36C3 - "Hacker hin oder her": Die elektronische Patientenakte kommt!

36C3 Vorspannmusik

Herald: Herzlich willkommen zum nächsten
Talk "Hacker hin oder her - die

elektronische Patientenakte kommt". Unsere
drei Speaker haben sich beschäftigt mit

der Sicherheit und Funktionsweise der
Telematik-Infrastruktur, das ist so ein

bischen das Backend der zukünftigen
elektronischen Patientenakte und damit

auch so der Weg, wie man an die
entsprechenden Daten herankommt. Unsere

Speaker: Von mir aus ganz links. Martin
Tschirsich, er ist Pentester und war zu

dem Thema auch schon mal als
Sachverständiger im Gesundheitsausschuss,

hat da berichtet über das Thema
IT-Sicherheit in Gesundheits-Apps. Dann

haben wir in der Mitte André Zilch. War
als Sachverständiger im Bundestag zu genau

diesem Thema geladen, beziehungsweise zum
Thema Identifizierung. Und direkt hier,

cbro, Christian Brodowski, ihr kennt ihn
als Arzt hier aus dem CERT.

Tut mir einen Gefallen, empfangt die
drei mit einem wunderbaren Applaus.

Applaus

Martin: Es freut mich, dass so viele zu
dieser frühen Stunde gekommen sind, um

sich einen Talk zu Patientenakte
anzuhören. Viele, nehm ich mal an, wissen

vielleicht noch gar nicht, was die
elektronische Patientenakte eigentlich

sein soll. Die elektronische Patientenakte
kommt, das steht aber fest. Und einfach um

alle auf denselben Stand zu bringen, gibt
es jetzt eine kurze Erklärung, was die

elektronische Patientenakte überhaupt
bringen soll.

Propagandavideo: Die elektronische
Patientenakte, kurz ePA genannt, ist ein

digitales Patientenbuch, in dem lebenslang
alle Gesundheitsdaten gespeichert sind.

Röntgenbilder, Arztberichte, Allergien,
ebenso: Blutwerte, Medikamente, Impfungen

und Vorbehandlungen. Alles an einem Platz.
Und für den Patienten transparent. Denn

nicht nur, dass er vollen Einblick in die
ePA hat. Er allein besitzt die Kontrolle

über seine Daten und bestimmt, wer Zugang
dazu haben darf. Mit der ePA können

mündige Patienten freiwillig ihre
Gesundheitsdaten sicher, online und

effektiv verwalten. Alle
behandlungsrelevanten Informationen stehen

in jeder Lebenslage zur Verfügung, was den
Austausch mit ihren Partnern zur

Gesundheit ungemein erleichtert. Die ganze
Gesundheit auf einen Blick mit der ePA ab

1. Januar 2021.
verhaltener Applaus

Martin: Diese elektronische Patientenakte
ist nicht eine weitere App. Eine weitere

Gesundheitsakte, wie wir sie auch schon
letztes Jahr hier gesehen hatten, sondern

es ist DIE Patientenakte, die
elektronische Patientenakte, die nach

Sozialgesetzbuch 5 allen gesetzlich
Versicherten zur Verfügung gestellt werden

soll. Sie dürfen diese nutzen, um
lebenslänglich ihre Gesundheitsdaten zu

speichern. Das ergibt einige
Fragestellungen. Zum einen, wir wollen

hier drin die Möglichkeit schaffen,
lebenslang unsere Gesundheitsdaten zu

speichern. Das sind Dinge wie
Röntgenbilder, Arztbriefe, Berichte,

Laborwerte. All diese Dinge sollen in
dieser Akte verwaltet werden können. Und

der Patient soll die alleinige Kontrolle
darüber besitzen und auch bestimmen, wer

Zugriff darauf hat. Das heißt, es muss
sicher sein. Kann das funktionieren?

Zwischenruf aus Publikum: NEIN
Martin: Ganz wichtig. Ob das funktionieren kann

oder nicht. Wir müssen diese Anforderung
erfüllen. Die Inkaufnahme von Verstößen in

Einzelfällen, die ist unzulässig. Das
heißt, selbst in Einzelfällen, wir können

nicht sagen "Ein Prozent Verlust ist
okay". Wie das eben der Fall bei

beispielsweise Kontozugängen oder so mal
in Kauf genommen werden könnte, wo man mit

monetären Werten handelt. Hier ist es
absolut unzuverlässig, dass man überhaupt

den Einzelfall zulässt, dass es hier zu
einem Verstoß kommt. Das sagt ein

Landesdatenschützer,
Datenschutzbeauftragter. Und das ist nicht

neu, dass hier hohe Anforderungen stehen.
Das ist auch Herrn, unserem

Gesundheitsminister, Herrn Spahn bekannt.
Der sagt, dass der Datenschutz, besonders

die Datensicherheit, die Achillesferse für
diese Anwendung ist. Denn wird es hier zu

einem Vorfall kommen, wird natürlich die
Akzeptanz dieser Anwendung und auch alle

weiteren Anwendungen der digitalen
Gesundheitsversorgung wirklich ruiniert.

Und das gefährdet auch dieses
Vertrauensverhältnis: Arzt, Patient, in

der Sprechstunde natürlich. Diese
ärztliche Schweigepflicht würde, wenn es

hier zu einem Vorfall kommt, aufgehoben.
Herr Spahn sagt aber auch, dass er zu dem

Thema mehr Geschwindigkeit reinbringen
will, Hacker hin oder her. Und weil es so

ein bisschen ambivalent ist, haben wir
gedacht wir schauen uns das mal an. Um das

zu verstehen und auch die Sicherheit
bewerten zu können, müssen wir 10000

Seiten Spezifikation lesen. Die sind alle
unter dem Fachportal der Gematik, die

Gesellschaft, die dafür zuständig ist,
öffentlich verfügbar. Das sind einmal die

Spezifikation der Gematik und dann noch
die Spezifikation der Sektororganisation

unseres Gesundheitswesens. Denn unser
Gesundheitswesen ist ja ziemlich

zersplittert in verschiedenste
Einzelereiche. Das haben wir getan,

beziehungsweise nicht ganz. Aber mal
überflogen und haben dann diese tolle

Grafik hier für euch vorbereitet, um euch
zu zeigen, wie diese Gesundheitsakte

aussieht, diese Patientenakte. Zunächst
einmal der Versicherte mit seiner

Gesundheitskarte. Die kennen die meisten
von euch. Mit dieser Gesundheitskarte und

einem Zugangsgerät, das kann zukünftig
auch ein Smartphone sein, wenn es NFC

fähige Gesundheitskarte gibt, kann der
Versicherte über das Internet auf ein

zentrales Zugangsgateway dahinter
liegendes Aktensystem zugreifen. Und auf

diesem Aktensystem sollen dann die
Gesundheitsdaten liegen, diese lebenslang

verfügbar gehaltenen Gesundheitsdaten. Die
sind aber verschlüsselt. Man spricht hier

von Ende zu Ende Verschlüsselung. Der
Schlüssel zu diesen Daten der liegt auch

auf diesem Aktensystem.
lachen

Aber noch nicht, noch nicht lachen. Dieser
Schlüssel, der ist verschlüsselt. Der ist

verschlüsselt. Das hat auch alles seine
Berechtigung. Nur ist jetzt die Frage, wir

haben das Problem nicht gelöst. Wo ist der
Schlüssel für den Schlüssel? Da müssen wir

ein bisschen weitergehen. Da müssen wir
schauen, dass wir hierüber an die

Telematik-Infrastruktur angebunden werden.
Die Telematik-Infrastruktur ist das

zentrale Netzwerk, an das inzwischen schon
115.000 Arztpraxen, zukünftig auch

Apotheken, Krankenhäuser und andere
Einrichtungen des Gesundheitswesens

angeschlossen werden. Es ist ein
sogenanntes spezielles VPN-Netzwerk mit

eigenem Vertrauensraum. Dieses Netzwerk
hält folgende zwei Dienste bereit: Den

Schlüsselgenerierungsdienst 1 und den
Schlüsselgenerierungsdienst 2. Das sind

Dienste, die uns einen Schlüssel
generieren. Und zwar einen berechtigten

Schlüssel. Wir müssen also mit unserer
Gesundheitskarte zu den

Schlüsselgenerierungsdiensten gehen und
uns diese blauen Berechtigten-Schlüssel

abholen, indem wir uns ausweisen als
Versicherter. Dann nehmen wir diese blauen

Berechtigtenschlüssel und entschlüsseln
damit diesen pinken Aktenschlüssel. Und

dann kommen wir an die Gesundheitsdaten.
Für Ärzte, die ja auch auf diese Akte

zugreifen müssen, um Dokumente des
Versicherten dort einzustellen,

beispielsweise ein Arztbrief oder ein
Untersuchungsergebnis, sieht das von der

anderen Seite fast genauso aus. Nur dass
dort noch ein spezielles Zugangsgerät

verwendet wird. Jede Arztpraxis, die an
diese Telematik-Infrastruktur angebunden

wird, benötigt einen sogenannten
Connector. Das ist ein spezieller VPN

Router mit weiteren Funktionen, der den
Zugang in dieses geschützte Netz

ermöglicht. Und während der Versicherte
sich mit der Gesundheitskarte ausweist, um

auf diese Schlüsselgenerierungsdienste
zugreifen zu können und sich seinen

Schlüssel generieren zu können, greift der
Arzt oder die Ärztin mit ihrem

Praxisausweis und auch mit
Heilberufsausweisen auf dieses Netz zu

bzw. auf Anwendung, die darauf laufen. Das
ist also symmetrisch. Sowohl der Patient

als auch Ärzte haben Chipkarten, mit denen
sie sich hier ausweisen und Anwendungen

gegenüber authentisieren. Um das Risiko
dieses Netzwerkes ein bisschen zu ...

