Datenschutz

Kliniken und Praxen haben Probleme bei IT-Sicherheit und Datenschutz

Deutsche Ärzt:innen gefährden die Privatsphäre ihrer Patient:innen, wenn Daten nur mit einem unzureichenden Passwortschutz versehen sind. Einer Untersuchung zufolge sind Anmeldeinformationen von Kliniken häufig im Darknet zu finden. Das sind keine Einzelfälle, der Gesundheitssektor hat ein strukturelles Problem.

Ein Arzt blickt auf einen Bildschirm.
Krankenhäuser verarbeiten viele sensible Daten von Patient:innen CC-BY-NC-ND 2.0 Orbis – Giving the gift of sight

Daten von Patient:innen werden in Deutschland meist nur unzureichend von Ärzt:innen geschützt. Vielfach seien Zugangsdaten sogar im Darknet einsehbar. Zu diesem Ergebnis kommt eine Studie zur IT-Sicherheit im Gesundheitssektor, die vom Gesamtverband der Deutschen Versicherungswirtschaft (GDV) in Auftrag gegeben wurde.

Demnach verwendet ein Großteil der Ärzt:innen – 22 von 25 untersuchte Praxen – sehr einfach zu erratende Passwörter. Besonders beliebt sollen etwa „Behandlung“, der Name des Arztes oder einfach gar kein Passwort sein. Außerdem konnten in vielen Fällen entsprechende E-Mail- und Passwort-Kombinationen im Darknet gefunden werden – bei Ärzt:innen in neun Prozent und bei Kliniken sogar in 60 Prozent der untersuchten Fälle.

Trotz dieser Datenschutzprobleme wiegen sich die meisten Ärzt:innen in Sicherheit. Denn laut einer Forsa-Umfrage, die der GDV zitiert, glauben 81 Prozent der Ärzt:innen, dass ihre Computer umfassend geschützt seien. Nur 17 Prozent der Ärzt:innen sehen ein Risiko für die eigene Praxis, obwohl sie sich des Risikos von Cyberangriffen in ihrer Branche bewusst sind.

Gesundheitssektor hat ein Problem mit Datenschutz

Die Untersuchung des GDV zeigt, dass der Gesundheitssektor ein strukturelles Problem mit IT-Sicherheit und dem Schutz von sensiblen Daten hat. Das bestätigen zahlreiche Beispiele aus der Vergangenheit. So infizierte 2016 Ransomware die IT eines Krankenhauses in Neuss, nachdem ein Mitarbeiter unbedacht einen Mail-Anhang geöffnet haben soll. Das Krankenhaus war über Stunden nur bedingt funktionsfähig und Operationen mussten verschoben werden. Patient:innendaten sollen jedoch nicht direkt betroffen gewesen sein, da diese verschlüsselt gespeichert gewesen wären.

Oder in Baden-Württemberg: Hier sind sensible Daten auf dem Weg vom Serverraum zum Tresor verloren gegangen, weil ein Mitarbeiter die Speichermedien bei einer Raucherpause vergessen hatte. Der Verbleib der insgesamt rund 300.000 teils sensiblen Datensätze war unklar.

Neben solchen Pannen, die durch einzelne Personen verursacht wurden, gibt es jedoch auch organisationelle Probleme, die zu Datenpannen im Krankenhaus führen. In Portugal wurde eine hohe Geldstrafe gegen ein Krankenhaus verhängt, weil dort neben Ärzt:innen auch unberechtigte Personen Zugriff auf Patient:innendaten hatten. Zudem hatte es dort mehr Benutzer:innen gegeben, die als Ärzt:innen registriert waren, als tatsächlich angestellte Ärzt:innen.

Das Ärzteblatt berichtete von 3.600 Dokumenten mit hochsensiblen Daten von Patient:innen mit psychischen Krankheiten, die frei im Internet zugänglich waren. Das Datenleck soll durch eine „Kombination von schwerwiegenden organisatorischen Mängeln“ entstanden sein, die durch unklare Arbeitsverhältnisse und Verantwortlichkeiten zwischen mehreren Einrichtungen sowie fehlende Dokumente und Qualitätskontrollen zustande gekommen sein sollen.

