Viele Menschen hatten große Hoffnungen in die elektronische Patientenakte (kurz: ePA) gesetzt: Sie soll die Kommunikation unter Behandelnden sowie mit Patienten und Patientinnen digitalisieren. Arztbriefe sollen so ihr Ziel schneller erreichen und auch Medikationspläne, Allergien und potenzielle Nebenwirkungen könnten mit nur wenigen Klicks verfügbar sein. »Schon bei der Einführung werden wir Zehntausenden Menschen das Leben retten können«, hatte Gesundheitsminister Karl Lauterbach versprochen.

Doch als die Akte am 15. Januar 2025 in einigen Pilotregionen eingesetzt wurde, musste die ursprünglich für Februar geplante bundesweite Einführung verschoben werden – bis heute nennt das Bundesgesundheitsministerium auf Anfrage keinen konkreten Starttermin. Zuvor hatten Sicherheitsforscher des Chaos Computer Club (kurz CCC) gemeinsam mit einer Expertin für Digitalisierung im Gesundheitswesen eine massive Sicherheitslücke im System gefunden: Nach eigener Aussage wäre es ihnen möglich gewesen, auf jede Patientenakte zuzugreifen. Der CCC hatte die Verantwortlichen, die Nationale Agentur für Digitale Medizin namens Gematik, zwar bereits im August 2024 darüber informiert. Doch man habe »keinen akuten Handlungsbedarf« gesehen, teilte die Gematik auf Anfrage mit.

Erst als die Sicherheitsforscher im Dezember 2024 auf einem Kongress des CCC ihren Angriff live vorstellten, wurden sich die Verantwortlichen offenbar der Gefahr bewusst. Die eilig umgesetzten Maßnahmen schlossen die Lücke allerdings nicht. Bis heute kämpft die Gematik damit, die Schwachstellen zu beheben, unter anderem eine Lücke bei der Authentifizierung. Durch diese war es den CCC-Sicherheitsforschern beispielsweise möglich, sich durch bloßes Hochzählen einer Nummer auf der Versichertenkarte Zugang zur Akte zu verschaffen – ohne die Karte selbst vorliegen zu haben. Sie konnten also die nötigen Informationen erraten, da eine Zahlenfolge, die für die Anmeldung nötig ist, chronologisch durchnummeriert ist. Zudem gab es Probleme mit der Verschlüsselung von Passwörtern und eine weitere Sicherheitslücke, durch die sich Angreifer Praxisausweise beschaffen könnten.

»Das System der elektronischen Patientenakte ist auf dem Stand eines Webshops der nuller Jahre«Thomas Fricke, Cloud Security Architect

Das seien brutale Anfängerfehler, urteilt Thomas Fricke, Cloud Security Architect und Gründungsmitglied des Innovationsverbunds Öffentliche Gesundheit INÖG: »Das System der elektronischen Patientenakte ist auf dem Stand eines Webshops der nuller Jahre.« Deswegen rieten unter anderem der Verband der Kinder- und Jugendärzte Eltern angesichts der Sicherheitsprobleme dazu, der Anlage einer elektronischen Patientenakte für ihre Kinder zu widersprechen.

Darüber hinaus bemängeln viele das so genannte Opt-out-Verfahren: Für alle gesetzlich Versicherten wird eine Akte angelegt und Behandelnde sind verpflichtet, diese zu befüllen. Wer keine Akte haben möchte, muss aktiv widersprechen. Viele Patienten sind allerdings nicht hinreichend informiert, stellte der Bundesverband der Verbraucherzentralen fest. Eine Untersuchung des Verbands zeigte, dass die Krankenkassen ihrer Informationspflicht nicht so nachkommen wie vorgeschrieben.

Wegen diesen und vielen weiteren Punkten hagelt es seit Monaten Kritik. Dabei hätte es Mittel und Wege gegeben, ein solches Projekt verantwortungsvoll und sicher umzusetzen. Was ist bei der ePA schiefgelaufen?

Transparenz als Lösung?

