In Großbritannien sind Details aus einem Vertrag zwischen Amazon und dem nationalen Gesundheitsdienst NHS bekannt geworden. Der US-Riese hat wertvolle (wenn auch nicht personenbezogene) Daten vom NHS erhalten, mit dem das Unternehmen nun an der automatisierten Diagnosefähigkeit seiner Sprachassistentin Alexa arbeiten kann. Der NHS hat dafür keinerlei Gegenleistung erhalten [The Sunday Times, 8. Dez.] – und das ist nicht sein erster Patzer bei Vertragsverhandlungen. 2015 übergab der staatliche Gesundheitsdienst bereits Daten von 1,6 Millionen Patient*innen an Googles Tochterunternehmen DeepMind. Dort dienten sie der Entwicklung einer App, die Ärzt*innen über den Gesundheitszustand ihrer Patient*innen alarmiert [The Telegraph, 3. Juli 2017]. Großbritannen: „Alexa, ruf den Krankenwagen!“ weiterlesen
Endspurt! Unterzeichnen sie die Bundestagspetition „Keine zentrale Datenspeicherung sämtlicher Patientendaten“ bis spätestens 16. Januar
Anfang September 2019 veröffentlichte eine Gruppe von bayrischen Ärzt*innen und Psychotherapeut*innen eine Petition an den Bundestag mit der Forderung „Keine zentrale Datenspeicherung sämtlicher Patientendaten/Anschluss von Arzt- und Psychotherapiepraxen an die Telematik-Infrastruktur (TI) nur auf freiwilliger Basis“.
Mitte Dezember wurde die Petition auf der Homepage des Bundestags veröffentlicht. Sie kann noch bis incl. 16.01.2020 online unterzeichnet werden kann. Alternativ besteht auch noch immer die Möglichkeit, diese Petition in Papierform zu unterzeichnen. Die dazu notwendigen Unterlagen finden Sie hier und hier. Endspurt! Unterzeichnen sie die Bundestagspetition „Keine zentrale Datenspeicherung sämtlicher Patientendaten“ bis spätestens 16. Januar weiterlesen
Hessischer Hausärzteverband: BMG und gematik müssen volle Verantwortung übernehmen für Sicherheitsmängel der Telematikinfrastruktur
„Die Sicherheitsmängel der Telematikinfrastruktur sind nicht hinnehmbar“, sagt Armin Beck, Vorsitzender des Hessischen Hausärzteverbandes. „Versuche, die Verantwortung des Bundesministerium für Gesundheit (BMG) und der gematik auf die Ärzte abzuschieben weisen wir zurück.“ Unter Verweis auf die beim CCC-Kongress Ende Dezember 2019 aufgedeckten Mängel und Schwachstellen im Zugang zur Telematik-Infrastruktur erklärt der Vorsitzende des Hessischen Hausärzteverbands weiter: „Strafen für die Verweigerer, die die eigenen Praxen nicht an die Telematikinfrastruktur anschließen wollen, sollten nach Aufdeckung der gravierenden Sicherheitsmängel nicht weiter erhoben werden“. Hessischer Hausärzteverband: BMG und gematik müssen volle Verantwortung übernehmen für Sicherheitsmängel der Telematikinfrastruktur weiterlesen
Fallstricke und Risiken des Anschlusses von Arztpraxen an die Telematik-Infrastruktur
- ‘Telematik-Infrastruktur”
- “Konnektor”
- “paralleler Anschluss”
- “serieller Anschluss” –
– das sind Begriffe, die man als Ärzt*in und Psychotherapeut*in mittlerweile zwar kennt, aber nicht oder nicht in vollem Umfang versteht.
Auf der Homepage des hessischen Hausärzteverbands wurde dazu ein Beitrag des Wiesbadener Hausarztes Christian Sommerbrodt veröffentlicht, der sich mit den Fallstricken und Risiken des Anschlusses von Arztpraxen an die Telematik-Infrastruktur beschäftigt. Obwohl der Beitrag bereits am 26.05.2019 veröffentlicht wurde ist er immer noch aktuell und informiert Ärzt*innen und Psychotherapeut*innen, die keine IT-Spezialist*innen sind (vermutlich die weit überwiegende Mehrzahl), in auch für technische Laien verständlicher Sprache über den Anschluss eines Konnektor im IT-System einer Arztpraxis und die Folgen, die daraus entstehen (können).
CCC diagnostiziert Schwachstellen im deutschen Gesundheitsnetzwerk
Hackern des Chaos Computer Club ist es gelungen, sich Zugangsberechtigungen für das sogenannte Telematik-Netzwerk zu verschaffen. An das Netz sind über 115.000 Praxen angeschlossen. Über das System sollen in naher Zukunft verpflichtend digitale Patientendaten und elektronische Rezepte ausgetauscht werden.
