Deutschlands Elektronische Patientenakte: Sind deine Gesundheitsdaten wirklich sicher?

Die elektronische Patientenakte (ePA) ist ein zentralisiertes digitales Archiv, das zur Speicherung und Verwaltung der medizinischen Informationen von Patient:innen dient.

Ihr Hauptziel ist es, den nahtlosen Datenaustausch zwischen Ärzten, Krankenhäusern und Versicherungsanbietern zu erleichtern und so effiziente und transparente Gesundheitsdienstleistungen zu gewährleisten. Patient:innen haben die Kontrolle über ihre Unterlagen und können theoretisch bestimmen, wer auf ihre Daten zugreifen darf.

Die ePA umfasst folgende Hauptmerkmale:

• Digitale Speicherung von Krankengeschichte, Rezepten und Arztbriefen
• Zugriffsverwaltung durch Patient:innen
• Interoperabilität zwischen Gesundheitsdienstleistern
• Sichere cloudbasierte Infrastruktur

Der Zeitplan für die Einführung der elektronischen Patientenakte (ePA) in Deutschland umfasst mehrere Implementierungsphasen:

• Die ePA wurde zunächst im Januar 2021 als optionales System eingeführt, d. h. Patient:innen mussten sich aktiv für die Nutzung anmelden. Die Akzeptanz blieb trotz Werbemaßnahmen gering.
• Um die Umsetzung zu beschleunigen, verpflichtete das deutsche Digitale-Versorgung-Gesetz die Krankenkassen, allen Versicherten bis 2024 den Zugang zur ePA anzubieten. Die Teilnahme war jedoch weiterhin freiwillig.
• Am 15. Januar 2025 kam es zu einer bedeutenden Änderung, als die EPA zu einem Opt-out-System wurde, was bedeutet, dass alle 73 Millionen gesetzlich Versicherten automatisch angemeldet wurden, es sei denn, sie lehnten dies ausdrücklich ab. Dies soll zwar die Akzeptanz erhöhen, hat jedoch Bedenken hinsichtlich der vollständigen Übereinstimmung mit den Anforderungen der DSGVO an eine informierte und ausdrückliche Zustimmung aufgeworfen.
• Dieser Schritt sollte eine breite Akzeptanz fördern, hat jedoch auch ernsthafte Bedenken hinsichtlich des Datenschutzes und der Sicherheit sowohl in der Öffentlichkeit als auch in der medizinischen Gemeinschaft aufgeworfen

Laut einer Umfrage von eco – Verband der Internetwirtschaft fühlen sich 65 % der Deutschen schlecht über die ePA informiert, während 61 % der Befragten die Sicherheit und den Schutz personenbezogener Daten als Hauptkriterien für die Nutzung des Systems betrachten.

Viele Patient:innen wissen nicht, wie ihre Daten gespeichert werden, wer Zugriff darauf hat und wie sicher sie verwaltet werden. Dieses mangelnde Bewusstsein schafft Misstrauen und behindert die Akzeptanz, trotz der Bemühungen der Regierung, die Digitalisierung im Gesundheitswesen voranzutreiben.

Ärzte und medizinisches Fachpersonal haben vor den potenziellen Datensicherheitsrisiken im Zusammenhang mit der ePA gewarnt.

Laut einem Bericht des Ärzteblatts haben Ärzte Bedenken geäußert, dass die ePA aufgrund von Schwachstellen in der Zugriffsverwaltung die ärztliche Schweigepflicht gefährden könnte. Wenn die Zugriffskontrollen schwach sind, könnten sensible Patientendaten in die falschen Hände geraten, was erhebliche Bedenken hinsichtlich des Datenschutzes aufwirft.

Ende November äußerte der Berufsverband der Kinder- und Jugendärzte (BVKJ) gegenüber dem Bundesgesundheitsministerium und anderen Behörden Bedenken hinsichtlich des Versäumnisses der ePA, die Datenrechte von Kindern und Jugendlichen angemessen zu schützen. Ein Hauptanliegen ist das Fehlen eines klaren Mechanismus, um den Zugang zuvor autorisierter Personen zu widerrufen, wodurch sensible Daten anfällig werden.

Trotz dieser Warnungen wurden keine wesentlichen Korrekturmaßnahmen öffentlich angekündigt. Es finden jedoch weiterhin Diskussionen über mögliche Sicherheitsverbesserungen und regulatorische Maßnahmen statt. Bis eine sichere Lösung umgesetzt wird, rät der BVKJ Eltern, sich von der ePA abzumelden.

Darüber hinaus sind zentralisierte Gesundheitsakten ein attraktives Ziel für Hacker, was das Risiko von Ransomware-Angriffen und Datenlecks erhöht. Die potenziellen Folgen solcher Lecks sind alarmierend, da nicht nur die Privatsphäre der Patient:innen auf dem Spiel steht, sondern auch die Möglichkeit der Manipulation oder des Missbrauchs ihrer medizinischen Unterlagen.

Schließlich befürchten einige Ärzte aus ethischer Sicht, dass die digitale Speicherung aller Patientendaten dazu führen könnte, dass Versicherungsgesellschaften oder andere Interessengruppen Druck ausüben, um auf sensible Gesundheitsinformationen zuzugreifen oder diese auszuwerten, die über das für die Behandlung erforderliche Maß hinausgehen.

Trotz dieser Bedenken hat die Regierung die potenziellen Vorteile der ePA hervorgehoben, wie z. B. eine verbesserte Koordination der Versorgung und geringere Gesundheitskosten. Ohne die Lösung der Datenschutz- und Sicherheitsprobleme wird es jedoch schwierig sein, sowohl bei Patient:innen als auch bei medizinischen Fachkräften ein breites Vertrauen und eine breite Akzeptanz zu erreichen.

