Angesichts neuer Sicherheitslücken in deutschen Arztpraxen fordert die Kassenzahnärztliche Vereinigung Bayerns (KZVB), die elektronische Patientenakte (ePA) nicht wie geplant zum 01.01.2021 einzuführen. In einer Pressemitteilung vom 13.02.2020 erklärt die KZVB: „…Mithilfe einer speziellen, aber offen im Netz verfügbaren Suchmaschine können Sicherheitslücken von ans Internet angebundenen Praxisrechnern ohne großen Aufwand entdeckt werden. Für Profis seien die Passwörter der Praxen leicht zu knacken. Der Handel mit Patientendaten sei längst zu einem lukrativen Markt geworden. Bis zu 2000 Euro würden für eine Patientenakte angeboten. ‚Dieses Beispiel zeigt, dass die IT-Infrastruktur in vielen deutschen Arzt- und Zahnarztpraxen noch nicht ausreichend gegen Hackerangriffe geschützt ist. Das wird auch am 1. Januar 2021 nicht der Fall sein. Es ist deshalb nicht zu verantworten, die Daten von über 70 Millionen gesetzlich versicherten Patienten ab diesem Zeitpunkt zentral zu speichern. Etwas Besseres kann der Hacker-Branche gar nicht passieren‘, so Dr. Manfred Kinner, der innerhalb des Vorstands der KZVB für den Bereich Telematik zuständig ist… ‚Die TI ist im Moment so löchrig wie ein Schweizer Käse. Die Praxen brauchen mehr Zeit, um ihre IT an den Stand der Technik anzupassen. Hier muss der Grundsatz ‚Sicherheit vor Schnelligkeit‘ gelten. Die ePA hat im zahnärztlichen Bereich zudem kaum Vorteile und birgt viele Risiken in sich. Der ehrgeizige Bundesgesundheitsminister Jens Spahn sollte endlich einsehen, dass sein Prestigeprojekt technisch unausgereift ist und die Notbremse ziehen‘, so Kinner.“
Schlagwort-Archive: ePA
“Patientendatenschutz”-Gesetz (Entwurf) von Bundesgesundheitsminister Jens Spahn – hier zum nachlesen und bewerten
Der Referentenentwurf des Bundesministeriums für Gesundheit für ein “Gesetz zum Schutz elektronischer Patientendaten in der Telematikinfrastruktur (Patientendaten-Schutzgesetz – PDSG)” wird seit 48 Stunden in den Medien besprochen und von einschlägigen Lobbyisten aus der IT-Gesundheitsindustrie über der grünen Klee gelobt. Sie sind von Bundesgesundheitsminister Jens Spahn (CDU) informiert worden. Die davon betroffenen, das gemeine Volk – immerhin 70 Mio. gesetzlich versicherte Menschen in Deutschland – wurden vom Minister nicht über seine Pläne unterrichtet.
Aber inzwischen ist der Gesetzentwurf für alle interessierten Menschen zugänglich: Hier.
- Lesen Sie selbst, was Jens Spahn mit Ihnen und Ihren Gesundheits- und Behandlungsdaten vorhat!
- Bilden Sie sich eine eigene Meinung!
- Und geben Sie diese kund! – z. B. durch einen Kommentar auf dieser Homepage.
“Meine Praxis bleibt bis auf weiteres TI-frei“
Unter dieser Überschrift begründet Dr. med. Ewald Proll, Arzt für Psychiatrie / Psychotherapie aus Wuppertal auf seiner Homepage polemisch, gründlich und gut, warum er sich weigert, seine Praxis an die Telematik-Infrastruktur der gematik anzuschließen.Einige Auszüge:
„TI heißt ‚Telematik-Infrastruktur‘. Auf der Homepage der gematik steht: … ‚Die Telematikinfrastruktur vernetzt alle Akteure und Institutionen des Gesundheitswesens miteinander und ermöglicht dadurch einen organisationsübergreifenden Datenaustausch innerhalb des Gesundheitswesens.‘ Klingt verlockend. Vorläufig schließe ích meine Praxis trotzdem nicht an dieses System an – auch wenn wenn ich damit gegen das Gesetz verstoße. Dafür werde ich nach §291 SGB 5 Abs. 2b mit Honorarabzug bestraft: ich kann nämlich ohne Anschluss keinen Versichertenstammdatenabgleich machen.
