Managament , Fachartikel

eHealth – Der „Neue Markt“ für Cyber-Kriminelle?

eHealth – Der „Neue Markt“ für Cyber-Kriminelle?

Versorgungsqualität erhöhen und gleichzeitig Kosten senken – beides erfordert auch im Gesundheitswesen eine weitere Vernetzung von IT-Systemen und Softwarelösungen sowie die Automatisierung von Arbeitsprozessen über Systemgrenzen hinweg. Dies ruft aber auch ungebetene Akteure auf den Plan: Informationen aus dem Gesundheitssystem sind nicht selten viel interessanter als Daten aus sozialen Netzen, Partnerbörsen oder Kreditkarteninformationen. Höchst sensitive Daten und vielfältige Missbrauchsszenarien eröffnen ungeahnte Einnahmequellen – nicht nur im Fall der gestohlenen Krankenakte eines mehrfachen Formel-1-Weltmeisters.

Hinweise auf bereits festgestellte oder befürchtete Datenschutzverletzungen im Gesundheitswesen ereilen uns nahezu täglich. Bei immer mehr elektronisch gespeicherten medizinischen Daten und zunehmendem Datenaustausch müssen wir wohl zukünftig mit noch mehr Alarmmeldungen wie den nachstehenden rechnen:

Diebstahl aus Klinik: Schumacher-Akte stand zum Verkauf

„Aus der Rehaklinik in Lausanne haben Kriminelle die Krankenakte von Michael Schumacher entwendet. Anschließend versuchten die Diebe die Unterlagen für 50.000 Euro an Journalisten zu verkaufen…“

Patientendaten der Krankenkassen sind nicht sicher

„Die Patientendaten von gesetzlich versicherten Krankenkassenmitgliedern in Deutschland sind kaum geschützt. Mit einem Telefonanruf und wenigen Mausklicks konnten Unbefugte Details zu Arztbehandlungen, Diagnosen, verordneten Arzneimitteln, Krankenhausaufenthalten und andere intime Details abfragen…“

Patientendaten für 60$ auf dem Schwarzmarkt

„Die Daten einer Patientenakte mit üblichen Stammdaten, aber auch Informationen über Kranken-versicherung, Beruf, Bankdaten, frühere und aktuelle Operationen, Erkrankungen, Allergien stellen ein relativ umfassendes Abbild eines Patienten mit einem hohen Vermarktungswert dar – für ganz unterschiedliche Ziel- bzw. Interessensgruppen.

Nach Analysen amerikanischer Sicherheitsfirmen haben zwar weiterhin Banken und Social Media Webportale am intensivsten mit Malware-Attacken zu kämpfen, doch für die medizinischen Aufzeichnungen zu einem Patienten werden auf dem Schwarzmarkt bereits im Schnitt 60$ verlangt...“

Neue Online-Datenbank - Patientendaten aller Briten werden verkauft

„Die britische Gesundheitsbehörde NHS will Patientendaten der gesamten Bevölkerung sammeln und in einer zentralen Datenbank mit Informationen zu psychischen Leiden, Krankheiten wie Krebs sowie zu Rauch- und Trinkgewohnheiten speichern. Versicherer und Pharmakonzerne können diese Daten dann kaufen – um damit Basisdaten für eine gezielte Versorgung bzw. Forschung bereitzustellen…“

ICS-CERT warnt vor unsicheren medizinischen Geräten

„Das Industrial Control System-CERT (ICS-CERT) des US-CERT warnt zusammen mit der US-amerikanischen Food and Drug Administration (FDA) vor rund 300 medizinischen Geräten von circa 40 Unternehmen, die durch "hard coded" – fest voreingestellte – Passwörter leicht zu manipulieren sind. Immer mehr medizinische Geräte verfügen über eingebaute Webserver, die mit dem Internet oder Krankenhausnetzwerk verbunden sind und potenziell angegriffen werden können…“

