Schwerpunkt-Themen

TI: Sorgenkind Datenschutz

Wie sicher sind die Patientendaten? Und wer haftet?

Kea Blum

29.11.2019

4 Min. Lesezeit

Sicherheitslücken in der Telematikinfrastruktur (TI) – davor warnte der MEDI Verbund Ende Juni 2019. Und damit ist er nicht alleine, immer wieder wird in den Medien über mangelnde Sicherheit in der TI berichtet. In vielen Fällen ist der Grund dafür, dass der Aufbau in vielen Praxen nicht entsprechend der Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik vorgenommen wurde – und wird. Doch wie sehen die Empfehlungen aus? Wer haftet, wenn es zum Datenklau kommt? Es lohnt sich, diese Aspekte im Hinblick auf die bevorstehende freiwillige Anbindung an die TI im Hinterkopf zu behalten und die Entwicklungen weiter zu beobachten.

Der Medi-Verbund hatte im Sommer dieses Jahres IT-Experten beauftragt, die Technologie der Telematikinfrastruktur auf Schwachstellen zu prüfen. Heraus kam, dass der Konnektor selbst bei ordnungsgemäßer Installation nicht zuverlässig gegen Angriffe in die Praxissysteme schützt, obwohl das die Kassenärztliche Bundesvereinigung (KBV) gegenüber den Ärzten behauptete – so Dr. Werner Baumgärtner, Vorstandsvorsitzender von MEDI GENO Deutschland. Zu dem gleichen Ergebnis kam auch der IT-Dienstleister Jens Ernst von der Happycomputer GmbH. Er berät unter anderem Ärzte in Fragen rund um die TI. Bei einer Sicherheitsprüfung konnte er auf verschiedene Arten ein Testvirus über den ordnungsgemäß angeschlossenen TI-Konnektor einer Arztpraxis ins Praxisnetzwerk einschleusen. Die integrierte Firewall kontrollierte die Kommunikation nicht – ideale Voraussetzungen für Hacker, um an Gesundheitsdaten von Patienten zu kommen.

Aufbau oft nicht so, wie als sicher zertifiziert

Bereits im März machte Ernst darauf aufmerksam, dass ein Großteil der Telematikinfrastruktur nicht so aufgebaut wurde und wird, wie es vom Bundesamt für Sicherheit in der Informationstechnik als sicher zertifiziert wurde. Danach meldete er sich immer wieder zu diesem Thema auf seiner Website und gegenüber Medien dazu zu Wort. In einem Interview mit der Zeitschrift „Der Augenarzt“ aus dem Juni bemängelt er, dass die Installation oft nicht von zertifizierten Technikern durchgeführt wird. Teilweise würden diese nur eine Online-Schulung erhalten. Er berichtet von einem Vorfall aus einer Praxis, die er betreut: Der Techniker trennte alle Geräte vom Switch – ein Netzwerkverteiler – und änderte die IP-Adresse des Rechners, woraufhin keine Firewallregel mehr funktionierte. Da die Telefonanlage nicht mehr angebunden war, funktionierte nun nach Angaben von Ernst zwar der Zugriff auf den Konnektor, die Telefonanlage selbst arbeitete jedoch nicht mehr. Der Techniker schaltete daraufhin die Windows-Firewall und den Virenschutz ab. Das komplette System sei ohne Schutz gewesen.

Reihenbetrieb empfohlen, aber oft nicht eingerichtet

Neben fehlerhaften Installationen weist Ernst auf ein weiteres Problem hin: In den meisten Praxen würden die Konnektoren parallel zu allen anderen Komponenten im Netzwerk angeschlossen – eine Vorgehensweise, die die gemantik nur für große Praxisnetzwerke empfiehlt. Zu erkennen ist diese Anbindung laut Ernst daran, dass der Konnektor dann nur mit einem Netzwerkkabel angeschlossen ist. Die Folge: Der Konnektor arbeitet nicht mit der integrierten Firewall. Die Praxis muss sich um entsprechende Sicherheitsmaßnahmen selbst kümmern – und diese auch zahlen.

Im Reihenbetrieb – welcher für kleinere Praxen empfohlen wird – kommt die integrierte Firewall im Konnektor hingegen zum Tragen. Dieser serielle Aufbau ohne Internet (SIS) muss für Ärzte und Psychotherapeuten immer ohne Zusatzkosten bereitgestellt werden. In diesem Fall ist der Konnektor mit zwei Netzwerkkabeln und einem Stromkabel verbunden.

Ernst weist in dem Interview mit der Zeitschrift „Der Augenarzt“ hin, dass die KVB einem entsprechenden Antrag auf Erhebung, wie viele parallele Anschlüsse gelegt wurden, abgelehnt habe.

Aus einem aktuellen, vertraulichen gematik-Papier, das Panorama 3 und der „Süddeutschen Zeitung“ vorliegt, geht hervor, dass mehr als 90 Prozent der an das neue Gesundheitsdaten-Netzwerk angeschlossenen Praxen Sicherheitsrisiken in ihrer IT-Infrastruktur haben.

Wer haftet bei einem Hackerangriff?

Worstcase: Es kommt zum Datenklau. Wer haftet? Die gematik stellt klar, dass Ärzte und Psychotherapeuten nicht haften, wenn sie die zugelassenen Konnektoren vorschriftsgemäß aufstellen und betreiben. Hier stellt sich die Frage: Wer ist dafür zuständig sicherzustellen, dass die Konnektoren vorschriftsgemäß aufgestellt und betrieben werden? Die gematik, der Dienstleister, der die Installation vornimmt, oder der Praxisinhaber? Der Konnektor ist laut Jens Ernst der „Grenzpunkt der Verantwortung“. Nur der Konnektor selbst und die Daten, die in den VPN fließen, obliegen der Verantwortung der gematik. Die Verantwortung für das Praxisnetz trägt hingegen der Praxisinhaber. Kümmern diese sich nicht um einen sicheren Aufbau, werden sie im Falle eines Datenverlustes zurecht zur Rechenschaft gezogen, betont der IT-Experte. Es ist also die Pflicht des Praxisinhabers zu schauen, ob eine Parallel- oder Reihenschaltung vorgenommen wurde.

Wenn ohne schriftliche Zustimmung eine Parallelschaltung aufgebaut wurde, empfiehlt Jens Ernst beim Dienstleister aktiv und sofort Nachbesserungen einzufordern. Doch genau hier gibt es ein Problem: Viele Praxisinhaber sind über die Möglichkeiten der Anbindung und die Sicherheitsstandards nicht im Bilde, sie vertrauen auf die Kompetenz der Dienstleister. Doch leider gilt: Unwissenheit schützt vor Strafe nicht.