Der Bundestag hat heute das „Gesetz zur Kompetenzerweiterung und zum Bürokratieabbau in der Pflege“ verabschiedet. Die Mehrheit des Plenums akzeptierte auch einen Änderungsantrag der CDU/CSU- und SPD-Fraktionen, den der Gesundheitsausschuss gestern beschlossen hatte. Darin sind unter anderem zwei relevante Neuerungen in der elektronischen Patientenakte enthalten.
Einerseits können künftig nur noch die Versicherten selbst ihre Abrechnungsdaten in der elektronischen Patientenakte (ePA) einsehen. Bisher war dies auch für die Behandlung von Patienten standardmäßig möglich. Andererseits können Krankenkassen mithilfe des Video-Ident-Verfahrens die Identität von Versicherten erneut bestätigen. Damit will Schwarz-Rot die Hürden für Versicherte bei der Aktivierung ihrer ePA senken.
Beide Änderungen stellen teilweise einen früheren Stand wieder her. Die Resonanz darauf ist gemischt. Während Verbraucherschützer die eine Rolle teilweise begrüßen, kritisieren Sicherheitsexperten die andere als riskant.
Zurück zu etwas mehr Selbstbestimmung
Verbraucherschützer hatten heftig kritisiert, dass Behandlungsanbieter in der ePA bisher standardmäßig auf die Abrechnungsdaten von Versicherten zugreifen konnten.
Die Daten stammen von den Krankenkassen und werden automatisch in die ePA übernommen. Daraus ergeben sich sensible Diagnosen – ebenso wie aus der Medikamentenliste mit den verordneten Medikamenten. Dadurch wird es für Versicherte schwieriger, Befunde vor der Sicht einzelner Behandler zu verbergen.
„Wir wollen, dass die Abrechnungsdaten in der ePA künftig nur für die Versicherten selbst sichtbar sind, nicht für die Leistungserbringer“, sagt Simone Borchardt, gesundheitspolitische Sprecherin der CDU/CSU-Bundestagsfraktion, auf Anfrage von netzpolitik.org. „Damit stellen wir sicher, dass keine Informationen über Abrechnungsdetails, wie Diagnosen oder Leistungsumfang, ohne die ausdrückliche Einwilligung des Patienten an Dritte zugänglich werden.“ Ziel sei es, das Vertrauen der Versicherten in die digitale Infrastruktur des Gesundheitssystems zu stärken, sagt Borchardt.
Ermutigung und Forderungen nach mehr
Das im März letzten Jahres in Kraft getretene Digitalgesetz schränkte hier die Möglichkeiten deutlich ein. Die Folgen sind nicht zuletzt für marginalisierte Patientengruppen spürbar, die auch im Gesundheitswesen Diskriminierung erfahren. Die nun beschlossene Gesetzesänderung verfeinert das sogenannte Beschwerdemanagement für Versicherte ein wenig.
Lucas Auer, Gesundheitsexperte beim Verbraucherzentrale Bundesverband, begrüßt dies. „Die Abrechnungsdaten drohen ungewollt Aufschluss über sensible Diagnosen zu geben. Gleichzeitig ist ihre Aussagekraft für den künftigen Behandlungsbedarf sehr begrenzt“, sagte Auer gegenüber netzpolitik.org. „Die enthaltenen Informationen sind oft ungenau, veraltet oder basieren auf versehentlicher oder absichtlicher Fehlcodierung.“
Wir sind ein spendenfinanziertes Medium
Sie können unsere Arbeit auch mit einer Spende unterstützen.
Auch Manuel Hofmann, Referent für Digitalisierung bei der Deutschen Aidshilfe, sieht in der Gesetzesänderung einen Fortschritt. Bei der Medikamentenliste sieht er allerdings noch Nachholbedarf: „Auch aus verschriebenen Medikamenten lassen sich sensible Diagnosen ableiten, etwa eine HIV-Infektion oder eine psychische Erkrankung“, sagt Hofmann. „Die Medikamentenliste wird automatisch aus E-Rezepten generiert und im ePA standardmäßig für jedermann einsehbar hinterlegt.“ Auch gemeinsam können bessere Lösungen gefunden werden, ohne dass die Liste ihren Nutzen verliert.
Anne-Mieke Bremer, Sprecherin für digitale Infrastruktur der Fraktion Die Linke im Bundestag, sieht in den Änderungen reine Kosmetik. Ihrer Ansicht nach wird das erklärte Ziel der Datensouveränität der Versicherten weiterhin verfehlt. „Die Patientensouveränität erfordert, dass Versicherte über alle Daten frei entscheiden, deren Herausgabe aktiv steuern und gegebenenfalls deren Speicherung verweigern oder löschen können“, sagt Bremer. Die Fokussierung auf die Sichtbarkeit verschleiert die Tatsache, dass es für den Versicherten noch immer an einer differenzierten Kontrolle aller in der ePA gespeicherten Daten mangelt.
Video-Ident kehrt zurück
Auch die Wiederzulassung des Videoidentifizierungsverfahrens ist ein Rückschritt, wird aber von Sicherheitsexperten mit Skepsis betrachtet. Video-Ident ist ein Online-Identitätsprüfungsverfahren, bei dem eine Person ihre Identität von einer geschulten Person per Video-Chat anhand eines Personalausweises überprüfen lässt.
