News Elektronischen Patientenakten: Hacker finden erneut Sicherheitslücken in der ePA

[Nuklon]

@Piktogramm du wirst Persönlich und Anmaßend. Für mich hat der gegenüber dann immer verloren, wer sowas zum argumentieren braucht.

Grundproblem ist doch das die Arztpraxen technisch maßlos überfordert sind. Aber wenn man ihnen es aber abnehmen will sie wieder mit digitaler Souveränität kommen und immer extra Geld wollen. Dann wird es teuer und es kommen Lösungen zustande, die Scheiße sind.
Das war schon 2010-2015 so. Ärzteverbände haben unter den Deckmantel der Datensicherheit Dinge gefordert, die die TI an die Unbenutzbarkeit getrieben haben und teuer machten. Bestes Beispiel ist hier der Intermediär, dass die Kassen nicht wissen sollen, welcher Arzt sie anfragt, obwohl 1-3 Monate später in der Abrechnung das trotzdem sehen. Intermediäre kosten den Versicherten dutzende Millionen. Hier verdient man sich nen goldenen Hintern.
Eigentlich wollen sie verhindern, das Daten aus ihrem System für den Versicherten online einsehbar sind.
Erste Überlegungen zu den Daten auf der eGK (AMTS, Notfalldaten) sah vor das dies nur in der Arztpraxis geht, "damit der Arzt es erläutern kann" Und Geld wollten sie auch noch für.
Apotheken verhinderten den ersten Onlinegang weil sie in der ersten Ausbaustufe nicht beteiligt waren und kein Geld bekamen.
Die gematik musste umsetzen was deren Eigentümer beschlossen und die Kassen konnten sich mit den anderen Verbänden auf quasi nichts einigen. Jeder Punkt musste in den Schlichterausschuss. Und die hatten alle keine Ahnung wie das technisch umzusetzen ist. Dann kam noch das BSI und BfDI und haben Anforderungen gestellt.

So wurden dafür Spezifikationen geschrieben, Entwicklungen betrieben und Zulassungen gemacht. Geld ohne Ende wurde ausgegeben.
die gematik war auch nur ein politsicher Spielball. Ich finde, das die für die Sandwichposition ihre Arbeit ganz okay machen. Da sitzen auch nur Menschen. Und bisher habe ich da keinen gehabt, der nicht das große ganze im Blick hatte.

Und ja die bisherigen Lösungen sind nicht perfekt. Man muss aber auch immer den Patienten im Blick behalten was ihm was bringt. Die Lösung der EPA mit Zugang eGK und PIN war relativ sicher. Wurde aber von keinem benutzt, weil die Ursprungsidee vorsah, das Arzt und Patient im Arztzimmer jeweils ne 6 stelligen Pin eingeben. Das wurde von niemanden außerhalb von Testphasen genutzt.
Schau dir den CCC Vortrag an, von Weihnachten wo er bei der Frage nach Nichtnutzung stockt und sagt das es für Patienten denen ihr Datenschutzniveau nicht ganz so wichtig ist, Vorteile bringen kann. Selbst der sieht da einen Zwiespalt zwischen Sicherheit und Usability. Zudem war da noch die Aussage das die gematik einen Zweispalt zwischen politischen Willen und Einführung guter Software hat. Sprich sie auch ein getriebener ist.

Bei EPA bricht der Gesetzgeber es immer übers Knie und immer mit Bigbang. Er lernt auch nie draus. eAU z.B. hat 1,5 Jahre Einführungsphase gehabt. Ist auch nicht perfekt (0,x% Fehlerquote) aber sie geht, man hat ihr Zeit gelassen das alle sich sauber einfahren. Genauso beim eRezept. Endlose Quälereien aber letztendlich kam es dann.

EPA ist dann der Höhepunkt an Kosten, Terminen und Nichtnutzen für den Patienten, da gehe ich mit.

