Daten von Patient:innen werden in Deutschland meist nur unzureichend von Ärzt:innen geschützt. Vielfach seien Zugangsdaten sogar im Darknet einsehbar. Zu diesem Ergebnis kommt eine Studie zur IT-Sicherheit im Gesundheitssektor, die vom Gesamtverband der Deutschen Versicherungswirtschaft (GDV) in Auftrag gegeben wurde.
Demnach verwendet ein Großteil der Ärzt:innen – 22 von 25 untersuchte Praxen – sehr einfach zu erratende Passwörter. Besonders beliebt sollen etwa „Behandlung“, der Name des Arztes oder einfach gar kein Passwort sein. Außerdem konnten in vielen Fällen entsprechende E-Mail- und Passwort-Kombinationen im Darknet gefunden werden – bei Ärzt:innen in neun Prozent und bei Kliniken sogar in 60 Prozent der untersuchten Fälle.
Trotz dieser Datenschutzprobleme wiegen sich die meisten Ärzt:innen in Sicherheit. Denn laut einer Forsa-Umfrage, die der GDV zitiert, glauben 81 Prozent der Ärzt:innen, dass ihre Computer umfassend geschützt seien. Nur 17 Prozent der Ärzt:innen sehen ein Risiko für die eigene Praxis, obwohl sie sich des Risikos von Cyberangriffen in ihrer Branche bewusst sind.
Gesundheitssektor hat ein Problem mit Datenschutz
Die Untersuchung des GDV zeigt, dass der Gesundheitssektor ein strukturelles Problem mit IT-Sicherheit und dem Schutz von sensiblen Daten hat. Das bestätigen zahlreiche Beispiele aus der Vergangenheit. So infizierte 2016 Ransomware die IT eines Krankenhauses in Neuss, nachdem ein Mitarbeiter unbedacht einen Mail-Anhang geöffnet haben soll. Das Krankenhaus war über Stunden nur bedingt funktionsfähig und Operationen mussten verschoben werden. Patient:innendaten sollen jedoch nicht direkt betroffen gewesen sein, da diese verschlüsselt gespeichert gewesen wären.
Oder in Baden-Württemberg: Hier sind sensible Daten auf dem Weg vom Serverraum zum Tresor verloren gegangen, weil ein Mitarbeiter die Speichermedien bei einer Raucherpause vergessen hatte. Der Verbleib der insgesamt rund 300.000 teils sensiblen Datensätze war unklar.
Neben solchen Pannen, die durch einzelne Personen verursacht wurden, gibt es jedoch auch organisationelle Probleme, die zu Datenpannen im Krankenhaus führen. In Portugal wurde eine hohe Geldstrafe gegen ein Krankenhaus verhängt, weil dort neben Ärzt:innen auch unberechtigte Personen Zugriff auf Patient:innendaten hatten. Zudem hatte es dort mehr Benutzer:innen gegeben, die als Ärzt:innen registriert waren, als tatsächlich angestellte Ärzt:innen.
Das Ärzteblatt berichtete von 3.600 Dokumenten mit hochsensiblen Daten von Patient:innen mit psychischen Krankheiten, die frei im Internet zugänglich waren. Das Datenleck soll durch eine „Kombination von schwerwiegenden organisatorischen Mängeln“ entstanden sein, die durch unklare Arbeitsverhältnisse und Verantwortlichkeiten zwischen mehreren Einrichtungen sowie fehlende Dokumente und Qualitätskontrollen zustande gekommen sein sollen.
Datenpannen sind strukturelles Problem
Damit scheint sich insgesamt ein strukturelles Problem im Datenschutz und der IT-Sicherheit des Gesundheitssektor abzubilden. Die vielen Beispiele zeigen, dass es sich längst nicht mehr nur um Einzelfälle handelt, in denen Ärzt:innen und Kliniken leichtfertig mit sensiblen Daten der Patient:innen umgehen.
