Wer die eigene elektronische Patientenakte (ePA) in einer Krankenkassen-App aktivieren wollte, musste sich bislang digital ausweisen. Dafür kam entweder die elektronischen Gesundheitskarte (eGK) oder die Online-Ausweisfunktion des Personalausweises zum Einsatz – inklusive PIN-Abfrage. Das Bundesgesundheitsministerium hatte sich bewusst für diese hohen Sicherheitshürden entschieden, da in der ePA sensible Gesundheitsdaten verwaltet werden.
Nun ist eine Möglichkeit hinzugekommen, mit der sich Versicherte identifizieren können, ohne dass sie dafür eine PIN benötigen. Die Gematik hat das Verfahren „Nect Ident mit ePass“ des Hamburger Unternehmens Nect rückwirkend zum 1. August zugelassen. Das Verfahren darf demnach für die Freigabe einer Gesundheitskarte oder für die Ausgabe einer PIN für die eGK genutzt werden. Mit der Karte lassen sich eine GesundheitsID und der Login in die elektronische Patientenakte erstellen.
Die Entscheidung der Gematik überrascht. Denn vor ziemlich genau drei Jahren hatte sie Video-Ident-Verfahren für unzulässig erklärt. Das Verbot war aufgrund einer „sicherheitstechnischen Schwachstelle in diesem Verfahren … unumgänglich“ gewesen, wie die Gematik damals schrieb. Eine Wiederzulassung könne erst dann entschieden werden, „wenn die Anbieter konkrete Nachweise erbracht haben, dass ihre Verfahren nicht mehr für die gezeigten Schwachstellen anfällig sind“.
„Von Natur aus anfällig für Angriffe“
Zu dem Verbot war es gekommen, nachdem der IT-Sicherheitsforscher Martin Tschirsich vom Chaos Computer Club mehrere gängige Video-Ident-Verfahren überlisten konnte – „mit Open-Source-Software sowie ein bisschen roter Aquarellfarbe“.
Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) kam damals zu einem klaren Urteil: „Bei videobasierten Fernidentifikationslösungen ist grundsätzlich eine Manipulation des Videostreams möglich, sodass videobasierte Lösungen nicht dasselbe Sicherheitsniveau erreichen können wie beispielsweise die Online-Ausweisfunktion des Personalausweises.“
Und erst kürzlich bekräftigte das BSI, dass die videobasierte Identitätsprüfung zwar benutzerfreundlich, „von Natur aus aber anfällig für wiederholbare, skalierbare und unsichtbare Angriffe wie Präsentations- und Injektionsbedrohungen“ sei. Das Video-Ident-Verfahren, das das Bundesinnenministerium ohnehin nur als Brückentechnologie betrachtete, schien damit endgültig am Ende.
Alles netzpolitisch Relevante
Drei Mal pro Woche als Newsletter in deiner Inbox.
Die Rückkehr der Brückentechnologie
Nun aber bringt die Gematik die visuelle Personenidentifikation zurück. Das Verfahren sollen all jene Versicherten nutzen können, die keine PIN für ihre elektronische Gesundheitskarte oder ihren Personalausweis haben. „Wie üblich bei sicherheitsrelevanten Themen rund um die Telematikinfrastruktur wurde das BSI im Vorfeld über den Sachverhalt informiert“, schreibt die Gematik auf Anfrage von netzpolitik.org.
Ihre Entscheidung begründet die Gematik damit, dass „bei dem ‚Nect ePass‘-Verfahren zusätzlich zur Personenidentifikation Ausweisdokumente (z. B. Personalausweis oder Reisepass) elektronisch ausgelesen“ werden. Es verfüge damit über „die sicherheitstechnische Eignung für den Einsatz in der Telematikinfrastruktur“.
Das „ePass“-Verfahren der Nect GmbH erfolgt „vollautomatisiert“ mit Hilfe einer „KI-gestützten Dokumentenprüfung“. Außerdem müssen Nutzer:innen den NFC-Chip ihres Ausweisdokuments mit dem Smartphone auslesen und bei einem Video-Selfie zwei zufällig ausgewählte Worte sagen („Liveness Detection“).