Dennoch: Es ist immer einfach von außen drauf zu hauen, schlaue Kommentare zu geben, wie doof die sind. Das System ist komplex und niemand sieht komplett durch. Es gab auch noch keinen der mit besseren Ideen in das System kam, das von seinen Shareholdern und Stakeholdern komplett getrieben wird. Die zerreiben dir alles zwischen den Fingern mit ihren Einzelinteressen.
Dennoch sind abeits der EPA viele gute Digitalisierungsprojekte unterwegs (Heil und Kostenpläne, eAU, Diga, Hilfsmittel, Heilmittel; Pflege usw.)
Einige haben viel Potenzial Arbeit zu erleichtern für Praxen, Apotheken, Pflegeheime usw und die Versorgung zu verbessern und darum geht es doch letztendlich.

Und darum: Ich kann das nicht ernst nehmen was du schreibst. Frag mal BfDI und BSI - abseits der EPA wo sie politisch derzeit nur ihren Arsch an der Wand haben wollen (und nur darum geht es gerade) - ob die gematik mit ihnen oder gegen sie arbeitet und ich verwette nen Monatslohn drauf, das die Antwort sein wird, das sie vertrauensvoll und konstruktiv zusammenarbeiten.

 

[Piktogramm]

du wirst Persönlich und Anmaßend. Für mich hat der gegenüber dann immer verloren, wer sowas zum argumentieren braucht.

Ja, das Thema führt bei mir zu Bluthochdruck und wenn da irgendwer beschreibt, dass da irgendwas funktionieren würde entfernt sich das für mich komplett von der Realität.

Ich bin kein Entwickler, aber Softwarearchitektur musste ich als ehemaliger Student pauken. Die Spezifikationen der Gematik für die TI und ihre Komponenten sind da teils einfach haarsträubend.
Als Jemand der zwei Praxen betreut samt TI, ist die Adminstration, Organisation rund um die TI absolute Katastrophe. Organisatorisch katastrophal, enorme Kosten, unzuverlässlich im Betrieb, intransparent, ein Flickenteppich an Softwarekomponenten

Mit Spezialisierung IT-Sec, CCC-Umkreis, schaue ich mir die Specs an, nehme gelegentlich Programme auseinander und es ist ein Hohn gegenüber etablierter Grundlagen an IT-Sicherheit. Wobei IT-Sicherheit Konzept, Implementierung und Nutzerführung umfasst.

Und dann die Behauptungen, dass die Gematik gescheit mit BfdI, BSI, CCC oder sonstigen Kritikern zusammenarbeiten würde. Der BfdI der zuletzt im Amt war (Ulrich Kelber) beschreibt wie gut das funktioniert hat. Ignoriert und in Konsequenz eine Gesetzesänderung. Das ist keine gute Zusammenarbeit. Der CCC bzw. dessen Mitglieder kritisiert und hackt an dem Mist rum und in Konsequenz gibt es allenfalls Beschimpfung vom ehemaligem Geschäftsführer der Gematik.

Grundproblem ist doch das die Arztpraxen technisch maßlos überfordert sind.

Das technische Design ist einfach absurd komplex, fragmentiert, bei gleichzeitiger Kontroll- und Regelungslücken bei Anbietern bis Systemhäusern. Ebenso wirken viele Prozesse so, als hätte sie mal jemand am Reisbrett entworfen, ohne den Alltag zu beleuchten.

Aber wenn man ihnen es aber abnehmen will sie wieder mit digitaler Souveränität kommen und immer extra Geld wollen.

Das die Ärztekammern bzw. sonstige Vertreter mitunter den Schuss nicht gehört haben, da gehe ich komplett mit. Das da Geld gefordert wird verstehe ich aber auch. Die Pflichten was Dokumentation, Prozesse etc. angeht wurden und werden immer schärfer, der Arbeitsaufwand steigt. Dahinter steht bezahlte Arbeitsleistung, die bei einer Praxis auch irgendwie wieder reinkommen muss.

Dann wird es teuer und es kommen Lösungen zustande, die Scheiße sind.
Das war schon 2010-2015 so. Ärzteverbände haben unter den Deckmantel der Datensicherheit Dinge gefordert, die die TI an die Unbenutzbarkeit getrieben haben und teuer machten. Bestes Beispiel ist hier der Intermediär, dass die Kassen nicht wissen sollen, welcher Arzt sie anfragt, obwohl 1-3 Monate später in der Abrechnung das trotzdem sehen. Intermediäre kosten den Versicherten dutzende Millionen. Hier verdient man sich nen goldenen Hintern.
Eigentlich wollen sie verhindern, das Daten aus ihrem System für den Versicherten online einsehbar sind.
Erste Überlegungen zu den Daten auf der eGK (AMTS, Notfalldaten) sah vor das dies nur in der Arztpraxis geht, "damit der Arzt es erläutern kann" Und Geld wollten sie auch noch für.

