*36C3 Vorspannmusik*
Herald: Herzlich willkommen zum nächsten Talk "Hacker hin oder her - die
elektronische Patientenakte kommt". Unsere drei Speaker haben sich beschäftigt mit
der Sicherheit und Funktionsweise der Telematik-Infrastruktur, das ist so ein
bischen das Backend der zukünftigen elektronischen Patientenakte und damit
auch so der Weg, wie man an die entsprechenden Daten herankommt. Unsere
Speaker: Von mir aus ganz links. Martin Tschirsich, er ist Pentester und war zu
dem Thema auch schon mal als Sachverständiger im Gesundheitsausschuss,
hat da berichtet über das Thema IT-Sicherheit in Gesundheits-Apps. Dann
haben wir in der Mitte André Zilch. War als Sachverständiger im Bundestag zu genau
diesem Thema geladen, beziehungsweise zum Thema Identifizierung. Und direkt hier,
cbro, Christian Brodowski, ihr kennt ihn als Arzt hier aus dem CERT.
Tut mir einen Gefallen, empfangt die drei mit einem wunderbaren Applaus.
*Applaus*
Martin: Es freut mich, dass so viele zu dieser frühen Stunde gekommen sind, um
sich einen Talk zu Patientenakte anzuhören. Viele, nehm ich mal an, wissen
vielleicht noch gar nicht, was die elektronische Patientenakte eigentlich
sein soll. Die elektronische Patientenakte kommt, das steht aber fest. Und einfach um
alle auf denselben Stand zu bringen, gibt es jetzt eine kurze Erklärung, was die
elektronische Patientenakte überhaupt bringen soll.
Propagandavideo: Die elektronische Patientenakte, kurz ePA genannt, ist ein
digitales Patientenbuch, in dem lebenslang alle Gesundheitsdaten gespeichert sind.
Röntgenbilder, Arztberichte, Allergien, ebenso: Blutwerte, Medikamente, Impfungen
und Vorbehandlungen. Alles an einem Platz. Und für den Patienten transparent. Denn
nicht nur, dass er vollen Einblick in die ePA hat. Er allein besitzt die Kontrolle
über seine Daten und bestimmt, wer Zugang dazu haben darf. Mit der ePA können
mündige Patienten freiwillig ihre Gesundheitsdaten sicher, online und
effektiv verwalten. Alle behandlungsrelevanten Informationen stehen
in jeder Lebenslage zur Verfügung, was den Austausch mit ihren Partnern zur
Gesundheit ungemein erleichtert. Die ganze Gesundheit auf einen Blick mit der ePA ab
1. Januar 2021. *verhaltener Applaus*
Martin: Diese elektronische Patientenakte ist nicht eine weitere App. Eine weitere
Gesundheitsakte, wie wir sie auch schon letztes Jahr hier gesehen hatten, sondern
es ist DIE Patientenakte, die elektronische Patientenakte, die nach
Sozialgesetzbuch 5 allen gesetzlich Versicherten zur Verfügung gestellt werden
soll. Sie dürfen diese nutzen, um lebenslänglich ihre Gesundheitsdaten zu
speichern. Das ergibt einige Fragestellungen. Zum einen, wir wollen
hier drin die Möglichkeit schaffen, lebenslang unsere Gesundheitsdaten zu
speichern. Das sind Dinge wie Röntgenbilder, Arztbriefe, Berichte,
Laborwerte. All diese Dinge sollen in dieser Akte verwaltet werden können. Und
der Patient soll die alleinige Kontrolle darüber besitzen und auch bestimmen, wer
Zugriff darauf hat. Das heißt, es muss sicher sein. Kann das funktionieren?
Zwischenruf aus Publikum: NEIN Martin: Ganz wichtig. Ob das funktionieren kann
oder nicht. Wir müssen diese Anforderung erfüllen. Die Inkaufnahme von Verstößen in
Einzelfällen, die ist unzulässig. Das heißt, selbst in Einzelfällen, wir können
nicht sagen "Ein Prozent Verlust ist okay". Wie das eben der Fall bei
beispielsweise Kontozugängen oder so mal in Kauf genommen werden könnte, wo man mit
monetären Werten handelt. Hier ist es absolut unzuverlässig, dass man überhaupt
den Einzelfall zulässt, dass es hier zu einem Verstoß kommt. Das sagt ein
Landesdatenschützer, Datenschutzbeauftragter. Und das ist nicht
neu, dass hier hohe Anforderungen stehen. Das ist auch Herrn, unserem
Gesundheitsminister, Herrn Spahn bekannt. Der sagt, dass der Datenschutz, besonders
die Datensicherheit, die Achillesferse für diese Anwendung ist. Denn wird es hier zu
einem Vorfall kommen, wird natürlich die Akzeptanz dieser Anwendung und auch alle
weiteren Anwendungen der digitalen Gesundheitsversorgung wirklich ruiniert.
Und das gefährdet auch dieses Vertrauensverhältnis: Arzt, Patient, in
der Sprechstunde natürlich. Diese ärztliche Schweigepflicht würde, wenn es
hier zu einem Vorfall kommt, aufgehoben. Herr Spahn sagt aber auch, dass er zu dem
Thema mehr Geschwindigkeit reinbringen will, Hacker hin oder her. Und weil es so
ein bisschen ambivalent ist, haben wir gedacht wir schauen uns das mal an. Um das
zu verstehen und auch die Sicherheit bewerten zu können, müssen wir 10000
Seiten Spezifikation lesen. Die sind alle unter dem Fachportal der Gematik, die
Gesellschaft, die dafür zuständig ist, öffentlich verfügbar. Das sind einmal die
Spezifikation der Gematik und dann noch die Spezifikation der Sektororganisation
unseres Gesundheitswesens. Denn unser Gesundheitswesen ist ja ziemlich
zersplittert in verschiedenste Einzelereiche. Das haben wir getan,
beziehungsweise nicht ganz. Aber mal überflogen und haben dann diese tolle
Grafik hier für euch vorbereitet, um euch zu zeigen, wie diese Gesundheitsakte
aussieht, diese Patientenakte. Zunächst einmal der Versicherte mit seiner
Gesundheitskarte. Die kennen die meisten von euch. Mit dieser Gesundheitskarte und
einem Zugangsgerät, das kann zukünftig auch ein Smartphone sein, wenn es NFC
fähige Gesundheitskarte gibt, kann der Versicherte über das Internet auf ein
zentrales Zugangsgateway dahinter liegendes Aktensystem zugreifen. Und auf
diesem Aktensystem sollen dann die Gesundheitsdaten liegen, diese lebenslang
verfügbar gehaltenen Gesundheitsdaten. Die sind aber verschlüsselt. Man spricht hier
von Ende zu Ende Verschlüsselung. Der Schlüssel zu diesen Daten der liegt auch
auf diesem Aktensystem. *lachen*
Aber noch nicht, noch nicht lachen. Dieser Schlüssel, der ist verschlüsselt. Der ist
verschlüsselt. Das hat auch alles seine Berechtigung. Nur ist jetzt die Frage, wir
haben das Problem nicht gelöst. Wo ist der Schlüssel für den Schlüssel? Da müssen wir
ein bisschen weitergehen. Da müssen wir schauen, dass wir hierüber an die
Telematik-Infrastruktur angebunden werden. Die Telematik-Infrastruktur ist das
zentrale Netzwerk, an das inzwischen schon 115.000 Arztpraxen, zukünftig auch
Apotheken, Krankenhäuser und andere Einrichtungen des Gesundheitswesens
angeschlossen werden. Es ist ein sogenanntes spezielles VPN-Netzwerk mit
eigenem Vertrauensraum. Dieses Netzwerk hält folgende zwei Dienste bereit: Den
Schlüsselgenerierungsdienst 1 und den Schlüsselgenerierungsdienst 2. Das sind
Dienste, die uns einen Schlüssel generieren. Und zwar einen berechtigten
Schlüssel. Wir müssen also mit unserer Gesundheitskarte zu den
Schlüsselgenerierungsdiensten gehen und uns diese blauen Berechtigten-Schlüssel
abholen, indem wir uns ausweisen als Versicherter. Dann nehmen wir diese blauen
Berechtigtenschlüssel und entschlüsseln damit diesen pinken Aktenschlüssel. Und
dann kommen wir an die Gesundheitsdaten. Für Ärzte, die ja auch auf diese Akte
zugreifen müssen, um Dokumente des Versicherten dort einzustellen,
beispielsweise ein Arztbrief oder ein Untersuchungsergebnis, sieht das von der
anderen Seite fast genauso aus. Nur dass dort noch ein spezielles Zugangsgerät
verwendet wird. Jede Arztpraxis, die an diese Telematik-Infrastruktur angebunden
wird, benötigt einen sogenannten Connector. Das ist ein spezieller VPN
Router mit weiteren Funktionen, der den Zugang in dieses geschützte Netz
ermöglicht. Und während der Versicherte sich mit der Gesundheitskarte ausweist, um
auf diese Schlüsselgenerierungsdienste zugreifen zu können und sich seinen
Schlüssel generieren zu können, greift der Arzt oder die Ärztin mit ihrem
Praxisausweis und auch mit Heilberufsausweisen auf dieses Netz zu
bzw. auf Anwendung, die darauf laufen. Das ist also symmetrisch. Sowohl der Patient
als auch Ärzte haben Chipkarten, mit denen sie sich hier ausweisen und Anwendungen
gegenüber authentisieren. Um das Risiko dieses Netzwerkes ein bisschen zu ...
