Hamburg (epd/groe). Das digitale Gesundheitsdatennetzwerk für Ärzte, Kliniken und Krankenkassen weist nach einem Bericht des Nachrichtenmagazins Der Spiegel schon vor dem Start der elektronischen Patientenakte große Sicherheitslücken auf.

Das zeigten Recherchen des Chaos Computer Clubs (CCC), des Spiegels und des NDR, wie der Spiegel am Freitag vorab berichtete.

Die IT-Experten des CCC entdeckten dem Bericht zufolge ein Datenleck bei einem Anbieter für die elektronischen Chipkarten, mit denen sich Ärzte und Praxen Zugang zu dem verschlüsselten Netzwerk verschaffen können.

So seien allein an einem Tag im Oktober die persönlichen Daten von 168 Ärzten, die offenbar in den beiden Wochen zuvor ihren Antrag auf den elektronischen Arztausweis gestellt hatten, frei im Internet zugänglich gewesen.

Unbefugte können Arztausweis erschleichen

Weitere Recherchen von Spiegel und NDR zeigen, dass sich der elektronische Arztausweis mit Hilfe dieser Daten auch von Unbefugten erschleichen ließ, wie es weiter heißt.

Die sogenannte Telematikinfrastruktur (TI) soll das Gesundheitssystem vernetzen und demnächst auch Zugriff auf elektronische Patientenakten ermöglichen. Zugang zu diesem speziell gesicherten Netzwerk sollen nur befugte Teilnehmer wie Ärzte und Praxen über besondere Chipkarten bekommen.

Den IT-Experten des Chaos Computer Clubs ist es laut Spiegel gelungen, alle drei relevanten Karten - einen Arztausweis, einen Praxisausweis und eine elektronische Gesundheitskarte - jeweils über einen Dritten zu bestellen und an eine Wunschadresse liefern zu lassen.

Spezialgerät im Internet geordert

Auch sei es ihnen gelungen, einen sogenannten Konnektor im Internet zu ordern. Das Spezialgerät, das eigentlich nur an Befugte ausgegeben werden soll, dient dazu, die Verbindung zur TI herzustellen.

Nach dem Bekanntwerden der Sicherheitslücken ist die Ausgabe von Praxis- und Arztausweisen gestoppt worden. Das teilte die zuständige Gematik-Gesellschaft,  die für Aufbau und Sicherheit der Telematikinfrastruktur zuständig ist, dem „Handelsblatt" am Freitag mit.

Laut „Handelsblatt" hat die Gematik die Karten-Hersteller angewiesen, die betroffenen Identifizierungsverfahren für Arztausweise zu deaktivieren, Praxisausweise dürften derzeit gar nicht mehr ausgegeben werden. Eine Rückholaktion aller bereits ausgegeben Karten hält die Gematik aber nicht für erforderlich. Der IT-Experte Jens Ernst hält dies allerdings für zwingend geboten.

Gegenüber dem Spiegel hatte Gematik die aufgedeckten Schwachstellen als „nicht hinnehmbar" bezeichnet. Sie wolle nun auf den Chaos Computer Club zugehen, um die Sicherheit der TI „weiter zu optimieren", so das Magazin.

Da aktuell noch keine Behandlungsdaten gespeichert würden, seien derzeit aber keine Patientendaten in Gefahr.

2021 ist der Start der Patientenakte

Ab 2021 können alle gesetzlich Versicherten eine elektronische Patientenakte (ePA) ihrer Krankenkassen erhalten. Sie speichert lebenslang alle Gesundheitsdaten. Dabei sollen laut Bundesgesundheitsministerium die Patienten die Kontrolle darüber haben, wer die Daten zu sehen bekommt.

Mit dem Digitale-Versorgung-Gesetz werden Apotheken (bis Ende September 2020) und Krankenhäuser (bis 1. Januar 2021) verpflichtet, sich an die Telematikinfrastruktur anschließen zu lassen. Für Hebammen und Physiotherapeuten sowie Pflege- und Rehabilitationseinrichtungen ist dies freiwillig.

Die Kosten für die freiwillige Anbindung werden erstattet. Ärzte, die sich weiterhin nicht anschließen wollen, müssen einen erhöhten Honorarabzug von 2,5 Prozent ab 1. März 2020 in Kauf nehmen. Bisher lag er bei 1 Prozent.