Apotheken verhinderten den ersten Onlinegang weil sie in der ersten Ausbaustufe nicht beteiligt waren und kein Geld bekamen.
Die gematik musste umsetzen was deren Eigentümer beschlossen und die Kassen konnten sich mit den anderen Verbänden auf quasi nichts einigen. Jeder Punkt musste in den Schlichterausschuss. Und die hatten alle keine Ahnung wie das technisch umzusetzen ist. Dann kam noch das BSI und BfDI und haben Anforderungen gestellt.

Und die Anbieter von Soft- und Hardwarekomponenten haben auch fröhlich mitgemischt und ihre Interessen durchgedrückt.
Das ändert aber nichts daran, dass das alles unter dem Deckmantel der Gematik passierte und das Ergebnis wirklich nicht gut ist. Was sich eben auch aus der Organisationsform ergibt. Wenn man ein technisches System aufbauen will/muss, kann man eben nicht erst faule Kompromisse von Partikularinteressen aushandeln und dann mal schauen ob/wie/was man da technisch draus macht. Analog, man streitet sich nicht um die Bauart eines Luftschlosses und beschwert sich am Schluss bei den Statikern, dass sie sagen, dass es eine Katastrophe ist.

Ich finde, das die für die Sandwichposition ihre Arbeit ganz okay machen. Da sitzen auch nur Menschen. Und bisher habe ich da keinen gehabt, der nicht das große ganze im Blick hatte.

Ja die Sandwichposition ist scheiße, aber bei dem "okay" gehe ich nicht mit. Die Aussage vom ehemaligem Chef zeigt ja, dass das Interesse eben nicht darin bestand akzepatble Leistung abzulegen. Die IT-Hardliner deren Abgang als etwas positives gesehen wurde, deuten ja stark darauf hin, dass eben nicht das Große Ganze im Blick war/ist. Technische Möglichkeiten, technische Grundlagen, technische Bedingungen wurden und werden ignoriert und bei der Umsetzung eines technischen Systems nachrangig betrachtet. Die Ergebnisse sind entsprechend.

Wer das Große und Ganze im Blick hätte, hätte da grundlegend anders aggiert. Hätte man die TI als Infrastruktur begriffen, müsste man sie anders angehen und abbilden.
1. Infrastruktur darf Anwender keine, allenfalls wenig Kosten verursachen (Zeit, Geld, sonstige Aufwände)
Was aber auch bedingt, dass Profite für Anbieter deutlich schwinden.
2. Digitale Infrastruktur braucht verpflichtende Standardisierung und (im Zweifelsfall erzwungende) Interoperabilität. 2005 gab es noch kein FHIR, aber es hätte festgestellt werden müssen, dass es für ein derart einheitliches Format zwingenden Bedarf gibt.
3. Es hätte gebraucht bzw. braucht harte Sanktionen bei Verletzung bei der Verfügbarkeit und groben Pfusch bei der Konzeptionierung und Umsetzung.

Es ist aber das Gegenteil.
1. Der Zugang zur TI ist extrem teuer, organisatorisch ist die Stückelung der Subdienste die Hölle, das immer wiederkehrende Beantragen von Kostenerstattung ist einfach nervig/aufwendig.
2. Bisher landet nich maschinenlesbares PDF/A in der ePA, Datenaustausch zwischen Softwarekomponenten ist zwischen Behandlern kaum/nicht möglich (als abtippbare PDF..), teils ist bei ein und dem selben Behandler mittlerweile mehrere Softwarekomponenten im Einsatz, die redundante Daten vorhalten, weil Interoperabiltiät fehlt.
3. Das teuerste VPN, teuerste Email-Konto, teuerster API-Zugriff die ich irgendwo gebucht habe, dafür kein belastbares SLA. Dafür <95% Verfügbarkeit und Latenzen für Datensätze unter 100kB von teils Minuten. Ganz abgesehn von der Softwarequalität und dem Schutzniveau der Software.. Das ist eine gruselige Angelegenheit..