Denn immer wieder warnen Fachleute davor, dass die IT-Sicherheit in Krankenhäusern vernachlässigt werde, obwohl sie maßgeblich für die Versorgung der Bevölkerung sind. Auch deswegen stuft das Bundesamt für Sicherheit in der Informationstechnik Krankenhäuser als Kritische Infrastruktur ein. Besonders deren Abhängigkeit von der IT ist mit Risiken mit die Gesundheitsversorgung und damit der öffentlichen Sicherheit verbunden – etwa wenn Hacker:innen die IT-Infrastruktur von Krankenhäusern lahmlegen und so Menschenleben gefährden. Das muss sich dringend ändern, denn laut der Studie des GDV benutzen nur die wenigsten Praxen die aktuellen Standards, die das BSI empfiehlt.
Das weitaus größere Problem ist folgendes:
Unbeachtet sind bisher die geplante ABSCHAFFUNG DER ÄRZTLICHEN SCHWEIGEPFLICHT
und
die daraus resultierenden Risiken einer Datenabschöpfung (bundesweiter Krankheitsdatenbestand) in ganz anderen Dimensionen.
1) Nichts anderes kann es bedeuten, wenn Krankenkassen, die organisatorisch zur Einhaltung des Datenschutzes gezwungen werden müssen
Siehe
https://www.haufe.de/sozialwesen/leistungen-sozialversicherung/schutz-der-sozialdaten-umschlagsverfahren-endet-zum-31122016/umschlagsverfahren-wird-durch-mima-abgeloest_242_351002.html
2) vom Gesetzgeber einen „Datenschutz-Freifahrtsschein“ erhalten
Siehe dazu den eigenen Blockbeitrag
Die mühsame Anreise durch Datenschutz-Deutschland: Das „Omnibus-Gesetz“
…
Manchesmal ist auch das Schweigen des Gesetzentwurfes beredt: Anders als noch im Referentenentwurf vorgesehen findet sich im Regierungsentwurf zur Änderung des SGB V nicht mehr die Möglichkeit, gegen die gesetzlichen Krankenkassen bei Datenschutzverstößen erhebliche Bußgelder zu verhängen. Glückwunsch an die erfolgreichen Lobbyisten!
https://netzpolitik.org/2018/die-muehsame-anreise-durch-datenschutz-deutschland-das-omnibus-gesetz/
3) um dann per Gesetz auch solche medizinischen Daten zu erhalten, die bisher nur lokal vorlagen und der ärztlichen Schweigepflicht unterliegen
Siehe
http://www.kollegennetzwerk-psychotherapie.de/index.php?page=1231636173&f=1&i=1231636173
Gesetzestext
…
(3) Über Absatz 2 hinaus muss die Gesundheitskarte geeignet sein, folgende Anwendungen zu unterstützen, insbesondere das Erheben, Verarbeiten und Nutzen von
1. medizinischen Daten, soweit sie für die Notfallversorgung erforderlich sind,
2. Befunden, Diagnosen, Therapieempfehlungen sowie Behandlungsberichten in elektronischer und
maschinell verwertbarer Form für eine einrichtungsübergreifende, fallbezogene Kooperation
(elektronischer Arztbrief),
3. Daten des Medikationsplans nach § 31a einschließlich Daten zur Prüfung der Arzneimitteltherapie-
sicherheit,
4. Daten über Befunde, Diagnosen, Therapiemaßnahmen, Behandlungsberichte sowie Impfungen für eine fall- und einrichtungsübergreifende Dokumentation über den Patienten (elektronische Patientenakte),
http://www.gesetze-im-internet.de/sgb_5/__291a.html
Zusatz: vereinfacht dargestellt, ist die Hauptaufgabe der Krankenkassen NUR die Abrechnung medizinischer Leistungen.
