Die meisten von uns besitzen einen Haustürschlüssel. Und die meisten von uns wissen, wer sonst noch Zugang zu unserer Wohnung hat. Bei den Gesundheitsdaten, die in der elektronischen Patientenakte hinterlegt sind, ist das offenkundig nicht so klar. Das zeigen die Antworten der Bundesregierung auf eine Kleine Anfrage der Bundestagsfraktion „Die Linke“.
Die Abgeordneten haben die Regierung unter anderem gefragt, welche Vorkehrungen verhindern sollen, dass etwa die US-Regierung an sensible Gesundheitsdaten von deutschen Versicherten gelangt. Die Antworten der Bundesregierung sind mitunter missverständlich, in Teilen unvollständig und fehlerhaft.
Nachfragen bei dem zuständigen Gesundheitsministerium, verschiedenen Krankenkassen und der Gematik haben nur wenig Licht ins Dunkel gebracht. Offenkundig sollen die Versicherten weitgehend bedingungslos darauf vertrauen, dass ihre sensiblen Daten in der ePA sicher sind.
Krankenkassen verweigern Auskunft
Anlass der Kleinen Anfrage war eine Aussage des Chefjustiziars von Microsoft Frankreich im Juni dieses Jahres. Er hatte in einer öffentlichen Anhörung vor dem französischen Senat nicht ausschließen können, dass der Tech-Konzern Microsoft auf Anordnung US-amerikanischer Behörden auch Daten europäischer Bürger:innen weitergeben müsse.
Hintergrund ist unter anderem der US-amerikanische Clarifying Lawful Overseas Use of Data Act, kurz CLOUD Act, aus dem Jahr 2018. Das Gesetz verpflichtet US-Tech-Anbieter unter bestimmten Voraussetzungen zur Offenlegung von Daten gegenüber US-Behörden – auch wenn sich diese Daten außerhalb der Vereinigten Staaten befinden.
Die Abgeordneten der Linksfraktion fragten die Bundesregierung, ob sie ein ähnliches Szenario bei den in der ePA hinterlegten Gesundheitsdaten ausschließen könne. Die Regierung erwidert, dass sie nichts über die Verträge zwischen den Betreibern der ePA und den Krankenkassen wisse. Sie kenne daher die Regelungen nicht, mit denen die Daten der Versicherten geschützt würden. Betreiber von ePA-Infrastrukturen sind spezialisierte IT-Dienstleister wie IBM Deutschland und das österreichische Unternehmen RISE.
Wir haben uns bei den drei größten gesetzlichen Krankenkassen in Deutschland erkundigt, welche vertraglichen Vereinbarungen sie mit ihren externen Anbietern getroffen haben. Weder die Techniker Krankenkasse noch die Barmer oder die DAK wollten unsere Frage beantworten. Sie verweisen auf die Gematik, die als Nationale Agentur für Digitale Medizin für die Spezifikationen zur technischen Ausgestaltung der ePA zuständig sei. Der Barmer-Sprecher bittet zudem um Verständnis, dass er sich „aus Wettbewerbsgründen“ nicht weiter zu den Vertragsbedingungen äußern könne.
Es ist also unklar, ob es entsprechende Regelungen zum Schutz der Versichertendaten gibt, von denen die Bundesregierung spricht.
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Der Schlüssel liegt bei den Betreibern
Desweiteren verweist die Bundesregierung auf „umfangreiche technische und organisatorische Sicherheitsmaßnahmen“, die zum Schutz der Gesundheitsdaten umgesetzt worden seien. So dürften die in der ePA hinterlegten Daten nur verschlüsselt bei den Betreibern gespeichert werden. Ohne „den Schlüssel der Versicherten“ könnten Unbefugte die Daten nicht lesen, betont die Regierung.
Diese Antwort ist mindestens missverständlich formuliert. Tatsächlich verfügt die ePA derzeit über keine patientenindividuelle Verschlüsselung, bei der jede:r Versicherte die eigene Patientenakte mit einem persönlichen Schlüssel absichert. Ältere Versionen der ePA sahen noch eine Ende-zu-Ende-Verschlüsselung der in der Patientenakte hinterlegten Daten vor; die aktuelle „ePA für alle“ bietet dieses Mehr an Sicherheit allerdings nicht mehr.