Und ja die bisherigen Lösungen sind nicht perfekt. Man muss aber auch immer den Patienten im Blick behalten was ihm was bringt. Die Lösung der EPA mit Zugang eGK und PIN war relativ sicher. Wurde aber von keinem benutzt, weil die Ursprungsidee vorsah, das Arzt und Patient im Arztzimmer jeweils ne 6 stelligen Pin eingeben. Das wurde von niemanden außerhalb von Testphasen genutzt.
Schau dir den CCC Vortrag an, von Weihnachten wo er bei der Frage nach Nichtnutzung stockt und sagt das es für Patienten denen ihr Datenschutzniveau nicht ganz so wichtig ist, Vorteile bringen kann. Selbst der sieht da einen Zwiespalt zwischen Sicherheit und Usability. Zudem war da noch die Aussage das die gematik einen Zweispalt zwischen politischen Willen und Einführung guter Software hat. Sprich sie auch ein getriebener ist.

Bei jedem Einsatz eine PIN verlangen ist an sich kein Teufelswerk. Klappte lange bei EC-Karten auch. Genauso klappt bei EC-Karten aber auch, dass nur gelegentlich eine PIN beim kontaktlosem Zahlen abgefragt wird.
An sich sind Systeme vorstellbar die Rechte zur Einsicht der ePA abgestuft ermöglichen. Vollzugriff nur unter Bewilligung der Betroffenen/Bevollmächtigten (eGK+Pin, authorisation über App+eGK). Notfallinformationen bei authentifizierten Zugriffen durch entsprechende HBAs. Was aber immer gegeben sein muss, ist eine saubere, transparente Protokollierung gegenüber den Betroffenen.

Ist auch nicht perfekt (0,x% Fehlerquote) aber sie geht, man hat ihr Zeit gelassen das alle sich sauber einfahren. Genauso beim eRezept. Endlose Quälereien aber letztendlich kam es dann.

Darf ich fragen wo die Fehlerquote herkommt? Weil die zwei Praxen die ich betreue und das was ich selbst als pflegender Angehöriger um eAU und eRezept erlebe ist da allein weit drüber. Ich habe da sehr das Gefühl, dass es da eine Verzerrung gibt, weil Fehlschläge/Nichtverfügbarkeit schlicht nicht wahrgenommen werden. Bei den Leidensgenossen im CCC-Umfeld und beim Ärztestammtisch hört sich das auch nicht nach 0,x% Problem an. Zugegeben zeichnet es auch keiner genau auf. Wenn sich da ein Patient die Lunge aus dem Leib hustet und das Erstellen der eAU nicht klappt liegen die Prioriäten wo anders..

Dennoch: Es ist immer einfach von außen drauf zu hauen, schlaue Kommentare zu geben, wie doof die sind.

Ich sage nicht, dass da irgendwer doof ist. Ich unterstelle bei den Stakeholdern gewaltige Interessen, mangelnde Qualifikation, Geltungsbedürfnis, die der Standardisierung einer brauchbaren, digitalen Infrastruktur gewaltig entgegenlaufen!
Wobei die Beiträge Jener, die mit guten Absichten UND Kompetenz dabei sind schlicht untergehen. Was auch erheblich politisch getrieben ist.

Es gab auch noch keinen der mit besseren Ideen in das System kam, das von seinen Shareholdern und Stakeholdern komplett getrieben wird. Die zerreiben dir alles zwischen den Fingern mit ihren Einzelinteressen.

Also die Kritik, dass da Sharholder ihre kommerziellen Interessen verfolgen und lange eine Mehrheit hatten klingelt mit über eine Dekade im Ohr. Ich ziehe mir den Mist mit den standardisierten, meschinenlesbaren Datenformaten, erzwungener Interoperabilität und Kostenneutralität von Infrastruktur nicht aus den Fingern. Das sind allgemeine Anforderungen an analoger wie digitaler Infrastruktur.
Ich halte daher die Aussage, dass es da Niemanden mit besseren Ideen/Ansätzen gab für falsch.
Zudem gab es ganz nebenbei ja die Entwicklung für HL7/FHIR und ISO 27269 (International Patient Summery, lustigerweise unter starker Deutscher Beteiligung), eben weil es kompetenten Akteuren klar war, dass man da gescheit Standardisierung braucht.

