Elektronische Patientenakte: Fortschritt mit Cyber-Risiken
Die Digitalisierung im Gesundheitswesen schreitet voran. Mit der bundesweiten Einführung der elektronischen Patientenakte (ePA) sollen Diagnosen, Medikationspläne, Impfungen und Arztbriefe endlich zentral und digital verfügbar sein. Für Patient:innen, Praxen und Krankenkassen ist das ein echter Fortschritt. Die ePA macht Gesundheitsinformationen über Einrichtungen hinweg nutzbar. Damit werden verlässliche Zugriffsregeln und sichere Abläufe besonders wichtig. Dieser Beitrag ordnet die 2024 und 2025 diskutierten Sicherheitslücken ein und erklärt, welche Vorbereitung für Praxen sinnvoll ist.
Wie die ePA genutzt wird und warum sichere Zugriffe wichtig sind
Die ePA führt die Gesundheitsinformationen einer versicherten Person in einer digitalen, einrichtungsübergreifend nutzbaren Akte zusammen. Berechtigte Praxen, Kliniken und Apotheken können im vorgesehenen Behandlungskontext auf freigegebene Informationen zugreifen. Genau diese einrichtungsübergreifende Nutzbarkeit ist aus Sicherheitssicht die Kehrseite: Statt vieler verstreuter Akten in einzelnen Praxen entsteht eine gemeinsam genutzte digitale Infrastruktur, die im Fall eines erfolgreichen Angriffs potenziell viele Menschen betreffen kann. Deshalb braucht sie besonders wirksame Zugriffs- und Sicherheitsmechanismen.
Was der Chaos Computer Club aufgedeckt hat
Beim 38. Chaos Communication Congress (38C3) im Dezember 2024 demonstrierten Sicherheitsforscher des Chaos Computer Clubs (CCC), wie sich mit vergleichsweise wenig Aufwand gültige Heilberufs- und Praxisausweise sowie Gesundheitskarten Dritter beschaffen ließen. Sie zeigten außerdem, wie sich Zugriffstoken für die Akten beliebiger Versicherter erzeugen ließen, ohne dass überhaupt eine physische Gesundheitskarte eingelesen werden musste. Der CCC erklärte, dass das demonstrierte Szenario theoretisch einen massenhaften Zugriff ermöglicht hätte, und bezifferte in seiner eigenen Darstellung das theoretisch betroffene Aktenvolumen auf mehr als 70 Millionen Patientenakten.
Für den bundesweiten Start der ePA sicherte die gematik den Nachweis des Behandlungskontexts nach eigenen Angaben mit weiteren Kartenmerkmalen ab. Ende April 2025 meldete der CCC eine weitere Lücke über elektronische Ersatzbescheinigungen. Die gematik setzte dieses Verfahren vorsorglich aus und schloss die Schwachstelle. Nach eigener Darstellung beschrieb die gematik dabei einen theoretisch möglichen Zugriff auf einzelne Akten, der an mehrere kombinierte Voraussetzungen geknüpft war, und erklärte, dass keine Hinweise auf tatsächliche unbefugte Zugriffe auf elektronische Patientenakten vorlagen. Seine grundsätzlichen Forderungen nach einer unabhängigen Bewertung der Sicherheitsrisiken, transparenter Kommunikation und einem offenen Entwicklungsprozess hatte der CCC bereits im Dezember 2024 erhoben.
Warum Gesundheitsdaten besonders gefährdet sind
Gesundheitsdaten sind besonders sensibel. Werden sie unbefugt offengelegt, können die Informationen unter anderem für Erpressung, Identitätsmissbrauch, Abrechnungsbetrug oder gezieltes Social Engineering verwendet werden. Besonders problematisch: Ein geleakter Arztbrief oder eine sensible Diagnose lässt sich nicht zurückholen. Die Folgen können lange anhalten: Eine offengelegte Diagnose lässt sich nicht wie eine Zahlungskarte sperren und ersetzen.
Was das für Praxen, Kliniken und Versicherte bedeutet
Für Leistungserbringer im Gesundheitswesen wie Arztpraxen, Krankenhäuser und MVZs bedeutet die ePA vor allem mehr Verantwortung: eine sichere Anbindung an die Telematikinfrastruktur, sorgfältiger Umgang mit Zugangsdaten und Ausweisen im Praxisalltag, und ein Haftungsrisiko bei Datenpannen, das dabei mitgedacht werden sollte. Versicherte wiederum können der Nutzung der ePA ganz oder teilweise widersprechen. Wer mitmacht, sollte zumindest wissen, wo und wie die eigenen Daten verarbeitet werden.
Was Praxen für ihre eigene Vorbereitung ableiten können
Wer mit Gesundheitsdaten arbeitet, sollte sich nicht auf die Sicherheitsversprechen der Telematikinfrastruktur allein verlassen, sondern selbst vorsorgen:
- Eine sichere, aktuell gehaltene IT-Infrastruktur in der Praxis oder Klinik
- Regelmäßige Mitarbeiterschulungen zu Datenschutz und IT-Sicherheit
- Regelmäßige Sicherheitsprüfungen der eigenen Systeme
- Ein klarer Notfallplan für den Cyber-Ernstfall
- Eine passende Cyberversicherung, die je nach Vertrag bei bestimmten Kosten und der Organisation der Schadenbewältigung unterstützen kann
Was bei der Absicherung der eigenen Praxis zu prüfen ist, zeige ich auf meiner Seite zur Cyberversicherung für Arztpraxen und MVZ.
Für ein moderneres Gesundheitswesen ist die ePA ein wichtiger Schritt. Damit daraus kein Sicherheitsrisiko wird, braucht es auf Seiten der Leistungserbringer echte Vorbereitung, technisch wie organisatorisch. Wie IT-Sicherheit und Versicherung in Praxen und MVZ zusammenspielen, beschreibe ich im Beitrag „Cyber-Sicherheit für Arztpraxen und MVZ“. Du möchtest deine Absicherung und den vorgesehenen Notfallablauf für deine Praxis besprechen? Buch dir ein kostenloses Erstgespräch.
Allgemeine Information, keine technische Sicherheitsprüfung und keine individuelle Deckungszusage.
Quellen: Chaos Computer Club, „CCC fordert Ende der ePA-Experimente am lebenden Bürger", 27.12.2024 · gematik, „ePA-Sicherheitslücke geschlossen", 30.04.2025 · BfDI, „Die elektronische Patientenakte (ePA)", fortlaufend aktualisierte Informationsseite, abgerufen am 17.10.2026
Zuletzt aktualisiert am .