Außerdem sind die Schlüssel nicht, wie noch bei früheren ePA-Versionen, auf der elektronischen Gesundheitskarte der Versicherten hinterlegt, sondern sie liegen auf den Servern des ePA-Betreibers. Sogenannte Hardware Security Modules in einer „vertrauenswürdigen Ausführungsumgebung“ würden gewährleisten, dass die Betreiber keinen direkten Zugriff auf diese Schlüssel haben, schreibt das Gesundheitsministerium auf Nachfrage von netzpolitik.org.
„Diese speziell abgesicherten Komponenten sind dafür ausgelegt, kryptografische Schlüssel sicher zu verwalten und sensible Daten vor unbefugtem Zugriff zu schützen“, sagt eine Gematik-Sprecherin auf Anfrage. Ein direkter Zugriff auf die Schlüssel, auch durch die Betreiber der ePA, sei technisch ausgeschlossen. Die Schlüssel werden etwa dann zur Entschlüsselung der Gesundheitsdaten verwendet, wenn die Versicherten ihre elektronische Gesundheitskarte beim Besuch einer Praxis oder einer Apotheke in ein Lesegerät schieben.
Offene Eingangstüren
Zwei Aspekte lassen das Gesundheitsministerium und die Gematik bei ihren Ausführungen jedoch unter den Tisch fallen.
Zum einen ist den Sicherheitsfachleuten des Chaos Computer Clubs Bianca Kastl und Martin Tschirsich in den vergangenen Monaten wiederholt gelungen, die Zugriffskontrolle der ePA zu überwinden.
Bei den von ihnen beschriebenen Angriffsszenarien hilft Verschlüsselung nicht mehr viel. „Es ist vollkommen egal, dass das irgendwie verschlüsselt gespeichert wird, wenn an der Eingangstür ein paar Wissensfaktoren reichen, um jede ePA in Zugriff zu bekommen“, sagt Bianca Kastl, die auch Kolumnistin bei netzpolitik.org ist.
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Die von ihr und Tschirsich aufgezeigten Sicherheitslücken bestehen teilweise noch immer fort. Eine „endgültige technische Lösung“ will das Bundesamt für Sicherheit in der Informationstechnik (BSI) erst im kommenden Jahr implementieren.
Trügerische Sicherheit
Zum anderen behauptet die Bundesregierung, dass die bestehenden Sicherheitsvorkehrungen einen „technischen Betreiberausschluss“ gewährleisten, „sodass selbst ein fremdbestimmter Betreiber keinen Zugriff auf die Daten der ePA erlangen würde“.
Hauptbetreiber von elektronischen Patientenakten ist die IBM Deutschland GmbH. Unter anderem die Techniker Krankenkasse, die Barmer Ersatzkasse und die AOK haben das Unternehmen damit beauftragt, die ePA und die dazugehörigen Aktensysteme gemäß der von der Gematik gemachten Spezifikationen umzusetzen. Mehr als zwei Drittel aller digitalen Patientenakten laufen auf IBM-Systemen, aus Sicherheitsgründen seien die Daten „über zahlreiche, geographisch voneinander getrennte Rechenzentrums-Standorte in der IBM Cloud in Deutschland verteilt“, so das Unternehmen.
Dieses Sicherheitsversprechen ist jedoch trügerisch. Denn die IBM Deutschland GmbH ist eine Tochter der US-amerikanischen IBM Corp. – und damit potenziell ein „fremdbestimmter Betreiber“. Gemäß CLOUD Act können US-Behörden IBM dazu zwingen, die Daten von deutschen Versicherten an sie auszuleiten.
Gefahr erkannt, Gefahr gebannt?
Welche Risiken der CLOUD Act birgt, hat etwa das baden-württembergische Innenministerium erkannt. Im Juli räumte es in einer Stellungnahme ein, dass US-Behörden theoretisch auf Daten zugreifen könnten, die in der Verwaltungscloud Delos gespeichert sind. Delos Cloud ist ein Tochterunternehmen von SAP und fußt auf Microsoft Azure und Microsoft 365. Dem Ministerium zufolge könnten US-Behörden den Tech-Konzern anweisen, „einen Datenabfluss in seine Software zu integrieren, ohne dass der Kunde darüber in Kenntnis gesetzt wird.“
Dennoch plant die Bundesregierung nach eigenem Bekunden nicht, die technologische Abhängigkeit von nicht-europäischen ePA-Betreibern zu prüfen – obwohl sie die digitale Patientenakte explizit als eine kritische Infrastruktur einstuft.
