Apps in der Medizin: Viele Sicherheitsrisiken

Die Datenverarbeitung mittels mobiler Medizin-Apps birgt große Unwägbarkeiten hinsichtlich Datenschutz und Risikomanagement.

Foto: iStockphoto

Studien zum Datenschutz und zur Datensicherheit von Gesundheits-Apps kommen immer wieder zu vernichtenden Ergebnissen. So hatte der Zertifizierungsdienstleister ePrivacy im vergangenen Jahr 140 „Medical Apps“ untersucht und dabei festgestellt, dass bei 80 Prozent der Produkte Login-Daten und bei 52 Prozent Gesundheitsdaten ausgelesen werden konnten. Bei knapp drei Viertel der Apps ließen sich die gesendeten und empfangenen Daten manipulieren und dadurch beispielsweise Blutzuckerwerte verfälschen. Mehr als die Hälfte der untersuchten Apps verfügte zudem über keine Datenschutzerklärung.

Nicht immer Verlass auf Prüfsiegel

Auch staatliche Prüfsiegel bieten nicht unbedingt besseren Schutz für den Verbraucher, wie ein Anfang 2016 veröffentlichter „State of Application Security Report“ des US-amerikanischen Anbieters von IT-Sicherheitstechnologie, Arxan Technologies, nachweisen konnte: Das Unternehmen hatte 71 beliebte mobile Health-Apps aus Deutschland, den USA, Großbritannien und Japan untersucht und dabei festgestellt, dass von Behörden zugelassene Apps genauso risikobehaftet wie alle anderen waren. 84 Prozent der von der US-amerikanischen Food and Drug Administration zugelassenen Apps waren von mindestens zwei gefährlichen mobilen Sicherheitsrisiken bedroht, bei den vom britischen National Health Service zugelassenen Apps waren es 80 Prozent.

Hinzu kommen oft weitere Qualitätsmängel, wie bei der VDE-Veranstaltung „Apps in der Medizin“ am 21. Januar in Frankfurt/Main deutlich wurde. „Drei von vier Apps, die behaupteten, sie könnten Melanome identifizieren, fanden diese in 30 Prozent der Fälle nicht“, zitierte Prof. Dr. med. Dipl. Phys. Jürgen Stettin, Prosystem AG, Hamburg, aus der Zeitschrift JAMA Dermatology. Häufig würden die Medien-Apps ohne Einbezug von Fachleuten entwickelt, kritisierte Stettin. Die Analyse von 49 Apps zu Gefäßkrankheiten aus einer anderen Publikation ergab beispielsweise, dass nur bei 13 Apps ein Mediziner einbezogen worden war.

Derzeit gibt es nur sehr wenige Medizin-Apps für mobile Endgeräte, die als Medizinprodukt auf der Grundlage des Medizinproduktegesetzes (MPG) geprüft sind und den besonderen Anforderungen bezüglich Risiko, Sicherheit, Qualität, Regulierung und Überwachung Rechnung tragen.

Nicht immer ist es dabei einfach, mobile „Medical Apps“, die medizinisches Personal oder Patienten bei der Diagnose, Therapie oder Überwachung von Krankheiten oder Verletzungen unterstützen, klar von Fitness- oder Gesundheits-Apps abzugrenzen. Darauf verwies Prof. Dr. Christian Johner, Konstanz (Kasten). Ist etwa eine mobile Anwendung, die Patienten an die Einnahme ihrer Medikamente erinnert, schon als Medizinprodukt einzustufen? Wie ist das bei einer App, die den Zugriff auf ein klinisches Informationssystem ermöglicht? Relativ einfach liegt der Fall bei Apps, die zur Abrechnung, Verwaltung oder Dokumentation dienen. „Hierbei handelt es sich nicht um Medizinprodukte“, erläuterte Johner. Bei medizinischen Apps im „Graubereich“ komme es zuweilen auf eine genaue Bewertung des Einzelfalls an.