Mit diesem Datengold bedarf es nur einiger weniger Gesetzesänderungen im Stile Spahns, um den
strukturell madig gemachten selbständigen Ärzteberuf schleichend abzuschaffen,
investorengerechte Großkonzerne mit boniorientiert arbeitenden angestellten Ärzten nach amerikanischem Vorbild zur INTEGRIERTEN VERSORGUNG zu etablieren (Bundesverband managed care – https://www.bmcev.de/)
und den
Krankenkassen die Kompetenz zur ärztlichen Betätigung einzuräumen
(was einige Krankenkassen mit echten Ärzten bzw. mittels „künstlicher Intelligenz“ jetzt schon machen).
Ich arbeite selbst im Alten-Pflegeheim (eigenständig, kein Konzern). Problem bei diesem Thema ist, dass wir Investitionen in zeitgemäße IT-Ausstattung und Datenschutz nicht refinanziert kriegen. Wir haben weder intern genug Knowhow noch genug Geld, um uns das einzukaufen. Woher soll es dann kommen?
So wie ich das verstanden habe, dürfen jetzt Videokonferenzen stattfinden, zwischen Arzt und Patient. So weit so gut. Aber auch – z.B. in Pflegeheimen – nur noch zwischen Arzt und Pflegepersonal. Dann wird über den Patienten und nicht mit dem Patienten entschieden, wie die Pflege am besten zu bewältigen ist. Und da gibt es eindeutige Interessenskonflikte, was den Geldfluss und die daraus resultierenden individuellen Lebenszeitprognosen angeht.
Und was den Datenfluss und die daraus resultierenden individuellen Komfortzonen angeht, nun ja, darüber ist schon genug geschrieben worden: gläserner Patient – Kostenoptimierung – Harassment – Scherbenhaufen.
Datenpannen sind strukturelles Problem – dem stimme ich 100 Prozent zu!
Die oftmals großen Softwareanbieter von Krankenhausinformationssystem (KIS) haben auch schlichtweg „vergessen“, eine Löschfunktion einzuplanen; somit können gesetzliche Löschfristen überhaupt nicht eingehalten werden; und das seit Jahren (oder seit Installation?).
Zitat aus dem Tätigkeitsbericht des Datenschutzbeauftragten BW:
nicht nur in den Systemen der Krankenkassen ist keine Löschfunktion für Patientendaten vorgesehen,
auch für KrankenhausInformationsSysteme (KIS) gilt dies und
es ändert sich über Jahre nichts daran.
siehe
Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Baden-Württemberg
u.a.
32. Tätigkeitsbericht 2014/2015 –
7. Gesundheit und Soziales
Seite 115
…
7.3.2 Umsetzung der Orientierungshilfe Krankenhausinformationssysteme
Im Jahr 2011 beschloss die Konferenz der Datenschutzbeauftragten des Bundes und der Länder die
Orientierungshilfe Krankenhausinformationssysteme (OH KIS). Inzwischen ist die Orientierungshilfe
überarbeitet und Ende März 2014 in einer zweiten Fassung herausgegeben worden. Sowohl im
30. Tätigkeitsbericht (LT-Drs. 12/5740, S. 96 f.) als auch im 31. Tätigkeitsbericht (LT-Drs. 15/4600,
S. 101 ff.) habe ich ausführlich darüber berichtet und die Krankenhausbetreiber aufgefordert,
schnellstmöglich die Umsetzung der Orientierungshilfe anzugehen.
Im Berichtszeitraum habe ich in mehreren Krankenhäusern vor Ort die Umsetzung geprüft.
Das Ergebnis war ernüchternd. Auch knapp fünf Jahre nach Veröffentlichung der Orientierungshilfe besteht vor allem bei kleineren und mittelgroßen Krankenhäusern nach wie vor großer Handlungsbedarf.
Seite 116
…
Eine Sperrung von Patientendaten mit dem Ziel, Zugriffe auf Patientendaten zu beschränken und
regelhaft auf begründete Sonderfälle einzugrenzen, konnte ebenfalls nicht festgestellt werden.