Anne-Mieke Bremer, Sprecherin für Digitale Infrastruktur der Fraktion Die Linke im Bundestag, kritisiert diese Weigerung der Regierung. „Statt klare Prüfpflichten festzuschreiben, versteckt sie sich hinter lückenhaften Vorgaben“, so Bremer. „Und sie gibt sich damit zufrieden, dass die Verträge zwischen Betreibern und Kassen eine Blackbox bleiben.“
Die ePA wirke „zunehmend wie ein mangelhaftes und fahrlässiges Prestigeprojekt“, das voller Lücken und Risiken ist, sagt Stella Merendino, Sprecherin der Linken für Digitalisierung im Gesundheitswesen. „Was mit unseren sensibelsten Gesundheitsdaten passiert, bleibt dabei im Dunkeln.“
Aus einem Kommentar von Heise (bzgl. Abhängigkeit von US-Unternehmen), trifft es ganz gut:
„Lächerliche Konstrukte wie „Datentreuhänderschaft“ und pseudo-souveräne Clouds der großen Anbieter lullen die Europäerinnen und Europäer in ein Gefühl von Sicherheit, wo de facto längst höchste Eile geboten ist, um wirklich souveräne europäische Alternativen zu schaffen.“
„Wer als Politiker dabei ernsthaft bezweifelt, die aktuelle US-Regierung könne AWS, Azure und Google als politisches Druckmittel einsetzen, belügt sich selbst und die Öffentlichkeit. Denn rote Linien gibt es für die zweite Trump-Administration ganz offensichtlich nicht. Erlaubt ist, was dem eigenen Vorteil dient“
Quelle: https://www.heise.de/meinung/Kommentar-zum-Totalausfall-bei-AWS-Nichts-gelernt-in-den-letzten-30-Jahren-10794622.html
Das schaffen souveränder Alternativen binhaltet allerdings auch die Förderung in der Breite, will sagen Randbedingungen. Ich würde sogar sagen nicht nur b2b/freelance, sondern auch b2c und sogar auch Spieleentwicklung.
Wir brauchen wider mehr Garagen…
Ich bin froh, dass ich als Notfallarzt noch die Notfalldaten und die persönliche Erklärung von der eGK auslesen kann, ohne PIN (im Notfall!), denn sonst könnte ich einen Bluter verbluten lassen oder eine seltene Allergie übersehen.
Der Datenschutz im Gesundheitswesen ist – neben der dadurch erfolgten Kostensteigerung der Infrastruktur, welche die Versicherten trifft – zu einer Belastung für Patienten und Ärzte geworden , weil der Gesetzgeber die Last der Entscheidung hauptsächlich auf chronische Patienten ablädt, denn, die müssen sich aktiv darum kümmern Ihre Daten eintragen und aktualisieren zu lassen.
Und wenn Ärzte fehlerhafte Diagnosen in die ePA einstellen, hilft nur noch:
1. Bei der ePA greift Art. 16 DSGVO (Berichtigung unrichtiger Daten). Arzt mit Fristsetzung auffordern!
2. Wird das vom Arzt verweigert, besteht ein Beschwerderecht nach Art. 77 DSGVO bei der zuständigen Aufsichtsbehörde (i.d.R. Landesdatenschutzbeauftragte).
Und wenn da nix kommt – eine Klage auf Basis § 630f BGB.
Eine Beschwerde bei der zuständigen Ärztekammer oder KV ist m.e. sinnlos.
Transparenz rettet Leben, d.h. Datenschutz muss im Gesundheitswesen sehr genau abgewogen werden, sonst sterben Menschen, nur um deren Daten wider dem Nutzen, zu schüzen.
Alles recht und gut,aber wenn ich gegen meinen Arzt klagen muss dann brauche ich da nicht mehr hingehen?
Und kann ich gegen die Krankenkasse klagen wenn meine epa gehackt wird und ich erpresst werde?
Früher gab es mal Anhänger mit notfalldaten zum Tragen. Ist heutzutage wohl zu einfach. Die notfalldaten auslesen kann ich als Arzt auch nur wenn ich gleich die krankenversicherungskarte finde.
Du wirst es vielleicht überraschend und manche werden es makaber finden, aber bevor ich freiwillig Daten an die Regierung weitergebe, verblute ich lieber, weil der Arzt meine Daten nicht auffinden konnte. Wenn ich nämlich Ausnahmen mache, dann bin ich ein Heuchler – der Windows-Fanboy wird bei hitzigen Debatten mit dem Datenschutz den Finger auf mich zeigen „Aber was ist mit deiner ePA????“ und diesen Gefallen werde ich ihm nicht tun.
Wie war es denn davor? Vor 40 Jahren? Notfalltasche. Auf Papier kann kein Staat herumschnüffeln, sondern nur der Arzt. Und genau das fehlt bei der ePA. Kein Staat und kein Unternehmen hat nämlich das Recht, Daten von dir zu erheben, aber bei der ePA wird das konsequent missachtet, sogar wenn nachweislich widersprochen wurde, wie einige Artikel hier bezeugen können.
„denn sonst könnte ich einen Bluter verbluten lassen oder eine seltene Allergie übersehen. “
Wie haben das nur Mediziner in den letzten, sagen wir mal 60 Jahren, gemacht – so ganz ohne Digitales?
Ich habe grundsätzlich nichts gegen eine elektronische Patientenakte. Aber es muss eine sein, die wirklich und nachweislich (!!!) sicher ist, ohne Hintertüren für Wirtschaft, Amerika, irgendwelche „Dienstleister“, die weder mit dem Kranken selbst noch mit Medizin im Ganzen zu tun haben usw, und bei der allein (!!!) der Patient darüber bestimmt, was welche Ärzte wann sehen und/oder eintragen. Solange das nicht nachweislich umgesetzt wird und stattdessen die Patienten zu unmündigen Wirtschaftsobjekten herabgewürdigt werden, werde ich keine Akte einrichten (lassen).
>“Wir brauchen wider mehr Garagen…“
In meiner ist kein Strom
„In meiner ist kein Strom“
Solarplatten auf die Garage, Kabel rein, Trafo ran – fertig ist die Nerdgrundlage :)
Man kann natürlich auch einen Dieselgenerator nehmen, aber da war doch was mit dem Klima …
Die elektronische Patientenakte: Ein Sicherheitsversprechen, das niemand einlösen kann
Die Bundesregierung versichert, die elektronische Patientenakte (ePA) sei doch sicher. Doch wer genauer hinsieht, erkennt: Dieses Versprechen steht auf tönernen Füßen. Die Antworten der Bundesregierung auf eine Kleine Anfrage der Linksfraktion offenbaren ein erschütterndes Maß an Unwissenheit und Intransparenz. Weder kennt die Regierung die genauen Vertragsbedingungen zwischen Krankenkassen und externen IT-Betreibern wie IBM oder RISE, noch kann sie glaubhaft versichern, dass US-Behörden keinen Zugriff auf deutsche Gesundheitsdaten erhalten.
Gerade der US-amerikanische CLOUD Act zeigt, wie brüchig solche Zusicherungen sind: US-Unternehmen müssen auf Anordnung amerikanischer Behörden Daten herausgeben – selbst dann, wenn sie auf europäischen Servern liegen. Dass Microsoft dies öffentlich einräumte, sollte jedem Versicherten zu denken geben. Trotzdem sollen Bürger:innen blind vertrauen, während selbst Krankenkassen Auskünfte verweigern und auf die Gematik verweisen, die wiederum vor allem technische Spezifikationen, nicht aber reale Sicherheitsgarantien liefert.
Gesundheitsdaten gehören zu den sensibelsten Informationen überhaupt. Wer hier Transparenz verweigert, gefährdet nicht nur Datenschutz, sondern das Vertrauen in jede Form digitaler Verwaltung. Wenn selbst die Bundesregierung nicht weiß, wer Zugang zu den Daten hat, ist das kein Fortschritt – sondern ein digitales Sicherheitsrisiko im Gesundheitsgewand.