vereinfacht darzustellen, schauen wir uns
mal an, wie viele Teile es denn davon

gibt: Es gibt 73 Millionen Versicherte. Es
gibt in etwa 4 Anbieter von dieser

Patientenakte, die sich jetzt schon
aktuell in der Entwicklung befindet. Denn

in zwölf Monaten soll sie ja uns allen zur
Verfügung stehen. Und es gibt eine einzige

zentrale Telematik-Infrastruktur. Und dann
gibt es halt diese 115.000 Arztpraxen, die

jetzt schon angeschlossen sind bzw. ganz
grob geschätzt 170.000 Einrichtungen, die

irgendwann mal dort angeschlossen sein
sollen. Die Prozesse, wie diese Chipkarten

verteilt werden, das sind auch Prozesse
der zentralen Telematik-Infrastruktur.

Problem bei diesem
Schlüsselgenerierungsdienst ist: Der

Versicherte oder die Ärztin weisen sich
jeweils nur noch aus mit einer Karte und

bekommen dann einen Schlüssel. Das hat das
Problem, dass wir hier zwar weiterhin von

Ende zu Ende Verschlüsselung hören, aber
der Schlüssel ist nicht mehr unter

Kontrolle des Versicherten. Das heißt: Wer
sich ausweisen kann, auch mit einem

Nachfolgeausweis, der bekommt Zugriff, der
bekommt den Schlüssel und kommt damit an

die Daten. Auch das BSI hat dazu schon
eine Anmerkung gemacht und hat gesagt:

"Wenn dieses Authentisierungsverfahren
dieses Schlüsselgenerierungsdienstes

überwunden wird, kann auf den gesamten
Akteninhalt zugegriffen werden." Die

Gematik leitet daraus ab, dass die
Korrektheit dieser rot markierten

Kartenherausgabeprozesse, die ich eben mit
diesen roten Pfeilen dargestellt hatte,

Grundvoraussetzung für den sicheren
Betrieb dieser Anwendung ist.

Kartenherausgabeprozesse, das bedeutet:
die Überführung von einer real

existierenden Person, auch einer
juristischen Person wie eine Arztpraxis,

in die digitale Welt. Um das sicher
gewährleisten zu können, muss Folgendes

erfüllt sein: Ich muss die Person
identifizieren. Versicherte, Ärzte,

Arztpraxen müssen zuverlässig
identifiziert werden und die Attribute, ob

sie nun zugelassener Arzt,
niedergelassener Arzt oder Versicherte mit

einer bestimmten Versichertennummer sind,
die müssen sicher, rechtssicher bestätigt

werden. Und der Empfang des Zertifikats
und des privaten Schlüssels, also dieser

digitalen Identität, die mir da zugeordnet
wird, also des Ausweises, der Karte, die

muss sicher nachvollzogen werden können.
Also die bestätigte Schlüsselübergabe.

Wenn das alles so läuft, dann funktioniert
das System sicher, weil dann dieser

Ausweis wirklich nur in der Hand des
Berechtigten ist. Die Gematik weiß das

ebenso und spricht deswegen sehr häufig
von dieser Anforderung der zuverlässigen

Identifizierung. Also: Man liest das
wirklich häufig. Die Identifizierung muss

zuverlässig sein, muss notwendig, zwingend
notwendig, Grundvoraussetzungen und, und,

und, und. Was für Identitäten gibt es
denn. Wir haben schon drei Karten gesehen.

Es gibt die Gesundheitskarte, es gibt ein
Heilberufsausweis. Es gibt den

Praxisausweis. Und dann gibt es noch den
Connector. Das ist dieser Hardware-VPN-

Router, von dem ich sprach. Und die alle
tragen kryptographische Identitäten in

Form von Zertifikaten und privaten
Schlüsseln, die auf Chipkarten gespeichert

sind. Und was wir gemacht haben, ist: Wir
haben uns angeschaut, ob diese Herausgabe

denn sicher ist? Denn das ist der zentrale
Angriffspunkt. Wenn wir die Ende-zu-Ende-

Verschlüsselung nur noch durch eine
Authentisierung sicher garantieren können,

dann greifen wir die Authentisierung an.
Ist das möglich?

Christian: Danke Martin! Ich wollte ganz
kurz einschieben, wie wir uns eigentlich

kennengelernt haben. Als Vertragsarzt
hatte man letztes Jahr oder auch dieses

Jahr das Problem, dass einem diese
Telematik-Infrastruktur so ein bisschen

übergeholfen wurde. Mittlerweile bekommt
man Honorareabzüge, wenn man sie nicht

installiert hat. Und da war ich so ein
bisschen unglücklich drüber. Habe dann

erst den md, den Markus Dränger
angeschrieben und angesprochen. Wir

erinnern uns: beA ... ich sehe da viele
Parallelen. Der hatte aber gerade eine

wichtigere Aufgabe und deswegen hat er
mich an den Martin Tschirsich weiter

verwiesen und uns zusammengebracht. Und
wir haben uns dann zusammen diese

einzelnen Komponenten mal angeschaut. Ich
fange mal an mit diesem

Institutionsausweis, auch Praxisausweis
oder SMC-B Karte genannt. Wenn man sich

den ... wenn man so einen haben will, muss
man online einen Antrag stellen. Da gibt's

mehrere Anbieter für. Wir haben uns mal
für den entschieden. Der hat so ein

Formular, das kann man im Web ausfüllen -
übrigens auch über TOR; funktioniert auch

- und muss da verschiedene Daten eingeben.
Abgeglichen werden insbesondere diese 5,

die ihr hier seht: die Betriebsstätten-
Nummer, Geburtsdatum des Arztes, die

lebenslange Arzt-Nummer, der Name und die
Profession. Also, was für ein Arzt das

ist. Das geht jetzt gerade nicht so gut
... ups ... doch ... zack. Das

Geburtsdatum ist die einzige dieser
Angaben, die nicht auf jedem Rezept und

jeder Überweisung steht, die ihr von eurem
Arzt bekommt.

GelächterKlatschen
Und Geburtsdatum: Seriously, also: Jede

Gemeinschaftspraxis hat irgendeine
Rechtsform. Meistens sind die

Partnerschafts-Register eingetragen und da
stehen das Geburtsdatum und manchmal auch

der Geburtsort. Damit hat man alles
beisammen, was man da eingeben muss. Dann

gleicht medisign dieses Formular mit der
entsprechenden kassenärztlichen

Vereinigung ab und die KV sagt: Jo, so ein
Arzt mit dem Namen und den Nummern ist bei

uns registriert. Daraufhin stellt medisign
dann einen dieser SMCB-Karten, dieser

Praxisausweise aus und verschickt ihn an
den ... ne, nicht an den Arzt. Das wäre ja

doof, wenn der in Praxis landen würde. Man
kann da auch alternativ eine Lieferadresse

angeben.
Gelächter

Da kommt er dann an. Oder man kann auch
bei der Lieferadresse, wenn da gerade

niemand zu Hause ist -- so war das in
unserem Fall -- das Ganze auch dann mit

der Postvollmacht bei der Post abholen.
Sieht dann so aus: Die muss man dann

online freischalten, das geht in so einem
Webformular und dann, dazu braucht man

diesen PIN-Brief. Der ist auch bei der
Lieferadresse letzlich angekommen. Und

damit konnten wir in Praxis-Ausweis dann
aktivieren und letztlich auch registrieren

und damit einen Vorgang in der Telematik
Infrastruktur auslösen, nämlich dass

Versicherten-Stammdatenmanagement. Also
sprich: Ich habe meine Karte mit dieser

SMCB-Karte, meine Versichertenkarte,
nochmal abgeglichen, ja mit den

Krankenkassendaten. Was kann man mit
dieser SMCB-Karte alles anstellen, wenn

man jetzt damit nichts Gutes tun möchte?
Man hat uneingeschränkten Zugang zur

Telematik-Infrastruktur, das heißt, dieser
geschützte Vertrauensraum, von dem

gesprochen wird, der ist damit gebrochen.
Ich kann darin Dinge tun. Ich habe Zugriff

auf verschiedene Anwendungen. Die EPA
kommt erst noch. In einigen Regionen gibt

es aber schon den elektronischen
Medikationsplan und den Notfalldatensatz,

die von der Karte des Versicherten
abgelesen ... ausgelesen werden können.