Eine Schwierigkeit besteht darin, dass das Projekt ePA hinter verschlossenen Türen ausgearbeitet wurde. Wäre der Code öffentlich einsehbar gewesen (»open source«), hätten Fachleute einige der Fehler schnell gefunden, sagt Fricke. Damit wäre dem Projekt die öffentliche Blamage samt dem Vertrauensverlust in der Bevölkerung erspart geblieben. »Schließlich wird die ePA mit Steuer- und Krankenkassengeldern bezahlt, ich verstehe nicht, wieso das nicht open source gestellt wird.«

Inwiefern ein offener Code tatsächlich zu mehr Sicherheit führt, ist allerdings auch unter Expertinnen und Experten umstritten. Manche warnen davor, dass man sich bei Open-Source-Lösungen zu sehr darauf verlasse, dass diese sicher seien – auch wenn es immer noch unentdeckte Lücken geben könnte. Dennoch ist sich Fricke sicher: »Die großen Grundfehler wären sofort aufgefallen.«

Zudem hätte es finanzielle Vorteile gehabt, das Projekt öffentlich zu gestalten. Denn einige Sicherheitstools, so genannte Security Scanner wie SAST und DAST, die Programmcodes automatisch auf Sicherheitslücken überprüfen, sind für Open-Source-Projekte kostenlos. »Man hätte hier eine ganze Reihe von sicherheitsrelevanten Schritten machen können, ohne allzu viel Geld auszugeben«, so Fricke.

Alle wichtigen Daten an nur einem Ort

Ein zweites Problem der elektronischen Patientenakte ist ihr Aufbau, der auf einer zentralen Datenbank beruht. Alle sensiblen Daten an einem Ort zu haben, sei laut Frickel heikel. »In der IT-Sicherheit sagt man: Wenn es einen Trog gibt, dann kommen die Schweine.« Ein Angriff auf eine Plattform lohnt sich umso mehr, wenn dort viele Daten auf einmal zu erbeuten sind. Auch andere Fachleute und Ärzte haben immer wieder gewarnt, dass Gesundheitsdaten zu sensibel seien, um sie auf derart unsichere Weise zu speichern.

Sogar wenn die digitale Akte den aktuellen Sicherheitsstandards entsprechen würde, gebe es Grund zur Sorge, warnt Fricke. Denn selbst Unbeteiligte haben erstaunlich lange Zugriff auf die sensiblen Daten. So kann jede Arztpraxis nach dem Einstecken der Gesundheitskarte drei Monate lang auf die ePA zugreifen. Und auch Apotheken haben nach drei Tagen noch Zugang dazu. »Bei uns in der Nähe wohnt ein Staatsanwalt im Bereich organisierter Kriminalität mit drei Töchtern«, sagt Fricke – ein lohnenswertes Ziel für Kriminelle, die den Staatsanwalt nicht nur mit seinen eigenen Daten erpressen könnten, sondern ebenso mit Erkenntnissen über dessen Familie. »Der Zugriff muss deutlich eingeschränkt werden«, erläutert Fricke, »zumindest auf Ärzte, die direkt etwas mit dem Patienten zu tun haben.«

Aber auch für staatliche Akteure oder Hackergruppen bietet das Angriffspunkte. So muss man sich nicht unbedingt von außen ins System hacken, sondern könnte durch eine Person aus dem Gesundheitswesen Zugang erhalten. Die möglichen Folgen sind breit gefächert: Eine Ärztin in einer Klinik könnte in die Akte ihres Nachbarn sehen, mit dem sie gerade einen Streit hat, oder eines unbeliebten Politikers – selbst wenn sie diesen nicht behandelt. Oder der russische Geheimdienst könnte einen Krankenpfleger bestechen, um Informationen zu einer Zielperson zu erhalten und diese damit erpressen. »Es ist sträflich, ein solches Projekt ohne Bedrohungsmodell zu planen«, warnt Fricke.

Es wurde nicht geprüft, ob die ePA auch Angriffen ausländischer Regierungen standhält. Solche Szenarien seien nicht relevant

Tatsächlich hatte die Gematik erst kurz vor dem offiziellen Start der ePA (und lange, nachdem das Konzept erarbeitet worden war) das Fraunhofer-Institut für Sichere Informationstechnologie (SIT) beauftragt, ein Sicherheitsgutachten zu erstellen. Dabei wurde jedoch nicht geprüft, ob das System auch Angriffen ausländischer Regierungen standhält. Solche Szenarien seien nicht relevant, heißt es darin. Die Gematik hat also beschlossen, dass sich staatliche Angreifer für sensible Daten deutscher Bürgerinnen und Bürger nicht interessieren – eine Auffassung, die der Verfassungsschutz nicht teilt.