Kostendruck führt zu Rationalisierung und Automatisierung von Prozessen

Die Ausgaben innerhalb des Gesundheitsmarktes in Deutschland umfassten in 2011 nach Angaben des Bundesgesundheitsministeriums mit knapp 300 Milliarden Euro bereits mehr als 11% des gesamten Bruttoinlandproduktes – bei einem Wachstum von ca. 4 % pro Jahr. Auch wenn der Bereich Gesundheit in der Öffentlichkeit ungern im Zusammenhang mit „Business und Geld verdienen“ genannt wird - es handelt sich um eine absolut bedeutsame Wirtschaftsbranche mit zweifelsfrei hoher Innovationskraft und erheblicher ökonomischer Bedeutung für den Standort Deutschland. Mittlerweile arbeitet fast jeder achte Erwerbstätige in Deutschland im Gesundheitsbereich – Tendenz steigend.

Von den genannten Aufwendungen im Gesundheitswesen entfallen ca. 70% auf den Bereich der "klassischen" Gesundheitsversorgung und werden durch die sozialen Sicherungssysteme,  größtenteils durch die Gesetzliche Krankenversicherung (GKV), geprägt. Angesichts dieses Volumens handelt es sich in der Tat um einen relevanten „Markt“, der jedoch durch diverse Novellierungen (Gesundheitsreformen) staatlich reguliert wird – die stetig steigenden Ausgaben können demnach nicht wie in einem freien Markt allein durch höhere Einnahmen finanziert werden.

Da die Anstrengungen zur Kostensenkung bzw. –begrenzung trotz hoher Innovationsleistungen nicht zu Lasten der Versorgungsqualität gehen dürfen, wird versucht, Verwaltungskosten zu senken – z.B. auch mit dem Ziel einer Reduzierung der Anzahl der Krankenkassen. Wer hier mit den gedeckelten Beiträgen nicht kostendeckend arbeiten kann, darf bzw. muss Zusatzbeiträge erheben. Das Wettbewerbsstärkungsgesetz und die vereinheitlichten Beitragssätze verlagern den Wettstreit unter den Krankenversicherungen auf die Leistungs- und Versorgungsseite bei gleichzeitiger Kostenreduzierung. Ab 2015 wird dieser Druck durch Senkung des allgemeinen Beitragssatzes weiter erhöht – und wird bei Kassen mit wechselwilligen Versicherten zu Einnahmeverlusten führen.

Nun sind diese Tendenzen nicht ursächlich für die Bemühungen zur Senkung der Verwaltungskosten im Gesundheitswesen, beschleunigen aber entsprechende Maßnahmen – z.B. durch Automatisierung von Prozessen – stets auch kombiniert mit dem Anspruch, die Versorgungsqualität ebenso zu verbessern. Hier ist beispielsweise die „sektorenübergreifende“ Versorgungsform zu nennen, die eine stärkere Vernetzung der verschiedenen Fachdisziplinen und Sektoren (Hausärzte, Fachärzte, Krankenhäuser) fördert und sogar auf erste Vorgaben aus 1975 zurückgeht.

Als „Integrierte Versorgung“ (IV) war sie bereits ein Element der Gesundheitsreform von 2000 und führte später durch Novellierungen und finanziellen Anreize zur stetigen Zunahme direkter vertraglicher Beziehungen von Leistungserbringern und Krankenkassen - ab 2011 auch mit pharmazeutischen Unternehmen oder Herstellern von Medizinprodukten.

Integrierte Versorgung - der Patient im Mittelpunkt

Die hierbei eingeführten „Selektivverträge“ verstärkten die Kommunikation und den Austausch von für o.g. Ziele erforderlichen Daten – allerdings auch von sensiblen Patientendaten in Arztpraxen und Kliniken.