Begründet wurde dies damit, dass das im Krankenhaus eingesetzte KIS-System diese Möglichkeit nicht
oder nur eingeschränkt biete. Hier müssen die Krankenhäuser schnellstmöglich zusammen mit den
KIS-Herstellern Abhilfe schaffen.
Bedauerlich ist auch, dass die KIS-Systeme nach wie vor nicht die Möglichkeit bieten,
Daten physikalisch zu löschen.
http://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2016/01/32._TB_Internet.pdf#
Als IT-Dienstleister für die sog. Götter in weiß kann ich den Artikel aus meinem Alltag auf jeden Fall bestätigen. Es fehlt aus meiner Sicht komplett am Verständnis für den Umgang mit derart sensiblen Daten. Keine Kennwörter, offene Systeme, uralte Rechner mit uralter Software, keine Wartung und Computer und Software aus großen Elektronikmärkten sind der Stand der Dinge. Zur Verteidigung der Ärzte: Woher auch sollen sie es besser wissen? Im Studium spielt die IT keine Rolle. Das normale Alltagswissen hat nichts mit sicherer Infrastraktur in der Praxis zu tun. Und die Zeit als Assistenz ist noch immer oft in Praxen ohne digitale Datenverkehr. Ich nehme die IT bei den Ärtzen eher als notwendiges Übel wahr und wichtiger als die Sicherheit für die Patientendaten ist der Preis der Komponenten.
Viel schlimmer ist die Situation bei den Berufsgeheimnisträgern in der Elite-Robe. Diejenigen die über unser aller Schicksal sich anmaßen was Recht und Unrecht ist. Ich unterstütze niedergelassene Ärzte bei ihrer IT und Medizintechnik in beratender Funktion.
Die Patientenversorgung hat mit Abstand eine höhere Priorität als die digitale Patientenakte. Die Softwarehersteller sind rar und jedes „Upgrade“ unheimlich teuer, da Schnittstellen-Kompatibilität unter das MPG und diverse EU Richtlinien fallen. Im Moment biete ich Workshops im Umgang mit PGP Ende-zu-Ende Verschlüsselung an. Das setzt aber einiges mehr als nur eine Installation voraus, wenn man es im Praxisalltag sinnvoll integrieren möchte.
Im Prinzip wäre es ideal eine Art Praxis-Helpdesk zu etablieren. Aber auch hier kommen wir mit sensiblen Patientendaten in Teufel‘s Küche mit irgendwelchen self-hosted Lösungen. Die mir bekannten Ärzte geben schon alles Menschen mögliche.
Ich stimme Oliver zu. Ärzte sind in IT-Fragen nicht kompetenter als der Durchschnitt der Gesellschaft (Überraschung? Würden sie sich dafür interessieren hätten sie Informatik studiert). Zur technischen Lösung des Problems hat die Gematik einen „sicheren“ Router (Konnektor) entwickelt, der das Intranet des Arztes vom Internet trennt, resp. nur einen „sicheren Internet Service“ durchlässt. In den Praxen werden gerade diese sehr teuren Geräte installiert.
Allerdings wird in mir bekannten Praxen ausschließlich das sogenannte „Parallelszenario“ installiert, so dass auch bisherige rein lokale Netze (z.B. im Falle des IT-sensiblen Arztes, der die Daten ausschließlich im Intranet hatte) zwangsweise hinter einem „Heimrouter“ am Internet hängen. Somit wird die IT-Sicherheit in Summe durch die Telematik deutlich verschlechtert und die vielen Milliarden fehlen an anderer Stelle im Gesundheitswesen.
https://fachportal.gematik.de/fileadmin/user_upload/fachportal/files/Service/Pruefkarten/gemInfo_Anschluss_TI_DVO_V2.1.0.pdf
Die Presse, gerne auch Netzpolitik.org, könnte gerne recherchieren und berichten, welcher Stand hier in der Praxis erreicht wird und ob dieser Stand sicherheitstechnisch (security) angemessen ist.