„Entscheidend für die Klassifizierung als Medizinprodukt ist die Zweckbestimmung des Herstellers“, betonte Johner. Falle eine Medizin-App unter die Klassifizierung als Medizinprodukt, müsse der Hersteller die grundlegenden regulatorischen Anforderungen des MPG einhalten. Hierfür gelte es, ein Risikomanagement zu betreiben, die Software gemäß einem Lebenszyklusprozess zu entwickeln und zu dokumentieren und die Gebrauchstauglichkeit des Produkts nachzuweisen.

Herausforderungen bei der Entwicklung

Im Unterschied zur Entwicklung „klassischer“ Medizinprodukte ist die Einhaltung dieser Anforderungen bei der App-Entwicklung mit etlichen Herausforderungen behaftet: So müssen die Apps unter anderem für eine Vielzahl von technischen Plattformen (zum Beispiel Betriebssystemen, Hardware, Browsern), für einen schwer begrenzbaren Nutzerkreis und für unbekannte Nutzungsumgebungen entwickelt werden, so dass etwa ein adäquates Risikomanagement schwierig ist.

Darüber hinaus spielt der Datenschutz für Medizin-Apps eine herausragende Rolle. Im Hinblick darauf könne besser vom „Black-Box“-Phänomen gesprochen werden, meinte der Rechtsanwalt Gerald Spyra, LL.M., Köln. Werbesprüche wie „Unsere App wurde datenschutzrechtskonform entwickelt“, hält er für fragwürdig. „Gerade bei medizinischen Apps, besonders wenn sie für die Patientenbehandlung genutzt werden, sieht man schnell, wie wichtig Daten sein können. Der Schutz der Daten ist dabei aus unterschiedlichen Rechtsgründen notwendig“, erklärte Spyra. Dazu zählen nicht nur Aspekte des allgemeinen Datenschutzrechts (Schutz der Persönlichkeitsrechte) und des besonderen Datenschutzrechts (Gesundheitsdatenschutz), sondern auch der Schutz des Vertrauensverhältnisses zwischen Arzt und Patient (Patientengeheimnis) sowie der Schutz der Gesundheit und des Lebens des Patienten (MPG).

Viele Black-Box-Phänomene, wenig Transparenz

Für die Bewertung, ob eine App sicher oder rechtskonform ist, ist Spyra zufolge vor allem die Zweckbestimmung aus dem Medizinprodukterecht hilfreich, um die datenschutzrechtlichen Implikationen und die des Patientengeheimnisses zu identifizieren. Dort werde etwa festgelegt, wer die App einsetzen soll. „Es macht datenschutzrechtlich einen großen Unterschied, ob das ein Verbraucher, ein Arzt mit eigener Praxis oder ein angestellter Arzt im Krankenhaus ist“, erklärte Spyra. Zu fragen sei zudem, wessen und welche Daten per App verarbeitet werden sollen, wie und wo dies geschehen solle und wer Zugriff auf die Daten habe. „Befindet sich die App auf einem Gerät im Krankenhaus, macht es einen großen Unterschied, ob das Gerät nur zu dienstlichen Zwecken genutzt werden darf, ob es ein dienstliches Gerät ist, das auch privat genutzt werden darf oder – eine eher schlechte Lösung – ob es ein privates Gerät ist, das zu dienstlichen Zwecken genutzt werden darf“, so Spyra. Zu fragen sei ferner, welche weiteren Apps auf dem Gerät installiert sind? Wie sind die Smartphones abgesichert? Welche vertraglichen Regelungen wurden von wem und wofür getroffen?

