Die gematik hat ein Sicherheitsgutachten zum Konzept der elektronischen Patientenakte (ePA) beauftragt. Dieses Gutachten des Fraunhofer SIT liegt jetzt vor. Während die gematik aus dem Gutachten den Schluss "Die ePA für alle ist sicher" zieht, sehen die Prüfer teilweise schwerwiegende Sicherheitsprobleme. Manche hat die gematik "zur Kenntnis genommen", da außerhalb ihrer Befugnisse. Was kann schon schief gehen.
Anzeige
Die elektronischen Patientenakte (ePA) soll ja ein wesentlicher Bestandteil der digitalen Gesundheitsversorgung in Deutschland werden. Patienten und Behandelnde sollen, so die Theorie, die medizinisch relevanten Informationen auf einen Blick verfügbar haben. Versprochen wird mehr Effizienz, da auch Doppeluntersuchungen vermieden und Behandlungsprozesse beschleunigt werden – wobei ich dieses Versprechen seit Jahren für diverse Maßnahmen im Gesundheitswesen gehört habe. Das Gesundheitssystem hat seine eigene Dynamik.
Unter diesem Aspekt startet die elektronische Patientenakte (ePA) ab dem 15. Januar 2025 deutschlandweit für gesetzlich Krankenversicherte. Wer das nicht möchte, muss seinen Widerspruch im Rahmen des Opt-out erklären.
Ich hatte ja die Entwicklung der Elektronischen Patientenakte (ePA) hier im Blog mit zahlreichen (kritischen) Beiträgen begleitet. Und im Blog-Beitrag Elektronische Patientenakte (ePA): Opt-out jetzt! Erste Pläne für Begehrlichkeiten hatte ich einige Aspekte der Entwicklung nochmals aufgezeigt. Insbesondere treiben viele Unwägbarkeiten hinsichtlich Missbrauch und Sicherheit die Kritiker der ePA um. Nun fällt ein weiteres Mosaiksteinchen in Form eines Sicherheitsgutachtens ins Bild.
Das Sicherheitsgutachten zur ePA
Das von der gematik bei der Fraunhofer SIT beauftragte Sicherheitsgutachten zum Konzept der elektronischen Patientenakte (ePA) lässt sich als "Abschlussbericht" (PDF) abrufen. Die Pressemitteilung Neues ePA-Sicherheitskonzept auf dem Prüfstand dazu stammt vom 10. Oktober 2024 – das Gutachten liegt bereits seit August 2024 vor.
Anzeige
Prüfung der Spezifikation auf Papier
Ein Forschungsteam des Fraunhofer-Instituts für Sichere Informationstechnologie SIT hat das Sicherheitskonzept der elektronischen Patientenakte (ePA) "auf dem Papier", anhand der Konzepte und Spezifikationen überprüft.
Dabei wurden verschiedene Angriffsbäume in Bezug auf externe und interne Angreifer im Hinblick auf unberechtigte Zugriffe, löschen und manipulieren der Patientenakte untersucht. Das gematik-Konzept ist so komplex, dass zur Prüfung künstliche Intelligenz herangezogen werden musste.
AI wegen der Komplexität erforderlich
Für die Überprüfung haben die Forschenden des Fraunhofer SIT zunächst sämtliche Texte der Sicherheitsanforderungen aus dem gematik-Konzept in eine eigens dafür aufgesetzte Künstliche Intelligenz überführt und so ein gematik-GPT auf Open-Source-Basis entwickelt.
Diese KI funktioniert wie eine spezielle Suchmaschine und erlaubte es den Forschenden, alle Inhalte des umfangreichen Konzepts schnell durchsuchen und abrufen zu können. In einem zweiten Schritt entwickelten die Forschenden verschiedene Angriffsszenarien und -methoden und prüften jedes Szenario mithilfe des gematik-GPT gegen das Sicherheitskonzept: Hat das Sicherheitskonzept ein mögliches Angriffsszenario berücksichtigt und Gegenmaßnahmen vorgesehen, zeigt das die KI automatisch an.
Das KI-Ergebnis wurde dann noch einem Gegencheck durch die Fraunhofer-Experten unterzogen.
