Es ist noch keine zwei Monate her, als der Chaos Computer Club während seines 36. Kongresses (36C3) Ende Dezember 2019 in Leipzig verkündete: „Hackern des Chaos Computer Club ist es gelungen, sich Zugangsberechtigungen für das sogenannte Telematik-Netzwerk zu verschaffen… CCC-Sicherheitsforschern ist es gelungen, sich gültige Heilberufsausweise, Praxisausweise, Konnektorkarten und Gesundheitskarten auf die Identitäten Dritter zu verschaffen. Mit diesen Identitäten konnten sie anschließend auf Anwendungen der Telematik-Infrastruktur und Gesundheitsdaten von Versicherten zugreifen. Die Hacker stellten grobe Mängel in den Zugangsprozessen fest, und demonstrieren mit Beispielangriffen, wie sich Kriminelle Identitäten erschleichen können…“ Dokumentiert und präsentiert wurde dies vom CCC-Sicherheitsexprten Martin Tschirsich zusammen mit dem Arzt Christian Brodowski und dem Experten für Identitätsmanagement André Zilch beim 36C3.
Angesichts neuer Sicherheitslücken in deutschen Arztpraxen fordert die Kassenzahnärztliche Vereinigung Bayerns (KZVB), die elektronische Patientenakte (ePA) nicht wie geplant zum 01.01.2021 einzuführen. In einer Pressemitteilung vom 13.02.2020 erklärt die KZVB: „…Mithilfe einer speziellen, aber offen im Netz verfügbaren Suchmaschine können Sicherheitslücken von ans Internet angebundenen Praxisrechnern ohne großen Aufwand entdeckt werden. Für Profis seien die Passwörter der Praxen leicht zu knacken. Der Handel mit Patientendaten sei längst zu einem lukrativen Markt geworden. Bis zu 2000 Euro würden für eine Patientenakte angeboten. ‚Dieses Beispiel zeigt, dass die IT-Infrastruktur in vielen deutschen Arzt- und Zahnarztpraxen noch nicht ausreichend gegen Hackerangriffe geschützt ist. Das wird auch am 1. Januar 2021 nicht der Fall sein. Es ist deshalb nicht zu verantworten, die Daten von über 70 Millionen gesetzlich versicherten Patienten ab diesem Zeitpunkt zentral zu speichern. Etwas Besseres kann der Hacker-Branche gar nicht passieren‘, so Dr. Manfred Kinner, der innerhalb des Vorstands der KZVB für den Bereich Telematik zuständig ist… ‚Die TI ist im Moment so löchrig wie ein Schweizer Käse. Die Praxen brauchen mehr Zeit, um ihre IT an den Stand der Technik anzupassen. Hier muss der Grundsatz ‚Sicherheit vor Schnelligkeit‘ gelten. Die ePA hat im zahnärztlichen Bereich zudem kaum Vorteile und birgt viele Risiken in sich. Der ehrgeizige Bundesgesundheitsminister Jens Spahn sollte endlich einsehen, dass sein Prestigeprojekt technisch unausgereift ist und die Notbremse ziehen‘, so Kinner.“
Beim 36. CCC-Kongress im Dezember 2019 wurden Schwachstellen und Sicherheitslücken beim Ausgabeprozess für verschiedene in der Telematikinfrastruktur (TI) genutzte Komponenten und Smartcards demonstriert. Es wurde deutlich, dass es für Unbefugte problemlos möglich war, einzelne Smartcards und Komponenten der TI durch die jeweiligen beteiligten Serviceprovider zu beziehen. Es gelang den CCC-Mitgliedern, sich u. a. unautorisiert einen elektronischen Heilberufeausweis und einen Praxis-Ausweis (SMC-B) zu bestellen. Auch ein Konnektor wurde den CCC-Mitgliedern unautorisiert ausgehändigt. Zusätzlich waren bei einem beauftragten Serviceprovider die Kartenanträge von 168 Ärztinnen und Ärzten zeitweise online zugänglich.Außerdem war es den Mitgliedern des CCC gelungen, unautorisiert eine elektronische Gesundheitskarte der AOK Hessen zu bestellen.
Bereits 2015 deckten Recherchen des ZDF Schwachstellen bei der Ausgabe der elektronischen Gesundheitskarte auf, nachlesbar in der Deutschen Apothekerzeitung vom 25.06.2015.
Am 25.01.2020 trafen sich in Kassel Vertreter*innen von mehr als 20 Verbänden und Initiativen, die sich – tw. schon seit einigen Jahren – mit den Risiken und Nebenwirkungen der elektronischen Gesundheitskarte, der Telematik-Infrastruktur (TI ) und der elektronischen Patientenakte auseinandersetzen.
In einer Pressemitteilung des Bündnisses werden folgende Ziele benannt:
„Schutz der Patientenrechte bezüglich Privatsphäre und Datenschutz in Einklang mit der EU-Menschenrechtskonvention,
Verteidigung des Grundrechts auf informationelle Selbstbestimmung,
Erhalt der Freiwilligkeit statt Zwang,
Verteidigung des jahrhundertealten ethischen Prinzips des Berufsgeheimnisses.“
Die “Stoppt die e-Card!” – Unterstützergruppe Rhein Main lädt ein zu ihrem nächsten Treffen am Mittwoch den 12.02.2020 um 19.00 Uhr in den Räumen des Entwicklungspolitischen Netzwerk Hessen e. V. (EPN), Vilbeler Str. 36, 60313 Frankfurt (4. Stock – Aufzug vorhanden). Der Veranstaltungsort ist von den S- und U-Bahn-Station Konstablerwache fußläufig erreichbar.