<next>

 

Der Austausch der oft umfangreichen Datensätze mit Patientendaten inkl. kodierter Diagnosen oder Verdachtsdiagnosen, Therapien und Abrechnungsdaten erfolgt nicht mehr nur von Ärzten an die Kassen(zahn)ärztliche Vereinigung (KV), sondern auch mit den Kassen direkt – wie es in der Praxis im stationären Bereich auch der Fall ist. Die (gewollte) Individualität dieser Direktverträge kann jedoch in den Praxisverwaltungssystemen (PVS) kaum abgebildet und permanent gepflegt werden, daher stellen die Kassen den Ärzten oftmals eigene Abrechnungssoftware oder Portale zur Verfügung – für den teilnehmenden Arzt bedeutet dies aber wieder zusätzlichen administrativen und technischen Mehraufwand. Will dieser darüber hinaus weitere Vorteile aus automatisierten Prozessen und Datenaustausch mit den verschiedenen im Versorgungsprozess beteiligten Personen oder Institutionen erzielen, muss er einiges an Aufwand und Eigenverantwortung für Informationssicherheit und Datenschutz auf sich nehmen – beides liegt außerhalb seines typischen Ausbildungs- bzw. Qualifizierungsumfangs.

Unterstützung kann hier z.B. die KV bieten - ein Beispiel ist die Initiative der KV Rheinland-Pfalz „Mit Sicherheit gut behandelt“. Hier werden dem Arzt konkrete Informationen, Handlungshilfen, Checklisten und weiterführende Links zur Gewährleistung von IT-Sicherheit und Datenschutz im Zusammenhang mit einem Praxisbetrieb angeboten. Will der Arzt sich im Umfeld von IV-Leistungen nicht mit fachfremden Herausforderungen auseinandersetzen, kann er auch ersatzweise das Deutsche Medizinrechenzentrum (DMRZ) und dessen Dienstleistungen in Anspruch nehmen, welches u.a. die Abrechnung mit den Kassen übernimmt. Allerdings entsteht hierdurch automatisch ein weiterer Kommunikationspartner, mit dem und bei dem sensible Daten der Patienten aus- und zwischengespeichert werden.

Hochmoderne Medizintechnik als intelligente Netzknoten

Die zunehmende Integration von IT-Systemen und der elektronische Datenaustausch setzen sich fort auf der unmittelbar technischen Ebene. Medizintechnische Geräte und Systeme für Analyse, Diagnose und Therapie verfügen immer häufiger über Embedded-Software zur Steuerung von Abläufen, zur Berechnung und Darstellung von Ergebnissen und zur Bedienung. Diese Geräte sind häufig mit anderen IT-Systemen – auch in externen Einrichtungen und fremden Netzwerken – verbunden und prinzipiell kompromittierbar. Hier sind nicht nur Aspekte des Datenschutzes bei der Übermittlung von Informationen zu betrachten - Gesundheit und Sicherheit der Patienten hängen davon ab, dass die verwendete Software zuverlässig und fehlerfrei arbeitet.

Medizinische Geräte haben verhältnismäßig lange Vorlaufzeiten in der Entwicklung, dazu langwierige Zulassungsverfahren und aufgrund hoher Investitionskosten auch längere Nutzungs-/ Abschreibungszeiten. Berücksichtigt man, dass hier zur Administration und Steuerung  Standardkomponenten zum Einsatz kommen, können Probleme entstehen, wenn diese im Kern auf veralteten Betriebssystemversionen basieren, für die es keine Sicherheitsupdates mehr gibt (Beispiel: Abkündigung von Windows/XP in 2014, von embedded XP Ende 2016).

Betrachtet man die hohe Verwundbarkeit und die Sicherheitsprobleme selbst aktueller Software-systeme und lenkt den Fokus auf intelligente und miteinander vernetzte medizinische Geräte mit teilweise viel älteren eingebetteten Softwareprogrammen, dann wird deutlich, welche Risiken hier schlummern. So weist die statistische Auswertung des Bundesinstituts für Arzneimittel und Medizinprodukte (BfArM) auch Softwarefehler als häufigste Ursache in der Kategorie „Design- und Konstruktionsfehler“ bei Risikomeldungen aus.

In der Medizintechnikbranche gelten hohe juristische und regulatorische Anforderungen, die sich in Zulassungs- und Prüfverfahren bei der Entwicklung von Medizinprodukten – auch und besonders von Software im Sinne eines Medizinproduktes – widerspiegeln.

Das Medizinproduktegesetz (MPG) definiert, wann Software als Medizinprodukt bezeichnet werden kann, z.B. wenn der Hersteller eine medizinische Zweckbestimmung vorgibt. In diesen Fällen  ist Software integraler Bestandteil – z.B. für die Kontrolle oder Steuerung von Geräteparametern.