Darauf kann ich mit der Karte zugreifen.
Und ich kann Nachrichten bald -- das ist

auch noch nicht freigeschaltet -- in der
sicheren Kommunikation der

Leistungserbringer empfangen und absenden
im Namen der Arztpraxis, mit der ich das

gemacht habe. Ja, also anfangs werden da
glaube ich PDFs hin- und hergeschickt.

PDF-Fraud, glaube ich, ist noch ein
anderer Talk. Wo ist das grundlegende

Problem? Es gibt drei Anbieter und die
verschicken im Prinzip auf die gleiche Art

und Weise diese Karten. Also, bei dem
Anbieter, bei dem wir das geprüft haben,

war das problemlos möglich sowohl die
Anfrage entsprechend zu stellen, als auch

die Auslieferung entsprechend umzuleiten,
um an diese Karte zu kommen. medisign hat

allein schon 80 000 Institutions-Ausweise
-- Stand vor drei Monaten ungefähr --

ausgegeben. In den Spezifikationen der
Gematik steht drin, dass möglicherweise

kompromittierte Zertifikate zurückgezogen
werden müssen. Letztlich ist es dazu

gekommen, weil die Kassenärztliche
Bundesvereinigung, die ja dafür zuständig

ist, diese Prozesse zu spezifizieren,
diesen Prozess eben nicht richtig

spezifiziert hat. Der Trust Service
Provider, in dem Fall mediSign, hat Fehler

bei der Umsetzung gemacht. Und die Gematik
als übergeordnete Behörde hat diesen

Prozess und diesen Service Provider so
zugelassen und eben nicht geguckt, was der

wirklich macht. Aber ist ja nur EIN
Ausweis. Nehmen wir den nächsten

Heilberufsausweis oder Arztausweis. Wenn
man den beantragen möchte, braucht man

eine persönliche Identifikation, bevor
dieser Ausweis geliefert wird. Braucht

man? Braucht man nicht.
vereinzeltes Lachen im Publikum

Es gibt da das sogenannte Bankident-
Verfahren. Erkläre ich auch gern kurz. Ein

Arzt, eine Ärztin geht irgendwann zu ihrer
Bank. Die Deutsche Apo-Bank bietet das an.

Die ist auch gesellschaftlich mit der
Gematik verbandelt und öffnet dort ein

Konto oder schaut noch mal so vorbei,
zeigt ihren Personalausweis oder Reisepass

und hat dann den ersten Teil dieses Ident-
Verfahrens durchlaufen. Ein Angreifer geht

wieder zu einer dieser Trust-Service-
Provider, gibt die Daten der Ärztin ein.

Die Bank sagt: Jo, die kennen wir. Die hat
bei uns ein Konto. Und die Ärztekammer

sagt: Jo, die kennen wir, die ist bei uns
Ärztin für Anästhesiologie, was auch

immer. Was macht medisign dann? Stellt
einen Arztausweis aus und schickt ihn zu.

Auch hier wieder Lieferung an
Lieferadresse. Alles bequem. Kein Problem.

Der PIN wird netterweise auch gleich dahin
geschickt. Und so konnten wir den

Heilberufe Ausweis dann auch online
freischalten. Da gibt's dann so'n ein

kleines Tool, was man sich runterladen
muss von der Homepage und dann hat man so

ein gültiges, Benutzer-Zertifikat. Dafür
ist eine Unterschrift notwendig. Ich habe

eben schon davon gesprochen, wo wir die
Arztnummern her hatten. Die

Arztunterschrift ist da auch meistens
drunter, wenn man sie überhaupt lesen

kann. In vielen Fällen ist es auch so, zum
Beispiel bei der Postabholung, dass die

Original-Arztunterschrift auch nirgendwo
hinterlegt ist. Das heißt, da ist halt ein

so ein Krakeel drunter und ... also meine
Unterschrift kann man wirklich nicht

lesen. Das ist nicht mein Name. Das wäre
relativ sehr leicht zu imitieren. Auch

hier wieder, wo ist das Problem? Es gibt
zwei Anbieter, gibt insgesamt vier

Verifikationsverfahren. Postident und
Kammerident sind nach den Spezifikationen

so in Ordnung. Die beiden Verfahren, in
denen eine zweiseitige Identifikation

stattfindet, klappen nicht so gut. Das ist
einmal das Bankident-Verfahren und zum

anderen das Vorab-Kammerident-Verfahren,
bei dem auch eine zweiseitige

Identifikation stattfindet. Das heißt, der
Arzt geht irgendwo hin, zeigt seinen

Ausweis, und irgendwann später kommt
jemand online und sagt: Hallo, ich bin

dieser Arzt oder diese Ärztin, und es gibt
keine Möglichkeit, diese beiden

Identitäten zusammenzuführen und
abzugleichen, ob derjenige, der sich

online einklickt, wirklich derjenige ist,
der seinen Ausweis hochgehalten hat. Das

sind bei medisign 31 Prozent der
Heilberufsausweise, weil es eben so ein

bequemes Verfahren ist. Bei den anderen
Providern wissen wir nicht, wie viele

Ausweise über dieses Verfahren ausgestellt
wurden. Und damit zu unserem Spezialisten

für die elektronische Gesundheitskarte.
Martin: Damit hat man also gezeigt, wie

man auf diese zwei Karten sehr einfach
zugreifen kann. Also wie man sie sich

erschleichen kann, diese Karten, auf einen
anderen Namen. Aber es fehlte die

Gesundheitskarte in diesem, sagen wir
Quartett an Identitäten. Ich glaube, ich

hatte damals bei Google eingegeben:
Gesundheitskarte erschleichen oder so.

Macht man ja mal. Dann sind wir auf den
Experten für Erschleichen von

Gesundheitskarten gestoßen. lacht Der
André Zilch, und der wird euch jetzt mal

erzählen, wie das geht.
André: Danke. Die Gesundheitskarte ist

genau das Aquivalent zu dem
Institutionsausweis und zu dem

Heilberufeausweis für die Versicherten.
Viele von Ihnen werden es kennen und es

ist der zentrale Zugangsschlüssel für die
Versicherten in diese Telematik-

Infrastruktur. Eine Frage, die in den
vergangenen Jahren immer wieder diskutiert

wurde, ist: Ist denn die Gesundheitskarte
Identitätsnachweis? Ist es kein

Identitätsnachweis? Bestätigt sie die
rechtliche Identität oder ist das einfach

nur so etwas wie eine Kundenkarte? Welche
Auswirkungen hat es denn, wenn es kein

Identitätsnachweis wäre? Spielt das eine
Rolle? Jeder Arzt kennt seinen

Versicherten. Ist das tatsächlich so oder
hat es eine andere Funktion? Vor der

elektronischen Gesundheitskarte gab es die
sogenannte Krankenversicherten-Karte. Die

hatte allein die Aufgabe, zur
Abrechnungszwecken zu dienen. Damit

konnten Ärzte gegenüber den Kassen
letztendlich ihre Rechnungen stellen und

so wurden sie bezahlt. Bei der
Gesundheitskarte ist es als äquivalent zu

Heilberufeausweisen oder auch zur
Institutionskarte und ist der zentrale

Zugangsschlüssel für die Versicherten ins
Gesundheitswesen. Im Rahmen der

Digitalisierung werden immer mehr
Leistungen im Gesundheitswesen

arbeitsteilig erbracht und immer mehr
digitalisiert. Im Rahmen der Einführung

der elektronischen Gesundheitskarte gab es
auch die sogenannten Paragraph 291a SGB 5

Anwendung, das heißt medizinische
Anwendung: Was soll mit der

Gesundheitskarte noch alles gemacht
werden? Es soll so weit gehen, dass sogar

der Ort gespeichert wird, wo der Patient
die Zustimmung zu seiner Organspende

abgelegt hat. Also nicht die Zustimmung
selbst, sondern allein: Wo ist der Ort?

Und natürlich, wir haben es vorhin schon
gehört, der zentrale Zugangsschlüssel für

die elektronische Patientenakte. Darüber
hinaus bleiben und kommen Anwendungen

hinzu, wie zum Beispiel bei Direkt-
Krankenkassen, die gar keine

Geschäftsstellen mehr haben. Die müssen ja
irgendwie elektronisch mit ihren

Versicherten kommunizieren. Die
Anforderung, wir hatten es vorhin gehört,

ist: Selbst in Einzelfällen darf es nicht
möglich sein, auf die Gesundheitsdaten

zuzugreifen. Aber es gibt solche
Instrumente wie eine Patienten-Quittung.