Zugegeben gibt es da auch Bestrebungen, dass die TI damit umgehen können wird. Die Entwicklung drumherum ist aber schonwieder bedenklich -.-

Dennoch sind abeits der EPA viele gute Digitalisierungsprojekte unterwegs (Heil und Kostenpläne, eAU, Diga, Hilfsmittel, Heilmittel; Pflege usw.)
Einige haben viel Potenzial Arbeit zu erleichtern für Praxen, Apotheken, Pflegeheime usw und die Versorgung zu verbessern und darum geht es doch letztendlich.

Etwaiges Potential verpufft in der Realität. Die Abläufe/Prozesse sind im besten Fall bisher gleich schnell, kostenneutral, einige Sachen laufen schlechter, einige garnicht und alles unter enorm gesteigerten Aufwand sich mit der TI zu beschäftigen.

Und darum: Ich kann das nicht ernst nehmen was du schreibst. Frag mal BfDI und BSI - abseits der EPA wo sie politisch derzeit nur ihren Arsch an der Wand haben wollen (und nur darum geht es gerade) - ob die gematik mit ihnen oder gegen sie arbeitet und ich verwette nen Monatslohn drauf, das die Antwort sein wird, das sie vertrauensvoll und konstruktiv zusammenarbeiten.

Mit der aktuellen BfdI hatte ich noch kein Kontakt. Herr Ulrich Kelber beschwerte und beschwert sich aber recht Konstant, dass gerade beim Themenkomplex TI ein Problemfeld lag. Eben weil es eine Uneinsichtigkeit gab/gibt, dass Datenschutz (und IT-Sicherheit) grundlegend mitbedacht werden muss. Das Formate, Datenflüsse, Berechtigungen grundlegend zum Design gehören und dass es Spannugnen gibt, wenn diese nicht beachtet werden.
Den Link zum Herrn Kelber habe ich bereits gesetzt. Aber gern nochmal: https://bonn.social/@ulrichkelber/114427912897725532
Der ehemalige BfdI scheint wenig begeistert zu sein.
Oder als längeres Interview, als er noch im Amt war: https://www.aerzteblatt.de/archiv/i...-analoge-f18fe028-0674-40db-a4a6-935351f7a709
Und das offizielle "told you so" vom BSI: https://www.heise.de/news/ePA-Sicherheit-BSI-hatte-vor-Risiko-gewarnt-10369099.html

Deinen Monatslohn darfst du verteilen an: EDRi, GFF, Netzpolitik.org, NOYB

 

[Snapuman]

Eindeutig, du kommst aus einer Parallelwelt! Anders ist es nicht zu erklären. Außer du arbeitest um/mit der Gematik und wurdest nicht von Cyberschnickschnackschnuck Arno zur Kündigung bewegt..

Das hab ich mir gestern auch schon gedacht, jemand der so verbissen versucht, die hier ausgeführte Inkompetenz der Gematik reinzuwaschen, kann ja eigentlich nur ein "betroffener Hund" sein.. ^^

die gematik war auch nur ein politsicher Spielball. Ich finde, das die für die Sandwichposition ihre Arbeit ganz okay machen. Da sitzen auch nur Menschen. Und bisher habe ich da keinen gehabt, der nicht das große ganze im Blick hatte.

Womit das wohl geklärt wäre...

@Nuklon Es behauptet ja auch keiner, dass die Gematik die einzigen sind die hier permant nur Mist verzapfen - die Politik hat natürlich auch einen großen Anteil daran was da alles schief läuft. Klar ist das ne saublöde Position. Trotzdem ist und bleibt die Gematik die letztlich verantwortliche Partei - wenn sich was aufgrund der Anforderungen nicht (ordentlich) umsetzen ließe, müss(t)en sie es eben klar und deutlich kommunizieren - tun sie aber nicht, sie pfuschen lieber weiter fröhlich rum. Und das nicht erst seit gestern...