Datenpannen sind strukturelles Problem

Damit scheint sich insgesamt ein strukturelles Problem im Datenschutz und der IT-Sicherheit des Gesundheitssektor abzubilden. Die vielen Beispiele zeigen, dass es sich längst nicht mehr nur um Einzelfälle handelt, in denen Ärzt:innen und Kliniken leichtfertig mit sensiblen Daten der Patient:innen umgehen.

Denn immer wieder warnen Fachleute davor, dass die IT-Sicherheit in Krankenhäusern vernachlässigt werde, obwohl sie maßgeblich für die Versorgung der Bevölkerung sind. Auch deswegen stuft das Bundesamt für Sicherheit in der Informationstechnik Krankenhäuser als Kritische Infrastruktur ein. Besonders deren Abhängigkeit von der IT ist mit Risiken mit die Gesundheitsversorgung und damit der öffentlichen Sicherheit verbunden – etwa wenn Hacker:innen die IT-Infrastruktur von Krankenhäusern lahmlegen und so Menschenleben gefährden. Das muss sich dringend ändern, denn laut der Studie des GDV benutzen nur die wenigsten Praxen die aktuellen Standards, die das BSI empfiehlt.

7 Ergänzungen
  1. Das weitaus größere Problem ist folgendes:

    Unbeachtet sind bisher die geplante ABSCHAFFUNG DER ÄRZTLICHEN SCHWEIGEPFLICHT
    und
    die daraus resultierenden Risiken einer Datenabschöpfung (bundesweiter Krankheitsdatenbestand) in ganz anderen Dimensionen.

    1) Nichts anderes kann es bedeuten, wenn Krankenkassen, die organisatorisch zur Einhaltung des Datenschutzes gezwungen werden müssen
    Siehe
    https://www.haufe.de/sozialwesen/leistungen-sozialversicherung/schutz-der-sozialdaten-umschlagsverfahren-endet-zum-31122016/umschlagsverfahren-wird-durch-mima-abgeloest_242_351002.html

    2) vom Gesetzgeber einen „Datenschutz-Freifahrtsschein“ erhalten
    Siehe dazu den eigenen Blockbeitrag
    Die mühsame Anreise durch Datenschutz-Deutschland: Das „Omnibus-Gesetz“

    Manchesmal ist auch das Schweigen des Gesetzentwurfes beredt: Anders als noch im Referentenentwurf vorgesehen findet sich im Regierungsentwurf zur Änderung des SGB V nicht mehr die Möglichkeit, gegen die gesetzlichen Krankenkassen bei Datenschutzverstößen erhebliche Bußgelder zu verhängen. Glückwunsch an die erfolgreichen Lobbyisten!
    https://netzpolitik.org/2018/die-muehsame-anreise-durch-datenschutz-deutschland-das-omnibus-gesetz/

    3) um dann per Gesetz auch solche medizinischen Daten zu erhalten, die bisher nur lokal vorlagen und der ärztlichen Schweigepflicht unterliegen
    Siehe
    http://www.kollegennetzwerk-psychotherapie.de/index.php?page=1231636173&f=1&i=1231636173
    Gesetzestext

    (3) Über Absatz 2 hinaus muss die Gesundheitskarte geeignet sein, folgende Anwendungen zu unterstützen, insbesondere das Erheben, Verarbeiten und Nutzen von
    1. medizinischen Daten, soweit sie für die Notfallversorgung erforderlich sind,
    2. Befunden, Diagnosen, Therapieempfehlungen sowie Behandlungsberichten in elektronischer und
    maschinell verwertbarer Form für eine einrichtungsübergreifende, fallbezogene Kooperation
    (elektronischer Arztbrief),
    3. Daten des Medikationsplans nach § 31a einschließlich Daten zur Prüfung der Arzneimitteltherapie-
    sicherheit,
    4. Daten über Befunde, Diagnosen, Therapiemaßnahmen, Behandlungsberichte sowie Impfungen für eine fall- und einrichtungsübergreifende Dokumentation über den Patienten (elektronische Patientenakte),
    http://www.gesetze-im-internet.de/sgb_5/__291a.html

    Zusatz: vereinfacht dargestellt, ist die Hauptaufgabe der Krankenkassen NUR die Abrechnung medizinischer Leistungen.