vereinfacht darzustellen, schauen wir uns mal an, wie viele Teile es denn davon
gibt: Es gibt 73 Millionen Versicherte. Es gibt in etwa 4 Anbieter von dieser
Patientenakte, die sich jetzt schon aktuell in der Entwicklung befindet. Denn
in zwölf Monaten soll sie ja uns allen zur Verfügung stehen. Und es gibt eine einzige
zentrale Telematik-Infrastruktur. Und dann gibt es halt diese 115.000 Arztpraxen, die
jetzt schon angeschlossen sind bzw. ganz grob geschätzt 170.000 Einrichtungen, die
irgendwann mal dort angeschlossen sein sollen. Die Prozesse, wie diese Chipkarten
verteilt werden, das sind auch Prozesse der zentralen Telematik-Infrastruktur.
Problem bei diesem Schlüsselgenerierungsdienst ist: Der
Versicherte oder die Ärztin weisen sich jeweils nur noch aus mit einer Karte und
bekommen dann einen Schlüssel. Das hat das Problem, dass wir hier zwar weiterhin von
Ende zu Ende Verschlüsselung hören, aber der Schlüssel ist nicht mehr unter
Kontrolle des Versicherten. Das heißt: Wer sich ausweisen kann, auch mit einem
Nachfolgeausweis, der bekommt Zugriff, der bekommt den Schlüssel und kommt damit an
die Daten. Auch das BSI hat dazu schon eine Anmerkung gemacht und hat gesagt:
"Wenn dieses Authentisierungsverfahren dieses Schlüsselgenerierungsdienstes
überwunden wird, kann auf den gesamten Akteninhalt zugegriffen werden." Die
Gematik leitet daraus ab, dass die Korrektheit dieser rot markierten
Kartenherausgabeprozesse, die ich eben mit diesen roten Pfeilen dargestellt hatte,
Grundvoraussetzung für den sicheren Betrieb dieser Anwendung ist.
Kartenherausgabeprozesse, das bedeutet: die Überführung von einer real
existierenden Person, auch einer juristischen Person wie eine Arztpraxis,
in die digitale Welt. Um das sicher gewährleisten zu können, muss Folgendes
erfüllt sein: Ich muss die Person identifizieren. Versicherte, Ärzte,
Arztpraxen müssen zuverlässig identifiziert werden und die Attribute, ob
sie nun zugelassener Arzt, niedergelassener Arzt oder Versicherte mit
einer bestimmten Versichertennummer sind, die müssen sicher, rechtssicher bestätigt
werden. Und der Empfang des Zertifikats und des privaten Schlüssels, also dieser
digitalen Identität, die mir da zugeordnet wird, also des Ausweises, der Karte, die
muss sicher nachvollzogen werden können. Also die bestätigte Schlüsselübergabe.
Wenn das alles so läuft, dann funktioniert das System sicher, weil dann dieser
Ausweis wirklich nur in der Hand des Berechtigten ist. Die Gematik weiß das
ebenso und spricht deswegen sehr häufig von dieser Anforderung der zuverlässigen
Identifizierung. Also: Man liest das wirklich häufig. Die Identifizierung muss
zuverlässig sein, muss notwendig, zwingend notwendig, Grundvoraussetzungen und, und,
und, und. Was für Identitäten gibt es denn. Wir haben schon drei Karten gesehen.
Es gibt die Gesundheitskarte, es gibt ein Heilberufsausweis. Es gibt den
Praxisausweis. Und dann gibt es noch den Connector. Das ist dieser Hardware-VPN-
Router, von dem ich sprach. Und die alle tragen kryptographische Identitäten in
Form von Zertifikaten und privaten Schlüsseln, die auf Chipkarten gespeichert
sind. Und was wir gemacht haben, ist: Wir haben uns angeschaut, ob diese Herausgabe
denn sicher ist? Denn das ist der zentrale Angriffspunkt. Wenn wir die Ende-zu-Ende-
Verschlüsselung nur noch durch eine Authentisierung sicher garantieren können,
dann greifen wir die Authentisierung an. Ist das möglich?
Christian: Danke Martin! Ich wollte ganz kurz einschieben, wie wir uns eigentlich
kennengelernt haben. Als Vertragsarzt hatte man letztes Jahr oder auch dieses
Jahr das Problem, dass einem diese Telematik-Infrastruktur so ein bisschen
übergeholfen wurde. Mittlerweile bekommt man Honorareabzüge, wenn man sie nicht
installiert hat. Und da war ich so ein bisschen unglücklich drüber. Habe dann
erst den md, den Markus Dränger angeschrieben und angesprochen. Wir
erinnern uns: beA ... ich sehe da viele Parallelen. Der hatte aber gerade eine
wichtigere Aufgabe und deswegen hat er mich an den Martin Tschirsich weiter
verwiesen und uns zusammengebracht. Und wir haben uns dann zusammen diese
einzelnen Komponenten mal angeschaut. Ich fange mal an mit diesem
Institutionsausweis, auch Praxisausweis oder SMC-B Karte genannt. Wenn man sich
den ... wenn man so einen haben will, muss man online einen Antrag stellen. Da gibt's
mehrere Anbieter für. Wir haben uns mal für den entschieden. Der hat so ein
Formular, das kann man im Web ausfüllen - übrigens auch über TOR; funktioniert auch
- und muss da verschiedene Daten eingeben. Abgeglichen werden insbesondere diese 5,
die ihr hier seht: die Betriebsstätten- Nummer, Geburtsdatum des Arztes, die
lebenslange Arzt-Nummer, der Name und die Profession. Also, was für ein Arzt das
ist. Das geht jetzt gerade nicht so gut ... ups ... doch ... zack. Das
Geburtsdatum ist die einzige dieser Angaben, die nicht auf jedem Rezept und
jeder Überweisung steht, die ihr von eurem Arzt bekommt.
*Gelächter**Klatschen* Und Geburtsdatum: Seriously, also: Jede
Gemeinschaftspraxis hat irgendeine Rechtsform. Meistens sind die
Partnerschafts-Register eingetragen und da stehen das Geburtsdatum und manchmal auch
der Geburtsort. Damit hat man alles beisammen, was man da eingeben muss. Dann
gleicht medisign dieses Formular mit der entsprechenden kassenärztlichen
Vereinigung ab und die KV sagt: Jo, so ein Arzt mit dem Namen und den Nummern ist bei
uns registriert. Daraufhin stellt medisign dann einen dieser SMCB-Karten, dieser
Praxisausweise aus und verschickt ihn an den ... ne, nicht an den Arzt. Das wäre ja
doof, wenn der in Praxis landen würde. Man kann da auch alternativ eine Lieferadresse
angeben. *Gelächter*
Da kommt er dann an. Oder man kann auch bei der Lieferadresse, wenn da gerade
niemand zu Hause ist -- so war das in unserem Fall -- das Ganze auch dann mit
der Postvollmacht bei der Post abholen. Sieht dann so aus: Die muss man dann
online freischalten, das geht in so einem Webformular und dann, dazu braucht man
diesen PIN-Brief. Der ist auch bei der Lieferadresse letzlich angekommen. Und
damit konnten wir in Praxis-Ausweis dann aktivieren und letztlich auch registrieren
und damit einen Vorgang in der Telematik Infrastruktur auslösen, nämlich dass
Versicherten-Stammdatenmanagement. Also sprich: Ich habe meine Karte mit dieser
SMCB-Karte, meine Versichertenkarte, nochmal abgeglichen, ja mit den
Krankenkassendaten. Was kann man mit dieser SMCB-Karte alles anstellen, wenn
man jetzt damit nichts Gutes tun möchte? Man hat uneingeschränkten Zugang zur
Telematik-Infrastruktur, das heißt, dieser geschützte Vertrauensraum, von dem
gesprochen wird, der ist damit gebrochen. Ich kann darin Dinge tun. Ich habe Zugriff
auf verschiedene Anwendungen. Die EPA kommt erst noch. In einigen Regionen gibt
es aber schon den elektronischen Medikationsplan und den Notfalldatensatz,
die von der Karte des Versicherten abgelesen ... ausgelesen werden können.