Sicherheitsforscher des Chaos Computer Club (CCC) haben nachgewiesen, dass aufgrund von Mängeln bei der Ausstellung von Ausweisen für Angehörige der Gesundheitsberufe und Praxen ein unbefugter Zugriff auf ePA-Daten möglich war. Obwohl diese Schwachstellen identifiziert wurden, gibt es keine öffentliche Bestätigung für eine groß angelegte Ausnutzung dieser Schwachstellen.

Ihre Analyse ergab, dass es aufgrund von Schwachstellen in Anwendungsportalen und Verifizierungsprozessen zu einfach war, gültige Authentifizierungsdaten zu erhalten.

Noch alarmierender ist, dass CCC-Forscher herausfanden, dass Angreifer aufgrund von Mängeln in den Systemspezifikationen Zugriffstoken für die ePA jedes Versicherten generieren konnten, ohne dessen Gesundheitskarte physisch vorlegen oder scannen zu müssen. Obwohl diese Schwachstelle identifiziert wurde, wurden keine Beweise für eine weit verbreitete Ausnutzung gemeldet. Das bedeutet, dass professionelle Angreifer diese Schwachstellen möglicherweise ausnutzen könnten, um ohne ordnungsgemäße Autorisierung auf vertrauliche Gesundheitsdaten zuzugreifen.

Michael Hubmann, Präsident des Berufsverbands der Kinder- und Jugendärzte (BVKJ), kritisiert den Umgang mit diesen Sicherheitslücken:

„Es ist frustrierend, wie die Verantwortlichen versuchen, eine Datenlücke, die für professionelle Angreifer leicht zu überwinden ist, herunterzuspielen und den Eindruck zu erwecken, dass die ePA die Datensicherheit in Deutschland gewährleisten würde.“

Diese Ergebnisse werfen ernsthafte Zweifel am Sicherheitsrahmen der ePA auf und verstärken die Bedenken von Ärzten und Datenschützern, dass das System noch nicht stark genug ist, um sensible medizinische Informationen vor unbefugtem Zugriff zu schützen.

Aus datenschutzrechtlicher Sicht wirft die ePA mehrere Bedenken hinsichtlich der Einhaltung der DSGVO auf:

• Datenminimierung und Zweckbindung – Die DSGVO schreibt vor, dass die Datenerhebung auf das unbedingt Notwendige beschränkt werden sollte. Die Speicherung übermäßiger medizinischer Informationen in einem zentralisierten System erhöht das Risiko von Missbrauch und Verstößen.
• Risikomanagement für Anbieter – Die ePA verlässt sich bei der Infrastruktur und dem Cloud-Speicher auf externe Technologieanbieter, was Bedenken aufwirft, ob diese Anbieter hohe Sicherheitsstandards einhalten und die DSGVO-Vorschriften einhalten. In einem aktuellen Fall kam es bei großen Gesundheitsdienstleistern zu Verstößen aufgrund von Sicherheitslücken in Cloud-basierten Systemen, was die Notwendigkeit eines strengen Risikomanagements für Anbieter weiter unterstreicht. So nutzten beispielsweise Hacker beim Ransomware-Angriff auf Fresenius Schwachstellen in einem IT-System des Gesundheitswesens aus, was die Risiken im Zusammenhang mit der Infrastruktur von Drittanbietern unterstreicht.
• Zustimmungsmanagement – Die DSGVO verlangt die ausdrückliche, informierte Zustimmung von Einzelpersonen zur Verarbeitung ihrer Daten. Kritiker argumentieren, dass die Zustimmungsmechanismen der ePA unklar sind, was es für Patient:innen schwierig macht, die vollständige Kontrolle über ihre Informationen zu behalten. Dies wurde besonders deutlich, als etwa 73 Millionen gesetzlich Versicherte automatisch und ohne ihre ausdrückliche Zustimmung in das ePA-System aufgenommen wurden, was erhebliche rechtliche und ethische Bedenken hinsichtlich der Einhaltung der Zustimmungsanforderungen der DSGVO aufwirft.
• Meldung von Verstößen und Rechenschaftspflicht – Bei einem Datenverstoß muss die verantwortliche Stelle die Behörden innerhalb von 72 Stunden benachrichtigen. Die Rechenschaftspflicht ist jedoch aufgrund der Komplexität der zahlreichen Interessengruppen im ePA-System schwer zu bestimmen. Diese mangelnde Klarheit und Rechenschaftspflicht kann zu Verzögerungen bei der Erkennung und Meldung von Verstößen führen, wodurch Patient:innen potenziell gefährdet werden.

Diese Herausforderungen verdeutlichen den dringenden Bedarf an strengeren Sicherheitsprotokollen, einer klareren behördlichen Aufsicht und soliden technischen Sicherheitsvorkehrungen, um sicherzustellen, dass die ePA den höchsten Standards des Datenschutzes und des Schutzes der Privatsphäre von Patient:innen entspricht.

Die elektronische Patientenakte (ePA) stellt einen bedeutenden Fortschritt im digitalen Gesundheitswesen dar, doch ihre Umsetzung wirft ernsthafte Bedenken hinsichtlich des Datenschutzes auf.

Da die Gesundheitsbranche auf eine stärkere Digitalisierung zusteuert, werden proaktive Compliance-Maßnahmen für den Schutz sensibler Patientendaten von entscheidender Bedeutung sein.

Wenn du die Einhaltung einfach und stressfrei gestalten möchtest, kontaktiere uns, um mehr über unsere All-in-One-Compliance-Lösung zu erfahren.