Und in dieser Patienten-Quittung steht
drin, was die Krankenkassen für die

einzelnen Versicherten in den vergangenen
18 Monaten gezahlt haben. Hier kommen wir

auf das zurück, was Martin anfangs sagte.
Die Identität des Verfahrens-Betroffenen

muss vor Übermittlung von Sozialdaten
festgestellt werden. Das ist ein ganz

zentraler Punkt und der sich ganz
wesentlich davon unterscheidet, was wir

aus anderen Bereichen kennen. In anderen
Bereichen kann es ausreichend sein, dass

man im Nachhinein feststellt: Ach du liebe
Zeit, da ist ja etwas schief gelaufen, und

wir korrigieren das. Wir gleichen das
Konto aus, wir ziehen das alles wieder

gerade. Hier, bei der Übermittlung von
Sozialdaten, von Gesundheitsdaten, wird

Wissen übermittelt. Es geht Wissen aus den
Krankenkassen raus. Was haben die

Patienten, welche Leistungen wurden
erbracht? Dieses Wissen ist nicht

zurückzunehmen. Wenn es einmal draußen ist
und in den Händen der falschen Person

gelangt ist, ist es weg. Deswegen sind so
klassische Verfahren und Drohpotenziale:

Ich kann hinterher feststellen, wem
irgendwelche Informationen zugegangen

sind, hier nicht hilfreich. Als
verschärfende Maßnahme kommen ... oder

verschärfendes Element kommt hinzu, dass
eben in Einzelfällen schon verhindert

werden muss, dass man auf diese Daten
zugreift. Und deswegen sagen die

Datenschützer: Es müssen Verfahrenswege
vorgegeben werden, die gar nicht erst die

Gefahr bergen, gegen das soziale Geheimnis
zu verstoßen. Das heißt, diese Verfahren

müssen wirklich wasserdicht sein, sodass
man von vornherein ausschließen kann, dass

diese Informationen an die Unberechtigten
ausgegeben werden. Weil das so ein

zentrales Element ist, wurde schon sehr
früh bei der Einführung der

Gesundheitskarte, bzw. das war noch vorher,
nämlich bei der Definition der

Sicherheitsarchitektur bereits im Jahr
2003 und 2004, festgelegt, dass einerseits

der Schutzbedarf sehr hoch ist. Deutlich
höher als zum Beispiel bei Finanzdaten.

Und es wurde auch bestimmt, dass
Identitäten, die als Basis für

elektronische Zertifikate dienen, genau
auf demselben Schutzbedarfsniveau erfasst

und bestätigt werden müssen wie diese
Zertifikate. Das macht ja Sinn, weil das

schwächste Glied bestimmt die Kette.
Daraufhin wurde festgelegt, dass die

Verfahren wie Krankenkassen die alten
Krankenversicherten-Karten ausgegeben

haben, dass das nicht mehr ausreichend
ist. Nämlich damals wurden einfach diese

Versicherten-Karten auf Zuruf "Meine Karte
ist defekt, ich habe verloren, ich habe

meine Krankenkasse gewechselt", wurden
diese Karten neu ausgegeben, und hier

wurde bestimmt, dass die Fachverfahren
zwischen dem Versicherten und der

Krankenkasse auf das neue Niveau
anzupassen sind und es wurden explizit die

Worte Identifizierung und Registrierung
genutzt. Bei den ganzen Aufwendungen, die

man im Rahmen der letzten Jahre
durchgeführt hat, hat man einen sehr

starken Fokus auf die technische
Realisierbarkeit gelegt. Die

organisatorischen Prozesse und Abläufe
sind dort leider an manchen Stellen nicht

so umgesetzt worden, wie es vorgegeben
war. Im Jahr 2016 hat die CDU-

Bundestagsfraktion einen Kongress
durchgeführt zum Thema eHealth. Und in

seinem Beitrag zu diesem Thema hat Herr
Kauder damals gesagt: "Es reicht ein

einziger Vorgang, um das Vertrauen der
Menschen in dieses digitale

Gesundheitswesen erheblich zu
erschüttern." Und weiter hat er

ausgeführt: "Davon wird der Erfolg
abhängen, diese Digitalisierung im

Gesundheitswesen, dass die Sicherheit
gelingt." Die ganzen Vorteile sind nett

und schön und erstrebenswert. Aber wenn
die Sicherheit nicht gelingt, dann wird es

keine Akzeptanz in der Bevölkerung finden.
Wir haben uns das Ganze mal etwas genauer

angeguckt. Martin sagte, das Thema
elektronische Gesundheitskarte begleitet

mich selbst schon einige Jahre. Hier sieht
man, wann in welchem Jahr es mir gelungen

ist, mit einfachsten organisatorischen
Anläufen jeweils in Besitz einer

Gesundheitskarte zu gelangen. 2014, 2015,
2016, 2017 -- letztes Jahr habe ich darauf

verzichtet -- und dieses Jahr wieder. Die
Angriffsszenarien, die wir durchgeführt

haben, unterscheiden sich nur unwesentlich
gegenüber dem, wie es anfangs war. Reichte

es anfangs aus, dass ich einfach irgendwo
bei einer Krankenkasse angerufen habe und

sagte: "Ich bin umgezogen" wurde mir eine
neue Karte zugeschickt. Das hat sich über

einige Jahre durchgezogen. Nun ist es
etwas komplizierter geworden. Wir müssen

eine E-Mail schreiben.
Lachen im Publikum

Und wesentlich um in diesen Besitz der
Karte zu gelangen, ist es, dass wir die

Adresse ändern. Es gibt zwei wesentliche
Angriffsszenarien, die aus unserer Sicht

möglich sind. Nämlich einerseits die
Adressänderung durch einen Versicherten

und die Adressänderung durch Arbeitgeber.
Es gibt ein Meldeverfahren, bei dem

Arbeitgeber Informationen über ihre
Arbeitnehmer an die

Sozialversicherungsträger senden. In einer
Richtlinie, die veröffentlicht wurde

Anfang des Jahres, wurde beschrieben, dass
Daten, die über den Arbeitgeber an die

Versicherung, Sozialversicherungsträger
gesendet werden, als wahr angenommen

werden. Hinzu, man muss ja einfach an der
Stelle berücksichtigen, wenn man sich die

entsprechenden Richtlinien vom BSI
ansieht, wird dort formuliert, dass

identitätsbestätigende Stellen besondere
Sicherheitsmaßnahmen durchzuführen haben.

Sie müssen geschult sein müssen, müssen
ein Sicherheitskonzept haben und das --

unterstellt man -- wird vom Arbeitgeber
automatisch durchgeführt. Wir haben darauf

verzichtet, diesen Angriff durchzuführen.
Wir haben uns erst mal wieder auf die

Adressänderung durch den Versicherten
fokussiert. Wir haben uns mal angeguckt:

Wie macht es denn die AOK Hessen? Und wie
Sie sehen: Wir müssen eine E-Mail

schreiben. Und es heißt: "aus
Datenschutzgründen", "und kein Missbrauch

durch Dritte Erfolgen kann", "nur
schriftlich oder persönlich zu

übermitteln", "entweder in einem Brief
oder Fax oder per eingescannten Brief in

einer E-Mail". Der Sicherheitsgewinn eines
eingescannten Brief per E-Mail zu

verschicken ist gering bis null. Und es
ist nicht alleine damit getan, dass ich

dann einfach eine Adresse ändere. Nein,
ich kann auch noch direkt online der

Einfachheit halber trotz bestehenden
Versicherten-Stammdaten-Abgleich über den

auch eine Adressänderung möglich wäre,
kann ich mir gleich eine neue

Gesundheitskarte bestellen. Das heißt hier
haben wir eine ganz einfache Möglichkeit,

eine E-Mail zu schicken mit einem völlig
unverbindlichen Schreiben. Und dann,

wenige Tage später, kommt an eine neue
Adresse eine Gesundheitskarte und diese

Gesundheitskarte, wie ich vorhin sagte,
ist der zentrale Zugangspunkt für die

gesamte Telematik-Infrastruktur. Das
heißt, einer der Schwachpunkte ist die

nicht sicherheitsrelevante oder nicht
entsprechend der Sicherheitsanforderungen

durchgeführte Adressänderung durch den
Versicherten selbst.

Martin: Was dazu noch zu sagen ist, gehen
wir nochmal eine Folie zurück. Wir haben

ja die Aussage des Bundesamts für
Gesundheit, dass diese Telematik-

Infrastruktur insbesondere deswegen jetzt
unbedingt eingeführt werden muss, weil das

Fax ja so unsicher ist. Wir wollen was,
was zumindest sicherer ist als das Fax.

