Patientendaten in Gefahr

Auslöser für die Sicherheitslücke ist die Anbindung an die sogenannte Telematikinfrastruktur (TI). Sie soll eigentlich Praxen, Krankenhäuser und Apotheken miteinander verbinden und verschiedene Anwendungen ermöglichen, darunter die elektronische Patientenakte. Dem vertraulichen Papier zufolge haben mehr als 90 Prozent der an das Gesundheitsdaten-Netzwerk TI angeschlossenen Praxen Sicherheitsrisiken - mit der Folge, dass sich Hacker leicht Zugang zu den sensiblen Gesundheitsdaten von Millionen Patienten verschaffen könnten.

Schon seit dem Frühjahr 2019 weist der IT-Fachmann Jens Ernst auf Sicherheitsprobleme hin. Grund für die Sicherheitslücke ist die Methode, wie Praxen an das Gesundheitsnetzwerk TI angeschlossen worden sind. Dabei gibt es zwei Verfahren: das sogenannte parallele Anschlussverfahren und das sogenannte serielle. Beim parallelen Anschlussverfahren müsste unbedingt eine zusätzliche technische Absicherung wie zum Beispiel durch eine Firewall erfolgen. Genau diese fehlt jedoch offenbar in etlichen Praxen. Viele Praxen beauftragen private IT-Dienstleister, um ihre Praxis an das Gesundheitsnetzwerk zu bringen.

Nach Recherchen von "Panorama 3" und "Süddeutscher Zeitung" erfolgten bis Mai 2019 mehr als 90 Prozent der Installationen in dem als kritisch bewerteten Parallelbetrieb. Inzwischen hängen rund 115.000 Praxen an dem Gesundheitsdatennetzwerk.

Prof. Harald Mathis vom Fraunhofer Institut für Angewandte Informationstechnik FIT hat im Auftrag des bayrischen Fachärzteverbands exemplarisch 30 Praxen untersucht, die mit dem problematischen Parallelbetrieb angeschlossen wurden. "Ein Drittel war sicher und die anderen zwei Drittel waren in einem beklagenswerten Zustand", sagt Mathis. IT-Fachmann Jens Ernst sieht die Bundesregierung in der Verantwortung. Er kritisiert unter anderem, dass IT-Dienstleister nicht staatlich zertifiziert seien.

Das Gesundheitsministerium weist die Vorwürfe von sich. Es erklärt auf Anfrage, dass die "IT-Netze in den Praxen nicht Teil der Telematikinfrastruktur" seien. Die sichere Installation sei Aufgabe der Praxen. Die vom Bundesgesundheitsminister beauftragte Gesellschaft Gematik ergänzt, sie habe keine Vertragsbeziehung zu den Dienstleistern und könne "daher nicht direkt auf die Dienstleister Einfluss nehmen". Dabei hat die Gematik laut Gesetz die Aufgabe, die Umsetzung der Telematikinfrastruktur zu überwachen.

Für die Patienten können die Folgen beträchtlich sein: Praxen mit dem kritischen Parallel-Anschluss sind bereits gehackt worden, wie die Recherchen von "Panorama 3" und SZ zeigen.

Mit dem digitalen Versorgungsgesetz, das vergangene Woche im Bundestag beschlossen wurde, will Bundesgesundheitsminister Jens Spahn nun nachbessern. Die Kassenärztliche Bundesvereinigung soll eine Richtlinie zur IT-Sicherheit in Praxen erarbeiten. Allerdings soll die erst ab Sommer 2020 greifen.