALLE elek­tro­ni­schen Pati­en­ten­akten knacken!

„Vorteil Nr. 7 – Die Daten in Ihrer ePA sind sicher und geschützt. Medi­zi­nische Unter­lagen, die Sie bislang selbst ver­wahren mussten, werden zukünftig in Ihrer ePA gespei­chert. So wird ver­mieden, dass diese ver­loren gehen oder beschädigt werden. Und auch die Daten­si­cherheit ist garan­tiert: Die Daten sind auf sicheren, in Deutschland ste­henden Servern gespei­chert — nach höchsten Stan­dards und den euro­päi­schen Daten­schutz­be­stim­mungen. Außerdem dürfen Infor­ma­tionen aus der ePA immer nur für klar aus­ge­wiesene, legi­ti­mierte Zwecke genutzt werden.“…  steht auf der Seite des Bun­des­ge­sund­heits­mi­nis­te­riums zu lesen. Die Wahrheit ist: weder das eine noch das andere trifft zu, wie sich vor wenigen Tagen erwies. 

Die ePA (elek­tro­nische Pati­enten Akte) ist ein digi­taler Speicher für alle Unter­lagen, die beim Pra­xis­besuch oder im Kran­kenhaus erstellt werden. Sie soll ein zentral ver­wal­tetes, digi­tales Werkzeug sein, das auto­ma­tisch alle ver­füg­baren Gesund­heits­daten der gesetzlich Kran­ken­ver­si­cherten spei­chert und über­sichtlich struk­tu­riert. Das soll den Infor­ma­tions-Aus­tausch zwi­schen Pati­enten, Ärzten und anderen Akteuren im Gesund­heits­system erleichtern.

Schon lange ver­sucht man, den Leuten die ePA aufzuschwatzen

Die ePA ist gar nicht neu: Es gibt sie seit 2021. Zu der Zeit gab es das „Opt-in-Ver­fahren“. Die Pati­enten mussten dafür aktiv zustimmen, die ePA zu nutzen. Damals erreichte die Nutzung der ePA nur circa ein Prozent der gesetzlich Ver­si­cherten, was so gut wie nichts ist. Ab 15. Januar 2025 wird nun aus der Opt-in- eine Opt-out-Ent­scheidung, bei dem man die Nutzung und Frei­schaltung der Akte aktiv ablehnen muss. Mit dem Opt-out-Ver­fahren soll es jetzt vor allem gelingen, die ePA flä­chen­de­ckend aus­zu­rollen, so die Kas­sen­ärzt­liche Bun­des­ver­ei­nigung (KBV). Damit will man die Zahl der ePA-Nutzer dras­tisch erhöhen.

Die Absicht: Ein Grund für die fast über­haupt nicht wahr­ge­nommene Akzeptanz der ePA liege sicher an der Bequem­lichkeit der Leute. Sicher auch zum Teil, ja. Und des­wegen dreht man nun den Spieß um und der bequeme Bürger wird einfach in das ePA-System ein­ge­gliedert, wenn er nicht aktiv wider­spricht. Jetzt werden viele sich nicht nur aus Bequem­lichkeit fügen, sondern auch, weil sie fürchten, sonst weniger Heil-Leis­tungen zuge­standen zu bekommen oder andere Nach­teile in Kauf nehmen müssten.

Daher steuert man aktiv mit posi­tiven Berichten dagegen und tut so, als würden sich alle schon auf die ePA freuen:

„Laut dem TK-Report sehen 84 Prozent der Befragten Vor­teile in der elek­tro­ni­schen Pati­en­tenakte (ePA). Aus den Umfra­ge­er­geb­nissen geht aller­dings nicht hervor, ob die Befragten bereits zu den rund 1,5 Mil­lionen Ver­si­cherten gehören, die bereits eine ePA akti­viert haben. 69 Prozent bewerten das elek­tro­nische Rezept positiv. Auch der Einsatz von Robotern bei Ope­ra­tionen wird von 64 Prozent der Befragten als vor­teilhaft ange­sehen. Die Hälfte der Befragten erwartet einen Vorteil von digi­talen Gesund­heits­an­wen­dungen die bei­spiels­weise der Ver­waltung chro­ni­scher Krank­heiten dienen und die The­rapie begleiten. Die positive Beur­teilung dieser Anwen­dungen kann laut den For­schern teil­weise auf deren Ver­breitung und Bekanntheit zurück­ge­führt werden.“

Das scheint auch der Seite „heise online“ etwas dubios zu sein und man mutmaßt, es könnte daran liegen, dass die Umfrage einen hohen Anteil von GKV-Mit­gliedern befragte, die sowieso schon eine ePA haben und affin für diese Art von „Verwaltung“sind, denn der Unter­schied zwi­schen einem Prozent und 84 Prozent sei doch „signi­fikant“. Diese Zahlen stammen aus einer Umfrage, die die Tech­ni­ker­kran­ken­kasse dem Forsa-Institut in Auftrag gegeben hatte.