Sowohl der von Bundesgesundheitsminister Jens Spahn (CDU) unbeirrte weiter getriebene Digitalisierungs-Hype, der einerseits weitere und verschärfte Sanktionen gegen Ärzt*innen und Psychotherapeut*innen vorsieht, die die Anbindung ihrer Praxen an die Telematik-Infrastruktur ablehnen und andererseits den Schutz von Gesundheits- und Behandlungsdaten aufweichen soll bieten ausreichend Stoff zur Diskussion.
Datenschutz und IT-Sicherheit im Gesundheitswesen ist Titel einer Anfrage der FDP-Bundestagsfraktion. Die Antwort der Bundesregierung gibt Einblicke in die „Baustelle TI“ und deren Mängel.
Die Bundestagspetition „Keine zentrale Datenspeicherung sämtlicher Patientendaten / Anschluss von Arzt– und Psychotherapiepraxen an die Telematik-Infrastruktur (TI) nur auf freiwilliger Basis“ kann noch bis 16.01.2020 online unterzeichnet werden. Wie viele Menschen sie unterstützen, wird Aufschluss darüber geben, wie die TI-kritische Bewegung derzeit bundesweit aufgestellt ist.
Dr. Markus Leyck Dieken ist seit Juli 2019 Geschäftsführer der gematik GmbH. Im Dezember hat er der Zeitschrift Operation Gesundheitswesen ein Interview gegeben. Sowohl die Fragesteller*innen als auch der Interviewte vermeiden es darin, Themen anzusprechen, auf die die gematik nicht eingehen möchte; z. B.
Die „Vorbemerkung der Bundesregierung“ zu dieser Anfrage spiegelt das Prinzip Hoffnung wider: „Die Telematikinfrastruktur ist das sichere digitale Netz des Gesundheitswesens, in dem sensible Gesundheitsdaten sicher, verschlüsselt, einrichtungs- und sektorenübergreifend in Anwendungen der Telematikinfrastruktur gespeichert sowie zwischen bekannten Kommunikationspartnern ausgetauscht werden können. Wesentliche Kernanwendung der Telematikinfrastruktur zur Unterstützung der medizinischen Versorgung der Versicherten ist die elektronische Patientenakte.Datenschutz und Datensicherheit waren und sind zentrale Anforderungen an die Telematikinfrastruktur und die elektronische Patientenakte; der höchstmögliche Schutz der Gesundheitsdaten steht dabei im Mittelpunkt. Die dafür notwendigen technischen und organisatorischen Maßnahmen werden dabei dem Stand der Technik, aktuellen Bedrohungen sowie unter Berücksichtigung der Ergebnisse der Sicherheitsüberprüfungen angepasst.“ Schon wenige Tage später wurden beim CCC-Kongress in Leipzig deutlich, dass es doch nicht so weit her ist mit den „technischen und organisatorischen Maßnahmen“zur Sicherung der TI vor unberechtigten Zugriffen.
Am 10.01.2019 hat sich die Kassenärztliche Vereinigung Bayern (KVB) – gestützt auf die beim CCC-Kongress im Dezember 2019 bekannt gewordenen Mängel bei der Sicherheit des Zugangs zur Telematik-Infrastruktur – mit einem Offenen Brief an Minister Spahn gewandt.Der Offene Brief ist in seiner Gesamtheit eine vernichtende Kritik an der Politik von Spahn (CDU), aber auch aller seiner Vorgänger*innen als Bundesgesundheitsminister*innen, die sich an der Digitalisierung des Gesundheitswesen durch Schaffung der gematik versucht haben.
Dieser Brief beginnt mit der Feststellung: „… mit größter Sorge haben wir von Seiten des Vorstands der Kassenärztlichen Vereinigung Bayerns aus die aktuellen Medienberichte vernommen, wonach es Mitgliedern des Chaos Computer Clubs gelungen ist, sich Zugangsberechtigungen für die Telematikinfrastruktur (TI) im Gesundheitswesen zu beschaffen. Die Tatsache, dass sich die IT-Sicherheitsexperten über Identitäten Dritter gültige Heilberufsausweise, Praxisausweise und Gesundheitskarten zusenden lassen konnten, ist die Krönung einer unglaublichen Serie von Pleiten und Pannen bei der Einführung der TI.“
„Die Sicherheitsmängel der Telematikinfrastruktur sind nicht hinnehmbar“, sagt Armin Beck, Vorsitzender des Hessischen Hausärzteverbandes. „Versuche, die Verantwortung des Bundesministerium für Gesundheit (BMG) und der gematik auf die Ärzte abzuschieben weisen wir zurück.“ Unter Verweis auf die beim CCC-Kongress Ende Dezember 2019 aufgedeckten Mängel und Schwachstellen im Zugang zur Telematik-Infrastruktur erklärt der Vorsitzende des Hessischen Hausärzteverbands weiter: „Strafen für die Verweigerer, die die eigenen Praxen nicht an die Telematikinfrastruktur anschließen wollen, sollten nach Aufdeckung der gravierenden Sicherheitsmängel nicht weiter erhoben werden“.Hessischer Hausärzteverband: BMG und gematik müssen volle Verantwortung übernehmen für Sicherheitsmängel der Telematikinfrastruktur weiterlesen →