Darauf kann ich mit der Karte zugreifen. Und ich kann Nachrichten bald -- das ist
auch noch nicht freigeschaltet -- in der sicheren Kommunikation der
Leistungserbringer empfangen und absenden im Namen der Arztpraxis, mit der ich das
gemacht habe. Ja, also anfangs werden da glaube ich PDFs hin- und hergeschickt.
PDF-Fraud, glaube ich, ist noch ein anderer Talk. Wo ist das grundlegende
Problem? Es gibt drei Anbieter und die verschicken im Prinzip auf die gleiche Art
und Weise diese Karten. Also, bei dem Anbieter, bei dem wir das geprüft haben,
war das problemlos möglich sowohl die Anfrage entsprechend zu stellen, als auch
die Auslieferung entsprechend umzuleiten, um an diese Karte zu kommen. medisign hat
allein schon 80 000 Institutions-Ausweise -- Stand vor drei Monaten ungefähr --
ausgegeben. In den Spezifikationen der Gematik steht drin, dass möglicherweise
kompromittierte Zertifikate zurückgezogen werden müssen. Letztlich ist es dazu
gekommen, weil die Kassenärztliche Bundesvereinigung, die ja dafür zuständig
ist, diese Prozesse zu spezifizieren, diesen Prozess eben nicht richtig
spezifiziert hat. Der Trust Service Provider, in dem Fall mediSign, hat Fehler
bei der Umsetzung gemacht. Und die Gematik als übergeordnete Behörde hat diesen
Prozess und diesen Service Provider so zugelassen und eben nicht geguckt, was der
wirklich macht. Aber ist ja nur EIN Ausweis. Nehmen wir den nächsten
Heilberufsausweis oder Arztausweis. Wenn man den beantragen möchte, braucht man
eine persönliche Identifikation, bevor dieser Ausweis geliefert wird. Braucht
man? Braucht man nicht. *vereinzeltes Lachen im Publikum*
Es gibt da das sogenannte Bankident- Verfahren. Erkläre ich auch gern kurz. Ein
Arzt, eine Ärztin geht irgendwann zu ihrer Bank. Die Deutsche Apo-Bank bietet das an.
Die ist auch gesellschaftlich mit der Gematik verbandelt und öffnet dort ein
Konto oder schaut noch mal so vorbei, zeigt ihren Personalausweis oder Reisepass
und hat dann den ersten Teil dieses Ident- Verfahrens durchlaufen. Ein Angreifer geht
wieder zu einer dieser Trust-Service- Provider, gibt die Daten der Ärztin ein.
Die Bank sagt: Jo, die kennen wir. Die hat bei uns ein Konto. Und die Ärztekammer
sagt: Jo, die kennen wir, die ist bei uns Ärztin für Anästhesiologie, was auch
immer. Was macht medisign dann? Stellt einen Arztausweis aus und schickt ihn zu.
Auch hier wieder Lieferung an Lieferadresse. Alles bequem. Kein Problem.
Der PIN wird netterweise auch gleich dahin geschickt. Und so konnten wir den
Heilberufe Ausweis dann auch online freischalten. Da gibt's dann so'n ein
kleines Tool, was man sich runterladen muss von der Homepage und dann hat man so
ein gültiges, Benutzer-Zertifikat. Dafür ist eine Unterschrift notwendig. Ich habe
eben schon davon gesprochen, wo wir die Arztnummern her hatten. Die
Arztunterschrift ist da auch meistens drunter, wenn man sie überhaupt lesen
kann. In vielen Fällen ist es auch so, zum Beispiel bei der Postabholung, dass die
Original-Arztunterschrift auch nirgendwo hinterlegt ist. Das heißt, da ist halt ein
so ein Krakeel drunter und ... also meine Unterschrift kann man wirklich nicht
lesen. Das ist nicht mein Name. Das wäre relativ sehr leicht zu imitieren. Auch
hier wieder, wo ist das Problem? Es gibt zwei Anbieter, gibt insgesamt vier
Verifikationsverfahren. Postident und Kammerident sind nach den Spezifikationen
so in Ordnung. Die beiden Verfahren, in denen eine zweiseitige Identifikation
stattfindet, klappen nicht so gut. Das ist einmal das Bankident-Verfahren und zum
anderen das Vorab-Kammerident-Verfahren, bei dem auch eine zweiseitige
Identifikation stattfindet. Das heißt, der Arzt geht irgendwo hin, zeigt seinen
Ausweis, und irgendwann später kommt jemand online und sagt: Hallo, ich bin
dieser Arzt oder diese Ärztin, und es gibt keine Möglichkeit, diese beiden
Identitäten zusammenzuführen und abzugleichen, ob derjenige, der sich
online einklickt, wirklich derjenige ist, der seinen Ausweis hochgehalten hat. Das
sind bei medisign 31 Prozent der Heilberufsausweise, weil es eben so ein
bequemes Verfahren ist. Bei den anderen Providern wissen wir nicht, wie viele
Ausweise über dieses Verfahren ausgestellt wurden. Und damit zu unserem Spezialisten
für die elektronische Gesundheitskarte. Martin: Damit hat man also gezeigt, wie
man auf diese zwei Karten sehr einfach zugreifen kann. Also wie man sie sich
erschleichen kann, diese Karten, auf einen anderen Namen. Aber es fehlte die
Gesundheitskarte in diesem, sagen wir Quartett an Identitäten. Ich glaube, ich
hatte damals bei Google eingegeben: Gesundheitskarte erschleichen oder so.
Macht man ja mal. Dann sind wir auf den Experten für Erschleichen von
Gesundheitskarten gestoßen. *lacht* Der André Zilch, und der wird euch jetzt mal
erzählen, wie das geht. André: Danke. Die Gesundheitskarte ist
genau das Aquivalent zu dem Institutionsausweis und zu dem
Heilberufeausweis für die Versicherten. Viele von Ihnen werden es kennen und es
ist der zentrale Zugangsschlüssel für die Versicherten in diese Telematik-
Infrastruktur. Eine Frage, die in den vergangenen Jahren immer wieder diskutiert
wurde, ist: Ist denn die Gesundheitskarte Identitätsnachweis? Ist es kein
Identitätsnachweis? Bestätigt sie die rechtliche Identität oder ist das einfach
nur so etwas wie eine Kundenkarte? Welche Auswirkungen hat es denn, wenn es kein
Identitätsnachweis wäre? Spielt das eine Rolle? Jeder Arzt kennt seinen
Versicherten. Ist das tatsächlich so oder hat es eine andere Funktion? Vor der
elektronischen Gesundheitskarte gab es die sogenannte Krankenversicherten-Karte. Die
hatte allein die Aufgabe, zur Abrechnungszwecken zu dienen. Damit
konnten Ärzte gegenüber den Kassen letztendlich ihre Rechnungen stellen und
so wurden sie bezahlt. Bei der Gesundheitskarte ist es als äquivalent zu
Heilberufeausweisen oder auch zur Institutionskarte und ist der zentrale
Zugangsschlüssel für die Versicherten ins Gesundheitswesen. Im Rahmen der
Digitalisierung werden immer mehr Leistungen im Gesundheitswesen
arbeitsteilig erbracht und immer mehr digitalisiert. Im Rahmen der Einführung
der elektronischen Gesundheitskarte gab es auch die sogenannten Paragraph 291a SGB 5
Anwendung, das heißt medizinische Anwendung: Was soll mit der
Gesundheitskarte noch alles gemacht werden? Es soll so weit gehen, dass sogar
der Ort gespeichert wird, wo der Patient die Zustimmung zu seiner Organspende
abgelegt hat. Also nicht die Zustimmung selbst, sondern allein: Wo ist der Ort?
Und natürlich, wir haben es vorhin schon gehört, der zentrale Zugangsschlüssel für
die elektronische Patientenakte. Darüber hinaus bleiben und kommen Anwendungen
hinzu, wie zum Beispiel bei Direkt- Krankenkassen, die gar keine
Geschäftsstellen mehr haben. Die müssen ja irgendwie elektronisch mit ihren
Versicherten kommunizieren. Die Anforderung, wir hatten es vorhin gehört,
ist: Selbst in Einzelfällen darf es nicht möglich sein, auf die Gesundheitsdaten
zuzugreifen. Aber es gibt solche Instrumente wie eine Patienten-Quittung.