Warum werde ich zum Gesetzesbrecher? “Meine Praxis bleibt bis auf weiteres TI-frei“ weiterlesen
Nachahmenswert! Wartezimmer-Info zu Telematik-Infrastruktur und elektronischer Patientenakte
Wilfried Deiß, Facharzt für Innere Medizin und Hausarzt in Siegen, seit vielen Jahren engagiert in der Auseinandersetzung um die Digitalisierung im Gesundheitswesen, hat sich im Januar 2020 mit einer Stellungnahme zum Thema Telematik-Infrastruktur und Nurtzung einer elektronischen Patientenakte an die Patient*innen in seiner Praxis gewandt und diese Information auch auf seiner Homepage für alle interessierten Versicherten veröffentlicht. Nachstehend einige Auszüge:
- „Mittlerweile hat fast jeder gesetzlich versicherte Patient die eGK=Elektronische Gesundheitskarte. Aber nur eine Minderheit weiß: die eGK ist nicht nur die Bestätigung für die bestehende Krankenversicherung, sondern vor allem der SCHLÜSSEL zum DERZEIT WELTWEIT GRÖSSTEN IT-VERNETZUNGSPROJEKT WELTWEIT. Das Netzwerkprojekt heisst TELEMATIK-INFRASTRUKTUR. Diesen Begriff kennt kaum ein Patient, obwohl jeder betroffen ist. Dieses Projekt dient nicht nur der ‚Verbesserung der Kommunikation‘, sondern vor allem der dauerhaften Speicherung von Patientendaten und zur Weiterverarbeitung und Verwendung dieser Daten. Diese „Daten“ sind anders als alle anderen: es handelt sich nämlich um IHRE PERSÖNLICHE KRANKENAKTE, die bisher nur bei Ärzten gespeichert und unter dem Schutz des ARZTGEHEIMNISSES AUFBEWAHRT wird…“
“Stoppt die e-Card!” – Unterstützergruppe Rhein Main: Einladung zum nächstes Treffen am 12. Februar um 19.00 Uhr in Frankfurt
Die “Stoppt die e-Card!” – Unterstützergruppe Rhein Main lädt ein zu ihrem nächsten Treffen am Mittwoch den 12.02.2020 um 19.00 Uhr in den Räumen des Entwicklungspolitischen Netzwerk Hessen e. V. (EPN), Vilbeler Str. 36, 60313 Frankfurt (4. Stock – Aufzug vorhanden). Der Veranstaltungsort ist von den S- und U-Bahn-Station Konstablerwache fußläufig erreichbar.
- Sowohl der von Bundesgesundheitsminister Jens Spahn (CDU) unbeirrte weiter getriebene Digitalisierungs-Hype, der einerseits weitere und verschärfte Sanktionen gegen Ärzt*innen und Psychotherapeut*innen vorsieht, die die Anbindung ihrer Praxen an die Telematik-Infrastruktur ablehnen und andererseits den Schutz von Gesundheits- und Behandlungsdaten aufweichen soll bieten ausreichend Stoff zur Diskussion.
- Die mangelnde Sicherheit der Telematik-Infrastruktur wurde beim CCC-Kongress Ende 2019 erneut schlaglichtartig deutlich und wirft Fragen auf.
- Datenschutz und IT-Sicherheit im Gesundheitswesen ist Titel einer Anfrage der FDP-Bundestagsfraktion. Die Antwort der Bundesregierung gibt Einblicke in die „Baustelle TI“ und deren Mängel.
- Die Bundestagspetition „Keine zentrale Datenspeicherung sämtlicher Patientendaten / Anschluss von Arzt– und Psychotherapiepraxen an die Telematik-Infrastruktur (TI) nur auf freiwilliger Basis“ kann noch bis 16.01.2020 online unterzeichnet werden. Wie viele Menschen sie unterstützen, wird Aufschluss darüber geben, wie die TI-kritische Bewegung derzeit bundesweit aufgestellt ist.
Plattitüden und Ablenkungsmanöver: Der Geschäftsführer der gematik im Interview
Dr. Markus Leyck Dieken ist seit Juli 2019 Geschäftsführer der gematik GmbH. Im Dezember hat er der Zeitschrift Operation Gesundheitswesen ein Interview gegeben. Sowohl die Fragesteller*innen als auch der Interviewte vermeiden es darin, Themen anzusprechen, auf die die gematik nicht eingehen möchte; z. B.
- die Stellungnahme der Datenschutz-Aufsichtsbehörden vom April 2019 zur datenschutzrechtlichen Mitverantwortung der gematik für die Telematik-Infrastruktur oder
- die Notwendigkeit einer Datenschutzfolgenabschätzung für die Telematik-Infrastruktur.
Stattdessen Plattitüden und Ablenkungsmanöver. Plattitüden und Ablenkungsmanöver: Der Geschäftsführer der gematik im Interview weiterlesen
Datenschutz und IT-Sicherheit im Gesundheitswesen – eine Anfrage der FDP-Bundestagsfraktion und die Antwort der Bundesregierung
Am 19.11.2019 stellte die FDP-Bundestagsfraktion unter Federführung des leider wenige Tage danach verstorbenen MdB Jimmy Schulz eine Anfrage an die Bundesregierung. Die Antwort der Bundesregierung auf diese Anfrage hat es in sich.