Damit hat man auch schon eine
Pressemitteilung ausgegeben und die

Ärzteblätter haben geschrieben: Telematik-
Infrastruktur, diese neue Gesundheitsnetz,

ist sicherer als das Fax. Wenn man das
unbedingt will, gut, kann man sagen. Das

Lustige ist: Wir haben auch bei Christians
Beantragung, die Sachen immer schön per

Fax abgeschickt. Genauso hier. (flüsternd)
Wir müssen uns beeilen.

André: Jetzt haben wir eine Aussage, eine
AOK, es ist nicht die AOK Hessen, es ist

die AOK Rheinland-Pfalz, die gesagt hat:
"Im Sinne kundenorientierte Prozesse

müssten Krankenkassen im Rahmen einer
vertrauensvolle Kundenbeziehung

Postadressen grundsätzlich als wahr
annehmen." Okay, kann man machen. Die

Gesundheitsministerin aus Rheinland-Pfalz
sagte, dass, bevor nun auf medizinische

Daten zugegriffen wird, unbedingt vorher
eine Identitätsprüfung stattfinden muss.

Wir wissen, dass nächstes Jahr Zugriff auf
elektronische Patientenakten stattfinden

soll. Nicht einer von Ihnen hat irgendeine
Identitätsprüfung für seine Krankenkasse

durchgeführt. Das hat diese Anfrage, diese
Anfrage hat das ZDF an die

Gesundheitsministerin gestellt und es kam,
die Antwort war: "Das wussten die

allerdings auch schon vorher." Und diese
Aussage, diese Aussage war nicht von

diesem Jahr, sondern die ist von 2015.
Geändert hat sich bis jetzt wenig. Gas

geben. Soll ich das überspingen? Wir haben
so viele. Also, zum Thema Gesundheitskarte

und Identitätsnachweis noch eins: Es wurde
gesagt, dass die Identitätsnachweis ein

eingeschränkt, die Gesundheitskarte ein
eingeschränkter Identitätsnachweis ist.

Was ist das? Vorname zu 60 Prozent?
Vereinzeltes Lachen

Einen eingeschränkten Identitätsnachweis
gibt es nicht. Es gibt entweder nur

bestätigt oder nicht finden. Und auch ein
PIN ändert an dieser Aussage der

Identitätsbestätigung nichts. Und damit
die Gesundheitskarte eingesetzt werden

kann, muss das Ganze mit einem
ordnungsgemäßen Identitätsnachweis

verknüpft sein. Wenn diese...
Martin: Sorry, ich muss kurz vorgehen. Wir

haben nämlich so viele Dinge zu zeigen,
wir heben uns die Folie für die Fragen

auf, wenn da halt konkret Fragen dazu
sind. Und ich würde sagen, wir gehen jetzt

zum zweiten Teil, zum letzten Teil, zum
vierten Teil, zum Korrektor und kommen

dann nochmal auf das, was wir heute
eigentlich gelernt haben.

Christian: Jetzt könnte man uns vorwerfen,
wir hätten ja nur ein Teil der TI uns

besorgt und uns angeschaut. Das Herzstück,
also hat es unser Gesundheitsminister mal

bezeichnet, der Connector. Dieses schöne
Gerät verbindet praktisch die Praxis mit

der TI. Und um uns das genauer
anzuschauen, muss man es natürlich auch

bestellen, erstmal. Die Dinger sind
allerdings meistens nur im Paket zu haben,

ist sauteuer, so knapp zweieinhalb Tausend
Euro. So viel wollte ich als Hobby-IT-Sec-

Mensch jetzt doch nicht investieren. Aber
wir haben einen Anbieter gefunden, der das

Ganze, auch den Konnector, einzeln
verkauft. Das war ein relativ einfaches

Prozedere, ein einseitiges Fax an die
Firma. Dann hat es ein wenig gedauert.

Also seriously, lieben beide Firmen, drei
Monate Lieferzeit, das gibt nur einen

Stern, und deswegen haben wir euch auch
die Disclosure-Frist ein wenig gekürzt.

Dann wurde dieser Konnector mit der
sicheren TNT-Express-Lieferkette geliefert

an eine vertrauenswürdige Person,
natürlich wie immer.

Lachen
Applaus

M: Ja, damit hatten wir sie alle, das
Quartett, auf dem die Sicherheit dieser

Telematikinfrastruktur beruht. Die
zentrale Sicherheitsfunktion oder

Sicherheit dieser Telematikinfrastruktur
beruht auf der Sicherheit dieser

Kartenherausgabeprozesse. Wir haben
gesehen, die sind alle etwas

verbesserungsbedürftig. Wir konnten uns
ohne Probleme all diese Dinge verschaffen,

auf Identität anderer Menschen, anderer
Ärzte. Was bedeutet das? Naja, zum ersten

Mal bedeutet das, dass diese großen
Hoffnungen bzw. Versprechungen, die

gemacht worden sind, dass die wohl nicht
viel wert sind bzw. dass die nicht ehrlich

waren. Versprechungen wie der Gematik,
dass wir europaweit ein einzigartiges

Sicherheitsniveau hätten oder auch des
Bundesverbands der Vertragspsychologen,

die sagen, ja, der Chaos Computer Club,
dem ist es ja auch nicht gelungen, da

einzudringen, ja deswegen ist es sicher.
Ich frag mich auch, woher die so ein

Statement nehmen, ja. Also so etwas sollte
niemand in die Welt setzen. Das ist ganz

gefährlich.
Applaus

M: Das Bundesministerium für Gesundheit
ist natürlich absolut von der Sicherheit

überzeugt. Wir wissen ja alle: Absolute
Sicherheit gibt es nicht. Und deswegen,

das sagen auch andere, muss man doch, wenn
man hier etwas kommuniziert, was Nutzen

hat, aber auch die Risiken bitte betonen
und nicht nur von Absolutem reden, sondern

sagen: Gut, es kann etwas passieren. Wir
haben das Risiko eingeschätzt, wir haben

es quantifiziert, und wenn etwas passiert,
dann sind wir vorbereitet. Wir können

diese Risiken mitigieren. Wir können dann
den Schaden ausgleichen, etwas derart,

also wie der Versicherte oder der Nutzer,
der Patient hier geschützt werden kann.

Das fehlt völlig bei dieser Absolutheit-
beherrschten Diskussion von: Wir sind ja

absolut sicher, wir sind Weltspitze. Das
System weltweit, sagen die Hersteller

dann, einzigartige Sicherheit. Wir haben
ja gesehen, soweit, ich glaube, vielleicht

in Leipzig, vielleicht Spitze, oder, ja.
Das Spannende ist auch, dass diese Fehler,

die wir hier gesehen haben, die sind nicht
neu. Die Bundesdruckerei weiß schon sehr

lange, das veröffentlichen die in ihrem
eigenen, in einem eigenen Expertise, wo

sie ihre eigenen Produkte wieder anbieten
wollen, dass es in der

Telematikinfrastruktur ja gar nicht so
sicher ist. Die Bundesdruckerei sagt, dass

diese postalischen Ausgabewege, dieses
Verschicken von irgendwelchen hoch-

sicheren Karten, dass das ja gar nicht so
gut ist mit der Deutschen Post, die Sachen

einfach durch die Luft zu schicken.
Einfach ein Nachsendeauftrag reicht, und

schon hab ich die Dinge bei mir, an meine
Adresse. Und das weiß die Bundesdruckerei.

Und die gibt trotzdem diese Karten heraus.
Also, da muss man sich fragen: Wenn das

Wissen da ist, wo ist die Verantwortung?
Und dann wissen wir, dass es nicht nur die

Patientenakte ist oder die jetzt
spezifizierten Dienste, die nach

Sozialgesetzbuch kommen sollen, die wir
alle eben gehört haben. Ganz viele

zusätzliche private Anbieter wollen diese
Telematikinfrastruktur nutzen, um darüber

mit ihren Heilberuflern zu sprechen, um
darüber die Versicherten, mit denen sie

sprechen wollen, diese zu identifizieren.
Das funktioniert doch alles nicht, wenn

wir diese Basisinfrastruktur schon so
kaputt vorfinden. Die Idee ist ja gut.

Aber da müssen wir sie auch richtig
machen. Aber da kommen wir zu den

positiven Aspekten. Denn bevor wir zu dem
Gesamtfazit kommen, soll man ja sagen, es

gibt ja auch positive Aspekte. Und da
möchte ich dem André Zirlich nochmal das

Wort geben.
A:Also wir sehen, dass die wesentlichen

gesetzlichen Rahmenbedingungen so
geschaffen wurden, dass auch eine

Digitalisierung stattfinden kann. Und die
Gematik hat ganz viel richtig

spezifiziert. Und wir finden es auch
richtig, dass die Infrastruktur durch

staatliche Stellen kontrolliert wird und
dass Anbieter, private Anbieter, die diese

Infrastruktur nutzen sollen, um weitere
Dienste anzubieten. Denn ohne diese

Infrastruktur stehen die privaten Anbieter
alle vor derselben Frage, die durch kleine

Unternehmen einfach nicht zu leisten sind.
Wie schaffe ich es, real existierende

Personen sicher, zuverlässig,
rechtsverbindlich in die digitale Welt

rein zu bekommen? Das ist einmal aufwendig
und zum anderen für die Betroffene oder

diejenigen, die mitmachen wollen, immer
lästig, weil wir immer irgendwo hinlaufen.

