Niedergelassene fordern Umsteuern beim Rollout der elektronischen Patientenakte

Berlin – Die Kassenärztlichen Vereinigungen (KV) der Pilotregionen zur Erprobung der elektronischen Patientenakte (ePA) und die Kassenärztliche Bundesvereinigung (KBV) fordern eine Verlängerung und Umgestaltung der Testphase. Statt eines festen Datums müsse der bundesweite Start an abgestimmte Qualitätskriterien geknüpft werden. Das Bundesgesundheitsministerium (BMG) hält bisher an seinem Zeitplan fest.

Die KVen Bayerns, Hamburgs sowie in Nordrhein und Westfalen-Lippe zeigen sich ernüchtert über den bisherigen Verlauf der ePA-Erprobung. Die rund 300 teilnehmenden Praxen würden weiterhin von fehlenden technischen Voraussetzungen oder Komplikationen berichten, die ein wirksames Testen der ePA verhindern, klagen die KVen in einem gemeinsamen offenen Brief an das BMG.

Die vergangenen fünf Wochen hätten sich ausschließlich um die rein technische Machbarkeit der ePA gedreht, beklagt der Vorstand der KV Nordrhein, Frank Bergmann: „Sie blieben praktisch ohne Testergebnisse für den eigentlichen Behandlungskontext in der Praxis, um den es ja eigentlich gehen sollte.“

Auch der stellvertretende Vorstandsvorsitzender in Westfalen-Lippe, Volker Schrage, berichtet, dass bisher nur wenige Praxen die ePA überhaupt hätten befüllen können. Es habe beispielsweise Herausforderungen beim Zugriff auf die entsprechenden Aktensysteme gegeben, woraufhin die Hersteller der Praxisverwaltungssysteme und die Softwareunternehmen der Aktensysteme hätten nachbessern müssen.

Auch hätten einige Praxisteams weiterhin Probleme mit der E-Medikationsliste. Deren Daten würden zum Teil gar nicht oder nur unvollständig übertragen. Zudem dürfe der erhöhte Beratungsbedarf im Arzt-Patienten-Verhältnis nicht unterschätzt werden. Ein Drittel der Praxen könnten die ePA noch gar nicht testen, weil sie noch nicht über das notwendige Modul verfügen.

„Wir sind froh, dass die Schwierigkeiten jetzt auftreten, denn exakt dafür ist die Pilotphase gedacht“, betont Schrage. „Wir wollen die technischen und organisatorischen Probleme klar identifizieren, damit diese vor einem bundesweiten Rollout beseitigt werden.“

Vor dem Hintergrund, dass das Erprobungsszenario noch nicht zu einhundert Prozent laufe, sei klar, dass für eine fundierte Bewertung noch mehr Erfahrungen gesammelt werden müssen. „Bei einer Anwendung in der Dimension der ePA ist es fatal, den deutschlandweiten Rollout auf Basis vereinzelter Erfahrungen und nur fragmenthafter Testung zu starten“, mahnt auch Caroline Roos, die stellvertretende Vorstandsvorsitzende der KV Hamburg.

Qualitätsmerkmale statt „dogmatischem Datum“

Es sei beim jetzigen Stand nicht davon auszugehen, dass bis Mitte März tatsächlich annähernd umfassende Testungen und Testszenarien durchgeführt und ermittelte Fehler, Schwächen und Sicherheitsdefizite abgestellt sein werden. Deshalb sei „nicht nachzuvollziehen, dass ein möglicher Rollout zum 1. April 2025 überhaupt in Erwägung gezogen wird“.

Ihr Kollege Bergmann fordert deshalb, dass der entscheidende Faktor den Startschuss zur bundesweiten Nutzung „kein dogmatisch festgelegtes Datum“ sein dürfe, sondern an Qualitätsmerkmalen festgemacht werden müsse, die im Rahmen der Testphase zu erbringen sind.

Allerdings fehle bisher ein Katalog von Abnahmebedingungen, die die Systeme im Rahmen der Testungen erfüllen und nachweisen müssten, und die mit der Vertragsärzteschaft konsentiert seien.

Hartmannbund und Kassenärztliche Bundesvereinigung teilen diese Sicht. „Der Start einer unausgereiften und mit Umsetzungsschwierigkeiten einhergehenden ePA ist inakzeptabel, würde zudem deren Akzeptanz langfristig schädigen“, sagte die stellvertretende Vorsitzende des Hartmannbundes, Anke Lesinski-Schiedat.