Lehren aus der Coronapandemie

Viele dieser Probleme hätten sich vermeiden lassen können, wie das Beispiel der Corona-Warn-Apps zeigt. Zu Beginn der Coronapandemie wollten die Verantwortlichen ebenfalls die Daten zur Kontaktnachverfolgung zentral sammeln, erklärt Theresa Stadler, Wissenschaftlerin im Bereich der Neuronalen Datenverarbeitung und der Biomathematik am Security and Privacy Engineering Lab der École polytechnique fédérale de Lausanne (EPFL), die an der Planung der Apps beteiligt war. »Wir haben gesagt: Stopp, wir haben das mal durchdacht, werft euer Konzept in den Papierkorb, das geht besser«, erinnert sich Stadler und lacht. Natürlich hätten das die Verantwortlichen zunächst nicht hören wollen. Damals sei es aber gelungen, früh genug eine »kritische Masse« für den datenschutzfreundlichen Ansatz zu gewinnen. Der öffentliche Druck sei irgendwann groß genug gewesen, um das geplante Konzept umzuwerfen.

Die erste Fehleinschätzung sei gewesen, dass man die Kontakt- und Bewegungsdaten der Personen in einer großen Datenbank speichern müsse. Das liege daran, dass die Verantwortlichen nicht genau genug überlegt hätten, welche Funktion die App erfüllen soll, sagt Stadler. Eigentlich wollte man doch nur, dass jemand, der in Kontakt mit einer infizierten Person war, eine Nachricht bekommt. Das lasse sich ohne zentrale Datenbank einfach mit Bluetooth lösen; einem Weg der Datenübertragung von Smartphone zu Smartphone.

Wer einer infizierten Person begegnete, die später ihr Testergebnis in die App lud, wurde über den entsprechenden Kontakt und den Zeitpunkt informiert. Durch diese Lösung liefen nirgendwo zentral Daten zusammen und niemand erfuhr, wer sich mit wem getroffen hatte. So war es kriminellen Akteuren nicht möglich, auf die sensiblen Gesundheits- oder Bewegungsdaten zuzugreifen.

Wenn man die Funktion seines Vorhabens von Anfang an klar definiere, dann seien Datenschutz und Sicherheit kein Mehraufwand, erklärt Stadler. Meist ziehe man Fachleute wie sie aber erst ganz am Ende eines Prozesses hinzu. »Der Datenschutz schaut am Ende noch drauf«, heißt es dann. In diesem Fall sind die wichtigsten Entscheidungen aber schon gefallen, wodurch Verbesserungen oft viel Zeit und Geld kosten. »Dann haben wir wieder das Narrativ, laut dem der Datenschutz bremst.«

Was genau soll die ePA eigentlich leisten?

Einige Schwachstellen der elektronischen Patientenakte hätten sich vermeiden lassen, wenn man ihre genaue Funktion im Voraus definiert hätte. Eine besteht zum Beispiel darin, Behandelnde zu warnen, wenn es einen Konflikt zwischen zwei Medikamenten gibt, die einem Patienten verschrieben werden. Dafür brauche es Stadler zufolge ganz sicher keinen zentralen Datenspeicher. Ärzte müssen nicht auf alle bisherigen Behandlungsdaten eines Patienten zugreifen können. Oft werde aber nicht so weit gedacht. »Die Mutter allen Übels ist es, wenn man nicht über die Kernfunktion nachdenkt, sondern einfach das digitalisiert, was bisher auf Papier stattgefunden hat«, so die Forscherin. Dabei biete Digitalisierung gerade die Chance, Probleme effizienter zu lösen.

Natürlich wäre auch eine solche Lösung nicht völlig sicher. Eine Ärztin oder ein Apotheker könnte anhand der möglichen Wechselwirkungen von Arzneistoffen auf die Diagnose eines Patienten schließen. »Vielleicht gibt es nur drei Medikamente, die mit dem aktuell Verschriebenen in Wechselwirkung treten – und alle drei sind Krebsmedikamente.« Ob die potenziellen Vorteile die damit einhergehenden Nachteile überwiegen, müsse man erörtern. »Diese fundamentalen Risiken sollten als erster Schritt diskutiert werden, bevor man Millionen ausgibt«, sagt Stadler.