Und in dieser Patienten-Quittung steht drin, was die Krankenkassen für die
einzelnen Versicherten in den vergangenen 18 Monaten gezahlt haben. Hier kommen wir
auf das zurück, was Martin anfangs sagte. Die Identität des Verfahrens-Betroffenen
muss vor Übermittlung von Sozialdaten festgestellt werden. Das ist ein ganz
zentraler Punkt und der sich ganz wesentlich davon unterscheidet, was wir
aus anderen Bereichen kennen. In anderen Bereichen kann es ausreichend sein, dass
man im Nachhinein feststellt: Ach du liebe Zeit, da ist ja etwas schief gelaufen, und
wir korrigieren das. Wir gleichen das Konto aus, wir ziehen das alles wieder
gerade. Hier, bei der Übermittlung von Sozialdaten, von Gesundheitsdaten, wird
Wissen übermittelt. Es geht Wissen aus den Krankenkassen raus. Was haben die
Patienten, welche Leistungen wurden erbracht? Dieses Wissen ist nicht
zurückzunehmen. Wenn es einmal draußen ist und in den Händen der falschen Person
gelangt ist, ist es weg. Deswegen sind so klassische Verfahren und Drohpotenziale:
Ich kann hinterher feststellen, wem irgendwelche Informationen zugegangen
sind, hier nicht hilfreich. Als verschärfende Maßnahme kommen ... oder
verschärfendes Element kommt hinzu, dass eben in Einzelfällen schon verhindert
werden muss, dass man auf diese Daten zugreift. Und deswegen sagen die
Datenschützer: Es müssen Verfahrenswege vorgegeben werden, die gar nicht erst die
Gefahr bergen, gegen das soziale Geheimnis zu verstoßen. Das heißt, diese Verfahren
müssen wirklich wasserdicht sein, sodass man von vornherein ausschließen kann, dass
diese Informationen an die Unberechtigten ausgegeben werden. Weil das so ein
zentrales Element ist, wurde schon sehr früh bei der Einführung der
Gesundheitskarte, bzw. das war noch vorher, nämlich bei der Definition der
Sicherheitsarchitektur bereits im Jahr 2003 und 2004, festgelegt, dass einerseits
der Schutzbedarf sehr hoch ist. Deutlich höher als zum Beispiel bei Finanzdaten.
Und es wurde auch bestimmt, dass Identitäten, die als Basis für
elektronische Zertifikate dienen, genau auf demselben Schutzbedarfsniveau erfasst
und bestätigt werden müssen wie diese Zertifikate. Das macht ja Sinn, weil das
schwächste Glied bestimmt die Kette. Daraufhin wurde festgelegt, dass die
Verfahren wie Krankenkassen die alten Krankenversicherten-Karten ausgegeben
haben, dass das nicht mehr ausreichend ist. Nämlich damals wurden einfach diese
Versicherten-Karten auf Zuruf "Meine Karte ist defekt, ich habe verloren, ich habe
meine Krankenkasse gewechselt", wurden diese Karten neu ausgegeben, und hier
wurde bestimmt, dass die Fachverfahren zwischen dem Versicherten und der
Krankenkasse auf das neue Niveau anzupassen sind und es wurden explizit die
Worte Identifizierung und Registrierung genutzt. Bei den ganzen Aufwendungen, die
man im Rahmen der letzten Jahre durchgeführt hat, hat man einen sehr
starken Fokus auf die technische Realisierbarkeit gelegt. Die
organisatorischen Prozesse und Abläufe sind dort leider an manchen Stellen nicht
so umgesetzt worden, wie es vorgegeben war. Im Jahr 2016 hat die CDU-
Bundestagsfraktion einen Kongress durchgeführt zum Thema eHealth. Und in
seinem Beitrag zu diesem Thema hat Herr Kauder damals gesagt: "Es reicht ein
einziger Vorgang, um das Vertrauen der Menschen in dieses digitale
Gesundheitswesen erheblich zu erschüttern." Und weiter hat er
ausgeführt: "Davon wird der Erfolg abhängen, diese Digitalisierung im
Gesundheitswesen, dass die Sicherheit gelingt." Die ganzen Vorteile sind nett
und schön und erstrebenswert. Aber wenn die Sicherheit nicht gelingt, dann wird es
keine Akzeptanz in der Bevölkerung finden. Wir haben uns das Ganze mal etwas genauer
angeguckt. Martin sagte, das Thema elektronische Gesundheitskarte begleitet
mich selbst schon einige Jahre. Hier sieht man, wann in welchem Jahr es mir gelungen
ist, mit einfachsten organisatorischen Anläufen jeweils in Besitz einer
Gesundheitskarte zu gelangen. 2014, 2015, 2016, 2017 -- letztes Jahr habe ich darauf
verzichtet -- und dieses Jahr wieder. Die Angriffsszenarien, die wir durchgeführt
haben, unterscheiden sich nur unwesentlich gegenüber dem, wie es anfangs war. Reichte
es anfangs aus, dass ich einfach irgendwo bei einer Krankenkasse angerufen habe und
sagte: "Ich bin umgezogen" wurde mir eine neue Karte zugeschickt. Das hat sich über
einige Jahre durchgezogen. Nun ist es etwas komplizierter geworden. Wir müssen
eine E-Mail schreiben. *Lachen im Publikum*
Und wesentlich um in diesen Besitz der Karte zu gelangen, ist es, dass wir die
Adresse ändern. Es gibt zwei wesentliche Angriffsszenarien, die aus unserer Sicht
möglich sind. Nämlich einerseits die Adressänderung durch einen Versicherten
und die Adressänderung durch Arbeitgeber. Es gibt ein Meldeverfahren, bei dem
Arbeitgeber Informationen über ihre Arbeitnehmer an die
Sozialversicherungsträger senden. In einer Richtlinie, die veröffentlicht wurde
Anfang des Jahres, wurde beschrieben, dass Daten, die über den Arbeitgeber an die
Versicherung, Sozialversicherungsträger gesendet werden, als wahr angenommen
werden. Hinzu, man muss ja einfach an der Stelle berücksichtigen, wenn man sich die
entsprechenden Richtlinien vom BSI ansieht, wird dort formuliert, dass
identitätsbestätigende Stellen besondere Sicherheitsmaßnahmen durchzuführen haben.
Sie müssen geschult sein müssen, müssen ein Sicherheitskonzept haben und das --
unterstellt man -- wird vom Arbeitgeber automatisch durchgeführt. Wir haben darauf
verzichtet, diesen Angriff durchzuführen. Wir haben uns erst mal wieder auf die
Adressänderung durch den Versicherten fokussiert. Wir haben uns mal angeguckt:
Wie macht es denn die AOK Hessen? Und wie Sie sehen: Wir müssen eine E-Mail
schreiben. Und es heißt: "aus Datenschutzgründen", "und kein Missbrauch
durch Dritte Erfolgen kann", "nur schriftlich oder persönlich zu
übermitteln", "entweder in einem Brief oder Fax oder per eingescannten Brief in
einer E-Mail". Der Sicherheitsgewinn eines eingescannten Brief per E-Mail zu
verschicken ist gering bis null. Und es ist nicht alleine damit getan, dass ich
dann einfach eine Adresse ändere. Nein, ich kann auch noch direkt online der
Einfachheit halber trotz bestehenden Versicherten-Stammdaten-Abgleich über den
auch eine Adressänderung möglich wäre, kann ich mir gleich eine neue
Gesundheitskarte bestellen. Das heißt hier haben wir eine ganz einfache Möglichkeit,
eine E-Mail zu schicken mit einem völlig unverbindlichen Schreiben. Und dann,
wenige Tage später, kommt an eine neue Adresse eine Gesundheitskarte und diese
Gesundheitskarte, wie ich vorhin sagte, ist der zentrale Zugangspunkt für die
gesamte Telematik-Infrastruktur. Das heißt, einer der Schwachpunkte ist die
nicht sicherheitsrelevante oder nicht entsprechend der Sicherheitsanforderungen
durchgeführte Adressänderung durch den Versicherten selbst.
Martin: Was dazu noch zu sagen ist, gehen wir nochmal eine Folie zurück. Wir haben
ja die Aussage des Bundesamts für Gesundheit, dass diese Telematik-
Infrastruktur insbesondere deswegen jetzt unbedingt eingeführt werden muss, weil das
Fax ja so unsicher ist. Wir wollen was, was zumindest sicherer ist als das Fax.