Ergebnis der Prüfung
Das eingereichte Konzept wurde von der Fraunhofer SIT zwar "für angemessen" befunden. Die Formulierung lautet:
Das Gesamtergebnis der Sicherheitsbetrachtung laut der Fraunhofer-Experten: Die Systemarchitektur ist insgesamt angemessen, lässt sich jedoch noch verbessern.
In den Details des 93 seitigen Abschlussberichts finden sich durchaus kritische Punkte, die diskussionswürdig sind. Es werden mehr als ein Dutzend Schwachstellen, davon vier mit hohem Risiko, und sechs mit mittlerem Risiko benannt. Die restlichen 11 Schwachstellen werden als niedrig klassifiziert.
Bemängelt wird auch die in den Spezifikationen eingeräumte Reaktionsfrist von 72 Stunden für die Beteiligten an der ePA, um auf Schwachstellen (CVSS-Bewertung von 9,0 und höher) zu reagieren. Zu den zusätzlichen Empfehlungen der Prüfer zählen auch einige ergänzende Maßnahmen, die zum Beispiel vor Innentätern schützen.
Ebenso wurden Verbesserungen an den Schnittstellen zu Krankenkassen und Leistungserbringern vorgeschlagen. Um den Besonderheiten der Telematik-Infrastruktur gerecht zu werden, machte das Team auch technische und organisatorische Verbesserungsvorschläge, die es der gematik zur Umsetzung empfiehlt.
Zudem wurde von der Fraunhofer SIT eine Prüfung der Implementierung mittels eines Penetrationstests oder eines Code-Reviews empfohlen. Die gematik sieht die ePA als sicher an und nimmt einige Punkte außerhalb der Regelungshoheit "zur Kenntnis".
Die Details lassen sich im Abschlussbericht nachlesen – die Kollegen von heise haben hier ebenfalls eine Zusammenfassung für den schnellen Leser veröffentlicht. Und die Redaktion von heise bringt es in einem zweiten Beitrag Ohne Vertrauen gibt es keine Gesundheitsdigitalisierung auf den Punkt. Genau an diesem Punkt scheiden sich die Geister – aus meinem Blickwinkel ist es der gematik sowie den beteiligten Protagonisten in den letzten Jahren nicht gelungen, Vertrauen aufzubauen – im Gegenteil, je tiefer man gräbt, um so größer wird das Misstrauen. Aber wie schrieb ich Eingangs: "Was kann schon schief gehen – notfalls wird alles per Verordnung als sicher erklärt".
Artikelreihe:
Gesundheitsgesetze I: EU-Parlament macht Weg für EU Health Data Space (EHDS) frei
Gesundheitsgesetze II: Bundestag beschließt Digitalisierung im Gesundheitswesen (GDNG, DigiG)
Gesundheitsgesetze III: Mit Digitalisierung planlos ins Desaster?
Ähnliche Artikel:
Elektronische Patientenakte (ePA 2.0) als Sicherheitsrisiko?
gematik-Gesellschafter haben Opt-out für elektronische Patientenakte (ePA) beschlossen
Vernichtendes Urteil an elektronischer Patientenakte auf Freie Ärzteschaft (FA) Kongress (3.12.2022)
Neustart in 2023 für Elektronische Patientenakte (ePA) geplant
Lauterbach "will" die elektronische Patientenakte (ePA) mit Opt-out – ein Desaster mit Ansage oder Wolkenkuckucksheim?
Elektronische Patientenakte: nur 6 % der Ärzte nutzten es Mitte 2022
Nach BARMER-Hack: Fachärzte starten Petition für ePA Opt-in – jeder kann unterzeichnen
Digitalisierung im Gesundheitswesen: Kelber kritisiert ePA, Schutzlos gegen Cyberangriffe
EU Gesundheitsdatenraum (European Health Data Space, EHDS): Erste Pläne, offene Fragen
Europäischer Gesundheitsdatenraum (EHDS) beschlossen – die Haken für Patienten
gematik untersagt Video-Ident-Verfahren in der Telematikinfrastruktur (9. August 2022)
GAU: KIM im Gesundheitswesen kaputt – S/MIME-Zertifikate mehrfach vergeben
Ups: Krankenkassen nutzen die Telematik-Infrastruktur selbst nicht …
TI-Konnectoren im Gesundheitswesen – der "400 Millionen Euro"-Hack des Chaos Computer Clubs
TI-Konnektorentausch: Ärzteverbände erstatten Anzeige wegen Korruptionsverdacht
eGK-Tastatur (z.B. G87-1505) mit Verfallsdatum – wird die zu Elektroschrott?