Letztlich verändert die Gematik die Sicherheitsvorgaben: Bislang brauchten Versicherte notwendigerweise eine PIN, um ihre Identität zu bestätigen. Nun können sie sich auch ohne PIN mit ihrem Personalausweis im Video-Ident-Verfahren identifizieren. Damit erhalten sie eine PIN für ihre Gesundheitskarte, um dann ihre ePA zu aktivieren.
„Eine Art 1,5-Faktor-Authentifizierung“
Die Sicherheitsforscherin Bianca Kastl, die eine Kolumne für netzpolitik.org verfasst, sieht die Rückkehr zum Video-Ident-Verfahren kritisch. „Im Prinzip handelt es sich bei dem Verfahren um eine Art 1,5-Faktor-Authentifizierung“, sagt sie gegenüber netzpolitik.org. „Es wird zumindest das Vorhandensein eines plausiblen Ausweises geprüft, der zweite Faktor ist aber eine Videoanalyse, die heute als nur halb sicher gelten muss.“ Kastl bezieht sich hier auf die Zwei-Faktor-Authentifizierung, ein Verfahren, bei dem zwei unterschiedliche und voneinander unabhängige Komponenten zur Prüfung eingesetzt werden.
Damit sind für Kastl weiterhin Angriffsszenarien denkbar. „Der physikalische Zugriff zu Identifikationsmitteln wie dem Personalausweis stellt hier keine allzu große Hürde dar“, sagt sie. „Und die Haltbarkeit von KI-Identifikationsverfahren gegenüber KI-Bildsynthese dürfte perspektivisch eher begrenzt sein.“
Warnung vor Bauchlandung
Die Entscheidung der Gematik hat offenkundig auch mit der geringen Zahl an Versicherten zu tun, die die elektronische Patientenakte aktiv nutzen. „Der elektronischen Patientenakte für alle droht eine Bruchlandung“, mahnte Ende Juli der Bundesvorsitzende des Hausärzteverbandes, Markus Beier. Er rief die Krankenkassen dazu auf, Patienten besser aufzuklären, statt die „Hände in den Schoß“ zu legen.
Angaben der Krankenkassen untermauern den Befund. Techniker Krankenkasse, AOK und Barmer haben zusammen mehr als 44 Millionen elektronische Patientenakten eingerichtet. Doch nur 1,2 Millionen Versicherte nutzen die ePA aktiv.
Der Vorstandschef der Techniker Krankenkasse, Jens Baas, kritisiert derweil den aus seiner Sicht komplizierten Registrierungsprozess für die ePA. „Wir bekommen viele Rückmeldungen von Versicherten, dass sie den Registrierungsprozess für die ePA zu kompliziert finden“, sagte der TK-Vorstandschef nur wenige Tage vor der Gematik-Entscheidung. Er forderte, die rechtlichen Rahmenbedingungen so anzupassen, dass Video-Ident-Verfahren dafür wieder möglich sind.
Kritik an fehlender Transparenz
Dem Wunsch nach einem einfacheren Registrierprozess will die Gematik nun offenbar nachkommen, allerdings ohne rechtliche Anpassungen. „Unserer Kenntnis nach bewegt sich die Anzahl an Versicherten bzw. Bürger:innen, die ihre PIN zur eGK bzw. PIN zum Personalausweis aktiv nutzen, auf einem niedrigen Niveau“, schreibt die Gematik an netzpolitik.org. „Daher sind sichere VideoIdent-Verfahren aus Sicht der Gematik ein wichtiger Schritt, um einen einfacheren Zugang zu digitalen Anwendungen wie der elektronischen Patientenakte oder dem E-Rezept zu ermöglichen.“
Das Vorgehen der Gematik überrascht Kastl nicht. „Vom Prozess her ist das wieder klassisch: Irgendwo im Hintergrund wird an einem Verfahren gewerkelt, das dann auf einmal auf die Bevölkerung losgelassen wird“, so die Sicherheitsforscherin. „Transparente Risikoaufklärung und unabhängige Risikobewertung? Mal wieder Fehlanzeige.“
https://www.lobbyregister.bundestag.de/media/2a/c8/323287/Nect-GmbH-Jahresabschluss-2022.pdf
Die Finanzierung dieses Video Ident Verfahrens erfolgt dann wohl durch die Beiträge zur Krankenversicherung.Bei mehr als 44 Millionen ePAs ein wahres „Groschengrab Deluxe“.
Wenn irgendwann einmal das Video Ident Verfahren oder meine persönliche ePA gehackt wurden, dann wird es richtig ungemütlich für die Krankenkassen.
Das Sozialgeheimnis ist ein grundrechtlich geschütztes Recht, das in § 35 des Sozialgesetzbuches (SGB) I gesetzlich verankert ist. Es besagt, dass Sozialdaten, welche die persönlichen und sachlichen Verhältnisse von Leistungsberechtigten betreffen, von den zuständigen Behörden und Leistungsträgern vertraulich behandelt werden müssen. Darunter fallen beispielsweise Daten wie Name, Anschrift, Geburtsdatum, Familienstand, Einkommen und Vermögen sowie Informationen über den Gesundheitszustand oder persönliche Problemlagen.
Die Nect GmbH scheint sehr umtriebig:
Die Geldwäschevideoidentifizierungsverordnung [sic]
https://www.bundesfinanzministerium.de/Content/DE/Gesetzestexte/Gesetze_Gesetzesvorhaben/Abteilungen/Abteilung_VII/20_Legislaturperiode/2024-04-18-GwVideoIdentV/Stellungnahme-19-Nect-GmbH.pdf?__blob=publicationFile&v=2
Automatisierte Ident-Verfahren sind zudem eine Ergänzung zum Online-Ausweis (eID). In der Privatwirtschaft hat sich bewiesen, dass eine Gesamtlösung aus eID und sicheren Alternativen ökonomisch effizient ist und der eID-Verbreitung hilft. Das Self-Service-Verfahren der automatisierten Video-Identifizierung eignet sich zudem, um die Nutzenden bei Herausforderungen im eID-Prozess (z. B. fehlende PIN) nahtlos in das automatisierte Video-Ident zurückzuführen. Dies führt zu höherer Akzeptanz bei Instituten, auch die eID-Funktion anzubieten, weil eine hohe Erfolgsrate gewährleistet ist.
© Nect GmbH 2024 vertraulich nect.com >> Seit wann sind den Stellungnahmen eines Lobbyisten im Gesetzgebungsverfahren als „vertrauliche Informationen“ zu behandeln ?
>Wenn irgendwann einmal das Video Ident Verfahren oder meine persönliche ePA gehackt wurden, dann wird es richtig ungemütlich für die Krankenkassen.
Pah. Ich weiß, was passiert, wenn die Daten gehackt werden. Zum Beispiel von Meta.
1. Skandal. Es gibt einen Aufschrei.
2. Vielleicht treten Verantwortliche von ihrem Posten zurück.
3. Es werden trotzdem weiter fleißig Daten gestohlen.
4. Beschwichtigung, dass das Gesundheitssystem ja kostenlos sei, und es irgendwie finanziert werden muss.
5. Auch Personen, die widersprochen haben, werden in das System integriert.
6. Es werden Daten nicht mehr gestohlen, sondern der Diebstahl wird zu einer Normalität, die niemand mehr hinterfragt.
Ich bin für eine Ämterpatronage. Der CCC soll dem Spuk ein Ende setzen. Digitalisierung gehört einfach nicht in die Hand von Unternehmen und Politikern.
Datenschutzerklärung für die ePA und die „AOK Mein Leben“-App >> Berechtigungen in Apps
Die für den Betrieb einer App notwendigen Berechtigungen bzw. erforderlichen Zugriffe können jederzeit unter Einstellungen geändert werden.