Die „Vorbemerkung der Bundesregierung“ zu dieser Anfrage spiegelt das Prinzip Hoffnung wider: „Die Telematikinfrastruktur ist das sichere digitale Netz des Gesundheitswesens, in dem sensible Gesundheitsdaten sicher, verschlüsselt, einrichtungs- und sektorenübergreifend in Anwendungen der Telematikinfrastruktur gespeichert sowie zwischen bekannten Kommunikationspartnern ausgetauscht werden können. Wesentliche Kernanwendung der Telematikinfrastruktur zur Unterstützung der medizinischen Versorgung der Versicherten ist die elektronische Patientenakte.Datenschutz und Datensicherheit waren und sind zentrale Anforderungen an die Telematikinfrastruktur und die elektronische Patientenakte; der höchstmögliche Schutz der Gesundheitsdaten steht dabei im Mittelpunkt. Die dafür notwendigen technischen und organisatorischen Maßnahmen werden dabei dem Stand der Technik, aktuellen Bedrohungen sowie unter Berücksichtigung der Ergebnisse der Sicherheitsüberprüfungen angepasst.“ Schon wenige Tage später wurden beim CCC-Kongress in Leipzig deutlich, dass es doch nicht so weit her ist mit den „technischen und organisatorischen Maßnahmen“ zur Sicherung der TI vor unberechtigten Zugriffen.
Aber richtig spannend sind die Antworten auf die insgesamt 29 Fragen der FDP-Fraktion. Eine Auswahl: Datenschutz und IT-Sicherheit im Gesundheitswesen – eine Anfrage der FDP-Bundestagsfraktion und die Antwort der Bundesregierung weiterlesen
CCC diagnostiziert Schwachstellen im deutschen Gesundheitsnetzwerk
Hackern des Chaos Computer Club ist es gelungen, sich Zugangsberechtigungen für das sogenannte Telematik-Netzwerk zu verschaffen. An das Netz sind über 115.000 Praxen angeschlossen. Über das System sollen in naher Zukunft verpflichtend digitale Patientendaten und elektronische Rezepte ausgetauscht werden.
CCC-Sicherheitsforschern ist es gelungen, sich gültige Heilberufsausweise, Praxisausweise, Konnektorkarten und Gesundheitskarten auf die Identitäten Dritter zu verschaffen. Mit diesen Identitäten konnten sie anschließend auf Anwendungen der Telematik-Infrastruktur und Gesundheitsdaten von Versicherten zugreifen. Die Hacker stellten grobe Mängel in den Zugangsprozessen fest, und demonstrieren mit Beispielangriffen, wie sich Kriminelle Identitäten erschleichen können. Im Falle der eGK gelang dies bereits zum wiederholten Male.
Die Diagnose
- Bei Ausgabe der Praxisausweise (SMC B) wurde auf eine Identifikation des Antragstellers vollständig verzichtet. Ein Angreifer kann so Befunde lesen und selbst gefälschte Dokumente in Umlauf bringen. Mit Einführung der elektronischen Patientenakte kann der Angreifer die vollständigen Inhalte der für diese Praxis freigegebenen Patientenakten einsehen.
- Bei Ausgabe der elektronischen Heilberufsausweise (HBA) kommen völlig ungeeignete Identifikationsverfahren zum Einsatz. Angreifer im Besitz eines eHBA können damit nicht nur Rezepte, sondern beliebige Dokumente signieren.
- Bei Ausgabe der elektronischen Gesundheitskarte (eGK) kommen für die Identifikation des Antragstellers ebenfalls völlig ungeeignete Verfahren zum Einsatz. Mit der eGK ist schon jetzt der Zugriff auf die jeweiligen Patientenquittungen möglich, in der die durchgeführten ärztlichen Leistungen verzeichnet sind. Schon in naher Zukunft soll mit Hilfe der eGK ein Zugriff auf den elektronischen Medikationsplan und den Notfalldatensatz sowie die elektronische Patientenakte ermöglicht werden.
Die Ergebnisse präsentiert der CCC-Sicherheitsexperte Martin Tschirsich zusammen mit dem Arzt Christian Brodowski und dem Experten für Identitätsmanagement André Zilch beim diesjährigen Chaos Communication Congress (36C3) in Leipzig. Der Vortrag ist unter media.ccc.de verfügbar.
Die Ursachen
- Das Konstrukt der gematik: Die Gesellschafter der gematik sind gleichzeitig von der gematik zu kontrollierenden Unternehmen.