Die Gematik hatte bereits im August das Videoidentifizierungsverfahren „Nect Ident mit ePass“ des Hamburger Unternehmens Nect genehmigt. Aus Sicherheitsgründen kann es daher zur Freigabe einer Gesundheitskarte oder zur Vergabe einer PIN für die elektronische Gesundheitskarte (eGK) verwendet werden. Mit der Karte lässt sich dann ein Gesundheitsausweis erstellen und sich in die elektronische Patientenakte einloggen.
Wollten Versicherte bisher ihre eigene ePA aktivieren, mussten sie sich digital über die eGK oder die Online-Ausweisfunktion ihres Personalausweises ausweisen – inklusive PIN-Abfrage. Jetzt können Sie dies wieder ohne PIN tun.
Vor drei Jahren erklärte die Gematik Videoidentifizierungsverfahren für unzulässig, nachdem Sicherheitsforscher des Chaos Computer Clubs mehrere gängige Videoidentifizierungsverfahren überlistet hatten – „mit Open-Source-Software und etwas roter Aquarellfarbe“. Die Gematik geht offensichtlich davon aus, dass bestimmte Videoidentifizierungsverfahren nicht mehr anfällig für die damals festgestellten Schwachstellen sind.
ePA soll endlich beim Versicherten ankommen
Das wieder zugelassene Verfahren soll dazu beitragen, die Zahl der Versicherten zu erhöhen, die die elektronische Patientenakte aktiv nutzen. Rund 70 Millionen der 74 Millionen gesetzlich Krankenversicherten haben inzwischen eine ePA von ihrer Krankenkasse erstellen lassen. Doch nur drei Prozent der Versicherten nutzen sie aktiv.
Unter anderem machte der Vorstandsvorsitzende der Techniker Krankenkasse, Jens Baas, den aus seiner Sicht zu komplizierten Anmeldeprozess verantwortlich. Anfang August forderte er, die rechtlichen Rahmenbedingungen anzupassen, damit Videoidentifizierungsverfahren wieder möglich seien.
„Eine Art 1,5-Faktor-Authentifizierung“
Sicherheitsforscherin Bianca Kastl, die auch eine Kolumne für netzpolitik.org schreibt, sieht die Rückkehr zum Videoidentifizierungsverfahren kritisch. Aus ihrer Sicht handelt es sich dabei um eine Art 1,5-Faktor-Authentifizierung. „Zumindest wird das Vorliegen eines plausiblen Ausweises geprüft, der zweite Faktor ist aber eine Videoanalyse, die heute nur noch als halbsicher gilt.“ Kastl spricht hier von einer Zwei-Faktor-Authentifizierung, bei der zwei unterschiedliche und unabhängige Komponenten überprüft werden.
Angriffsszenarien sind bei Videoidentifizierungsverfahren weiterhin denkbar. „Der physische Zugang zu Identifikationsmitteln wie dem Personalausweis stellt hier keine große Hürde dar“, sagt Kastl. „Und die Haltbarkeit von KI-Identifikationsmethoden im Vergleich zur KI-Bildsynthese dürfte in Zukunft eher begrenzt sein.“
Auch die Linken-Abgeordnete Anne-Mieke Bremer sieht die Entscheidung kritisch und befürchtet einen Präzedenzfall: „Es ist zu erwarten, dass diese riskantere Variante zum Standard gemacht und zum ‚Willen der Versicherten‘ erklärt wird“, sagt Bremer. „Statt riskante Verfahren wieder zuzulassen und die Verantwortung auf unzureichend informierte Versicherte abzuwälzen, braucht es eine Strategie, die konsequent auf Datensicherheit, Transparenz und Mitbestimmung setzt.“
Es gibt eine sichere Alternative: den PIN-Reset-Brief
Es gibt bereits eine sichere Alternative zum Videoidentifizierungsverfahren. Um dies nutzen zu können, bedarf es lediglich eines weiteren Rückschritts – indem die Bundesregierung den „PIN-Reset- und Aktivierungsdienst per PIN-Brief“ reaktiviert.
Bis Anfang 2024 konnten Bürger diesen Service nutzen, um einen Code per Post zu bestellen. Mit dessen Hilfe könnten sie dann nachträglich die Online-Funktion ihres Personalausweises aktivieren oder eine vergessene PIN erneuern.
Im Dezember 2023 verkündete die Ampelregierung jedoch überraschend das Ende des Dienstes. Als Grund nannte sie „unkalkulierbare Kosten“ in zweistelliger Millionenhöhe. Darüber hinaus wurde ein erheblicher Teil der gesendeten PINs nicht verwendet.
Wenn es um die Sicherheit der sensiblen Gesundheitsdaten von Millionen Versicherten geht, sollten diese Gründe an zweiter Stelle stehen. Und obendrein ist der PIN-Reset-Brief jetzt noch attraktiver als noch vor zwei Jahren. Denn es könnte nun nicht nur für ePerso und die ePA, sondern bald auch für das EUDI-Wallet genutzt werden.