CCC-Sicherheitsforschern ist es gelungen, sich gültige Heilberufsausweise, Praxisausweise, Konnektorkarten und Gesundheitskarten auf die Identitäten Dritter zu verschaffen. Mit diesen Identitäten konnten sie anschließend auf Anwendungen der Telematik-Infrastruktur und Gesundheitsdaten von Versicherten zugreifen. Die Hacker stellten grobe Mängel in den Zugangsprozessen fest, und demonstrieren mit Beispielangriffen, wie sich Kriminelle Identitäten erschleichen können. Im Falle der eGK gelang dies bereits zum wiederholten Male.
Die Diagnose
- Bei Ausgabe der Praxisausweise (SMC B) wurde auf eine Identifikation des Antragstellers vollständig verzichtet. Ein Angreifer kann so Befunde lesen und selbst gefälschte Dokumente in Umlauf bringen. Mit Einführung der elektronischen Patientenakte kann der Angreifer die vollständigen Inhalte der für diese Praxis freigegebenen Patientenakten einsehen.
- Bei Ausgabe der elektronischen Heilberufsausweise (HBA) kommen völlig ungeeignete Identifikationsverfahren zum Einsatz. Angreifer im Besitz eines eHBA können damit nicht nur Rezepte, sondern beliebige Dokumente signieren.
- Bei Ausgabe der elektronischen Gesundheitskarte (eGK) kommen für die Identifikation des Antragstellers ebenfalls völlig ungeeignete Verfahren zum Einsatz. Mit der eGK ist schon jetzt der Zugriff auf die jeweiligen Patientenquittungen möglich, in der die durchgeführten ärztlichen Leistungen verzeichnet sind. Schon in naher Zukunft soll mit Hilfe der eGK ein Zugriff auf den elektronischen Medikationsplan und den Notfalldatensatz sowie die elektronische Patientenakte ermöglicht werden.
Die Ergebnisse präsentiert der CCC-Sicherheitsexperte Martin Tschirsich zusammen mit dem Arzt Christian Brodowski und dem Experten für Identitätsmanagement André Zilch beim diesjährigen Chaos Communication Congress (36C3) in Leipzig. Der Vortrag ist unter media.ccc.de verfügbar.
Die Ursachen
- Das Konstrukt der gematik: Die Gesellschafter der gematik sind gleichzeitig von der gematik zu kontrollierenden Unternehmen.
- Nachlässigkeit: Vernachlässigung der Sicherheit organisatorischer Abläufe bei Umsetzung und Zulassung.
- Mangelnde Prüfung: Relevante Prozessschritte wurden nicht durch die gematik geprüft.
- Verantwortungsdiffusion bei den beteiligten Unternehmen und Institutionen: Nicht nur im Bundesministerium für Gesundheit sprach man hinter vorgehaltener Hand von “organisierter Verantwortungslosigkeit”, weil die beteiligten Unternehmen sich gegenseitig die Schuld für Probleme zuschoben.
Der CCC verschreibt
- Schadensbegrenzung: Die gematik muss jetzt prüfen, inwieweit unberechtigte Zulassungen entzogen und falsch ausgestellte Zertifikate zurückgenommen werden müssen.
- Zuverlässige Kartenbeantragungs- und herausgabeprozesse: Beantragung, Identifikation und Ausgabe müssen entsprechend dem Schutzbedarf von Gesundheits- und Sozialdaten durchgeführt werden.
- Volle Umsetzung der eGK als Identitätsnachweis.
- Neuplanung und saubere Implementierung der Prozesse die zur Ausstellung von eGK, HBA und SMC-B führen sowie Kontrolle der Umsetzung.
- Organisierte Verantwortung statt organisierter Verantwortungslosigkeit: Eine unabhängige zentrale Stelle sollte für die Informationssicherheit der Telematikinfrastruktur verantwortlich sein. Diese Stelle sollte Prozesse nicht nur vorgeben, sondern auch ihre ordnungsgemäße Umsetzung unabhängig prüfen.
Wir wünschen dem deutschen Gesundheitswesen eine schnelle Genesung!
Quelle: Chaos Computer Club, 27.12.2019
Und die @gematik1 “wünscht Ihnen… ein glückliches, gesundes und erfolgreiches neues Jahr!”
Da freuen wir uns aber – und das ganz dolle!