„Die ePA für alle“ und alles wird leichter ein­facher, sicherer und besser?

Die Lobes­hymnen für diese ePA sind beeindruckend:

„Die ePA für alle ist das Kern­element des Digital-Gesetzes, das am 14. Dezember 2023 vom Deut­schen Bun­destag ver­ab­schiedet wurde. Sie wird den Ver­sor­gungs­alltag für Pati­en­tinnen und Pati­enten und Leis­tungs­er­bringer erleichtern – im ersten Schritt durch die Ein­führung der digi­talen Medi­ka­ti­ons­liste. In enger Ver­knüpfung mit dem E‑Rezept können so unge­wollte Wech­sel­wir­kungen von Arz­nei­mitteln besser erkannt und ver­mieden werden. Zudem werden Ärz­tinnen und Ärzte im Behand­lungs­prozess unter­stützt. (…) Die ePA stärkt Ihre Rechte als Pati­entin und Patient (…) Ihre Ärztin hat Ihre Medi­ka­mente sofort auf dem Schirm – ein Vorteil für Sie, Ihre Ärztin bzw. Ihren Arzt und Ihre Apo­the­kerin bzw. Ihren Apo­theker! (…) Die Zugänge zu Ihren per­sön­lichen medi­zi­ni­schen Daten ver­walten Sie selbst. Sie können jederzeit fest­legen und kon­trol­lieren, wer welche Zugriffs­rechte hat und diese ändern.“

Sei­tenlang kann man auf der Web­seite des Bun­des­ge­sund­heits­mi­nis­te­riums die wun­der­baren Vor­teile nach­lesen und sich freuen, wie alles (in der Theorie) wun­derbar inein­an­der­greift. Und wie penibel alles mehrfach gesi­chert ist. So steht unter dem Punkt „Haben Unbe­fugte Zugriff auf meine ePA?“ fol­gendes, froh­gemute Statement:

„Nein. Nur Pati­en­tinnen und Pati­enten sowie das von ihnen berech­tigte medi­zi­nische Per­sonal haben Zugriff auf die Daten. Selbst Kran­ken­kassen und ihre Ombuds­stellen können die Daten in der  ePA nicht einsehen.“

Das Unter­nehmen Gematik hatte zuvor noch ein posi­tives Gut­achten des Fraun­hofer-Instituts ver­öf­fent­licht, das sie beauf­tragt hatte, die Sicherheit zu prüfen: „Gut­achten bestätigt: ePA für alle ist sicher“, hieß es darin und dass eine moderne Sicher­heits­ar­chi­tektur es ermög­liche, dass die ent­hal­tenen Gesund­heits­in­for­ma­tionen in der ePA mit den höchsten Sicher­heits­stan­dards geschützt werden.

Die Daten werden also, laut Bun­des­ge­sund­heits­mi­nis­terium, auf sicheren Servern innerhalb der Tele­ma­tik­in­fra­struktur (TI) gespei­chert und in der ePA ver­schlüsselt abgelegt. Die Kom­mu­ni­kation zwi­schen den Kom­po­nenten der ePA sei Ende-zu-Ende-ver­schlüsselt. Na, dann ist doch alles gut, oder?

Alle 70 Mil­lionen ePAs können geknackt werden!

„Selbst Kran­ken­kassen und ihre Ombuds­stellen können die Daten in der ePA nicht einsehen?“

Jahaaaa … die dort genannten Stellen wohl nicht. Die müssen ja über­haupt erst für den plan­mä­ßigen Umgang mit der elek­tro­ni­schen Pati­en­tenakte geschult werden. Aber Hacker können sich Zugriff ver­schaffen und Daten über Per­sonen sind eine moderne Gold­grube. Man kann sie nämlich ver­kaufen und wenn es sogar nicht nur Name und Adresse eines Men­schen sind, sondern so intime Daten, wie die in der Pati­en­tenakte, dürften die inter­es­sierten Branchen wahre Wucher­preise dafür bezahlen. Denn der Markt ist groß für diese Inter­essen. Von Funk­ti­ons­wäsche bis zu Schmerz­ta­bletten, von Wun­der­zahn­pasta bis zu „Tun Sie dies und sie werden abnehmen, wie ein Abreiß­ka­lender“ gibt es eine große, grüne Spiel­wiese für Betrugsmaschen.