KBV: Gematik verschiebt eRezept-Einlösung mit eGK auf Sommer 2023
eRezept ab 2024 verpflichtend – Ungereimtheiten führen zum Desaster
Umfrage: Läuft bei euch die Praxis-Software und das eRezept zum 2.1.2024?
Digitalisierung in der Medizin: Drama beim eRezept (März 2024)
Büchse der Pandora: Die Gesundheitsdaten, KI (Copilot, Adobe AI) und der Patienten-/Datenschutz
re:publica: Kontra Datenschutz; wo ist die Medizinethikerin Buyx "falsch abgebogen?
Nachlese Datenschutzvorfall mit Cannabis-Rezepten bei Dr. Ansay
Desaster Cyberangriff auf Change Healthcare der UnitedHealth Group
Elektronische Patientenakte: Das Ende der ärztlichen Schweigepflicht?
News aus dem Gesundheitswesen: ePA, Widerspruch, Schwachstellen und Ärzteärger
Elektronischer Medikationsplan (eMP): Implementierung zum Scheitern verurteilt?
Elektronische Patientenakte (ePA) und das (zwingende) Opt-out
Elektronische Patientenakte (ePA): Opt-out jetzt! Erste Pläne für Begehrlichkeiten
Anzeige
Ich bin grundsätzlich ein Freund der Digitalisierung.
Aber hier wird das Pferd von hinten aufgezäumt.
Zitat :"Patienten und Behandelnde sollen, so die Theorie, die medizinisch relevanten Informationen auf einen Blick verfügbar haben. "
Den Ärzten fehlt in vielen Fällen schon der Überblick über die eigenen Patienten Daten.
Aufgrund des Zeitmangels werden sie auch keine Lust haben, lange in einer ePA zu stöbern.
Zitat :" Doppeluntersuchungen vermeiden …"
Ohne Begründung lächerlich. Viele Untersuchungen wird der Arzt trotzdem erneut machen lassen (Blut, Bildgebung), sofern nicht wirklich aktuell. Dafür können sich Befunde viel zu schnell verändert haben.
Das Problem ist eher gegensätzlich. Viele Untersuchungen werden von der Kasse nur alle x Jahre bezahlt, z.B. Blut. Es sei denn, der Patient bricht auf dem Tisch schon fast zusammen.
Der Schutz vor Doppeluntersuchungen trifft wohl nur auf Patienten zu, die ständig den Arzt wechseln und die Befunde sofort wegschmeißen. Ansonsten greift dieser Schutz wieder nicht.
Zitat :" Doppeluntersuchungen vermeiden …"
Genau diese Doppeluntersuchungen schützen aber in gewissem Maße vor Fehldiagnosen.
Im Bekanntenkreis so vorgekommen:
Hausarzt überweist zum Facharzt.
Facharzt macht Untersuchungen und Röntgenbilder, die Diagnose ist aber, das da nichts Gravierendes ist.
2 Jahre später dann wegen massiver Gesundheitsverschlechterung in eine Fachklinik eingewiesen. Dort die 2 Jahre alten Röntgenbilder gezeigt und der Facharzt der Klinik sagte: Ja, da ist das schon sehr deutlich zu sehen!
Fazit: 3 Monate später war der Bekannte wegen eben dieser Krankheit tot.
Wäre die Diagnose beim ersten Mal richtig gewesen, hätte man gleich Maßnahmen einleiten können, die das Leben des Bekannten um 5-10 Jahre verlängert hätten.
Was wäre mit der ePA passiert?
Der Klinikarzt hätte wohl keine neuen Untersuchungen angestellt und dann wäre die Fehldiagnose nicht ans Licht gekommen.
Man hört auch immer wieder von Fällen, bei denen die Patienten zu 5-6 Ärzten laufen und erst der letzte Arzt stellt dann die richtige Diagnose.