Deswegen ist es richtig. Jeder von Ihnen
hat auch nur einen Personalausweis.

Hoffentlich. Genau dieses, dieses zentrale
Element, eines, einer digitalen Identität

für das Gesundheitswesen zu haben und
diese für alle Anwendungen zu nutzen. Das

ist genau richtig. Und als notwendige
Maßnahmen zur Schadensbegrenzung dessen,

was wir jetzt aufgezeigt haben. Auch dort
hat die Gematik schon einiges richtig

gemacht. Sie hat spezifiziert, dass, wenn
Angriffe auf den Vertrauensraum

stattfinden, dass die Gematik dann
schlicht und ergreifend prüfen muss, ob

die Zulassung für diese Anbieter bestehen
bleiben oder ob sie, weil sie als

kompromittiert anzusehen sind, zurück
entzogen werden müssen. Das A und O, und

ich denke, das haben wir in den
vergangenen Minuten gezeigt, ist, dass die

Beantragung, Identifikation und die
Ausgabe entsprechend dem Schutzbedarf von

Gesundheits. und Sozialdaten durchgeführt
werden. Diese Prozesse müssen so sein,

dass sie sicher sind und eben nicht wie
für eine Kundenkarte. Was sich in den

vergangenen Jahren gezeigt habe und immer
wieder Thema ist: Die Gesundheitskarte ist

ein Identitätsnachweis und muss auch so
bezeichnet werden und so ausgegeben

werden. Und um das Ganze zu machen,
durchzuführen, ist es nicht nur notwendig,

dass man jetzt an irgendeiner
Stellschraube macht, sondern es sind

organisatorische Prozesse neu zu
definieren. Diese organisatorischen

Prozesse müssen genehmigt, implementiert
werden. Und dann kommt leider der

geschwindigkeitsbestimmende Schritt, dass
ganz viele Personen real von diesen

Prozessen betroffen sind und persönlich
irgendwo hingehen müssen. Sie können es

nicht online machen. Wir haben es gezeigt,
sie können nicht online, sondern... Das

ist einfach ein
geschwindigkeitsbestimmender Schritt. Und

das wird viel Zeit in Anspruch nehmen. Und
was wir im Laufe unserer Diskussionen auch

immer wieder festgestellt haben, ist, dass
es eine organisierte

Verantwortungslosigkeit gibt. Es gibt sehr
viele Teilbereiche, die für Teilabläufe

und technische Lösungen zuständig sind.
Aber die Gesamtverantwortung von: Nicht

nur eine Ende-zu-Ende-Verschlüsselung im
technischen Sinne, sondern auch, dass man

eine Ende-zu-Ende-Betrachtung der
organisatorischen Prozesse durchführt. Das

ist total wichtig, und das ist
entscheidend, damit auch die Menschen, die

real existieren und nicht nur irgendein
elektronisches Abbild sind, die

Telematikinfrastruktur vernünftig nutzen
können.

M: Damit sind wir schon fast am Ende, das
sind die zentralen Statements. Eigentlich

hätten wir diesen Talk mit dieser Folie
hier heute zeigen können und wären dann

auch fertig gewesen. Stattdessen haben wir
jetzt 55 oder 50 Minuten geredet. Aber

trotzdem: Ich hoffe, es hat gefallen, denn
das sind die zentralen Statements. Man

braucht, um diese Telematik-Infrastruktur
sicher gestalten zu können höchste

Sicherheit und Datenschutzanforderungen.
Die Anforderungen sind auch da. Die sind

allen bekannt. Grundvoraussetzungen, das
steht in diesen Anforderungen, ist die

zweifelsfreie Identifikation aller
Teilnehmer. Das haben wir ja gesehen, weil

man sich ja nur noch ausweisen muss, um
auf diese Daten zugreifen zu können. Was

haben wir herausgefunden? Identifikation
findet nicht statt. Diese Schlussfolgerung

ist so banal, dass man sich doch fragen
muss: Wie konnte das passieren? Wie könnte

man vergessen, diesen wichtigste Schritt
hier implementieren? Und wie konnte das

nicht auffallen, selbst nach
Sicherheitsaudits? Ursprünglich war mein

Ziel ja, sich die Technik anzuschauen und
sich diese Komponenten zu bestellen,

vielleicht mit dem Christian zusammen, der
autorisiert ist, der Arzt ist. Wir haben

schon beim Bestellprozess aufhören müssen,
weil da waren wir schon durch. Vielleicht

kommen wir ja nächstes Jahr dann dazu,
wenn diese notwendigen Maßnahmen umgesetzt

sind, uns dann noch einmal tief in die
Eingeweide zu begeben. Aber für heute

haben wir unser Ziel schon erreicht
gehabt. Und jetzt ist erst einmal, ganz

wichtig, Arbeit angesagt bei den
Betroffenen, bei den Beteiligten, bei den

Verantwortlichen, diese hier geforderten
Maßnahmen erstmal umzusetzen. Bevor wir

dann nochmal neu an diese Patientenakte
gehen, und uns dann daran wagen,

vielleicht mit einer etwas moderateren
Aussage diese Akte einzuführen. Und auch

eine ein bisschen ehrlichere
Selbsteinschätzung zu dem Thema, das würde

ich mir wünschen für das Jahr 2020. Das
wird 2021 dann trotzdem in den Nutzen

können für medizinische Anwendungen, aber
nicht so eben. Das haben wir jetzt

gesehen. Also so darf das nicht laufen.
Ich würde sagen, wir haben noch ein

bisschen Zeit für Fragen. Dann würden wir
jetzt die Fragen angehen.

Applaus
Herald: Vielen Dank Martin, Christian und

André. Wunderbarer Talk. Wenn ihr Fragen
habt, stellt euch bitte an den Mikrofonen

auf oder nutzt die Möglichkeit, die Fragen
online zu stellen. Signal-Angel, gibt es

Fragen aus dem Netz?
Signal-Angel: Ja, die gibt es. Hier fragt

der User "Space" an den Martin Tschirsich:
Kann ich irgendwo Ärzte finden, die sich

nicht an die Telematik angeschlossen
haben? Also es geht im IRC darum, dass es

dann in Anführungszeichen nur einen
Honorarabschlag geben sollte.

M: Ich glaube, das ist eine Frage, die
tatsächlich lieber ein Arzt selber

beantwortet. Vielleicht gebe ich die Frage
direkt an den Christian weiter.

C: Also ja, es gibt Ärzte, die sich nicht
an die TI angeschlossen haben. Wenn ihr

das googelt: Es gibt mehrere Initiativen
von Ärzten, die sich weigern, sich

anschließen zu lassen, und diese
Honorarabschläge in Kauf nehmen. Also die

bezahlen dafür, dass eure Daten sicher
sind. Ich habe die Homepage leider gerade

nicht auswendig im Kopf. Googlet es
einfach mal, ihr werdet es finden.

Irgendwie "TI frei" oder ähnliches. Das
findet ihr.

Herald: Dankeschön. Mikrofon Nr. 4, deine
Frage, bitte!

Frage: Danke für den Talk! Meine Frage
ist: In dem schönen Video am Anfang hat es

ja geheißen, dass das alles in Kontrolle
des Patienten ist. Wie funktioniert das?

Kann der Arzt einfach einen beliebigen
Schlüssel anfragen von dieser

Infrastruktur oder wie gibt der Patient
sein Einverständnis dafür?

M: Der Patient soll sein Einverständnis
über die App geben können oder auch mit

seiner Gesundheitskarte beim Arzt direkt.
Das ist die einfachste Variante. Also der

Patient geht zum Arzt steckt seine
Gesundheitskarte, gibt eine PIN ein, die

einige jetzt schon bekommen haben, alle
anderen dann nächstes Jahr oder zumindest

bevor diese Patientenakte da ist, und gibt
dem Arzt damit Zugriff auf seine

Patientenakte. Für einen gewissen
Zeitraum, den darf er sich selber

aussuchen und damit hat der Arzt Zugriff.
Für den Arzt wird dann dieser

Aktenschlüssel spezifisch für seine
berechtigten Schlüssel verschlüsselt

hinterlegt beim Aktenanbieter. So
funktioniert das technisch. Auf das

Technische können wir dann nach dem Talk
auch gerne nochmal eingehen. Das ist alles

sehr kompliziert. Es ist symmetrische
Verschlüsselung und nicht so

handelsüblich.
Herald: Danke! Mikrofon Nr. 8, deine

Frage!
Frage: Jo, danke für eure Arbeit für die

Gesellschaft. Gibt es einen Opt-Out für
Patienten?

