Elektronische Patientenakte: Fachleute zweifeln weiterhin an Sicherheitsversprechen

Die elektronische Patientenakte für alle (ePA) wird vorerst nicht in den bundesweiten Rollout gehen. Das gab Bundesgesundheitsminister Karl Lauterbach gestern auf der Digital-Health-Messe (DMEA) bekannt. Stattdessen soll die ePA in den kommenden Wochen schrittweise in eine „Hochlaufphase“ außerhalb der drei bestehenden Modellregionen übergehen. In der zweiten Testphase soll die Nutzung für Ärzt:innen freiwillig bleiben. Sanktionen kämen erst zu einem späteren Zeitpunkt hinzu, so Lauterbach.

Damit wurde der Termin für den Rollout erneut verschoben. Es ist unklar, wann die ePA für alle nun kommen wird. Der Gesundheitsminister kündigte aber an, dass das Bundesgesundheitsministerium (BMG) bald einen neuen Rollout-Plan veröffentlichen werde.

Für den verzögerten bundesweiten Start sind vor allem zwei Gründe verantwortlich. Das Bundesgesundheitsministerium hatte angekündigt, die ePA erst dann landesweit auszurollen, wenn der Testlauf in den Modellregionen positiv verlaufe. Außerdem sollten zuvor die Sicherheitslücken geschlossen sein, die Sicherheitsfachleute auf dem 38. Chaos Communication Congress präsentiert hatten.

Offenbar ist das Ministerium hier aber auch bereit, ein Auge zuzudrücken. Sebastian Zilch, Unterabteilungsleiter für Digitale Versorgung und Gematik im BMG, hatte Ende März auf einer Tagung des „Spitzenverband Fachärztinnen und Fachärzte Deutschlands“ gesagt, dass man nicht auf „Perfektion“ warten könne.

Lauterbach zufrieden mit Testlauf

Die ePA soll Versicherte ein Leben lang begleiten. In ihr sollen unter anderem Befunde, Laborwerte, Arztbriefe und Medikamentenverordnungen gesammelt werden. Auf die hinterlegten Daten können Praxen, Krankenhäuser und Apotheken bis zu 90 Tage lang zugreifen, wenn Versicherte ihre Krankenkassenkarte in deren Lesegerät stecken.

Seit dem 15. Januar testen rund 230 Arztpraxen, 60 Apotheken und eine Handvoll Krankenhäuser die elektronische Patientenakte. Die Testphase findet in Hamburg, Franken und Nordrhein-Westfalen statt. Mit dem bisherigen Testlauf zeigt sich Lauterbach zufrieden. Rund 70 Millionen Patient:innenakten seien angelegt worden, etwa fünf Prozent der Versicherten hatten der Einrichtung einer ePA widersprochen. Laut gematik würden pro Woche 276.000 ePAs verwendet, täglich flössen etwa 3,5 Millionen E-Rezepte in digitale Patientenakten ein, knapp 70.000 Mal pro Tag würden Medikationlisten abgerufen.

Auch die Probleme, auf die der Chaos Computer Club Ende vergangenen Jahres aufmerksam gemacht hatte, seien gelöst, so Lauterbach. Die Sicherheitslücken für den Massenzugriff auf die ePA seien geschlossen worden.

Skepsis bei Sicherheitsexpert:innen

Ende Dezember hatten die Sicherheitsfachleute Bianca Kastl und Martin Tschirsich auf dem CCC-Kongress demonstriert, wie Dritte mit minimalen Aufwand auf die in jeder beliebigen ePA hinterlegten Gesundheitsdaten zugreifen können. Kastl ist Vorsitzende des Innovationsverbunds Öffentliche Gesundheit e. V. und Kolumnistin bei netzpolitik.org. Tschirsich ist beim Chaos Computer Club aktiv und arbeitet im Bereich der Informationssicherheit.

Wegen der Sicherheitsprobleme hatten Kastl und Tschirsich für einen erweiterten Probelauf plädiert. „Ich glaube, man kann in einer Testphase mit gerade einmal 230 Leistungserbringern noch nicht erkennen, ob die ePA auch im gesamten deutschen Gesundheitssystem sicher läuft“, sagte Kastl Ende März gegenüber der Apotheken Umschau.

Dass die Sicherheitsmängel der elektronischen Patientenakte beseitigt seien, bezweifelt Kastl gegenüber netzpolitik.org. „Die bisher angekündigten Updates sind grundsätzlich ungeeignet, um die aufgedeckten Mängel in der Sicherheitsarchitektur auszugleichen“. Bei den versprochenen Updates handele es sich „lediglich um den Versuch der Schadensbegrenzung bei einem der vielen von uns demonstrierten Angriffe“. Eine umfassende Behebung der aufgezeigten Mängel könne „nur mit kompromissloser Aufklärung und Transparenz erreicht werden“, betont Kastl. Die seien bisher aber nicht gegeben.

Ähnliche Forderungen hatten vor dem Testlauf auch knapp 30 zivilgesellschaftliche Organisationen in einem offenen Brief an den Gesundheitsminister gestellt.

„Eine Patientenakte für die 60 Prozent“

Ärzt:innenschaft begrüßt erneute Verschiebung

Verschiedene Interessensverbände der Ärztinnenschaft werten die Entscheidung des Bundesgesundheitsministeriums positiv. Lauterbachs Ankündigung sei „folgerichtig und konsequent“, sagt Sibylle Steiner, Vorstandsmitglied der Kassenärztlichen Bundesvereinigung (KBV), dem Dachverband der 17 Kassenärztlichen Vereinigungen. Es sei gut, dass „auch künftig niemand sanktioniert werden soll, der unverschuldet die ePA nicht einsetzen kann“, so Steiner.

Auch Anke Richter-Scheer, stellvertretende Vorstandsvorsitzende der Kassenärztlichen Vereinigung Westfalen-Lippe (KVWL), begrüßt die gestaffelte Hochlaufphase: „Eine sofortige Nutzungsverpflichtung hätte der elektronischen Patientenakte zum gegenwärtigen Zeitpunkt erheblichen Schaden zugefügt.“ Gemeinsam mit allen Beteiligten werde die KVWL „die kommenden Wochen intensiv nutzen, um den Reifegrad der ePA weiter zu verbessern“. Die KVWL nimmt an der Erprobung der ePA teil.

Die Zahnärzt:innen sehen das ähnlich: „Viele der Testpraxen können erst seit März mit der ePA arbeiten, also diese einsehen und befüllen“, sagt Karl-Georg Pochhammer, stellvertretender Vorsitzender des Vorstandes der Kassenzahnärztlichen Bundesvereinigung (KZBV). „Die Erfahrungswerte mit ihrer Performance und Nutzbarkeit im Praxisalltag sind daher zu gering.“ Es sei zu früh für einen bundesweiten Rollout.

Diese Aussagen decken sich mit einer Umfrage, die die Stiftung Gesundheit vom 21. Februar bis 7. März durchführte. Darin geben knapp 72 Prozent der Arztpraxen an, dass die Arbeit mit der ePA bis dahin schlechter als erwartet funktioniert habe. Knapp 13 Prozent sehen sich in ihren Erwartungen bestätigt, und gut 15 Prozent wurden demnach positiv überrascht.