Mit der ePA würden die sich alle auf die erste Diagnose verlassen.
Bein Lesen des Heise-Artikels überkam mich eher das Gefühl, sie wissen nicht, was sie tun!
Etliche Sicherheitslücken, im Konzept! Und Bedenken würden einfach weggewischt!
Noch habe ich nicht widersprochen, aber ich tendiere immer mehr dazu!
Ich möchte einfach nicht, dass Hinz und Kunz über meinen Gesundheitszustand Bescheid wissen!
Wo ein Futtertrog steht, kommen die Schweine von alleine!
Grundsätzlich stehe ich der Idee einer ePA ja nicht negativ entgegen, aber so wie das z.Z. umgesetzt werden soll, ist es einfach nur Scheiße und die negativen Auswirkungen, die es haben kann und haben wird,
kann sich z.Z. noch niemand so richtig vorstellen oder werden einfach bei Seite gewischt!
"Schwer erkrankt? Brauchst aber einen Kredit! Bekommste aber keinen!"
"Vorerkrankungen? Suchste neuen Job? Ne, Sie wollen wir nicht!"
Und da gibt es Dinge, die fallen mir nicht mal im Traum ein!
Sie wissen genau, was sie tun. Sie machen Dich abhängig von Dingen wie ePA, eID und digitale Abos für Mobilität, nur noch bargeldlose Zahlung, nur noch digitale Dienste überall usw. und wenn Du z.B. politisch zu aufmüpfig wirst, wird Dir der Zugang zu all diesen Dingen auf wunderliche Weise gesperrt…
Tatsächlich glaube ich nicht, dass die heute Beteiligten das im Sinn haben.
Aber sie verweigern die praktisch gesicherte Annahme, dass da andere nachkommen werden, die sehr wohl wissen, wie man solche Werkzeuge zur Repression nutzt.
Und sie bereiten denen aus Gedankenlosigkeit und Unverständnis den Weg.
so schaut es aus… die Idee grandios, die Umsetzung einfach komplett daneben.
Liegt aber eher daran das es gar nicht um das Patientenwohl geht, das wird nur vorgeschoben damit ja alle mitmachen. Tatsächlich geht es daraum den Datenschatz für die Forschung/Firmen abzugreifen! Das wird dann sichtbar wenn mal mal tiefer gräbt wer da alles Beteiligt ist und in welcher Beziehung die stehen.
Leider ist die Masse bereits zu verdummt um das zu begreifen. Hier geht es um Millionengeschäfte.
Deswegen nein Danke!
Gematik ist anscheinend wie der "gefräßige Plapperkäfer von Traal".
"Ein zum Verrücktwerden dämliches Vieh, es nimmt an, wenn du es nicht siehst, kann es dich auch nicht sehen – bescheuert wie eine Bürste, aber sehr, sehr gefräßig". (Per Anhalter durch die Galaxis)
Oh, nicht meine Aufgabenhoheit? Geil! Dann existiert das Problem für uns nicht. Scheiß auf Patienten und deren Daten.
Ich hol' schon mal ein Handtuch…
Ich sehe notwendige Zitats-Korektur: Bei Günter [Quelle nicht direkt gefunden]
Zizat aus PDF Sicherheitsanalyse Fraunhofer, Version 4. [Kap.2, S.13, Abs.2]
Der Innentäter wird einfach wegdefiniert und schon passt's!
Täter werden eh überbewertet :-) Mir geht es jedoch nicht nur um diese einen Aspekt – sondern um die "Marschrichtung". Von fertig, ordnungsgemäß oder sicher nach definiertem Schutznievau kann mE bei ePA noch gar keine Rede sein. Sonst gäbe es diese Feststellungen nicht. Notfallpläne, unangemessene Reaktionszeit >=72h in heutiger IT oder Sicherheitsprozesse – es gibt zig Defizite.
naja eine 72h Reaktionszeit ist doch gar nicht mal schlecht… sorry schauen wir uns die aktuelle Lage mal an dann sind Firmen/Verwaltungen noch wochen,montaelang nach einem Vorfall handlungsunfähig, da wären 72h ja richtig gut!
Manche Vorfälle bleiben gar monatelang im Dunkeln.