Solange diese grundlegenden Fragen unbeantwortet bleiben, ist die einzig verantwortungsvolle Entscheidung klar: der elektronischen Patientenakte zu widersprechen.
Richtigstellung: RISE ist nicht einer der Betreiber. Es sind die Firma BITMARCK und IBM. RISE entwickelt die ePa lediglich. Zu der Wahrheit gehört aber auch das die Rechenzentren der Firma BITMARCK nicht an US Amerikanische Unternehmen geknüpft sind und ausschließlich in Deutschland stehen.
Was macht man eigentlich als Otto Normalverbraucher mit PTBS, welche überall Datenmissbrauch seit dem Urknall oder sogar schon davor sieht ?
Verstehen Sie PTBS richtig?
Das Problem ist doch, dass Politiker ganz nach freiem Belieben die Unwahrheit sagen dürfen.
Die Wahrheit sagen müssen sie bestenfalls vor Gericht oder einem PUA.
Und so werden wir Tag ein Tag aus angelogen. Immer auf’s Neue und fortwährend.
Völlig egal, was Fachleute sagen.
Ich erkläre jetzt nicht den Unterschied zwischen verschlüsselten Backups der Daten deines Landes, die du im Krieg außerhalb lagerst, und Systemen, deren allgemeine Skalierungsfähigkeit gerade für Sachen gedacht ist, wie Zugriff durch Krankenkassen und dann der ganze Datenabverkauf gemäß „irgendwas mit Wissenschaft“, wie er bei der eGK wohl geplant sein dürfte. Effektiv gesehen, besteht keine wirksame Verschlüsselung für einen kapablen Angreifer. Letztere werden nicht weniger, und sollten kein zu einfaches Spiel haben. Geostrategie nach Star Trek, jetzt erst noch mal einschlafen?
(Subtil aber tödlich: könnten Krankenkassen z.B. alles lesen, gründet man eben eine?)
Man sollte es fast bei jeden Artikel als Vorwort schreiben:
„Das Microsoft Betriebssystem Windows hat integrierte Spionagefunktionen,
mit denen In- und Ausländische Behörden den Enduser über die Schulter schauen können,
was gerade eingegeben wird und was am Bildschirm angezeigt wird.
Selbstverständlich kann auch der Netzwerkverkehr umgeleitet werden und sämliche angeschlossenen Speicher ausgelesen werden.“
Es ist ein Witz über irgendwelche Datensicherheit zu schwafeln, solange man Windows verwendet.
„Es ist ein Witz über irgendwelche Datensicherheit zu schwafeln, solange man Windows verwendet.“
Habe eine WD NAS „My Cloud EX2 Ultra“ unwissend der Komplikationen gekauft. Diese Hardware kann nur mit Internetanbindung aktiviert und muss mit Mail usw. registriert werden, sonst nicht nutzbar. Dazu bekommt man auch ein nicht abschaltbaren Cloud-zwang sprich auch Cloud-puffer zu NAS; und Selbiges nach jedem Reset auf Werksauslieferung. Hier verweist WD darauf, dass zur jederzeit meine Daten durch die US-Gov durchforstbar seien.
Wer meint, das in den USA sei doch alles relativ locker, sollte…
1. Sich darüber bilden.
2. Transferleistung erbringen, bzgl. der Frage, wie denn die IT-Landschaft in der Welt aussehen wird, wenn die Vorgehensweisen automatisiert mittels KI auf die Welt übertragen werden, z.B. bei IT-Produkten?
2. Bedeutet alles, von Updateverweigerung, über Lizenzentzug bis Trojanisierung.
Natürlich nicht sehr wahrscheinlich, obwohl man sagen muss, dass von der Telemetrieverhalten und durch die Cloud-KI-Einbindung her, wir dem totalen Datengriff schon näher kommen. Es würde eine Welle der Abwendung erzeugen, und vermutlich wollen die Unternehmen das auch nicht. Soweit ist es dort drüben im Moment noch nicht, aber wenn es die Richtung weiter nimmt, ist das überhaupt nicht vom Tisch, denn die Stellschrauben sind eigentlich längst da.