Damit hat man auch schon eine Pressemitteilung ausgegeben und die
Ärzteblätter haben geschrieben: Telematik- Infrastruktur, diese neue Gesundheitsnetz,
ist sicherer als das Fax. Wenn man das unbedingt will, gut, kann man sagen. Das
Lustige ist: Wir haben auch bei Christians Beantragung, die Sachen immer schön per
Fax abgeschickt. Genauso hier. (flüsternd) Wir müssen uns beeilen.
André: Jetzt haben wir eine Aussage, eine AOK, es ist nicht die AOK Hessen, es ist
die AOK Rheinland-Pfalz, die gesagt hat: "Im Sinne kundenorientierte Prozesse
müssten Krankenkassen im Rahmen einer vertrauensvolle Kundenbeziehung
Postadressen grundsätzlich als wahr annehmen." Okay, kann man machen. Die
Gesundheitsministerin aus Rheinland-Pfalz sagte, dass, bevor nun auf medizinische
Daten zugegriffen wird, unbedingt vorher eine Identitätsprüfung stattfinden muss.
Wir wissen, dass nächstes Jahr Zugriff auf elektronische Patientenakten stattfinden
soll. Nicht einer von Ihnen hat irgendeine Identitätsprüfung für seine Krankenkasse
durchgeführt. Das hat diese Anfrage, diese Anfrage hat das ZDF an die
Gesundheitsministerin gestellt und es kam, die Antwort war: "Das wussten die
allerdings auch schon vorher." Und diese Aussage, diese Aussage war nicht von
diesem Jahr, sondern die ist von 2015. Geändert hat sich bis jetzt wenig. Gas
geben. Soll ich das überspingen? Wir haben so viele. Also, zum Thema Gesundheitskarte
und Identitätsnachweis noch eins: Es wurde gesagt, dass die Identitätsnachweis ein
eingeschränkt, die Gesundheitskarte ein eingeschränkter Identitätsnachweis ist.
Was ist das? Vorname zu 60 Prozent? *Vereinzeltes Lachen*
Einen eingeschränkten Identitätsnachweis gibt es nicht. Es gibt entweder nur
bestätigt oder nicht finden. Und auch ein PIN ändert an dieser Aussage der
Identitätsbestätigung nichts. Und damit die Gesundheitskarte eingesetzt werden
kann, muss das Ganze mit einem ordnungsgemäßen Identitätsnachweis
verknüpft sein. Wenn diese... Martin: Sorry, ich muss kurz vorgehen. Wir
haben nämlich so viele Dinge zu zeigen, wir heben uns die Folie für die Fragen
auf, wenn da halt konkret Fragen dazu sind. Und ich würde sagen, wir gehen jetzt
zum zweiten Teil, zum letzten Teil, zum vierten Teil, zum Korrektor und kommen
dann nochmal auf das, was wir heute eigentlich gelernt haben.
Christian: Jetzt könnte man uns vorwerfen, wir hätten ja nur ein Teil der TI uns
besorgt und uns angeschaut. Das Herzstück, also hat es unser Gesundheitsminister mal
bezeichnet, der Connector. Dieses schöne Gerät verbindet praktisch die Praxis mit
der TI. Und um uns das genauer anzuschauen, muss man es natürlich auch
bestellen, erstmal. Die Dinger sind allerdings meistens nur im Paket zu haben,
ist sauteuer, so knapp zweieinhalb Tausend Euro. So viel wollte ich als Hobby-IT-Sec-
Mensch jetzt doch nicht investieren. Aber wir haben einen Anbieter gefunden, der das
Ganze, auch den Konnector, einzeln verkauft. Das war ein relativ einfaches
Prozedere, ein einseitiges Fax an die Firma. Dann hat es ein wenig gedauert.
Also seriously, lieben beide Firmen, drei Monate Lieferzeit, das gibt nur einen
Stern, und deswegen haben wir euch auch die Disclosure-Frist ein wenig gekürzt.
Dann wurde dieser Konnector mit der sicheren TNT-Express-Lieferkette geliefert
an eine vertrauenswürdige Person, natürlich wie immer.
*Lachen* *Applaus*
M: Ja, damit hatten wir sie alle, das Quartett, auf dem die Sicherheit dieser
Telematikinfrastruktur beruht. Die zentrale Sicherheitsfunktion oder
Sicherheit dieser Telematikinfrastruktur beruht auf der Sicherheit dieser
Kartenherausgabeprozesse. Wir haben gesehen, die sind alle etwas
verbesserungsbedürftig. Wir konnten uns ohne Probleme all diese Dinge verschaffen,
auf Identität anderer Menschen, anderer Ärzte. Was bedeutet das? Naja, zum ersten
Mal bedeutet das, dass diese großen Hoffnungen bzw. Versprechungen, die
gemacht worden sind, dass die wohl nicht viel wert sind bzw. dass die nicht ehrlich
waren. Versprechungen wie der Gematik, dass wir europaweit ein einzigartiges
Sicherheitsniveau hätten oder auch des Bundesverbands der Vertragspsychologen,
die sagen, ja, der Chaos Computer Club, dem ist es ja auch nicht gelungen, da
einzudringen, ja deswegen ist es sicher. Ich frag mich auch, woher die so ein
Statement nehmen, ja. Also so etwas sollte niemand in die Welt setzen. Das ist ganz
gefährlich. *Applaus*
M: Das Bundesministerium für Gesundheit ist natürlich absolut von der Sicherheit
überzeugt. Wir wissen ja alle: Absolute Sicherheit gibt es nicht. Und deswegen,
das sagen auch andere, muss man doch, wenn man hier etwas kommuniziert, was Nutzen
hat, aber auch die Risiken bitte betonen und nicht nur von Absolutem reden, sondern
sagen: Gut, es kann etwas passieren. Wir haben das Risiko eingeschätzt, wir haben
es quantifiziert, und wenn etwas passiert, dann sind wir vorbereitet. Wir können
diese Risiken mitigieren. Wir können dann den Schaden ausgleichen, etwas derart,
also wie der Versicherte oder der Nutzer, der Patient hier geschützt werden kann.
Das fehlt völlig bei dieser Absolutheit- beherrschten Diskussion von: Wir sind ja
absolut sicher, wir sind Weltspitze. Das System weltweit, sagen die Hersteller
dann, einzigartige Sicherheit. Wir haben ja gesehen, soweit, ich glaube, vielleicht
in Leipzig, vielleicht Spitze, oder, ja. Das Spannende ist auch, dass diese Fehler,
die wir hier gesehen haben, die sind nicht neu. Die Bundesdruckerei weiß schon sehr
lange, das veröffentlichen die in ihrem eigenen, in einem eigenen Expertise, wo
sie ihre eigenen Produkte wieder anbieten wollen, dass es in der
Telematikinfrastruktur ja gar nicht so sicher ist. Die Bundesdruckerei sagt, dass
diese postalischen Ausgabewege, dieses Verschicken von irgendwelchen hoch-
sicheren Karten, dass das ja gar nicht so gut ist mit der Deutschen Post, die Sachen
einfach durch die Luft zu schicken. Einfach ein Nachsendeauftrag reicht, und
schon hab ich die Dinge bei mir, an meine Adresse. Und das weiß die Bundesdruckerei.
Und die gibt trotzdem diese Karten heraus. Also, da muss man sich fragen: Wenn das
Wissen da ist, wo ist die Verantwortung? Und dann wissen wir, dass es nicht nur die
Patientenakte ist oder die jetzt spezifizierten Dienste, die nach
Sozialgesetzbuch kommen sollen, die wir alle eben gehört haben. Ganz viele
zusätzliche private Anbieter wollen diese Telematikinfrastruktur nutzen, um darüber
mit ihren Heilberuflern zu sprechen, um darüber die Versicherten, mit denen sie
sprechen wollen, diese zu identifizieren. Das funktioniert doch alles nicht, wenn
wir diese Basisinfrastruktur schon so kaputt vorfinden. Die Idee ist ja gut.
Aber da müssen wir sie auch richtig machen. Aber da kommen wir zu den
positiven Aspekten. Denn bevor wir zu dem Gesamtfazit kommen, soll man ja sagen, es
gibt ja auch positive Aspekte. Und da möchte ich dem André Zirlich nochmal das
Wort geben. A:Also wir sehen, dass die wesentlichen
gesetzlichen Rahmenbedingungen so geschaffen wurden, dass auch eine
Digitalisierung stattfinden kann. Und die Gematik hat ganz viel richtig
spezifiziert. Und wir finden es auch richtig, dass die Infrastruktur durch
staatliche Stellen kontrolliert wird und dass Anbieter, private Anbieter, die diese
Infrastruktur nutzen sollen, um weitere Dienste anzubieten. Denn ohne diese
Infrastruktur stehen die privaten Anbieter alle vor derselben Frage, die durch kleine
Unternehmen einfach nicht zu leisten sind. Wie schaffe ich es, real existierende
Personen sicher, zuverlässig, rechtsverbindlich in die digitale Welt
rein zu bekommen? Das ist einmal aufwendig und zum anderen für die Betroffene oder
diejenigen, die mitmachen wollen, immer lästig, weil wir immer irgendwo hinlaufen.
Deswegen ist es richtig. Jeder von Ihnen hat auch nur einen Personalausweis.
Hoffentlich. Genau dieses, dieses zentrale Element, eines, einer digitalen Identität
für das Gesundheitswesen zu haben und diese für alle Anwendungen zu nutzen. Das
ist genau richtig. Und als notwendige Maßnahmen zur Schadensbegrenzung dessen,
was wir jetzt aufgezeigt haben. Auch dort hat die Gematik schon einiges richtig
gemacht. Sie hat spezifiziert, dass, wenn Angriffe auf den Vertrauensraum
stattfinden, dass die Gematik dann schlicht und ergreifend prüfen muss, ob
die Zulassung für diese Anbieter bestehen bleiben oder ob sie, weil sie als
kompromittiert anzusehen sind, zurück entzogen werden müssen. Das A und O, und
ich denke, das haben wir in den vergangenen Minuten gezeigt, ist, dass die
Beantragung, Identifikation und die Ausgabe entsprechend dem Schutzbedarf von
Gesundheits. und Sozialdaten durchgeführt werden. Diese Prozesse müssen so sein,
dass sie sicher sind und eben nicht wie für eine Kundenkarte. Was sich in den
vergangenen Jahren gezeigt habe und immer wieder Thema ist: Die Gesundheitskarte ist
ein Identitätsnachweis und muss auch so bezeichnet werden und so ausgegeben
werden. Und um das Ganze zu machen, durchzuführen, ist es nicht nur notwendig,
dass man jetzt an irgendeiner Stellschraube macht, sondern es sind
organisatorische Prozesse neu zu definieren. Diese organisatorischen
Prozesse müssen genehmigt, implementiert werden. Und dann kommt leider der
geschwindigkeitsbestimmende Schritt, dass ganz viele Personen real von diesen
Prozessen betroffen sind und persönlich irgendwo hingehen müssen. Sie können es
nicht online machen. Wir haben es gezeigt, sie können nicht online, sondern... Das
ist einfach ein geschwindigkeitsbestimmender Schritt. Und
das wird viel Zeit in Anspruch nehmen. Und was wir im Laufe unserer Diskussionen auch
immer wieder festgestellt haben, ist, dass es eine organisierte
Verantwortungslosigkeit gibt. Es gibt sehr viele Teilbereiche, die für Teilabläufe
und technische Lösungen zuständig sind. Aber die Gesamtverantwortung von: Nicht
nur eine Ende-zu-Ende-Verschlüsselung im technischen Sinne, sondern auch, dass man
eine Ende-zu-Ende-Betrachtung der organisatorischen Prozesse durchführt. Das
ist total wichtig, und das ist entscheidend, damit auch die Menschen, die
real existieren und nicht nur irgendein elektronisches Abbild sind, die
Telematikinfrastruktur vernünftig nutzen können.
M: Damit sind wir schon fast am Ende, das sind die zentralen Statements. Eigentlich
hätten wir diesen Talk mit dieser Folie hier heute zeigen können und wären dann
auch fertig gewesen. Stattdessen haben wir jetzt 55 oder 50 Minuten geredet. Aber
trotzdem: Ich hoffe, es hat gefallen, denn das sind die zentralen Statements. Man
braucht, um diese Telematik-Infrastruktur sicher gestalten zu können höchste
Sicherheit und Datenschutzanforderungen. Die Anforderungen sind auch da. Die sind
allen bekannt. Grundvoraussetzungen, das steht in diesen Anforderungen, ist die
zweifelsfreie Identifikation aller Teilnehmer. Das haben wir ja gesehen, weil
man sich ja nur noch ausweisen muss, um auf diese Daten zugreifen zu können. Was
haben wir herausgefunden? Identifikation findet nicht statt. Diese Schlussfolgerung
ist so banal, dass man sich doch fragen muss: Wie konnte das passieren? Wie könnte
man vergessen, diesen wichtigste Schritt hier implementieren? Und wie konnte das
nicht auffallen, selbst nach Sicherheitsaudits? Ursprünglich war mein
Ziel ja, sich die Technik anzuschauen und sich diese Komponenten zu bestellen,
vielleicht mit dem Christian zusammen, der autorisiert ist, der Arzt ist. Wir haben
schon beim Bestellprozess aufhören müssen, weil da waren wir schon durch. Vielleicht
kommen wir ja nächstes Jahr dann dazu, wenn diese notwendigen Maßnahmen umgesetzt
sind, uns dann noch einmal tief in die Eingeweide zu begeben. Aber für heute
haben wir unser Ziel schon erreicht gehabt. Und jetzt ist erst einmal, ganz
wichtig, Arbeit angesagt bei den Betroffenen, bei den Beteiligten, bei den
Verantwortlichen, diese hier geforderten Maßnahmen erstmal umzusetzen. Bevor wir
dann nochmal neu an diese Patientenakte gehen, und uns dann daran wagen,
vielleicht mit einer etwas moderateren Aussage diese Akte einzuführen. Und auch
eine ein bisschen ehrlichere Selbsteinschätzung zu dem Thema, das würde
ich mir wünschen für das Jahr 2020. Das wird 2021 dann trotzdem in den Nutzen
können für medizinische Anwendungen, aber nicht so eben. Das haben wir jetzt
gesehen. Also so darf das nicht laufen. Ich würde sagen, wir haben noch ein
bisschen Zeit für Fragen. Dann würden wir jetzt die Fragen angehen.
*Applaus* Herald: Vielen Dank Martin, Christian und
André. Wunderbarer Talk. Wenn ihr Fragen habt, stellt euch bitte an den Mikrofonen
auf oder nutzt die Möglichkeit, die Fragen online zu stellen. Signal-Angel, gibt es
Fragen aus dem Netz? Signal-Angel: Ja, die gibt es. Hier fragt
der User "Space" an den Martin Tschirsich: Kann ich irgendwo Ärzte finden, die sich
nicht an die Telematik angeschlossen haben? Also es geht im IRC darum, dass es
dann in Anführungszeichen nur einen Honorarabschlag geben sollte.
M: Ich glaube, das ist eine Frage, die tatsächlich lieber ein Arzt selber
beantwortet. Vielleicht gebe ich die Frage direkt an den Christian weiter.
C: Also ja, es gibt Ärzte, die sich nicht an die TI angeschlossen haben. Wenn ihr
das googelt: Es gibt mehrere Initiativen von Ärzten, die sich weigern, sich
anschließen zu lassen, und diese Honorarabschläge in Kauf nehmen. Also die
bezahlen dafür, dass eure Daten sicher sind. Ich habe die Homepage leider gerade
nicht auswendig im Kopf. Googlet es einfach mal, ihr werdet es finden.
Irgendwie "TI frei" oder ähnliches. Das findet ihr.
Herald: Dankeschön. Mikrofon Nr. 4, deine Frage, bitte!
Frage: Danke für den Talk! Meine Frage ist: In dem schönen Video am Anfang hat es
ja geheißen, dass das alles in Kontrolle des Patienten ist. Wie funktioniert das?
Kann der Arzt einfach einen beliebigen Schlüssel anfragen von dieser
Infrastruktur oder wie gibt der Patient sein Einverständnis dafür?
M: Der Patient soll sein Einverständnis über die App geben können oder auch mit
seiner Gesundheitskarte beim Arzt direkt. Das ist die einfachste Variante. Also der
Patient geht zum Arzt steckt seine Gesundheitskarte, gibt eine PIN ein, die
einige jetzt schon bekommen haben, alle anderen dann nächstes Jahr oder zumindest
bevor diese Patientenakte da ist, und gibt dem Arzt damit Zugriff auf seine
Patientenakte. Für einen gewissen Zeitraum, den darf er sich selber
aussuchen und damit hat der Arzt Zugriff. Für den Arzt wird dann dieser
Aktenschlüssel spezifisch für seine berechtigten Schlüssel verschlüsselt
hinterlegt beim Aktenanbieter. So funktioniert das technisch. Auf das
Technische können wir dann nach dem Talk auch gerne nochmal eingehen. Das ist alles
sehr kompliziert. Es ist symmetrische Verschlüsselung und nicht so
handelsüblich. Herald: Danke! Mikrofon Nr. 8, deine
Frage! Frage: Jo, danke für eure Arbeit für die
Gesellschaft. Gibt es einen Opt-Out für Patienten?