 

[csaf3256]

In der Gematik sitzen 9 Gesellschafter, mit unterschiedlicher Beteiligung, von Gesundheitsministerium über Ärztekammern, Apothekeriammer, Versicherungen und Krankenhäuser.
Dass da eine einfache Entscheidungsfindung, eine optimale Nutzung der Möglichkeiten, eine Bündelung von Ressourcen für ein gutes Projekt einfach möglich war und ist, halte ich für sehr fragwürdig. Der absolute Horror für jeden Projektleiter.

Ergänzend: Das soll nicht als Entschuldigung gelten:

 

[Supie]

Habt ihr eigentlich eine Ahnung, wie lächerlich im aktuellen System der Datenschutz funktioniert und wie gnadenlos einfach aktuell Gesundheitsdaten entwendet werden können?

Im Moment liegen sie halt noch nicht so praktisch zentral, kannst du da auch soviele Datensätze auf einmal eintwenden?
Das würde Erpressung z.B. Tür und tor öffnen....
Und - Arbeitgeber suchen in sozial Media nach allem was sie für den Bewerber oder MA schädliches finden können, warum ist dieser Gedanke so abwegig für dich?
Nicht umsonst haben schwangere einen besonderen Schutzstatus......

 

[Snapuman]

Weil ich grad drüber gestolpert bin, nur mal so als Reminder und Fallbeispiel für alle die meinen, "das sind ja "nur" ein paar Gesundheitsdaten (das klingt ja auch immer so schön harmlos), was soll da schon schlimmes passieren?"

https://www.zeit.de/digital/datenschutz/2024-04/psychiatrie-finnland-vastaamo-hacker-verurteilt

Der Anklage zufolge hatte sich Kivimäki im Jahr 2018 in die Patientendatenbank des landesweit tätigen Psychotherapieunternehmens Vastaamo gehackt und sämtliche Daten kopiert. Zwei Jahre später habe er zunächst die Klinik erpresst und mit Veröffentlichung der Daten gedroht. Als Vastaamo es ablehnte, das Lösegeld zu zahlen, habe Kivimäki Patientinnen und Patienten angeschrieben und auch sie erpresst. Kurz darauf habe er sämtliche Patientendaten veröffentlicht.

Der Fall hatte damals weltweit für Aufmerksamkeit gesorgt. Denn die kopierten Daten enthielten die kompletten Diagnosen und Therapieprotokolle von 33.000 Menschen und damit intimste Probleme und Krisen, die sie in den Behandlungen besprochen hatten. Laut Polizei bekamen mehr als 20.000 Patienten und Patientinnen eine E-Mail, in der er 200 Euro in Bitcoin forderte und drohte, die Daten zu veröffentlichen, wenn die Opfer nicht zahlten. 20 von ihnen bezahlten. Kurz darauf tauchten die Therapieunterlagen im Darknet auf.

Dann kommen nämlich solche "netten und ehrenwerten" Menschen an diese Daten, und erpressen damit u.A. massenweise deine Opa, deine Tante, dein Papa, deine Freundin, ... einfach jeden!

Also nochmal: Diese Gesundheitsdaten sind so mit das sensibelste(!) an Daten, was überhaupt vorstellbar ist! Wenn DAS alles zentral gespeichert ist, darf es da keine andere Maxime also 1000[sic!] prozentige Sicherheit geben! (um die Worte des ehem. Hauptgeschäftsführer der Gematik, Prof. Arno Elmer zu benutzen) Alles andere wäre/ist grob fahrlässiges Verhalten/Vorgehen..

 

[worst cake]

Das ist schlicht falsch!

Ergänzung (2. Mai 2025)

Nope, ist es nicht.

Ärzte, Praxen, Kliniken haben Zugriff für ein volles Quartal, wenn man zu Besuch war. Also jeder, der in der Praxis oder Klinik Zugriff zu Patientenakten bekommt. Apotheker haben vollen Zugriff, wenn man anwesend war. Nicht nur, auf die Medikamente, sondern auch die Befunde. Krankenkassen haben vollen Zugriff. Und die Liste ließe sich fortführen.

Wir könnten jetzt darüber diskutieren, was in welchem Umfang Sinn machen könnte. Aber die Tatsache, das der CCC Patientenakten anfordern konnte, indem sie die Identifikationsnummer einfach hochgezählt haben, zeigt, wie wenig man die ePA am Patienten ausgerichtet hat.