Ärzteverbände warnen: Sicherheitslücken in der Telematikinfrastruktur – Patientendaten für Hacker zugänglich
Die Ärzteverbände MEDI GENO Deutschland, Freie Ärzteschaft und Freier Verband Deutscher Zahnärzte warnen vor Sicherheitslücken in der Telematikinfrastruktur (TI). Die TI ist die gesetzlich vorgeschriebene Vernetzungsplattform des deutschen Gesundheitssystems. Alle deutschen Praxen müssen bis zum 30.06.2019 einen Zugang zur TI installiert oder zumindest bestellt haben – ansonsten fallen Honorarabzüge an. Wegen Sicherheitsbedenken haben sich viele Ärzte und Psychotherapeuten gegen die Installation des TI-Konnektors entschieden. Für ihre Verweigerung nehmen die Praxisinhaber einen Honorarabzug in Kauf. Der Gesetzgeber will den Druck auf die Praxen erhöhen und die Honorarstrafe nächstes Jahr von einem auf 2,5 Prozent anheben.
MEDI GENO Deutschland hat Zweifel an der Sicherheit der TI. Deshalb hat der MEDI Verbund IT-Experten beauftragt, die Technologie zu prüfen. Die Informatiker haben die Schutzprofile, nach denen die TI-Konnektoren zertifiziert werden, eingehend untersucht. “Bei der Prüfung der Schutzprofile fanden die Experten verschiedene ungeklärte Fragen zur Sicherheit des TI-Konnektors. Insbesondere schützt der Konnektor selbst bei ordnungsgemäßer Installation nicht zuverlässig gegen Angriffe in die Praxissysteme, obwohl das von Seiten der Kassenärztlichen Bundesvereinigung (KBV) gegenüber den Ärzten behauptet wird“, sagt Dr. Werner Baumgärtner, Vorstandsvorsitzender von MEDI Baden-Württemberg und MEDI GENO Deutschland.
„Wir Ärzte kritisieren eine unsichere Zwangsvernetzung aller Daten im deutschen Gesundheitswesen, welche die Potenz hat, die ärztliche Schweigepflicht auszuhebeln“, sagt Dr. Silke Lüder, stellvertretende Bundesvorsitzende der Freien Ärzteschaft. Im Datenschutz und in der ärztlichen Schweigepflicht sieht sie eine wichtige Grundlage für das Vertrauensverhältnis zwischen Behandlern und Patienten: „Wenn mein Patient in der Sprechstunde nicht mehr darauf vertrauen kann, dass das, was er mir über seine gesundheitlichen Probleme berichtet, in meinem Sprechzimmer bleibt, kann ich nicht mehr für ihn arbeiten. Mein Patient wird mir vieles nicht mehr erzählen und ich kann dadurch keine aufschlussreichen Anamnesen mehr erheben und keine richtigen Diagnosen stellen“.
Für etwaige Folgen von Sicherheitslücken der staatlich aufgezwungenen TI-Konnektoren müssen die Praxisinhaber haften. Baumgärtner findet das inakzeptabel: „Die Praxen werden unter Strafe in eine TI gezwungen, deren Sicherheit nicht ausreichend geprüft ist und zu der entscheidende Fragen der Sicherheit nicht beantwortet sind. Die Haftung bei Datenverlust durch Hacking liegt gemäß der DSVGO bei den Praxen und die Patientendaten sind nicht so sicher, wie dies notwendig wäre.“ MEDI GENO Deutschland geht gerichtlich gegen die staatlich erzwungene Vernetzung vor. Es sei nicht hinnehmbar, dass das Sozialgesetzbuch Arztpraxen dazu zwingt, sich an eine Telematikinfrastruktur anzuschließen, bei der ungeklärte Fragen der Sicherheit der Patientendaten bestehen.
„Ärzte nutzen seit Langem digitalisierte Daten und wenden jede Form moderner Technik in Praxen und Kliniken an. Wir fordern eine sichere digitale Kommunikation im Medizinbetrieb: Ende zu Ende verschlüsselt, ohne staatlichen Zugriff, ohne zentrale Speicherung – und jeder Patient bekommt wie auch jetzt schon seine medizinischen Daten ausgehändigt“, sagt Lüder. Minister Spahn sei die ursprüngliche Zielsetzung einer verbesserten digitalen Kommunikation im Gesundheitswesen völlig aus dem Blick geraten. Stattdessen werde jetzt populistisch eine unsichere Handykommunikation aufgebaut, mit der die Schweigepflicht nicht mehr gesichert werden könne. „Das neue Digitalgesetz aus dem Hause Spahn ist ein Zwangsgesetz zu Lasten von Patienten und Ärzten“, so Lüder.
Viele Sicherheitstests können nicht vorgenommen werden, weil eigene Tests der Ärzteschaft gesetzlich verboten sind. „Wir kritisieren auch, dass die Sicherheit des Anschlusses der Praxen an die TI nicht in einem Penetrationstest getestet wurde. Eigene Tests der Ärzteschaft sind gesetzlich verboten. Wir hätten den PEN-Test auf unsere Kosten durchgeführt“, erklärt Baumgärtner.
Penetrationstests gehören standardmäßig zu den sechs Testmethoden bei der Sicherheitsprüfung von Softwareprodukten und -systemen. Sie sind in der ISO 27034-1 festgeschrieben. „Jede dieser Methoden identifiziert andersartige Sicherheitslücken in Hardware und auch in jeder Art Software. Für die Nutzung freigegeben werden kann ein System oder ein Produkt erst nach einem erfolgreichen Security Test!“ erklärt Prof. Dr. Hartmut Pohl, Geschäftsführer der Cyber-Sicherheitsberatung softScheck GmbH.
„Patientendaten sind im Moment für Hacker leicht zugänglich. Und das, obwohl Gesundheitsdaten die langfristig schutzbedürftigsten Daten sind, die wir Menschen haben“, betont IT-Dienstleister Jens Ernst. Für seinen Kunden, eine Arztpraxis, hat er bei einer Sicherheitsprüfung auf verschiedene Arten das Testvirus EICAR über den ordnungsgemäß angeschlossenen TI-Konnektor ins Praxisnetzwerk eingeschleust. Nachgewiesen hat er auch, dass die integrierte Firewall die Kommunikation nicht kontrolliert und alle Ports ausgehend geöffnet sind. Der Test lässt auf unzureichenden Schutz der Konnektoren schließen.
Quelle: Homepage von MEDI Verbund.