Gematik hält Kritik des Chaos Computer Clubs an ePA für übertrieben

Die Gematik weist Bedenken des Chaos Computer Clubs zur Sicherheit der elektronischen Patientenakte zurück. Experten hatten auf dem 38C3 erneut gravierende Schwachstellen aufgezeigt. Nun steht die Einführung der "ePA für alle" auf dem Prüfstand.

Gravierende Schwachstellen aufgedeckt

Die elektronische Patientenakte (ePA) steht erneut in der Kritik. Auf dem 38. Chaos Communication Congress (38C3) in Hamburg demonstrierten Sicherheitsexperten, wie leicht sich Zugriff auf die sensiblen Gesundheitsdaten von Millionen Versicherten erlangen lässt - und das nicht zum ersten Mal. Die Erkenntnisse werfen Fragen zur Sicherheit der "ePA für alle" auf, die ab Anfang 2025 eingeführt werden soll.

Die IT-Sicherheitsexperten Bianca Kastl und Martin Tschirsich zeigten beim Hacker-Kongress, wie sie mit geringem Aufwand auf elektronische Patientenakten zugreifen konnten. Besonders alarmierend: Einige der aufgezeigten Sicherheitslücken sind seit Jahren bekannt und wurden dennoch bisher nicht behoben.


Der Chaos Computer Club (CCC) äußerte sich besorgt zu den Ergebnissen. Laut den Sicherheitsforschern sei "das Narrativ der sicheren ePA nicht mehr zu halten". Sie kritisieren, dass grundlegende Sicherheitsprobleme auch in der neuesten Version der elektronischen Patientenakte noch existieren, was auf fundamentale Mängel im Entwicklungs- und Sicherheitsprozess des Systems hinweise.

Gematik hält Kritik für realitätsfern

Die für die Einführung der ePA zuständige Gematik reagierte prompt auf die Vorwürfe.

Sie bezeichnet die "praktische Durchführung in der Realität" für einen der genannten Angriffe als "nicht sehr wahrscheinlich". Gleichzeitig betont die Gematik, dass sie im intensiven Austausch mit Sicherheitsbehörden wie dem Bundesamt für Sicherheit in der Informationstechnik (BSI) stehe und bereits an technischen Lösungen arbeite.

Die Gematik dankt den Sicherheitsforscher:innen des Chaos Computer Clubs (CCC) für die Hinweise zur Sicherheit der neuen elektronischen Patientenakte (ePA für alle) und nimmt diese entsprechend ernst. Die vom CCC vorgestellten Angriffsszenarien auf die neue ePA wären technisch möglich gewesen, die praktische Durchführung in der Realität aber nicht sehr wahrscheinlich, da verschiedene Voraussetzungen erfüllt sein müssen. Dazu zählen zum Beispiel die illegale Beschaffung eines Institutionsausweises (SMC-B Karte), der dazugehörigen PIN, der Vertrag mit einem Zugangsdienst und eine technisch komplexe Manipulation.

Forderung nach mehr Transparenz

Angesichts der Brisanz der Erkenntnisse fordern Experten wie Kastl und Tschirsich eine unabhängige Bewertung der Sicherheitsrisiken und eine transparentere Kommunikation gegenüber den Versicherten. Sie plädieren für einen offenen Entwicklungsprozess über den gesamten Lebenszyklus der "lebenslangen ePA".

Ab Februar 2025 soll die "ePA für alle" eingeführt werden, bei der alle gesetzlich Versicherten automatisch eine elektronische Patientenakte erhalten, sofern sie nicht aktiv widersprechen. Angesichts der aufgedeckten Schwachstellen stellt sich die Frage, ob dieser ambitionierte Zeitplan noch zu halten ist.

Wie steht ihr zur elektronischen Patientenakte? Überwiegen für euch die Vorteile der Digitalisierung im Gesundheitswesen oder seht ihr die Risiken als zu groß an? Teilt eure Gedanken in den Kommentaren!

Fragen und Antworten zur elektronischen Patientenakte (ePA)


Siehe auch: