Elektronische Patientenakte: Fortschritt mit Cyber-Risiken
Die Digitalisierung im Gesundheitswesen schreitet voran. Mit der bundesweiten Einführung der elektronischen Patientenakte (ePA) sollen Diagnosen, Medikationspläne, Impfungen und Arztbriefe endlich zentral und digital verfügbar sein — für Patient:innen, Praxen und Krankenkassen ein echter Fortschritt. Was dabei oft zu kurz kommt: Genau dieser zentrale Charakter macht die ePA auch zu einem besonders attraktiven Ziel für Cyberkriminelle.
Was die ePA ist — und warum sie ein attraktives Ziel ist
Die ePA bündelt gesundheitsbezogene Daten gesetzlich Versicherter an einer zentralen Stelle, damit Ärzt:innen, Kliniken und Apotheken schneller und besser informiert behandeln können. Genau diese Bündelung ist aus Sicherheitssicht die Kehrseite: Statt vieler verstreuter Akten in einzelnen Praxen entsteht ein zentrales System, das im Erfolgsfall eines Angriffs potenziell sehr viele Menschen auf einmal betrifft.
Was der Chaos Computer Club aufgedeckt hat
Beim 38. Chaos Communication Congress (38C3) im Dezember 2024 demonstrierten Sicherheitsforscher des Chaos Computer Clubs (CCC), wie sich mit vergleichsweise wenig Aufwand gültige Heilberufs- und Praxisausweise sowie Gesundheitskarten Dritter beschaffen ließen — und wie sich darüber hinaus Zugriffstoken für die Akten beliebiger Versicherter erzeugen ließen, ohne dass überhaupt eine physische Gesundheitskarte eingelesen werden musste. Nach Angaben des CCC hätten Kriminelle damit theoretisch auf einen Schlag Zugriff auf mehr als 70 Millionen Patientenakten erhalten können.
Die gematik reagierte auf den Hinweis: Das betroffene Verfahren zur Ausstellung elektronischer Ersatzbescheinigungen wurde vorsorglich gestoppt und die Schwachstelle geschlossen. Nach Angaben der gematik lagen keine Hinweise auf einen tatsächlichen unbefugten Zugriff auf Patientendaten vor. Der CCC sieht die grundsätzlichen Fragen zur Transparenz und unabhängigen Sicherheitsbewertung der ePA damit aber nicht als geklärt an und fordert weiterhin einen offeneren Entwicklungsprozess.
Warum Gesundheitsdaten besonders gefährdet sind
Gesundheitsdaten gelten auf einschlägigen Marktplätzen als besonders wertvoll — sie eignen sich nicht nur für Erpressung, sondern auch für Identitätsfälschung, Abrechnungsbetrug oder gezieltes Social Engineering. Besonders problematisch: Ein geleakter Arztbrief oder eine sensible Diagnose lässt sich nicht zurückholen. Anders als eine kompromittierte Kreditkarte, die sich sperren und ersetzen lässt, bleibt der Schaden bei Gesundheitsdaten dauerhaft.
Was das für Praxen, Kliniken und Versicherte bedeutet
Für Leistungserbringer im Gesundheitswesen — Arztpraxen, Krankenhäuser, MVZs — bedeutet die ePA vor allem mehr Verantwortung: eine sichere Anbindung an die Telematikinfrastruktur, sorgfältiger Umgang mit Zugangsdaten und Ausweisen im Praxisalltag, und steigende Haftungsrisiken bei Datenpannen. Versicherte wiederum können der Nutzung der ePA ganz oder teilweise widersprechen — wer mitmacht, sollte zumindest wissen, wo und wie die eigenen Daten verarbeitet werden.
Was jetzt wichtig ist
Wer mit Gesundheitsdaten arbeitet, sollte sich nicht auf die Sicherheitsversprechen der Telematikinfrastruktur allein verlassen, sondern selbst vorsorgen:
- Eine sichere, aktuell gehaltene IT-Infrastruktur in der Praxis oder Klinik
- Regelmäßige Mitarbeiterschulungen zu Datenschutz und IT-Sicherheit
- Regelmäßige Sicherheitsprüfungen der eigenen Systeme
- Ein klarer Notfallplan für den Cyber-Ernstfall
- Eine passende Cyberversicherung, die im Schadenfall rechtlich und finanziell absichert
Die ePA ist ein wichtiger Schritt in Richtung eines moderneren Gesundheitswesens. Damit daraus kein Sicherheitsrisiko wird, braucht es auf Seiten der Leistungserbringer echte Vorbereitung — technisch wie organisatorisch. Wie eine ganzheitliche Sicherheitsstrategie für Praxen und MVZ aussieht, beschreibe ich in diesem Artikel. Wenn du wissen willst, wie deine Praxis oder Einrichtung aktuell aufgestellt ist, buch dir gerne ein kostenloses Erstgespräch.
Quellen: Chaos Computer Club, „CCC fordert Ende der ePA-Experimente am lebenden Bürger", 27.12.2024 · Gelbe Liste, „ePA: Sicherheitslücke nach Hinweis des Chaos Computer Clubs geschlossen"