    Mit diesem Datengold bedarf es nur einiger weniger Gesetzesänderungen im Stile Spahns, um den
    strukturell madig gemachten selbständigen Ärzteberuf schleichend abzuschaffen,
    investorengerechte Großkonzerne mit boniorientiert arbeitenden angestellten Ärzten nach amerikanischem Vorbild zur INTEGRIERTEN VERSORGUNG zu etablieren (Bundesverband managed care – https://www.bmcev.de/)
    und den
    Krankenkassen die Kompetenz zur ärztlichen Betätigung einzuräumen
    (was einige Krankenkassen mit echten Ärzten bzw. mittels „künstlicher Intelligenz“ jetzt schon machen).

  2. Ich arbeite selbst im Alten-Pflegeheim (eigenständig, kein Konzern). Problem bei diesem Thema ist, dass wir Investitionen in zeitgemäße IT-Ausstattung und Datenschutz nicht refinanziert kriegen. Wir haben weder intern genug Knowhow noch genug Geld, um uns das einzukaufen. Woher soll es dann kommen?

  3. So wie ich das verstanden habe, dürfen jetzt Videokonferenzen stattfinden, zwischen Arzt und Patient. So weit so gut. Aber auch – z.B. in Pflegeheimen – nur noch zwischen Arzt und Pflegepersonal. Dann wird über den Patienten und nicht mit dem Patienten entschieden, wie die Pflege am besten zu bewältigen ist. Und da gibt es eindeutige Interessenskonflikte, was den Geldfluss und die daraus resultierenden individuellen Lebenszeitprognosen angeht.

    Und was den Datenfluss und die daraus resultierenden individuellen Komfortzonen angeht, nun ja, darüber ist schon genug geschrieben worden: gläserner Patient – Kostenoptimierung – Harassment – Scherbenhaufen.

  4. Datenpannen sind strukturelles Problem – dem stimme ich 100 Prozent zu!

    Die oftmals großen Softwareanbieter von Krankenhausinformationssystem (KIS) haben auch schlichtweg „vergessen“, eine Löschfunktion einzuplanen; somit können gesetzliche Löschfristen überhaupt nicht eingehalten werden; und das seit Jahren (oder seit Installation?).

    Zitat aus dem Tätigkeitsbericht des Datenschutzbeauftragten BW:
    nicht nur in den Systemen der Krankenkassen ist keine Löschfunktion für Patientendaten vorgesehen,
    auch für KrankenhausInformationsSysteme (KIS) gilt dies und
    es ändert sich über Jahre nichts daran.

    siehe
    Tätigkeitsbericht des Landesbeauftragten für den Datenschutz Baden-Württemberg
    u.a.

    32. Tätigkeitsbericht 2014/2015 –
    7. Gesundheit und Soziales
    Seite 115

    7.3.2 Umsetzung der Orientierungshilfe Krankenhausinformationssysteme
    Im Jahr 2011 beschloss die Konferenz der Datenschutzbeauftragten des Bundes und der Länder die
    Orientierungshilfe Krankenhausinformationssysteme (OH KIS). Inzwischen ist die Orientierungshilfe
    überarbeitet und Ende März 2014 in einer zweiten Fassung herausgegeben worden. Sowohl im
    30. Tätigkeitsbericht (LT-Drs. 12/5740, S. 96 f.) als auch im 31. Tätigkeitsbericht (LT-Drs. 15/4600,
    S. 101 ff.) habe ich ausführlich darüber berichtet und die Krankenhausbetreiber aufgefordert,
    schnellstmöglich die Umsetzung der Orientierungshilfe anzugehen.

    Im Berichtszeitraum habe ich in mehreren Krankenhäusern vor Ort die Umsetzung geprüft.
    Das Ergebnis war ernüchternd. Auch knapp fünf Jahre nach Veröffentlichung der Orientierungshilfe besteht vor allem bei kleineren und mittelgroßen Krankenhäusern nach wie vor großer Handlungsbedarf.