M: Die Patientenakte soll freiwillig sein.
Das heißt, es ist ein Opt-In. Noch bzw.

aktuell. Es gibt aber verschiedene
Sachverständige, Gruppierungen,

Expertisen, die fordern, es muss ein Opt-
Out werden, weil mit Opt-In wirklich nicht

ausreichend Menschen diese Akte nutzen
werden und dann die positiven Effekte für

die Versorgung ausbleiben. Und wenn man
diese Akte ja schon mal hat und man die

träge Masse gerne mitnehmen will, dann
möchte man gerne zum Opt-Out-Verfahren,

wie das auch schon in anderen Ländern
passiert ist. Ich meine, in Österreich ist

ein Opt-Out, in Australien ist auch ein
Opt-Out, wobei auch dort, meine ich,

früher mal von einem Opt-In die Rede war.
Das heißt, auch hier besteht diese

Möglichkeit, dass das zukünftig einmal
eine Gesetzesänderung geben könnte, kann

man sich alles vorstellen, und dass das
dann zum Opt-Out geht. Ich möchte darauf

aufmerksam machen, dass ich weiterhin
dafür plädiere, dass die Einsetzung für

alle Opt-In bleibt. Denn wer diese träge
Masse, all die, die nicht die Zeit oder

die Expertise haben, sich das anzuschauen,
wer diese mitnehmen möchte, indem er auf

ein Opt-Out geht, der muss auch die
Verantwortung dafür übernehmen für diese

Daten. Und das will aber keiner. Wenn man
das so formuliert, ich glaube, da bleiben

wir länger beim Opt-In.
Herald: Dankeschön. Mikrofon Nummer 7! Was

möchtest du wissen?
Mikrofon 7: Ich hoffe, dass ich jetzt

nicht Äpfel und Birnen vergleiche. Aber
ich kenne jetzt aus dem Gesundheits- und

Pflegebereich ein ganz massives
Überlastungsproblem, was eben

Dokumentationspflichten,
Abrechnungspflichten, etc. mit den

Krankenkassen, mit dem Nachweis der
Professionalität der Arbeit in

Krankenhäusern, in externen Pflegediensten
usw. dann eben angeht. Und ich habe den

Verdacht, wenn man da keine
Digitalisierung reinbringt, ist das ein

unglaublicher Overhead, der momentan
massiv zulasten der Patienten und der

Pflegenden geht. Seht ihr irgendeine
Chance, dass man da tatsächlich effiziente

digitale Abläufe reinbringt, die wirklich
eine Dokumentation beim Patienten, eine

Abrechnung bei der KV, etc. irgendwie
schnell und zügig machen – und nicht

irgendwie einen halben Arbeitstag einer
Pflegerin, die meinetwegen etwas anderes

machen will, mit Papierkram daneben
blockiert?

C: Also, ich gebe dir Recht, ich arbeite
auch in Krankenhäusern, freiberuflich oder

kurzzeitig angestellt. Ich habe da in den
letzten 15 Jahren durch Digitalisierung

nicht erlebt, dass dadurch mehr Zeit für
Patienten entstanden wäre. Es gibt ein

paar minimale Verbesserungen, z. B. bei
Röntgenaufnahmen, die ja früher nur

singulär auf einer einzigen Folie waren,
dass die jetzt verschickt und kopiert

werden können. Die Fortschritte sind sehr
gering. Also die Versprechen sind

natürlich da: Wenn sie digitalisieren,
haben sie mehr Zeit für Patienten. Dass es

in der Praxis aber wirklich so große
Effekte bringt wie versprochen, würde ich

eher nicht erwarten und auch noch nicht
sehen für die nähere Zukunft.

M: Unabhängig davon ist die aktuelle
Patientenakte eine Versorgungsakte. Das

heißt, für die Versorgung geplant und
hauptsächlich für die Information des

Patienten selber. Ob die tatsächlich
diesen revolutionären Effekt jetzt in

unsere Versorgung bringt und diesen
Nutzen, das weiß man nicht. Das will ich

aber auch nicht bewerten. Ich bin nur
dafür, dass man neben dem Nutzen, der auch

sehr positiv von einigen Seiten
herausgestellt wird, der auch evaluiert

und wissenschaftlich begleitet evaluiert
wird, auch die Risiken transparent macht,

ja? Beides muss passieren. Und dann muss
man abwägen können: Wenn man Nutzen und

Risiken kennt – will man das machen? Und
es gibt einige Anwendungen, beispielsweise

verschlüsselte Kommunikation unter Ärzten,
damit die sich gegenseitig Arztbriefe

schicken können, die wirklich einfach
umzusetzen sind, die auch sehr sicher

kommen werden und die auch einen sehr
hohen Nutzen bringen. Also ich denke

schon, es gibt Anwendungen, die Nutzen
bringen. Nur: Wir haben hier mehrfach

gehört, der Einzelfall genügt, um das
Vertrauen in dieses System zu reduzieren.

Und dann muss man halt sich überlegen, ob
das, was man hier gemacht hat, nicht doch

irgendwie besser geht. Und auf jeden Fall
geht das besser! Dass man so ganz

grundlegende Schritte beachten muss. Und
deswegen haben wir unsere Maßnahmen

dargelegt, unter denen wir uns dann
vorstellen können, dass man dann ruhig mal

anfängt mit vielleicht Diensten, die nicht
so ganz so kritisch sind wie die

Patientenakte, sondern das KOM-LE-
Verfahren. Also so was wie S/MIME unter

Ärzten. Und dann schaut, ob das
funktioniert und dann halt Schritt für

Schritt weitergeht. Kann ich mir schon
vorstellen so etwas.

Herald: Dankeschön! Mikrofon 5, bitte.
Mikrofon 5: Ja. Unterstützt ihr die

aktuell laufende Online-Petition gegen den
TI-Zwang?

M: Die Online-Petition gegen den TI-Zwang
ist, soweit … ich hab sie mir

durchgelesen, nicht begründet mit den
Gründen, die wir hier aufführen, warum wir

aktuell dafür sind, dass man erstmal
gewisse notwendige Maßnahmen umsetzt. Wir

sind hier relativ agnostisch rangegangen,
was den Nutzen angeht, sondern haben die

Risikiodimension beurteilt und bewertet.
Und diese Petition gegen den TI-Zwang, wo

es ja auch verschiedene Gründe gibt, die
gehen hauptsächlich in die Richtung

„Haftungsfragen sind ungeklärt“ und die
Nutzungsfrage wird oft von Gruppen

abgelehnt. Und das, würde ich sagen, muss
man den Fachgruppen überlassen, ja? Also

zumindest ich. Das muss man dann den
Ärzten überlassen, vielleicht kann

Christian dazu eine Aussage …?
C: Ich glaube, wir gehen zur nächsten

Frage.
Herald: OK. Mikrofon 4 hätte ’ne Frage?!

Mikrofon 4: Ja, ich wüsste gerne, ob ihr
wisst, ob es in der Spezifikation

irgendwas zum Umgang mit der PIN gibt.
Also ich hab das in einer Arztpraxis

erlebt, dass dann ein
Dienstleistungsunternehmen kommt, den

Konnektor installiert und zwecks einfacher
Fernwartung den PIN auf eine triviale

Kombination ändert, bei allen gleich, und
das in ein Textdokument auf USB-Stick

rausträgt. Ist das erlaubt nach der
Spezifikation?

C: Ähm … lacht Ich sag jetzt mal so:
Martin ist derjenige von uns, der die

Spezifikation auswendig kann, aber ich sag
mal so grob: Nein. Also es ist leider so,

dass auch im Gesundheitswesen das, was du
ansprichst, häufig relativ schlechte

Passwörter verwendet werden und die auch
an Stellen liegen, wo sie nicht liegen

sollten. Das ist … da müssen wir noch sehr
viel dran arbeiten, auch diesen

Datensicherheitsgedanken unter Ärzte zu
tragen, woran ich unter anderem auch

arbeite – oder wir unter anderem auch
arbeiten.

M: Wobei ich sagen muss: Die Anforderungen
sind sicher da. Also die Anforderungen

sind wirklich hoch. Aber auch die
Anforderungen, die an die Ärzte und diese

ärztliche Umgebung gestellt werden, sind
sehr hoch. Und je höher die Anforderungen

geschraubt werden, desto weiter schiebt
man natürlich die Verantwortung, falls

dann jemand gegen diese Anforderung
verstößt, von sich. Nur diese

Anforderungen erfüllen glaube ich nicht
sehr viele Ärzte, ja? Und da muss man

fragen: Sind das realistische
Anforderungen? Und wie sieht das in der

Praxis aus? So ein bisschen das, was wir
gemacht haben. Also Technik ist da,

Spezifikation ist da, bei der Umsetzung da
hakt es halt noch.