»Daten, die nützlich für die Forschung sind, kann man nicht gut anonymisieren«Theresa Stadler, Sicherheitsforscherin

Die Möglichkeit, aus bestimmten Informationen auf weitere zu schließen, ist auch ein Problem bei der zweiten wichtigen Funktion der ePA: die Daten mit der Forschung zu teilen. Immer wieder warnen Fachleute davor, dass man von anonymisierten (oder pseudonymisierten) Daten schnell auf eine Person rückschließen kann. Dafür müssen beispielsweise nur drei Merkmale bekannt sein, wie ein eindrückliches Beispiel Mitte der 1990er Jahre zeigte. Damals veröffentlichte der Bundesstaat Massachusetts anonymisierte Daten über die Krankenhausaufenthalte aller Staatsbediensteten, dazu Postleitzahl, Geschlecht und Alter. Die Informatikerin Latanya Sweeney, heute Direktorin des Harvard Data Privacy Lab, konnte durch öffentliche zugängliche Informationen den Gouverneur des Bundesstaates William Weld innerhalb der Daten ausmachen. Sie schickte ihm kurzerhand seine vollständige Krankengeschichte. Einige Jahre später identifizierte Sweeney anonyme Teilnehmer einer großen DNA-Studie, und 2018 glichen Forschende der Harvard University anonyme Krankenakten mit Presseberichten ab und konnten ein Drittel der Betroffenen mit Hilfe von Presseartikeln über Unfälle eindeutig einer Akte zuordnen.

Informationen über das Geschlecht oder das Alter wegzulassen, sei aber Stadler zufolge keine Lösung, da die Forschung darauf angewiesen ist, um überhaupt sinnvolle Schlüsse aus medizinischen Daten zu ziehen. »Daten, die nützlich für die Forschung sind, kann man nicht gut anonymisieren«, betont Stadler. Man müsse deshalb abwägen, was wichtiger ist.

Neue Verfahren für den Datenschutz

Aktuell werden Verfahren erforscht, die auch für die Forschung relevante Daten schützen sollen. Zum Beispiel könnte ein Algorithmus direkt auf dem Gerät der Betroffenen ausgeführt werden und die Daten verschlüsseln, so dass niemand die Informationen selbst einsehen kann. Ansätze dafür sind föderales Lernen oder homomorphe Verschlüsselung: Bei diesen Ideen können die Forschenden nicht auf die Daten selbst zugreifen, sondern führen die Auswertungen verschlüsselt aus. Diese Methoden stehen aber noch am Anfang, so Stadler, und brauchen teilweise viel Rechenleistung. »Da ist noch Luft nach oben, aber für einfache Funktionen ist es schon recht gut möglich.«

Das größere Problem bei diesen Analysemethoden ist aber ein anderes: »In der Forschung ist es kaum möglich, den Zweck oder die Frage im Vorhinein einzuschränken«, erklärt Stadler. Die neuen datenschutzfreundlichen Methoden ermöglichen es nicht, allgemein nach Korrelationen zu suchen. Die konkrete Forschungsfrage und der zugehörige Algorithmus für die Datenauswertung müssen von vornherein feststehen.

Stadler hat in der Vergangenheit selbst mit biomedizinischen Daten gearbeitet und versteht daher die Beschwerden über den bürokratischen und praktischen Aufwand, den der Datenschutz mit sich bringt. »Ich würde mir auch manchmal wünschen, dass das anders ist.« Gleichzeitig müsse man sich immer wieder klar machen, dass Datenschutz die Menschen vor Gefahren schütze. »Das Narrativ, dass der Datenschutz alles blockiert, ist falsch und kontraproduktiv.« Denn wer ihn von Anfang an mitdenkt, muss am Ende keine extra Schleifen drehen und hat ein stabileres System.

So hätte es auch bei der elektronischen Patientenakte sein können. Stattdessen setzte die Gematik darauf, das Projekt im Alleingang unter Ausschluss der Öffentlichkeit zu entwickeln – mit schwer wiegenden Folgen für die Sicherheit sensibler persönlicher Daten.