M: Die Patientenakte soll freiwillig sein. Das heißt, es ist ein Opt-In. Noch bzw.
aktuell. Es gibt aber verschiedene Sachverständige, Gruppierungen,
Expertisen, die fordern, es muss ein Opt- Out werden, weil mit Opt-In wirklich nicht
ausreichend Menschen diese Akte nutzen werden und dann die positiven Effekte für
die Versorgung ausbleiben. Und wenn man diese Akte ja schon mal hat und man die
träge Masse gerne mitnehmen will, dann möchte man gerne zum Opt-Out-Verfahren,
wie das auch schon in anderen Ländern passiert ist. Ich meine, in Österreich ist
ein Opt-Out, in Australien ist auch ein Opt-Out, wobei auch dort, meine ich,
früher mal von einem Opt-In die Rede war. Das heißt, auch hier besteht diese
Möglichkeit, dass das zukünftig einmal eine Gesetzesänderung geben könnte, kann
man sich alles vorstellen, und dass das dann zum Opt-Out geht. Ich möchte darauf
aufmerksam machen, dass ich weiterhin dafür plädiere, dass die Einsetzung für
alle Opt-In bleibt. Denn wer diese träge Masse, all die, die nicht die Zeit oder
die Expertise haben, sich das anzuschauen, wer diese mitnehmen möchte, indem er auf
ein Opt-Out geht, der muss auch die Verantwortung dafür übernehmen für diese
Daten. Und das will aber keiner. Wenn man das so formuliert, ich glaube, da bleiben
wir länger beim Opt-In. Herald: Dankeschön. Mikrofon Nummer 7! Was
möchtest du wissen? Mikrofon 7: Ich hoffe, dass ich jetzt
nicht Äpfel und Birnen vergleiche. Aber ich kenne jetzt aus dem Gesundheits- und
Pflegebereich ein ganz massives Überlastungsproblem, was eben
Dokumentationspflichten, Abrechnungspflichten, etc. mit den
Krankenkassen, mit dem Nachweis der Professionalität der Arbeit in
Krankenhäusern, in externen Pflegediensten usw. dann eben angeht. Und ich habe den
Verdacht, wenn man da keine Digitalisierung reinbringt, ist das ein
unglaublicher Overhead, der momentan massiv zulasten der Patienten und der
Pflegenden geht. Seht ihr irgendeine Chance, dass man da tatsächlich effiziente
digitale Abläufe reinbringt, die wirklich eine Dokumentation beim Patienten, eine
Abrechnung bei der KV, etc. irgendwie schnell und zügig machen – und nicht
irgendwie einen halben Arbeitstag einer Pflegerin, die meinetwegen etwas anderes
machen will, mit Papierkram daneben blockiert?
C: Also, ich gebe dir Recht, ich arbeite auch in Krankenhäusern, freiberuflich oder
kurzzeitig angestellt. Ich habe da in den letzten 15 Jahren durch Digitalisierung
nicht erlebt, dass dadurch mehr Zeit für Patienten entstanden wäre. Es gibt ein
paar minimale Verbesserungen, z. B. bei Röntgenaufnahmen, die ja früher nur
singulär auf einer einzigen Folie waren, dass die jetzt verschickt und kopiert
werden können. Die Fortschritte sind sehr gering. Also die Versprechen sind
natürlich da: Wenn sie digitalisieren, haben sie mehr Zeit für Patienten. Dass es
in der Praxis aber wirklich so große Effekte bringt wie versprochen, würde ich
eher nicht erwarten und auch noch nicht sehen für die nähere Zukunft.
M: Unabhängig davon ist die aktuelle Patientenakte eine Versorgungsakte. Das
heißt, für die Versorgung geplant und hauptsächlich für die Information des
Patienten selber. Ob die tatsächlich diesen revolutionären Effekt jetzt in
unsere Versorgung bringt und diesen Nutzen, das weiß man nicht. Das will ich
aber auch nicht bewerten. Ich bin nur dafür, dass man neben dem Nutzen, der auch
sehr positiv von einigen Seiten herausgestellt wird, der auch evaluiert
und wissenschaftlich begleitet evaluiert wird, auch die Risiken transparent macht,
ja? Beides muss passieren. Und dann muss man abwägen können: Wenn man Nutzen und
Risiken kennt – will man das machen? Und es gibt einige Anwendungen, beispielsweise
verschlüsselte Kommunikation unter Ärzten, damit die sich gegenseitig Arztbriefe
schicken können, die wirklich einfach umzusetzen sind, die auch sehr sicher
kommen werden und die auch einen sehr hohen Nutzen bringen. Also ich denke
schon, es gibt Anwendungen, die Nutzen bringen. Nur: Wir haben hier mehrfach
gehört, der Einzelfall genügt, um das Vertrauen in dieses System zu reduzieren.
Und dann muss man halt sich überlegen, ob das, was man hier gemacht hat, nicht doch
irgendwie besser geht. Und auf jeden Fall geht das besser! Dass man so ganz
grundlegende Schritte beachten muss. Und deswegen haben wir unsere Maßnahmen
dargelegt, unter denen wir uns dann vorstellen können, dass man dann ruhig mal
anfängt mit vielleicht Diensten, die nicht so ganz so kritisch sind wie die
Patientenakte, sondern das KOM-LE- Verfahren. Also so was wie S/MIME unter
Ärzten. Und dann schaut, ob das funktioniert und dann halt Schritt für
Schritt weitergeht. Kann ich mir schon vorstellen so etwas.
Herald: Dankeschön! Mikrofon 5, bitte. Mikrofon 5: Ja. Unterstützt ihr die
aktuell laufende Online-Petition gegen den TI-Zwang?
M: Die Online-Petition gegen den TI-Zwang ist, soweit … ich hab sie mir
durchgelesen, nicht begründet mit den Gründen, die wir hier aufführen, warum wir
aktuell dafür sind, dass man erstmal gewisse notwendige Maßnahmen umsetzt. Wir
sind hier relativ agnostisch rangegangen, was den Nutzen angeht, sondern haben die
Risikiodimension beurteilt und bewertet. Und diese Petition gegen den TI-Zwang, wo
es ja auch verschiedene Gründe gibt, die gehen hauptsächlich in die Richtung
„Haftungsfragen sind ungeklärt“ und die Nutzungsfrage wird oft von Gruppen
abgelehnt. Und das, würde ich sagen, muss man den Fachgruppen überlassen, ja? Also
zumindest ich. Das muss man dann den Ärzten überlassen, vielleicht kann
Christian dazu eine Aussage …? C: Ich glaube, wir gehen zur nächsten
Frage. Herald: OK. Mikrofon 4 hätte ’ne Frage?!
Mikrofon 4: Ja, ich wüsste gerne, ob ihr wisst, ob es in der Spezifikation
irgendwas zum Umgang mit der PIN gibt. Also ich hab das in einer Arztpraxis
erlebt, dass dann ein Dienstleistungsunternehmen kommt, den
Konnektor installiert und zwecks einfacher Fernwartung den PIN auf eine triviale
Kombination ändert, bei allen gleich, und das in ein Textdokument auf USB-Stick
rausträgt. Ist das erlaubt nach der Spezifikation?
C: Ähm … *lacht* Ich sag jetzt mal so: Martin ist derjenige von uns, der die
Spezifikation auswendig kann, aber ich sag mal so grob: Nein. Also es ist leider so,
dass auch im Gesundheitswesen das, was du ansprichst, häufig relativ schlechte
Passwörter verwendet werden und die auch an Stellen liegen, wo sie nicht liegen
sollten. Das ist … da müssen wir noch sehr viel dran arbeiten, auch diesen
Datensicherheitsgedanken unter Ärzte zu tragen, woran ich unter anderem auch
arbeite – oder wir unter anderem auch arbeiten.
M: Wobei ich sagen muss: Die Anforderungen sind sicher da. Also die Anforderungen
sind wirklich hoch. Aber auch die Anforderungen, die an die Ärzte und diese
ärztliche Umgebung gestellt werden, sind sehr hoch. Und je höher die Anforderungen
geschraubt werden, desto weiter schiebt man natürlich die Verantwortung, falls
dann jemand gegen diese Anforderung verstößt, von sich. Nur diese
Anforderungen erfüllen glaube ich nicht sehr viele Ärzte, ja? Und da muss man
fragen: Sind das realistische Anforderungen? Und wie sieht das in der
Praxis aus? So ein bisschen das, was wir gemacht haben. Also Technik ist da,
Spezifikation ist da, bei der Umsetzung da hakt es halt noch.