„Ich finde, jetzt bereits zu einem frühen Zeitpunkt voreilig einen Start zu verkünden, ist sowohl verfrüht als auch verfehlt“, erklärte heute auch KBV-Vorstandsmitglied Sibylle Steiner. Es könnten noch gar keine validen Angaben zur Funktion der ePA im Praxisbetrieb gemacht werden. Nur ein Viertel der beteiligten Praxen habe bisher ein ePA-Modul, das ohne größere Fehler funktioniere.

Derartige Probleme seien nicht verwunderlich bei der Erprobung einer so komplexen Anwendung. Aber gerade deshalb hätte man nicht von Anfang an eine so kurze Testphase ansetzen dürfen, sondern müsse die nötige Zeit einplanen.

„Wir wünschen uns nichts vom BMG, sondern wir erwarten, dass es sich an die Gematik-Beschlüsse hält und natürlich auch an die eigene Zusage, dass man erst dann in den flächendeckenden Rollout geht, wenn die ePA sich in der Praxis bewährt hat, also funktioniert und alle Sicherheitslücken geschlossen sind.“

Dabei verwies Steiner auch darauf, dass auch die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider Zweifel daran geäußert habe, dass die im Dezember vom Chaos Computer Cub (CCC) öffentlich gemachten Sicherheitslücken bis April geschlossen werden können. „Aus unserer Sicht sind Datenschutz und Datensicherheit die Grundvoraussetzung für einen Start der ePA“, unterstreicht sie.

Das BMG verspricht unterdessen, bis zum bundesweiten Start der ePA nachzubessern. So würden bis dahin weitere technische Lösungen umgesetzt und abgeschlossen sein, schreibt das Ministerium in der Antwort auf eine parlamentarische Anfrage der Gruppe Die Linke.

Dazu gehöre insbesondere, dass organisatorisch sowohl die Prozesse zur Herausgabe als auch zur Sperrung von Karten sowie technisch das VSDM++-Verfahren nachgeschärft werden. Gleichzeitig sollen zusätzliche Überwachungsmaßnahmen wie Monitoring und Anomalie-Erkennung implementiert werden.

BMG: Angriff auf Schwachstellen unwahrscheinlich

In Zusammenarbeit mit der Gematik und dem Bundesamt für Sicherheit in der Informationstechnik (BSI) seien bereits technische Lösungen zum Unterbinden der vom CCC dargestellten Angriffsszenarien konzipiert worden.

Deren Umsetzung werde jeweils rechtzeitig abgeschlossen sein. Für die im Januar gestartete Pilotphase bedeute das, dass zunächst nur die in der Modellregion teilnehmenden und explizit gelisteten Leistungserbringer (Whitelisting) auf die ePA der Versicherten zugreifen könnten.

Denn die aufgezeigten Schwachstellen würden nur durch die unberechtigte Nutzung des Institutionsausweises und eine Manipulation des Konnektors für die Telematikinfrastruktur (TI) wirksam.

„Es handelt sich hierbei nicht um eine Lücke in der Spezifikation der Gematik. Vielmehr kann der Angriff nur erfolgen, wenn man sich unberechtigt Zugriff zur Telematikinfrastruktur beschafft. Dies ist strafbar“, unterstreicht das BMG.

Zudem sei durch die beschriebenen Angriffsszenarien „grundsätzlich kein gezielter Zugriff auf eine ePA einer bestimmten Person möglich“. Vielmehr müssten für einen gezielten Angriff weitere Angriffe auf personenbezogene Daten einer versicherten Person erfolgen.

Das BMG habe bereits vor der Vorstellung durch den CCC von der Schwachstelle gewusst, den Berechtigungstoken durch die Simulation einer elektronischen Gesundheitskarte (eGK) zu erstellen. Da durch die Protokollierung ein hoher Beobachtungsdrucks bestehe und nicht autorisierter Zugriffe strafbar seien, habe sie die Ausnutzung dieser Schwachstelle durch einen legitimen Leistungserbringer aber als unwahrscheinlich eingestuft.

Zudem sei es aufgrund der Verschärfung der Ausgabeprozesse als ebenso unwahrscheinlich bewertet worden, dass Angreiferinnen und Angreifer illegal in den Besitz eines Praxisausweises gelangen können.

Trotz des eingeräumten Nachbesserungsbedarfs hält das BMG jedoch an seinem bisherigen Zeitplan fest: „Wie angekündigt, ist mit einem bundesweiten Start gegen Anfang des zweiten Quartals auszugehen.“

lau