Zugriff auf Fotos, Medien und Dateien
Zugriff auf Kamera
Zugriff auf Zertifikate
Zugriff auf Telefon >> Der Zugriff auf das Telefon ist notwendig, um die in der App hinterlegten Telefonnummern des Supports aus der App heraus anrufen zu können.
Zugriff auf NFC >> Die Berechtigung NFC ermöglicht der App die Kommunikation mit der elektronischen Gesundheitskarte („eGK“).
Zugriff auf Touch-/Face-ID >> Anstelle des App-Codes kann die App auch mittels Touch- oder Face-ID geöffnet werden. Um diese Funktion zu nutzen, ist ein Zugriff auf die Touch- oder Face-ID erforderlich.
Zugriff auf Gerätetyp, Betriebssystemversion, Telefonnummer des Endgerätes, IMEI
Die App wird mit ihrem Gerät fest verbunden (Gerätebindung), um Ihre Daten zu schützen. Zur Verbindung der App mit Ihrem Gerät ist der Zugriff auf Gerätetyp, Betriebssystemversion, Telefonnummer des Endgerätes und die IMEI erforderlich. Eine weitergehende Nutzung dieser technischen Daten über die Identifikation Ihres Gerätes hinaus erfolgt nicht.
Datenübermittlung an Dritte
Eine Datenübertragung erfolgt grundsätzlich nur an die ePA. Darüber hinaus übermitteln wir Ihre personenbezogenen Daten nur, soweit eine gesetzliche Verpflichtung zur Weitergabe besteht.
Also ich mach nur beim Urologen meines Vertrauens vollends nackig und sicherlich kommt mir diese App „nicht auf den Hof“.
Die patientendaten der aktuellen epa sind auch ohne Video identverfahren alles andere als sicher. Allerdings glaube ich nicht dass es im Katastrophenfall gelingen wird die Krankenkassen haftbar zu machen weil man es kaum beweisen wird können.und der Rest ist staatsräson was dann letztendlich zur klageabweisung führt
Lustig, kann man sich dann mit KI generiertem Video authentifizieren und alle Daten abgreifen. Braucht man ja nur ein Photo um photorealistischen Fake zu erstellen. Schon befremdlich was in diesem Land so alles an Unsinn voran getrieben wird.
Fehlt eigentlich nur noch „mit XYZ Account“ GMAFIA
> „Unserer Kenntnis nach bewegt sich die Anzahl an Versicherten bzw. Bürgern, die ihre PIN zur eGK bzw. PIN zum Personalausweis aktiv nutzen, auf einem niedrigen Niveau“
Ich hoffe sehr, dass das auch noch lange so bleibt.
Leider schützt eine vom Patienten nicht aktiv genutzte ePA nicht davor, dass diese dennoch mit Daten befüllt wird und diese zur Verfügung gestellt werden.
Ist ja auch zum Glück Allesschneider umständlich dass es für den normalen Bürgern schon eine horrorvorstellung ist wenn er/sie sich damit beschäftigen muss. Das Verfahren mit der Grundsteuer via Elster war ja auch mehr als schweisstreibend.
Kann ich diese Form der Identifizierung für meine ePA ausschalten, oder hilft nur keine ePA zu haben?
Es hilft nur keine epa zu haben
„Angaben der Krankenkassen untermauern den Befund. Techniker Krankenkasse, AOK und Barmer haben zusammen mehr als 44 Millionen elektronische Patientenakten eingerichtet. Doch nur 1,2 Millionen Versicherte nutzen die ePA aktiv.“
Aber es läuft doch alles super nach Plan!
So viele ePA anlegen wie nur möglich (nur wenige haben ja überhaupt widersprochen) und hoffen, daß bei den angelegten ePA’s so wenige wie möglich diese selber aktiv managen, sprich in ihren Daten herumlöschen.
Nur so lassen sich so viele Daten wie nur irgend möglich meistbietend verkaufen, ähm, natürlich „für die Forschung nutzen“.