Telematik­infrastruktur: Ausgabe von Praxis- und Arztausweisen gestoppt

Berlin - Nach dem Bekanntwerden von Sicherheitslücken in der sogannten Telematikinfra­struktur (TI) für Ärzte, Kliniken und Krankenkassen ist die Ausgabe von Praxis- und Arztausweisen gestoppt worden. Das teilte die zuständige Gesellschaft Gematik am Freitag dem Handelsblatt mit. Zuvor hatten der Spiegel und der NDR über die Lücke berichtet. Demnach hatten IT-Experten des Chaos Computer Clubs (CCC) unter anderem ein Datenleck bei einem Anbieter für die elektronischen Chipkarten entdeckt, mit denen sich Ärzte und Praxen Zugang zu dem verschlüsselten Netzwerk verschaffen können.

So seien allein an einem Tag im Oktober die persönlichen Daten von 168 Ärzten, die offenbar in den beiden Wochen zuvor ihren Antrag auf den elektronischen Arztausweis gestellt hätten, frei im Internet zugänglich. Weitere Recherchen zeigten, dass sich der elektronische Arztausweis mithilfe dieser Daten auch von Unbefugten "erschleichen" lasse. Auch hätten sie einen Konnektor im Internet ordern können. der dazu dient, die Verbindung zur TI herzustellen

Die TI soll das Gesundheitssystem vernetzen und demnächst auch Zugriff auf elektronische Patientenakten ermöglichen. Zugang zu diesem speziell gesicherten Netzwerk sollen nur befugte Teilnehmer wie Ärzte oder Praxen über besondere Chipkarten bekommen. IT-Experten des CCC ist es laut Spiegel und NDR gelungen, alle drei relevanten Karten - einen elektronischen Heilberufeausweis (eHBA), einen Praxisausweis (SMC-B) und eine elektronische Gesundheitskarte - jeweils über einen Dritten zu bestellen und an eine Wunschadresse liefern zu lassen. Für die Ausgabe der Heilberufeausweise sind die Ärztekammern zuständig, für die SMC-B die Kassenärztlichen Vereinigungen und für die Gesundheitskarten die Krankenkassen.

Laut Handelsblatt hat die Gematik die Karten-Hersteller angewiesen, die betroffenen Identifizierungsverfahren für Arztausweise zu deaktivieren, elektronische Praxisausweise dürften derzeit gar nicht mehr ausgegeben werden. Eine Rückholaktion aller bereits ausgegeben Karten hält die Gematik aber nicht für erforderlich. Der IT-Experte Jens Ernst hält dies allerdings für zwingend geboten.

KBV empfiehlt Ausgabe der Praxisausweise nur noch an der KV bekannte Praxisadressen

Die Kassenärztliche Bundesvereinigung (KBV) erklärte auf Anfrage, das Missbrauchs­potenzial beim elektronischen Praxisausweis (SMC-B) sei derzeit sehr gering. Ein Unbefugter könne mit dem Ausweis alleine wenig anfangen, sondern müsste sich mit großen Anstrengungen weitere Komponenten unter falscher Identität besorgen. Nicht nur einen Konnektor, sondern auch einen Zugangsprovider zur TI.

Nichtsdestotrotz sei die KBV dem Chaos Computer Club dankbar, dass dieser offenbar eine potenzielle Schwachstelle im Prozessablauf entdeckt habe. Der KBV seien bislang noch keine konkreten Fälle bekannt, deshalb seien sie konkreten Hinweisen interessiert. Sobald hier komkrete Informationen vorlägen, wolle man gemeinsam mit allen anderen Beteiligten die Prozesswege optimieren.

In einem ersten Schritt habe die KBV den Kassenärztlichen Vereinigungen empfohlen, den Bestätigungsprozess dahingehend sofort zu verändern, dass die SMC-B-Karten nur noch an die den KVen bekannten Praxisadressen verschickt werden. Ausweichadressen seien bislang zulässig gewesen, da bei Standortwechseln oder Neugründungen nicht sofort die neuen Standortadressen genutzt werden könnten. Dies sei ein gangbares Verfahren, das Sicherheit und Praktikabilität in ein sinnvolles Verhältnis bringe, so die KBV.

Die Bundesärztekammer (BÄK) teilte mit, dass nach den ihr vorliegenden Informationen einer Testperson des CCC gelungen sei, einen elektronischen Heilberufsausweis (eHBA) eines Arztes zu beantragen und an die Privatanschrift der Testperson liefern zu lassen. Damit gelangte die Testperson in den Besitz eines eHBA, mit dem Bild, dem Namen sowie der Unterschrift des berechtigten Arztes.

Identifizierungsverfahren BankIdent und KammerIdent mit sofortiger Wirkung ausgesetzt

Dieser, durch den Chaos Computer Club aufgedeckte Sicherheitsmangel bei eIDAS-konformen Identifizierungsverfahren sei für die Bundesärztekammer und die Landes­ärztekammern nicht hinnehmbar. Deshalb habe man die Identifizierungsverfahren BankIdent und KammerIdent mit sofortiger Wirkung ausgesetzt, hieß es vonseiten der BÄK.

Man analysiere derzeit, ob und welche bereits abgeschlossenen Antragsvorgänge von dem optionalen Versand an nicht verifizierte Lieferadressen betroffen seien und suche dann den Kontakt mit den Betroffenen. Einer ersten Analyse zufolge liege die Zahl von Anträgen mit einer nicht verifizierten Lieferadresse im einstelligen Bereich. Die Gründe für eine abweichende Lieferadresse würden derzeit geklärt. Die BÄK wies darauf hin, dass sowohl die Anbieter als auch die herausgebenden Kammern die Karten auch ohne Mitwirkung eines Karteninhabers bei Bedarf sperren können.

Die BÄK betonte, dass der sichere Umgang mit persönlichen Daten von Ärztinnen und Ärzten sowie von Patientinnen und Patienten höchste Priorität habe. Die Vorgaben der Beantragung und insbesondere der Zustellung des eHBA müssten wegen der Recherche­ergebnisse des CCC zwingend auf Schwachstellen überprüfen und die Ausgabe von eHBA an Unberechtigte dauerhaft unterbunden werden, erklärte die BÄK. Hierfür müssse man auch prüfen, ob dabei insbesondere eine persönliche Entgegennahne des eHBAs durch den antragstellenden Arzt erforderlich sei.

Die Grünen-Gesundheitsexpertin Maria Klein-Schmeink erklärte am Wochenende, Spahn müsse die Recherchen des CCC zum Anlass nehmen, „alle Prozesse im Zusammenhang mit der Ausgabe von Karten sowie die Kartenhersteller auf Schwachstellen zu überprüfen". "Das digitale Gesundheitsnetz ist nur sicher, wenn bei allen seinen Teilen gleich hohe Standards eingehalten werden", erklärte Klein-Schmeink.

Grünen-Fraktionsvize Konstantin von Notz erklärte: „Hinter der Fassade so vieler IT-Sicherheitsversprechen liegt die ernüchternde Realität der immer komplexeren Digitalisierung und ihrer Unübersichtlichkeiten." Für das Projekt Gesundheitskarte müssten die Recherchen des CCC „als eine sehr dringende Warnung verstanden werden". Auch der Gesundheitsminister sei in der Verantwortung, das Gelingen des Projekts Gesundheitskarte zu einem sicheren Start zu bringen.

afp/kna/mis