„Die saubere Umsetzung der ePA muss sichergestellt sein, bevor der bundesweite Rollout stattfindet“

Berlin – Morgen startet die elektronische Patientenakte (ePA) in ausgewählten Modellregionen in eine Testphase. Nach erfolgreicher Erprobung soll die ePA dann bundesweit zum Einsatz kommen. Analysen von IT-Experten des Chaos Computer Clubs (CCC) offenbarten jüngst allerdings Sicherheitslücken. Das Deutsche Ärzteblatt sprach darüber und zu weiteren Aspekten der ePA-Umsetzung mit Sibylle Steiner, Mitglied des Vorstands der Kassen­ärztlichen Bundesvereinigung (KBV).

5 Fragen an Sibylle Steiner, Mitglied des Vorstands der Kassen­ärztlichen Bundesvereinigung (KBV)

Wie bewerten Sie die aktuelle – durch Berichte des Chaos Computer Clubs ausgelöste – Diskussion um die Datensicherheit der ePA?
Die Berichte und die vom CCC und den IT-Sicherheitsforschern aufge­deckten Sicherheitslücken bei der ePA nehmen wir sehr, sehr ernst. Die weitreichendste Sicherheitslücke scheint diejenige, dass man offenbar auf beliebig viele Patientenakten zugreifen kann, ohne zuvor die elektro­nische Gesundheitskarte gesteckt und somit letztendlich einen Behand­lungskontext hergestellt zu haben. Ein solches Szenario würde bedeuten, dass man auf bis zu 70 Millionen elektronische Patientenakten zugreifen kann.

Befürchten Sie einen bleibenden Schaden für die Akzeptanz der ePA bei Praxisteams und Patienten? Beziehungsweise: Was müsste erfolgen, um einen solchen Schaden abzuwenden?
Wir haben sofort Kontakt mit dem Bundesgesundheitsministerium sowie der Gematik aufgenommen und darauf gedrungen, dass die jetzt aufge­zeigten Sicherheitslücken angegangen werden müssen, bevor man in einen bundesweiten Rollout geht.

Es muss gelingen, die Lücken zu schließen – das ist absolut zentral. Datenschutz und Datensicherheit sind Grund­voraussetzungen dafür, dass wir über die Akzeptanz bei der Ärzte- und Psychotherapeutenschaft, aber natürlich bei Patientinnen und Patienten, verfügen, die wir uns wünschen. Der Vertrauensvorschuss für die ePA, den diverse Umfragen verdeutlichen, darf nicht verspielt werden.

Der Berufsverband der Kinder- und Jugendärztinnen und -ärzte (BVKJ) kritisierte jüngst, insbesondere in Bezug auf die Datenschutzrechte von Kindern und Jugendlichen bestünden noch erhebliche Bedenken. So gebe es etwa keine Lösung, wie ehemals Berechtigten der Zugang zu sensiblen Daten entzogen werden kann. Wie schätzt die KBV die Problematik ein?
Die Situation bei Kindern und Jugendlichen, etwa mit Blick auf gegebenenfalls vorliegendes geteiltes Sorgerecht, lässt noch Fragen offen. Deshalb haben wir seitens der KBV-Vertreterversammlung im Dezember ja nochmal per Beschluss den Vorschlag gemacht, dass man für Kinder und Jugendliche ein Opt-in-Verfahren und kein Opt-out-Verfahren umsetzt. Das wäre eine Möglichkeit, um solche potenziellen Konfliktfälle zu lösen und wäre natürlich auch im Sinne der Ärzte und Therapeuten.

Das Bundesgesundheitsministerium äußerte sich bereits dahingehend, dass man diese Forderung nicht mehr auf­greifen wird. Das finden wir sehr bedauerlich, aber das heißt für uns natürlich auch, dass wir uns unter anderem mit diesem Anliegen an die neue Bundesregierung wenden werden.

Wie sehen Sie das Vorgehen rund um die ePA-Erprobung in den Testregionen? Wurden KBV und KVen ausreichend eingebunden und gab es zufriedenstellende Informationen zur Evaluation und dem anschließenden Vorgehen?
Die KBV hat von Anfang an darauf hingewiesen, dass wir diese vier Wochen als überaus ambitioniert bewerten und für sehr sportlich halten. Vor dem Hintergrund der aktuellen Diskussion um die Sicherheit der elektronischen Patientenakte erscheint es auch nicht besonders realistisch, dass man diese vier Wochen halten kann.

Bundesgesundheitsminister Karl Lauterbach hat aber zugesagt, dass die ePA nicht ans Netz gehen wird, wenn es auch nur ein Restrisiko für einen großen Hackerangriff geben wird. Insofern müssen wir uns darauf verlassen, dass genau das auch so sein wird, wie der Minister es zugesagt hat.

Welche Mindestvoraussetzungen müssten aus Sicht der Praxisteams erfüllt werden, damit ein bundesweiter Roll-Out Sinn macht?
Der wichtigste Punkt für den Versorgungsalltag, der jetzt aufgrund der Sicherheitsdiskussion fast ein bisschen in den Hintergrund rückte, ist, dass die ePA in den unterschiedlichen PVS-Systemen reibungslos funktionieren muss.

Wir haben mehr als 100 solcher Systeme im Einsatz. Zudem muss auch die Telematikinfrastruktur stabil bleiben und das Zusammenspiel der ePA mit dem E-Rezept und der elektronischen Arbeitsunfähigkeitsbescheinigung muss störungsfrei laufen.

All das ist ja das eigentliche Anliegen der Modellregionen: Die grundsätzliche Funktionsfähigkeit und Nutzer­freundlichkeit der ePA-Module zu testen. Wenn es hier Probleme gibt, dann verlieren die Praxen Zeit, um ihre Patientinnen und Patienten zu versorgen.

Die saubere Umsetzung der ePA muss also sichergestellt sein, bevor der bundesweite Rollout stattfindet. Und wir erwarten natürlich auch, dass Feedback aus den Modellregionen und etwaige Fehler und Probleme, die benannt werden, schnell behoben werden. Abläufe, die die Praxen verlangsamen, können wir uns nicht leisten.

aha