Für die Entwicklung und das Inverkehrbringen von medizintechnischer Software stellt das MPG Mindestanforderungen an die wichtigsten Prozesse bei der Entwicklung und Wartung sowie das Konfigurationsmanagement von Software (IEC 62304) sowie an das Software-Risikomanagement (ISO 14971). Von Anfang an waren die Hauptziele auf „Safety“, also auf die Sicherstellung der Unversehrtheit mittels Medizintechnik untersuchter und behandelter Patienten ausgerichtet und weniger auf „Security“ - im Sinne der Vermeidung einer möglichen Einflussnahme auf die Funktionsfähigkeit und Sicherheit der Systeme von außen. Zwar wird das Zusammenspiel mit den zu beachtenden Anforderungen an den Lebenszyklus von Software für Medizinprodukte berücksichtigt, dringende Anforderungen aus Sicht der Informationssicherheit sollten aber unbedingt in den Entwicklungsprozess verankert und dieser als „Secure Development Lifecycle, SDL“ abgebildet werden.

Laut aktuellen Aussagen der IEC 62304-Normungsgruppe wird neue zweite Ausgabe der Norm nicht vor 2018 erscheinen. Es ist geplant, den „Scope“ zu ändern und ihren Geltungsbereich von der Entwicklung auf die Implementierung (z.B. auch die Installation im Krankenhaus) und auf die Anwendung nach der Produktivsetzung („Post Market Usage“) auszudehnen. Ferner soll die neue IEC 62304 auch auf Software mit Gesundheits- und Wellness-Bezug, dem rasant wachsenden sog. „mHealth“-Bereich oder Mobile Health (Gesundheitsdienstleistungen mit/über mobile Endgeräte, wie Smart Phones, Patient Monitoring Devices o.ä.), ausgedehnt werden.

Integration und Datenkommunikation auch im stationären Bereich

Auch in der stationären Versorgung führen steigende Belastungen bei den Leistungserbringern und Kostendruck zur Flexibilisierung und Automatisierung von Arbeitsprozessen – z.B.  durch verstärkte Vernetzung von Systemen und dem Fernzugriff auf medizinische Daten.

<next>

So kann z.B. für Ärzte in Bereitschaft oder für Spezialisten, die an verschiedenen Kliniken oder an weit verzweigten Campus-Standorten eingesetzt werden, der schnelle und direkte Zugriff auf sensible medizinische Daten dem Patienten nützen und gleichzeitig Kosten sparen. Doch sind die Leistungserbringer weder IT-Spezialisten für sichere Kommunikation, noch überhaupt bzgl. der Zugriffsrisiken besonders geschult. Selbst der Fernzugriff auf vermeintlich rein administrative Informationen über z.B. OP-Belegungspläne oder Reservierungen kann für einen Hacker ein interessantes Angriffsziel sein.

Fernzugriff von Fachärzten

Auch die weiteren, in den Versorgungsprozess integrierten Dienstleister wie Röntgeninstitute oder  Pflegeeinrichtungen werden zwar ihre IT-Systeme und Schnittstellen soweit wie gesetzlich vorgeschrieben und von eigenen Ressourcen her möglich, vor fremden Zugriffen schützen, sind aber alle eher Anwender der IT und verfügen selten über einen eigenen professionellen IT-Betrieb oder Kompetenz in Fragen der Informationssicherheit.

Universitätskliniken mit Bereichen für „Forschung und Lehre“ müssen überdies das klinische Netz mit medizinischen Daten der dort versorgten Patienten und das Verwaltungsnetz getrennt betreiben. Klinikbetriebe verfügen i.d.R. zwar über eigenes IT-Personal, nicht aber immer über eine professionelle IT-Organisation. Nicht selten bestimmen die Ärzte, welche IT-Ausstattung beschafft und wie diese genutzt wird – bis hin zu einer individuellen „Bring-Your-Own-Device“-Initiative (BYOD) ohne geeignete Sicherheitsrichtlinie.