Herald: Signal-Angel. Du hast auch noch was.
Signal-Angel: Ja, und zwar eine Frage aus Twitter von @jesafafa: Kann ich mich als
Ärztin davor schützen, dass meine Identität gestohlen wird? Also
wahrscheinlich zur Erlangung dieser Heilberufeausweise.
M: Das wäre sehr wünschenswert, dass man hier weitere – ich sage mal – Brandmauern
einbaut, sodass wenn jemand anderes eine Karte/Identität in seinem Namen beantragt,
dass dann versucht wird, diese neue Identität erst freizuschalten, wenn man
sich irgendwie rückversichert hat. Wenn man einen Nachsendeauftrag bei der Post
stellt beispielsweise, an eine beliebige Adresse, das kann ich ohne dass ich mich
ausweisen muss. Dann geht zumindest an die ursprüngliche Adresse ein Brief mit
„Hallo, wir informieren Sie darüber, dass Ihre Post nun an eine andere Adresse
geht“. So etwas könnte man sich ja auch hier für diese Praxisausweise noch
wünschen. Bei der Gesundheitskarte gibt’s sowas in der Art schon, was die
Patientenakte angeht, aber hier müssen wir glaube ich noch ein bisschen mehr, ich sag
mal, zweite und dritte Verteidigungslinie einbauen, sodass wenn dieser
Kartenherausgabeprozess kompromittiert ist, dass man dann nicht sofort mit
gestohlener Identität jemand anderen ausgestattet hat. Ansonsten: Jetzt ist der
Schutz sehr schwer möglich. C: Also … Bin ich dran? Was man fordern
muss ist, dass sowohl bei der Antragsstellung als auch bei der
Auslieferung dieser Identitätsausweise eine persönliche Anwesenheit des Arztes
notwendig ist. Das heißt, der muss einmal mindestens hingehen zu der Ärztekammer
oder von mir aus auch die apoBank und sich dort ausweisen. Und beim Empfang muss der
auch persönlich anwesend sein und sich ausweisen oder eben wieder da hingehen.
Und da ist die Compliance bei den Ärzten nicht so hoch.
Herald: Danke für eure Antwort. Mikrofon Nummer 4, deine Frage!
Mikrofon 4: Da war eigentlich nur ein Kommentar zu dem, was eben gesagt wurde,
und zwar ist es so, dass ganz viel Gesundheitsdaten per DVD geschickt werden,
weil das anscheinend sicher ist. Und eigentlich eine Frage habe ich noch: Was
ist mit dem Stammdatenabgleich? Funktioniert der jetzt mittlerweile? Weil
letztes Jahr haben sie darüber nachgedacht, ob sie eine SOAP-
Schnittstelle dafür bauen. C: Also VSDM funktioniert, wird gemacht.
Machen wir auch, mache ich auch täglich in meiner Arbeit. Zu den Röntgenbildern: DVD
ist noch nicht so schlimm wie diese ganzen PACS-Server, die weltweit offen lagen ohne
Passwort, wo man nur die URL eingeben musste. Also es geht immer noch schlimmer.
Und ja: VSDM funktioniert. Herald: Dankeschön! Der Signal-Angel
bitte. Signal-Angel: Eine Frage aus
Twitter: Ob die elektronische Patientenakte eine eindeutige Patienten-ID
für alle Menschen in Deutschland beinhaltet?
M: Die Patienten werden in der elektronischen Patientenakte über ihre
Versichertennummer identifiziert und es gibt eine zentrale Vergabestelle für diese
Versichertennummer, die auch bei Kassenwechsel, meine ich, erhalten werden.
Könnte der André jetzt sicher noch was zu sagen.
A: Also jeder Versicherte hat eine lebenslange, eindeutige
Versichertennummer, die er dann auch bei Kassenwechsel mitnimmt. Ja, das heißt, ich
habe dort einen Datensatz, der einer Person zugeordnet ist. Nur: Das, was wir
heute gezeigt haben, das führt dazu, dass man eben nicht sicher sein kann, dass da
auch genau dann diese Person tatsächlich auf diese Information zugreift. Weil hier
einfach bei den Übergabeprozessen und den Identitätsbestätigungsprozessen nicht
sichergestellt ist, dass tatsächlich die richtige Person auch in Besitz dieser
Zugangsinformation kommt. Herald: Dankeschön. Mikrofon Nummer 1.
Deine Frage! Mikrofon 1: Spricht aus eurer Sicht
irgendwas dagegen, statt der EGK einfach den neuen Personalausweis zu benutzen?
M: Es gibt tatsächlich einen, bzw. mehrere Projekte glaube ich, oder
Vorgängerprojekte, die genau das versuchen: Eine Identität abzuleiten vom
Personalausweis, die man dann auch im Gesundheitswesen nutzen kann. Ich glaube,
in die Richtung gibt es Gedanken. Es gab ja auch mal die Idee, eines Bürgerportals
mit BürgerCard. Also da gibt es viele Überlegungen, den NPa zu nutzen. Nur
momentan haben wir halt eine eigene PKI im Gesundheitswesen. Also unseren eigenen
Vertrauensraum, der noch ganz abgekoppelt ist vom NPa. Und das hat auch Gründe, dass
man, wenn man am NPa weitere Attribute speichern wollte, wie beispielsweise die
Versichertennummer, dass das ein sehr langwieriger Prozess ist, bis man da die
Spezifikation so geändert hat, dass der NPa auch so etwas speichert wie eine
Versichertennummer. Ansonsten müsste man wieder ein Register aufbauen, wo jeder
NPa Bürger irgendwie zugeordnet wird mit Versichertennummer. Und da ist halt die
Frage: Will man so etwas? Also ich glaube, aus verschiedenen Gründen hat man sich
dazu entschieden, hier eine eigene Hierarchie aufzubauen.
A: Es reicht eben nicht aus, dass man in dem Gesundheitswesen nur sich selbst
identifiziert und sagt: Ich nutze meine eID-Funktion des NPa um zu sagen: Ich bin
ich. Sondern ich muss auch immer noch die Information mitbringen, das Attribut
mitbringen, bei wem bin ich versichert. Und diese Information, bei wem bin ich
versichert, ist aktuell auf dem NPa nicht abspeicherbar.
Herald: OK. Dankeschön. Mikrofon Nummer 6, deine Frage!
Mikrofon 6: Ist es irgendwie vorgesehen, dass mein Arzt, mein Zahnarzt z. B., auf
die gesamte Akte zugreifen kann oder nur auf den Teil, der überhaupt für ihn
vorgesehen ist? C: Klares Jein. Also ursprünglich war’s so
vorgesehen, dass man selektiv jede Information in der Patientenakte dem
speziellen Arzt freischalten kann. Also dass der Urologe nur die
Geschlechtskrankheiten weiß und der Zahnarzt nur die Zahnkrankheiten.
Gesundheitsminister Spahn hat aber jetzt versucht, da Druck zu machen, um das
schneller einzuführen und weil dieses Rechtemanagement, wissen wir alle, recht
kompliziert ist, wollte er das auf ein Alles oder Nichts runterdrücken. Was
letztendlich kommt, werden wir in einem Jahr sehen. Frühestens.
M: Es steht schon fest: Also wir wissen, dass die elektronische Patientenakte, wie
sie 2021 kommt, erstmal nur eine Alles- oder-Nichts-Akte ist. Also da muss ich mir
halt überlegen, welchem Arzt ich diese Akte freigebe. Und bei gewissen ärztlichen
Behandlungen – also beispielsweise psychotherapeutische Behandlung; würde ich
dann nicht als Patient zum Psychotherapeuten gehen und bitten,
Gutachten dort einzustellen. Sondern ich muss das erstmal für Dokumente verwenden,
bei denen ich davon ausgehe, dass sie den anderen Ärzten, denen ich diese Akte
freigebe, auch gesehen werden können ohne dass das für mich irgendwelche negativen
Folgen hat. Darüber wird man auch aufgeklärt. Und dann soll in der zweiten
Version 2022 dieses Rechtemanagement nachgeliefert werden. Das können wir
allerdings momentan noch nicht beurteilen, weil die Spezifikation dazu … ist noch
nicht öffentlich. Und ich nehme an, sie wird ausgearbeitet.
Herald: OK. Vielen Dank euch Dreien fürs Rede und Antwort Stehen! Verabschiedet die
drei bitte mit einem kräftigen Applaus!
*Applaus*
C: Ganz herzlichen Dank für die Moderation!
*Abspannmusik*
Untertitel erstellt von c3subtitles.de im Jahr 2020. Mach mit und hilf uns!