Herald: Signal-Angel. Du hast auch noch
was.

Signal-Angel: Ja, und zwar eine Frage aus
Twitter von @jesafafa: Kann ich mich als

Ärztin davor schützen, dass meine
Identität gestohlen wird? Also

wahrscheinlich zur Erlangung dieser
Heilberufeausweise.

M: Das wäre sehr wünschenswert, dass man
hier weitere – ich sage mal – Brandmauern

einbaut, sodass wenn jemand anderes eine
Karte/Identität in seinem Namen beantragt,

dass dann versucht wird, diese neue
Identität erst freizuschalten, wenn man

sich irgendwie rückversichert hat. Wenn
man einen Nachsendeauftrag bei der Post

stellt beispielsweise, an eine beliebige
Adresse, das kann ich ohne dass ich mich

ausweisen muss. Dann geht zumindest an die
ursprüngliche Adresse ein Brief mit

„Hallo, wir informieren Sie darüber, dass
Ihre Post nun an eine andere Adresse

geht“. So etwas könnte man sich ja auch
hier für diese Praxisausweise noch

wünschen. Bei der Gesundheitskarte gibt’s
sowas in der Art schon, was die

Patientenakte angeht, aber hier müssen wir
glaube ich noch ein bisschen mehr, ich sag

mal, zweite und dritte Verteidigungslinie
einbauen, sodass wenn dieser

Kartenherausgabeprozess kompromittiert
ist, dass man dann nicht sofort mit

gestohlener Identität jemand anderen
ausgestattet hat. Ansonsten: Jetzt ist der

Schutz sehr schwer möglich.
C: Also … Bin ich dran? Was man fordern

muss ist, dass sowohl bei der
Antragsstellung als auch bei der

Auslieferung dieser Identitätsausweise
eine persönliche Anwesenheit des Arztes

notwendig ist. Das heißt, der muss einmal
mindestens hingehen zu der Ärztekammer

oder von mir aus auch die apoBank und sich
dort ausweisen. Und beim Empfang muss der

auch persönlich anwesend sein und sich
ausweisen oder eben wieder da hingehen.

Und da ist die Compliance bei den Ärzten
nicht so hoch.

Herald: Danke für eure Antwort. Mikrofon
Nummer 4, deine Frage!

Mikrofon 4: Da war eigentlich nur ein
Kommentar zu dem, was eben gesagt wurde,

und zwar ist es so, dass ganz viel
Gesundheitsdaten per DVD geschickt werden,

weil das anscheinend sicher ist. Und
eigentlich eine Frage habe ich noch: Was

ist mit dem Stammdatenabgleich?
Funktioniert der jetzt mittlerweile? Weil

letztes Jahr haben sie darüber
nachgedacht, ob sie eine SOAP-

Schnittstelle dafür bauen.
C: Also VSDM funktioniert, wird gemacht.

Machen wir auch, mache ich auch täglich in
meiner Arbeit. Zu den Röntgenbildern: DVD

ist noch nicht so schlimm wie diese ganzen
PACS-Server, die weltweit offen lagen ohne

Passwort, wo man nur die URL eingeben
musste. Also es geht immer noch schlimmer.

Und ja: VSDM funktioniert.
Herald: Dankeschön! Der Signal-Angel

bitte.
Signal-Angel: Eine Frage aus

Twitter: Ob die elektronische
Patientenakte eine eindeutige Patienten-ID

für alle Menschen in Deutschland
beinhaltet?

M: Die Patienten werden in der
elektronischen Patientenakte über ihre

Versichertennummer identifiziert und es
gibt eine zentrale Vergabestelle für diese

Versichertennummer, die auch bei
Kassenwechsel, meine ich, erhalten werden.

Könnte der André jetzt sicher noch was zu
sagen.

A: Also jeder Versicherte hat eine
lebenslange, eindeutige

Versichertennummer, die er dann auch bei
Kassenwechsel mitnimmt. Ja, das heißt, ich

habe dort einen Datensatz, der einer
Person zugeordnet ist. Nur: Das, was wir

heute gezeigt haben, das führt dazu, dass
man eben nicht sicher sein kann, dass da

auch genau dann diese Person tatsächlich
auf diese Information zugreift. Weil hier

einfach bei den Übergabeprozessen und den
Identitätsbestätigungsprozessen nicht

sichergestellt ist, dass tatsächlich die
richtige Person auch in Besitz dieser

Zugangsinformation kommt.
Herald: Dankeschön. Mikrofon Nummer 1.

Deine Frage!
Mikrofon 1: Spricht aus eurer Sicht

irgendwas dagegen, statt der EGK einfach
den neuen Personalausweis zu benutzen?

M: Es gibt tatsächlich einen, bzw. mehrere
Projekte glaube ich, oder

Vorgängerprojekte, die genau das
versuchen: Eine Identität abzuleiten vom

Personalausweis, die man dann auch im
Gesundheitswesen nutzen kann. Ich glaube,

in die Richtung gibt es Gedanken. Es gab
ja auch mal die Idee, eines Bürgerportals

mit BürgerCard. Also da gibt es viele
Überlegungen, den NPa zu nutzen. Nur

momentan haben wir halt eine eigene PKI im
Gesundheitswesen. Also unseren eigenen

Vertrauensraum, der noch ganz abgekoppelt
ist vom NPa. Und das hat auch Gründe, dass

man, wenn man am NPa weitere Attribute
speichern wollte, wie beispielsweise die

Versichertennummer, dass das ein sehr
langwieriger Prozess ist, bis man da die

Spezifikation so geändert hat, dass der
NPa auch so etwas speichert wie eine

Versichertennummer. Ansonsten müsste man
wieder ein Register aufbauen, wo jeder

NPa Bürger irgendwie zugeordnet wird mit
Versichertennummer. Und da ist halt die

Frage: Will man so etwas? Also ich glaube,
aus verschiedenen Gründen hat man sich

dazu entschieden, hier eine eigene
Hierarchie aufzubauen.

A: Es reicht eben nicht aus, dass man in
dem Gesundheitswesen nur sich selbst

identifiziert und sagt: Ich nutze meine
eID-Funktion des NPa um zu sagen: Ich bin

ich. Sondern ich muss auch immer noch die
Information mitbringen, das Attribut

mitbringen, bei wem bin ich versichert.
Und diese Information, bei wem bin ich

versichert, ist aktuell auf dem NPa nicht
abspeicherbar.

Herald: OK. Dankeschön. Mikrofon Nummer 6,
deine Frage!

Mikrofon 6: Ist es irgendwie vorgesehen,
dass mein Arzt, mein Zahnarzt z. B., auf

die gesamte Akte zugreifen kann oder nur
auf den Teil, der überhaupt für ihn

vorgesehen ist?
C: Klares Jein. Also ursprünglich war’s so

vorgesehen, dass man selektiv jede
Information in der Patientenakte dem

speziellen Arzt freischalten kann. Also
dass der Urologe nur die

Geschlechtskrankheiten weiß und der
Zahnarzt nur die Zahnkrankheiten.

Gesundheitsminister Spahn hat aber jetzt
versucht, da Druck zu machen, um das

schneller einzuführen und weil dieses
Rechtemanagement, wissen wir alle, recht

kompliziert ist, wollte er das auf ein
Alles oder Nichts runterdrücken. Was

letztendlich kommt, werden wir in einem
Jahr sehen. Frühestens.

M: Es steht schon fest: Also wir wissen,
dass die elektronische Patientenakte, wie

sie 2021 kommt, erstmal nur eine Alles-
oder-Nichts-Akte ist. Also da muss ich mir

halt überlegen, welchem Arzt ich diese
Akte freigebe. Und bei gewissen ärztlichen

Behandlungen – also beispielsweise
psychotherapeutische Behandlung; würde ich

dann nicht als Patient zum
Psychotherapeuten gehen und bitten,

Gutachten dort einzustellen. Sondern ich
muss das erstmal für Dokumente verwenden,

bei denen ich davon ausgehe, dass sie den
anderen Ärzten, denen ich diese Akte

freigebe, auch gesehen werden können ohne
dass das für mich irgendwelche negativen

Folgen hat. Darüber wird man auch
aufgeklärt. Und dann soll in der zweiten

Version 2022 dieses Rechtemanagement
nachgeliefert werden. Das können wir

allerdings momentan noch nicht beurteilen,
weil die Spezifikation dazu … ist noch

nicht öffentlich. Und ich nehme an, sie
wird ausgearbeitet.

Herald: OK. Vielen Dank euch Dreien fürs
Rede und Antwort Stehen! Verabschiedet die

drei bitte mit einem kräftigen Applaus!

Applaus

C: Ganz herzlichen Dank für die
Moderation!

Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2020. Mach mit und hilf uns!