Nicht außer Acht zu lassen ist die Tatsache, dass Geschäftsleitungen von Kliniken über die Stellvertreterhaftung (vgl. § 14 StGB) durchaus persönlich verantwortlich und haftbar für das Risiko- und Notfallmanagement (bei privater Rechtsform auch nach dem Gesetz zur Kontrolle und Transparenz im Unternehmensbereich, KonTraG) sind. Große Universitätskliniken tragen dem Sicherheits- und Compliance-Kontext bereits Rechnung durch Einführung eines Informationssicherheits-Managementsystems (ISMS) und teilweise auch einer Zertifizierung nach ISO/IEC 27001.

Eigens auf das Risikomanagement beim Betrieb von IT-Systemen in Krankenhäusern und bei anderen Anbietern von Gesundheitsdienstleistungen ist die Norm IEC 80001 ausgerichtet. Zu den Sicherheitszielen der Norm zählen die Sicherheit von Patienten, Anwendern und Dritten, aber auch der Datenschutz und andere Ziele der Organisation. Die IEC 80001 verlangt, einen Risikomanagementprozess und einen Med-IT-Risk Manager zu etablieren und ebenso Prozesse zur Überwachung und Änderungskontrolle am IT-System zu definieren und umzusetzen, wie z.B. eine exakte Protokollierung und Dokumentation sämtlicher Vergaben und Änderungen von Zugriffsrechten in den eingesetzten Informationssystemen (z.B. Krankenhaus-Informations-Systemen, KIS). Der Geltungsbereich bezieht sich auf Medizinische IT-Netzwerke (MIT), d.h. IT-Netzwerke, bei denen mindestens ein Medizinprodukt enthalten ist.

Wie bereits angeführt, müssen Medizinprodukte vor Markteinführung gemäß MPG zahlreiche Prüf- und Zertifizierungsprozesse durchlaufen, dabei werden der Entwicklungs- und der Produktionsprozess sowie das Produkt selbst streng überwacht. Auch im Betrieb, z.B. im Krankenhaus, muss dieses Produkt regelmäßig von geschulten Personen überprüft werden. Was jedoch nicht geregelt ist, ob und wie die freigegebenen Medizinprodukte in bestehende IT-Netzwerke eingebunden werden. Die möglichen Wechselwirkungen innerhalb einer integrierten Daten- und Systemwelt bergen aufgrund diverser Angriffsvektoren eine Vielzahl vorher nicht betrachteter Risiken. Die ISO 80001 dient zwar der konkreten Anwendung des Risikomanagements für IT-Netzwerke mit Medizinprodukten, deckt aber kein vollständiges IT-Security-Management wie beispielsweise nach ISO 27001 ab.

Krankenhäuser zählen aufgrund ihrer besonderen Bedeutung für das Wohlergehen und den Schutz der Bevölkerung zu den sog. Kritischen Infrastrukturen unserer Gesellschaft, also zu den Einrichtungen deren Ausfall oder Beeinträchtigung nachhaltig wirkende Versorgungsengpässe, erhebliche Störungen der öffentlichen Sicherheit oder andere dramatische Folgen nach sich ziehen würde. Sie haben daher eine besondere Verpflichtung, die Verfügbarkeit ihrer Dienste und der Prozesse, mit denen diese erbracht werden, sicherzustellen.

Bereiche kritischer Infrastrukturen

Eine allgemeine Verschärfung der Anforderungen an die Informationssicherheit dürfte durch das aktuell in Diskussion befindliche IT-Sicherheitsgesetz entstehen. Bundesinnenminister Thomas de Maizière will Deutschland zum weltweiten Spitzenreiter bei der digitalen Sicherheit wichtiger Wirtschaftszweige machen. Ein Gesetz zur Sicherheit von Informationstechnologie (IT) soll dabei Mindestanforderungen für die Bereiche der Kritischen Infrastruktur definieren. Während z.B. die Energieversorger wegen vieldiskutierter „Blackout-Szenarien“ schon länger im Fokus der kritischen Betrachtung stehen, soll nun verstärkt auch das Gesundheitswesen eingebunden werden.