Keine drei Wochen vor dem ePA-Roll-out führte der Chaos Com­puter Club beim Hacker-Kon­gress „38C3“ in Hamburg vor, wie einfach Kri­mi­nelle das Datengold abgreifen können. Der berühmt-berüch­tigte Club hatte die Sicher­heits­mängel schnell aus­ge­macht. Auf dem Kon­gress führten zwei IT-Sicher­heits­experten vor, wie sie sehr flott die Sicher­heits­vor­keh­rungen auf’s Kreuz legen können und auf einen Streich nach Belieben auf alle 70 Mil­lionen Pati­en­ten­akten zugreifen.

Der CCC teilte auch frei­mütig mit, wie leicht sie nicht nur auf eine Weise, sondern sogar auf meh­reren unter­schied­lichen Wegen die elek­tro­ni­schen Pati­en­ten­akten knacken können, nachdem Bianca Kastl und Martin Tschirsich auf dem 38. Chaos Com­mu­ni­cation Con­gress die Sicher­heits­mängel vor den Zuschauern demonstrierten:

Die Elek­tronik-Sicher­heits­experten zeigten bei­spiels­weise, wie sie sich, recht einfach und immer wieder neu, gültige Heil­berufs- und Pra­xis­aus­weise sowie die Gesund­heits­karten Dritter beschaffen und damit – für das System legal – auf Gesund­heits­daten zugreifen konnten. Der Grund: Lücken und Mängel in den Aus­ga­be­pro­zessen dieser Aus­weise, eben­falls die Bean­tra­gungs­mo­da­li­täten in den ent­spre­chenden Por­talen aber auch im Umgang mit den Karten von Gesund­heits­per­sonal in der „realen Welt“.

IT-Sicher­heits­experten ziehen dem ePA System die Hosen bis auf die Knöchel herunter

Aber auf anderen Wegen ging es auch ganz ohne Heil­be­rufs­aus­weise und geka­perter Gesund­heits­aus­weise von Bürgern. Die beiden IT-Sicher­heits­experten Bianca Kastl und Martin Tschirsich vom Chaos Com­puter Club (CCC) waren sogar nach eigenen Angaben in der Lage, auf ePAs zufäl­liger Mit­glieder der gesetz­lichen Kran­ken­ver­si­che­rungen zuzu­greifen, auch ohne dass sie deren Gesund­heits­karte ein­ge­lesen hätten, wie in diesem Stream aus dem Hacker-Kon­gress „38C3“ vor­ge­führt wird.

Lustig: Es war mal wieder Herr Bun­des­ge­sund­heits­mi­nister Lau­terbach, der noch Ende Sep­tember 2024 voll­mundig erklärte, bisher konnte die ePA-Tech­no­logie noch von keinem gehackt werden. Mag sein, aber dann hat das noch kein Ver­sierter pro­biert. Es lohnt sich diese Demons­tration anzu­schauen (Bitte auf das Bild Klicken und warten, bis es in einem neuen Tab losgeht):

 

https://streaming.media.ccc.de/38c3/relive/135

 

Wenn man dann sieht, welche Orga­ni­sa­tionen da alle ein­ge­bunden sind und alle „Zugangs­schlüssel“ haben. Es gibt also Hun­derte von Teil­nehmer auf der Ver­wal­tungs­ebenen, was die Mög­lich­keiten an Lücken ver­viel­fältigt, durch die man ein­dringen kann. Dass es gerade einmal eine Stunde brauchte, um an gültige Aus­weise für Heil­berufe zu gelangen, ist schon ein Kracher.

Bianca Kastl und Martin Tschirsich lassen ziemlich unmiss­ver­ständlich durch­blicken, dass bestimme „Lecks“ schon seit Jahren bekannt sind, aber dennoch immer noch im System und nicht beseitigt worden sind. Die beiden sparen nicht mit Kritik daran, dass die ePA ihr Sicher­heits­ver­sprechen nicht ein­halten könne. Und dass man einfach nur die Gesund­heits­karte von irgendwem ins System ein­führen kann und schwupp!, ist man ohne große Pro­bleme auf dessen Gesund­heitsakte. Jede Bank­karte ist besser gesichert.

Zu Recht monieren sie außerdem, dass das System so, wie es jetzt ist, nicht ein­ge­setzt werden darf.  Sie fordern „eine unab­hängige und belastbare“ Analyse und Bewertung der Sicher­heits­ri­siken, die mit der Nutzung  der elek­tro­ni­schen Pati­en­tenakte auf die Ver­si­cherten zukommen und natürlich und eine trans­pa­rente Kom­mu­ni­kation der Risiken. Ihr Fazit: „Nur wenn die Sicherheit der ePA für alle aus­rei­chend gewähr­leistet ist, werden Leis­tungs­er­bringer und Ver­si­cherte die ePA akzep­tieren und auch nutzen. Das dazu not­wendige Ver­trauen lässt sich nicht verordnen.“

Was wäre pas­siert, wenn Bianca Kastl und Martin Tschirsich dieses undichte System nicht auf offener Bühne aus­ein­an­der­ge­nommen hätten? Es wäre einfach am 15. Januar gestartet und die rich­tigen Hacker hätten sofort die Arbeit auf­ge­nommen. Das wäre ein Skandal geworden und die Schäden viel­leicht sehr hoch.