- Nachlässigkeit: Vernachlässigung der Sicherheit organisatorischer Abläufe bei Umsetzung und Zulassung.
- Mangelnde Prüfung: Relevante Prozessschritte wurden nicht durch die gematik geprüft.
- Verantwortungsdiffusion bei den beteiligten Unternehmen und Institutionen: Nicht nur im Bundesministerium für Gesundheit sprach man hinter vorgehaltener Hand von “organisierter Verantwortungslosigkeit”, weil die beteiligten Unternehmen sich gegenseitig die Schuld für Probleme zuschoben.
Der CCC verschreibt
- Schadensbegrenzung: Die gematik muss jetzt prüfen, inwieweit unberechtigte Zulassungen entzogen und falsch ausgestellte Zertifikate zurückgenommen werden müssen.
- Zuverlässige Kartenbeantragungs- und herausgabeprozesse: Beantragung, Identifikation und Ausgabe müssen entsprechend dem Schutzbedarf von Gesundheits- und Sozialdaten durchgeführt werden.
- Volle Umsetzung der eGK als Identitätsnachweis.
- Neuplanung und saubere Implementierung der Prozesse die zur Ausstellung von eGK, HBA und SMC-B führen sowie Kontrolle der Umsetzung.
- Organisierte Verantwortung statt organisierter Verantwortungslosigkeit: Eine unabhängige zentrale Stelle sollte für die Informationssicherheit der Telematikinfrastruktur verantwortlich sein. Diese Stelle sollte Prozesse nicht nur vorgeben, sondern auch ihre ordnungsgemäße Umsetzung unabhängig prüfen.
Wir wünschen dem deutschen Gesundheitswesen eine schnelle Genesung!
Quelle: Chaos Computer Club, 27.12.2019
Und die @gematik1 “wünscht Ihnen… ein glückliches, gesundes und erfolgreiches neues Jahr!”
Da freuen wir uns aber – und das ganz dolle!
IT-Sicherheitsanalyst Martin Tschirsich im Interview zu Gesundheits-Apps und elektronischer Patientenakte: „Sicherheitslücken finden sich eigentlich auf allen Ebenen“
Martin Tschirsich hat auf 35. CCC-Kongress im Dezember 2018 in einen Vortrag unter dem Titel „All Your Gesundheitsakten Are Belong To Us“ aufgezeigt, wie leicht angreifbar Gesundheits-Apps und andere digitale Dienste sind. In einem lesenswerten Interview mit dem Internet-Magazin MedWatch beantwortete er im Oktober 2019 Fragen zu Datenschutz bei Gesundheits-Apps und Datensicherheit bei den Digitalisierungs-Plänen von Bundesgesundheitsminister Jens Spahn (CDU).
“Stoppt die e-Card!” – Unterstützergruppe Rhein Main: Einladung zum nächstes Treffen am 11. Dezember um 19.00 Uhr in Frankfurt
Die “Stoppt die e-Card!” – Unterstützergruppe Rhein Main lädt ein zu ihrem nächsten Treffen am Mittwoch den 11.12.2019 um 19.00 Uhr in den Räumen des Entwicklungspolitischen Netzwerk Hessen e. V. (EPN), Vilbeler Str. 36, 60313 Frankfurt (4. Stock – Aufzug vorhanden). Der Veranstaltungsort ist von den S- und U-Bahn-Station Konstablerwache fußläufig erreichbar.
- Sowohl der von Bundesgesundheitsminister Jens Spahn (CDU) unbeirrte weiter getriebene Digitalisierungs-Hype, der einerseits weitere und verschärfte Sanktionen gegen Ärzt*innen und Psychotherapeut*innen vorsieht, die die Anbindung ihrer Praxen an die Telematik-Infrastruktur ablehnen und andererseits den Schutz von Gesundheits- und Behandlungsdaten aufweichen soll bieten ausreichend Stoff zur Diskussion.
- Mit dem Implantateregister-Errichtungsgesetz wurden am 26.09.2019 Regelungen getroffen, die das Grundrecht auf informationelle Selbstbestimmung bei Empfänger*innen von meldepflichtigen Implantaten in gröbster Weise außer Kraft gesetzt.
- Und mit dem Entwurf des Gesetzes für eine bessere Versorgung durch Digitalisierung und Innovation (Digitale Versorgung-Gesetz – DVG) – das am 07.11.2019 vom Bundestag beschlossen wurde – wird an mindestens drei Punkten der Schutz von Gesundheits- und Behandlungsdaten massiv gefährdet, wie die Digitale Gesellschaft e. V. in einer Stellungnahme nachgewiesen hat.