„Aufgrund des Designs von Smartphones und Apps wissen wir eigentlich überhaupt nicht, was sich vor, bei und nach der Verarbeitung von Daten alles abspielt“, warnte der Experte. Der Nutzer hat es laut Spyra mit einer Vielzahl von „Black Boxes“ zu tun: angefangen von den möglichen Schwachstellen der Medizin-App, über andere unsichere Apps auf demselben Gerät, den proprietären Komponenten des Smartphones (Betriebssystem, Firmware, Hardware) und den undurchschaubaren Verbindungen des Smartphones ins Internet. Vor diesem Hintergrund sei es nicht möglich, gewisse Risikofaktoren rechtlich einzuordnen, vielmehr hänge die Rechtskonformität vielfach von Mutmaßungen und Vertrauen ab. Hinzu kommt laut Spyra, dass es vor allem beim Schutz von Patientendaten einen „schwer zu durchdringenden Gesetzesdschungel“ gibt, so dass oft unklar ist, welches Gesetz überhaupt gilt. „Gerade beim Einsatz von Apps müssen wir daher das anwendbare Recht identifizieren, den Einzelsachverhalt analysieren und die Verantwortlichkeiten herausarbeiten“, erklärte der Rechtsexperte.

Sein Fazit: „Aufgrund des Designs von Smartphones und Apps und der ubiquitären Vernetzung erhöhen sich die Komplexität und die Intransparenz der Datenverarbeitung einer App massiv. Daher gleicht die Datenverarbeitung einer App einer beziehungsweise mehrerer Black Boxes.“ Die Herausforderung für den Datenschutz bestehe darin, so viele Black Boxes wie möglich zu öffnen und den konkreten technischen Inhalt im Einzelfall rechtlich zu bewerten, um der Haftungs- und Schadensersatzproblematik zuvorzukommen. Letztlich sei dies aber auch „aus Respekt vor dem Patienten“ erforderlich.

Heike E. Krüger-Brand

APP ALS MEDIZINPRODUKT

Definition

Standalone-Software wie etwa eine Smartphone-App kann ein Medizinprodukt sein, wenn sie vom Hersteller zur Anwendung für Menschen mit mindestens einem der folgenden Zwecke bestimmt ist (§ 3 Nr. 1 MPG):

• Erkennung, Verhütung, Überwachung, Behandlung oder Linderung von Krankheiten,
• Erkennung, Überwachung, Behandlung, Linderung oder Kompensierung von Verletzungen oder Behinderungen,
• Untersuchung, Ersetzung oder Veränderung des anatomischen Aufbaus oder eines physiologischen Vorgangs,
• Empfängnisregelung.

Abgrenzung

Apps sind kein Medizinprodukt, wenn sie beispielsweise:

• ausschließlich für Dokumentationszwecke entwickelt wurden (auch wenn sie medizinische Daten enthalten),
• für Trainings- und Ausbildungszwecke gedacht sind,
• nur Grundfunktionen für Daten bieten, wie Speicherung, Archivierung, verlustfreie Kompression, Kommunikation und Suche,
• keinen Nutzen für den einzelnen Patienten haben (etwa Verwendung nur für klinische Studien oder für Statistik),
• nur nichtmedizinische Daten betreffen, zum Beispiel Daten zu Verwaltung, Finanzen oder Ressourcen.

Apps sind als Medizinprodukte einzustufen, wenn sie beispielsweise:

• ein Zubehör oder eine Erweiterung eines Medizinproduktes sind, indem sie dieses direkt ansteuern (etwa eine Blutdruckmessung starten) oder Werte eines Monitoringsystems anzeigen,
• eine Plattform erweitern oder diese ansteuern, etwa um eine Blutzuckermesseinheit, die mit dem Smartphone verbunden ist, zu starten oder deren Werte auszulesen, zu berechnen und anzuzeigen,
• Berechnungen oder Analysen für individuelle Patienten durchführen, wie etwa Software für die Analyse oder Verarbeitung radiologischer Bilder.

(nach: https://www.johner-institut.de/blog/tag/mobile-medical-apps/#md)

Orientierungshilfe

Das Bundesinstitut für Arzneimittel und Medizinprodukte hat eine Orientierungshilfe für Apps entwickelt, die auch auf die Abgrenzung von Wellnessanwendungen und Medizinprodukten eingeht: http://d.aerzteblatt.de/NQ98