    Seite 116

    Eine Sperrung von Patientendaten mit dem Ziel, Zugriffe auf Patientendaten zu beschränken und
    regelhaft auf begründete Sonderfälle einzugrenzen, konnte ebenfalls nicht festgestellt werden.
    Begründet wurde dies damit, dass das im Krankenhaus eingesetzte KIS-System diese Möglichkeit nicht
    oder nur eingeschränkt biete. Hier müssen die Krankenhäuser schnellstmöglich zusammen mit den
    KIS-Herstellern Abhilfe schaffen.

    Bedauerlich ist auch, dass die KIS-Systeme nach wie vor nicht die Möglichkeit bieten,
    Daten physikalisch zu löschen.

    http://www.baden-wuerttemberg.datenschutz.de/wp-content/uploads/2016/01/32._TB_Internet.pdf#

  5. Als IT-Dienstleister für die sog. Götter in weiß kann ich den Artikel aus meinem Alltag auf jeden Fall bestätigen. Es fehlt aus meiner Sicht komplett am Verständnis für den Umgang mit derart sensiblen Daten. Keine Kennwörter, offene Systeme, uralte Rechner mit uralter Software, keine Wartung und Computer und Software aus großen Elektronikmärkten sind der Stand der Dinge. Zur Verteidigung der Ärzte: Woher auch sollen sie es besser wissen? Im Studium spielt die IT keine Rolle. Das normale Alltagswissen hat nichts mit sicherer Infrastraktur in der Praxis zu tun. Und die Zeit als Assistenz ist noch immer oft in Praxen ohne digitale Datenverkehr. Ich nehme die IT bei den Ärtzen eher als notwendiges Übel wahr und wichtiger als die Sicherheit für die Patientendaten ist der Preis der Komponenten.

    1. Viel schlimmer ist die Situation bei den Berufsgeheimnisträgern in der Elite-Robe. Diejenigen die über unser aller Schicksal sich anmaßen was Recht und Unrecht ist. Ich unterstütze niedergelassene Ärzte bei ihrer IT und Medizintechnik in beratender Funktion.

      Die Patientenversorgung hat mit Abstand eine höhere Priorität als die digitale Patientenakte. Die Softwarehersteller sind rar und jedes „Upgrade“ unheimlich teuer, da Schnittstellen-Kompatibilität unter das MPG und diverse EU Richtlinien fallen. Im Moment biete ich Workshops im Umgang mit PGP Ende-zu-Ende Verschlüsselung an. Das setzt aber einiges mehr als nur eine Installation voraus, wenn man es im Praxisalltag sinnvoll integrieren möchte.

      Im Prinzip wäre es ideal eine Art Praxis-Helpdesk zu etablieren. Aber auch hier kommen wir mit sensiblen Patientendaten in Teufel‘s Küche mit irgendwelchen self-hosted Lösungen. Die mir bekannten Ärzte geben schon alles Menschen mögliche.

  6. Ich stimme Oliver zu. Ärzte sind in IT-Fragen nicht kompetenter als der Durchschnitt der Gesellschaft (Überraschung? Würden sie sich dafür interessieren hätten sie Informatik studiert). Zur technischen Lösung des Problems hat die Gematik einen „sicheren“ Router (Konnektor) entwickelt, der das Intranet des Arztes vom Internet trennt, resp. nur einen „sicheren Internet Service“ durchlässt. In den Praxen werden gerade diese sehr teuren Geräte installiert.
    Allerdings wird in mir bekannten Praxen ausschließlich das sogenannte „Parallelszenario“ installiert, so dass auch bisherige rein lokale Netze (z.B. im Falle des IT-sensiblen Arztes, der die Daten ausschließlich im Intranet hatte) zwangsweise hinter einem „Heimrouter“ am Internet hängen. Somit wird die IT-Sicherheit in Summe durch die Telematik deutlich verschlechtert und die vielen Milliarden fehlen an anderer Stelle im Gesundheitswesen.

    https://fachportal.gematik.de/fileadmin/user_upload/fachportal/files/Service/Pruefkarten/gemInfo_Anschluss_TI_DVO_V2.1.0.pdf

    Die Presse, gerne auch Netzpolitik.org, könnte gerne recherchieren und berichten, welcher Stand hier in der Praxis erreicht wird und ob dieser Stand sicherheitstechnisch (security) angemessen ist.

Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.