Abge­sehen davon: Theo­re­tisch kann ja jeder, der sich Zugriff auf die ePAs ver­schafft hat, belie­bigen Unsinn ein­stellen. Eine Kata­strophe könnte es werden, wenn jemand Malware oder Bugs, also ein Schad­pro­gramm oder ein Virus in einem Pra­xis­ver­wal­tungs­system zur Infi­zierung der Doku­mente in den Pati­en­ten­akten „inji­ziert“. Dann wandert alles über die ePA und die dort abge­legten Doku­mente mit und kann unter Umständen das ganze System infizieren.

Gesund­heits­daten werden ver­teilt: in der EU und an die Pharmaindustrie 

Das Euro­päische Par­lament und der Rat der Euro­päi­schen Union hat sich in der Nacht vom 14. auf 15. März 2024 darauf geeinigt, die Eck­punkte für einen Euro­päi­schen Gesund­heitsraum fest­zu­zurren. Günter Born berichtet:

„Der betref­fende Euro­päi­schen Gesund­heits­da­tenraum kann also kommen. Knack­punkt aus Sicht der Pati­enten: Es gibt zwar ein Wider­spruchs­recht zur Daten­wei­tergabe – aber nicht global, sondern durch nationale Gesetze wie in Deutschland und Öster­reich. Wer nicht wider­spricht oder im Ausland behandelt wird, kann die Wei­tergabe der Daten oder den Zugriff durch aus­län­dische Stellen nicht unter­binden. Das Ganze geht auf Pläne der EU-Kom­mission aus dem Jahr 2022 zurück, die einen euro­päi­schen Gesund­heits­da­tenraum (European Health Data Space) ein­führen will. Der EHDS soll einer der zen­tralen Bau­steine einer starken euro­päi­schen Gesund­heits­union sein. (…) Aus der Ankün­digung der EU-Kom­mission im Jahr 2022 ergab sich das “Ver­sprechen”, den Men­schen Kon­trolle über ihre per­sön­lichen Gesund­heits­daten zu geben – im eigenen Land und grenz­über­schreitend.“ Das würde bedeuten, dass nach den neuen Vor­schriften dass ein fran­zö­si­scher Rei­sender ein in Frank­reich aus­ge­stelltes Rezept in einer deut­schen Apo­theke abholen kann, dass Ärzte auf die ePA mit allen Infor­ma­tionen eines rumä­ni­schen Pati­enten zugreifen können, der gerade in Italien behandelt wird.“

Die Phar­ma­in­dustrie freut sich schon, denn per­sön­liche Daten sind das Neue Öl, und sie darf ganz legal dran an diese Daten, wenn das nicht aus­ge­schlossen wurde: Sobald ein Patient seine Karte der Dame auf der anderen Seite des Pra­xis­tresens aus­händigt und damit Zugriff auf seine Akte gibt, ver­liert er im Prinzip die Kon­trolle über seine Daten. Diese werden nämlich, wenn der Patient nicht die Opt-out-Mög­lichkeit gewählt hat, in den European Health Data Space (EHDS — Euro­päi­scher Gesund­heits­da­tenraum) ein­ge­speist und auf diese Weise kann auch die For­schung und die Phar­ma­in­dustrie ganz legal für ihre Zwecke darauf zugreifen.

Die Phar­ma­in­dustrie sagt das auf der Seite der vfa., der for­schenden Phar­ma­in­dustrie, auch mehr oder weniger offen durch die Blume:

„Der digitale Wandel in For­schung und Gesundheit ist längst im Gang: Wie sieht das Gesund­heits­system der Zukunft aus? Welche Chancen birgt die Digi­ta­li­sierung für die medi­zi­nische Ver­sorgung? Damit die digi­talen Tech­no­logien zum Vorteil von Patient:innen und Ver­si­cherten ein­ge­setzt werden, müssen Politik und Wirt­schaft eng koope­rieren.

Noch Fragen, warum die for­schende Phar­ma­in­dustrie so erfreut ist, dass sie für ihre For­schung alle euro­päi­schen Gesund­heits­daten auf dem Sil­ber­ta­blett prä­sen­tiert bekommt?