Computerexperten entdecken Datenlücken bei Gesundheits-Apps

/JAVIER LARRAONDO, stock.adobe.com

Berlin – Bei zwei digitalen Gesundheitsanwendungen (DiGA) haben IT-Spezialisten Datenlücken entdeckt. Diese seien allerdings inzwischen geschlossen, so die Experten des ehrenamtlichen Kollektivs Zerforschung. Zuerst hatte die Tagesschau berichtet. Demnach haben sich Computerfachleute die App „Novego: Depressionen be­wältigen“ sowie die App „Cankado“ genauer angeschaut und dabei erhebliche Datenlücken entdeckt.

Bei Novego konnten Nutzer demnach bei dem Versuch eigene Daten herunterzuladen, einfach durch eine Än­de­rung der Nutzer-ID in der URL auf andere Nutzerdaten zugreifen und diese exportieren. Frei zugänglich waren damit Daten wie die E-Mail-Adresse, der Username (häufig Vor- und Nachname), das Geschlecht, welches Prog­ramm innerhalb der App genutzt wird sowie Ergebnisse eines Self-Assessments.

Die Datenlücke bei Cankado war laut Computerexperten weitreichender. Cankado ist eine App für Brustkrebs­patientinnen, die über diese DiGA ihre Beschwerden selbst erfassen können und damit automatisch Empfeh­lungen erhalten, wie dringend das Problem mit einem Arzt oder einer Ärztin abgeklärt werden sollte.

Hier konnten sich die Experten von Zerforschung allerdings einfach als Arzt oder Ärztin registrieren und auf­grund einer ungesicherten Schnittstelle sogar Einblicke in Patientendaten erhalten. Damit konnten Daten wie Name, Adresse, E-Mail-Adresse, Passwort aber auch Daten über die Diagnose, Tagebuchdaten oder Arztberichte eingesehen werden. Insgesamt waren bei Cankado über diesen Weg 12.500 Datensätze abrufbar, erläuterte das Team von Zerforschung.

Die Computerfachleute haben laut ihrem Bericht die Datenlücken nach dieser Entdeckung den Herstellern ge­meldet, diese hätten die Probleme anschließend nach eigenen Angaben auch geschlossen. Allerdings kritisie­ren die Experten von Zerfoschung, dass die Gesundheitsapps nach der Marktreife solche weitreichenden Daten­schutzprobleme überhaupt aufzeigten.

Ende-zu-Ende-Verschlüsselung bei DiGAs gefordert

Sie fordern: Sollte Kommunikation zwischen den Nutzern der Apps nötig sein, müssten diese Ende-zu-Ende verschlüsselt sein. „Denn Ende-zu-Ende-Verschlüsselung ist heute schon der Standard in Messengern“, schreibt Zerforschung. Somit sei die Familien-Chatgruppe aktuell besser geschützt als die Kommunikation zwischen Arzt und Patient über diese Apps.

Die Experten mahnen konkret die Einstellung des DiGA-Fast-Track-Programms an, das den Herstellern ermög­licht, eine Gesundheits-App ohne eine wirkliche Sicherheits- und Wirksamkeitsüberprüfung auf den Markt zu bringen. Das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) prüfe zwar den Antrag eines poten­ziellen DiGA-Herstellers, könne aber keine eigene technische Überprüfung leisten, zitiert die Tagesschau das BfArM.

Zu den Sicherheitslücken äußerte sich heute auch der Spitzenverband Digitale Gesundheitsversorgung. Zu den Mitgliedern dieses Verbandes zählen unter anderem Cankado sowie die Firma IVPNetworks GmbH, die hinter der App Novego steht.

Die Geschäftsführerin des Verbands, Anne Sophie Geier, erklärte: „Der Umgang mit Daten und insbesondere mit Gesundheitsdaten ist ein sensibles Feld. Das wissen wir und das wissen die bei uns organisierten Unternehmen. Nutzerinnen und Nutzer von digitalen Gesundheitsanwendungen müssen sich darauf verlassen können, dass ihre Angaben in guten und sicheren Händen sind.“

Alle Mitglieder des Verbandes nehmen laut Geier die Vorgaben des Gesetzgebers sehr ernst, erst kürzlich wären die Vorgaben mit verpflichtenden Penetrationstests (umfassende Sicherheitstests) und einem zertifizierten Infor­mations-Management-Systems verschärft worden.

„Gleichzeitig ist Datensicherheit eine dauerhafte und immer wieder herausfordernde Aufgabe“, gestand Geier. Sie begrüße Initiativen wie Zerforschung und die Verbandsmitglieder würden jedem Hinweis aus dieser Rich­tung nachgehen. „Auch die in diesem Fall beanstandeten Lücken wurden schnellstmöglich geschlossen und dank direkter Warnung konnte ein Schaden verhindert werden“, so Geier.

Aktuell 31 solcher DiGA listet derzeit das BfArM in ihrem DiGA-Verzeichnis. Die Apps auf Rezept können von Ärzten seit 2020 verordnet werden und werden von den Krankenkassen bezahlt. Sie sollen bei Erkrankungen wie etwa Depressionen, Krebs, Adipositas oder auch Erektionsstörungen die Behandlung unterstützen.

Allerdings werden die Apps bislang nur wenig genutzt und es gibt immer wieder Kritik. So sind sie relativ teuer und vor allem den Kassen deshalb ein Dorn im Auge. Zudem ist der Nutzen vieler Apps bislang umstritten. © cmk/aerzteblatt.de