Anfang Januar 2018 wurde öffentlich, dass die meisten derzeit benutzten Prozessoren in Rechnern eine schwerwiegende Sicherheitslücke haben. Sie ermöglicht es, für jemanden, der Zugang zu einem Rechner hat, dort auch Daten abzugreifen, die er eigentlich nicht sehen darf. Besondere Rechte, wie Administrator-Rechte, sind dazu nicht erforderlich.

Es ist nämlich möglich, die Isolation, die die Speicherbereiche verschiedener Anwendungen auf einem Rechner voneinander trennt, zu umgehen. Dadurch könnte zum Beispiel ein Praxis-Mitarbeiter auf dem Rechner einer Ärztin eine Software starten, die regelmäßig Patientendaten aus ihrer Arzt-Software kopiert, auf die er keinen Zugriff hat, und sie unbemerkt irgendwo anders hin schreibt oder hin schickt. Oder: auf einem Server, über den zehntausende von Arzt-Abrechnungen laufen, kann ein Mitarbeiter des Rechenzentrums eine Anwendung starten, die diese Abrechnungen speichert, und sie an Pharma-Firmen verkaufen.

Diese Umgehung der Isolation von Speicherbereichen funktioniert durch planmässige Nutzung der „Ausführung ausser der Reihe“ („out of order execution“), die in allen modernen Prozessoren implementiert ist, um sie zu beschleunigen. Dabei werden Kommandos im Prozessor schon ausgeführt, bevor feststeht, ob und wozu das nötig ist. Dadurch konnte man auf Speicherbereiche zugreifen, bevor die Prüfung, ob man das darf, dagegen einschreiten konnte. Es ist nicht bekannt, ob das schon jemand genutzt hat, bevor es veröffentlicht wurde. Durch Software-Systemänderung kann das zukünftig unterbunden werden.

Es ist leicht zu verstehen, dass die Hälfte der Mitglieder von „Patientenrechte und Datenschutz e.V.“ Programmierer sind. Wir wissen, Computer sind unsicher. Deshalb ist es uns zu gefährlich, mehr als ein paar tausend Patientenakten auf demselben Rechner zu haben. Weil ansonsten der finanzielle Anreiz, sich diese Daten mit irgendwelchen Manipulationen zu holen, in die hunderttausende EUR steigt. Dass solche Manipulationen verhindert werden können, kann man keinem von uns erzählen.

Meltdown und Spectre sind ein weiterer Beweis dafür.

Spectre und Meltdown – was beweist das für die Unsicherheit unserer Gesundheitsdaten weiterlesen →

Wie Versicherte berichteten behaupten einzelne Arztpraxen, dass PatientInnen ab 2018 nur noch mit eGK behandelt werden können, weil dann das digitale Versicherten-Stammdatenmanagement Plicht sei.

Hier ist zu unterscheiden zwischen technischer und rechtlicher Situation:
Korrekt ist, dass das digitale Versichertenstammdatenmanagement nur mit funktionstüchtiger eGK möglich ist. Allerdings muss dazu auch die Arztpraxis nötige Technik besitzen. Die meisten Komponenten dafür müssen allerdings erst noch zertifiziert werden.
Falsch ist, dass Patienten ohne eGK nicht mehr behandelt werden dürfen oder dass deren Behandlung nicht mehr mit der Krankenkasse abgerechnet werden kann. In der Software auf den Praxiscomputern wird diese Möglichkeit auch künftig vorhanden sein – auch weil § 15 SGB V, Absatz 6 Ausnahmefälle regelt, in denen weiterhin das Ersatzverfahren angewendet wird.

Die rechtliche Situation ist im Vergleich zum Vorjahr unverändert: Ärzte können andere Versicherungsnachweise als die eGK (z.B. papiergebundene Ersatzbescheinigung) akzeptieren und so auch Patienten ohne eGK behandeln. Wenn sie das tun, wird die Krankenkasse die Behandlung auch bezahlen. Auch 2018 ohne eGK zum Arzt – es ist weiterhin möglich weiterlesen →