IT-Sicherheitsanalyst Martin Tschirsich im Interview zu Gesundheits-Apps und elektronischer Patientenakte: „Sicherheitslücken finden sich eigentlich auf allen Ebenen“
Martin Tschirsich hat auf 35. CCC-Kongress im Dezember 2018 in einen Vortrag unter dem Titel „All Your Gesundheitsakten Are Belong To Us“ aufgezeigt, wie leicht angreifbar Gesundheits-Apps und andere digitale Dienste sind. In einem lesenswerten Interview mit dem Internet-Magazin MedWatch beantwortete er im Oktober 2019 Fragen zu Datenschutz bei Gesundheits-Apps und Datensicherheit bei den Digitalisierungs-Plänen von Bundesgesundheitsminister Jens Spahn (CDU).
Bundesverband der Deutschen Industrie (BDI) fordert unentgeltliche „Datenspende“ von Patient*innen
Das Handelsblatt meldet am 23.12.2019: „Die Datenspende muss ein Bestandteil des zweiten Digitale-Versorgung-Gesetzes sein, welches das Bundesgesundheitsministerium Anfang 2020 vorlegen will. Ähnlich der Blut- oder Organspende ließen sich durch eine Datenspende eine Vielzahl von Menschenleben retten“, erklärte Iris Plöger, Mitglied der Hauptgeschäftsführung des Bundesverbands der Deutschen Industrie (BDI).
„Mit der Möglichkeit der Spende könnten Patienten freiwillig und unentgeltlich ihre Daten der Forschung zur Verfügung stellen, damit anhand eines Datenpools neue Medikamente entwickelt oder Künstliche Intelligenzen (KI) trainiert werden könnten“ zitier das Handelsblatt aus „Digital Patient Journey Oncology“, einer bisher öffentlich nicht zugänglichen Stellungnahme des BDI.
Schöner kann man es nicht formulieren: Die Patient*innen als Melkkühe der Pharma- und der IT-Gesundheitsindustrie. Danke der Nachfrage; Nein!
Diagnose: informationell erkrankt
Erweiterter Gesundheitsbegriff macht informationelle Verletzungen anschaulich
Dr. Stefan Streit, Hausarzt aus Köln, schlägt vor, das etablierte bio-psycho-soziale Krankheitsmodell um informationelle Erkrankungen zu ergänzen. Dieses erweiterte Krankheits- bzw. Gesundheitsverständnis basiert auf folgendem Grundgedanken: Gesundheitsinformationen sind derart untrennbar mit der Person verbunden, dass sie als Persönlichkeitsanteil und ihre Unversehrtheit als Teil der Gesundheit begriffen werden sollten. Oder wie Streit (in einem Kurzvortrag beim Jahreskongress des Chaos Computer Clubs 2018) formulierte: “Wenn das, was andere über mich wissen, mich beschädigt, dann bin ich informationell erkrankt.” Diagnose: informationell erkrankt weiterlesen
Londoner Apotheke nach “unvorsichtiger” Speicherung von Patientendaten zu einem Bußgeld von 322.000 € verurteilt
Der Information Commissioner (IC), der behördliche Datenschutzbeauftragte in Großbritannien, veröffentlichte am 20.12.2019 diese Nachricht:
„Das Information Commissioner’s Office (ICO) hat eine in London ansässige Apotheke mit einer Geldstrafe von £ 275.000 [322.721 €] belegt, weil sie es versäumt hat, die Sicherheit von Daten spezieller Kategorien zu gewährleisten. Die Doorstep Dispensaree Ltd, die Medikamente an Kunden und Pflegeheime liefert, hat rund 500.000 Dokumente in unverschlossenen Behältern auf der Rückseite ihres Betriebsgeländes… hinterlassen. Die Dokumente enthielten Namen, Adressen, Geburtsdaten, NHS-Nummern, medizinische Informationen und Rezepte, die einer unbekannten Anzahl von Personen gehörten. Londoner Apotheke nach “unvorsichtiger” Speicherung von Patientendaten zu einem Bußgeld von 322.000 € verurteilt weiterlesen
Unterzeichnen Sie die Bundestagspetition “Gesundheitsdaten in Gefahr”! Veröffentlicht auf der Homepage des Bundestags
Am 19.12.2019 wurde die Bundestagspetition „Gesundheitsdaten in Gefahr“ freigeschaltet. Unter diesem Link kann die Petition nun bis incl. 16.01.2020 online gezeichnet werden. Ziel ist es, neben den rund 38.000 Unterschriften, die bisher in Papierform vorliegen, noch mindestens 12.000 weitere Unterzeichner*innen der Petition zu gewinnen. Denn mit mehr als 50.000 Unterstützer*innen eröffnet sich die Möglichkeit, dass die Verfasser*innen der Petition in einer öffentlichen Sitzung des Petitionsausschusses zu Wort kommen und den Bundestagsabgeordneten ihre Kritik an der Telematik-Infrastruktur vortragen können. Unterzeichnen Sie die Bundestagspetition “Gesundheitsdaten in Gefahr”! Veröffentlicht auf der Homepage des Bundestags weiterlesen