Schon in den Jahren 2011 und 2012 wurde unter Federführung des Bundesamts für Sicherheit in der Informationstechnik (BSI) und mit Beteiligung des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK), der Senatsverwaltung für Gesundheit und Soziales des Landes Berlin sowie dem Unfallkrankenhaus Berlin (ukb) ein Leitfaden zum „Schutz Kritischer Infrastrukturen: Risikoanalyse Krankenhaus-IT“ erstellt.  Der 2013 veröffentlichte Leitfaden ist ein Ergebnis innerhalb des Projektes „RiKrIT – Risikoanalyse Krankenhaus IT“ - die Refinanzierung der in diesem Leitfaden geforderten „cyber-war-Investitionen“ bei Krankenhäusern ist allerdings bislang nicht geklärt.

<next>

 

Mit einem Drittel der Leistungsausgaben sind Krankenhausbehandlungen bereits jetzt der größte Ausgabenposten innerhalb der Gesetzlichen Krankenversicherung. Mit Verabschiedung und Durchsetzung des IT-Sicherheitsgesetzes kommen auf die fast 2.000 Krankenhäuser in Deutschland in der Tat erhebliche Investitionen im Bereich der Informationssicherheit zu.

Bringen eGK und Telematik-Infrastruktur die Lösung?

Die Zahl der Teilnehmer an einem weit umspannenden Netz von IT-Systemen, in denen sensible medizinische und personenbezogene Daten gespeichert werden, erhöht sich permanent – sei es aus Gründen der Effizienzverbesserung und Kostenoptimierung oder der verbesserten medizinischen Versorgung durch innovative und umfassend integrierter Medizintechnik nebst beteiligten Institutionen und Krankenversicherungen. Dazu kommen auch im Gesundheitsbereich diskutierte Szenarien, große Teile dieser Systeme mit den Daten in Cloud-Dienste zu verlagern, was die Komplexität, Undurchschaubarkeit und mangelnde Kontrollmöglichkeit nicht gerade verbessert.

Eine Umkehrung dieses Trends oder eine Abkehr der bereits genutzten Verfahren ist kaum denkbar. Von daher erscheint eine systematische und regulierte Verfahrensweise nebst geprüfter und kontrollierter Infrastruktur für den medizinischen Datenaustausch plausibel und überfällig.

Die Einführung der elektronischen Gesundheitskarte (eGK) und des Heilberufe-Ausweises (HBA) sowie der Telematik-Infrastruktur (TI) dient genau diesem Ziel und stellt eines der größten und anspruchsvollsten IT-Projekte Deutschlands dar.
Die gematik (Gesellschaft für Telematikanwendungen der Gesundheitskarte mbH) wurde von den Spitzenorganisationen des deutschen Gesundheitswesens für diesen Zweck gegründet.

Über das vernetzte System vieler Computersysteme der TI werden künftig rund 200.000 Ärzte, mehr als 20.000 Apotheken und über 2.000 Krankenhäuser die eGK von 70 Millionen Versicherten verwenden.

Die eGK selbst soll – in Analogie zum neuen Personalausweis (nPA) – über das darauf befindliche Zertifikat sowohl zur Authentifizierung des Karteninhabers und auch als externer Schlüssel dienen, um Zugriff auf die Daten des Zentralservers nehmen zu können. In den ersten Realisierungsstufen werden allerdings nur Stammdaten des Versicherten sowie Protokollinformationen für Zugriffe auf Kartendaten auf der eGK und keine medizinischen Daten gespeichert. Die gegenüber dem ursprünglichen Konzept deutliche Reduzierung der Funktionalität ist wesentlich der mangelnden bzw. der immer noch nicht hinreichend nachgewiesenen Sicherheit von Informationen auf der Karte und den Systemen der Telematik-Infrastruktur zuzuschreiben (der Nachweis der Tauglichkeit nach ISO/IEC 15408 zur Datensicherheit und zum Datenschutz bei der Übertragung gegenüber dem BSI als Bundesoberbehörde wurde von der gematik bis heute nicht erbracht).

 

Teilnehmer der Telematik-Infrastruktur

Die Veröffentlichungen immer neuer Datenschutzverletzungen (siehe Einleitungstext) und die nicht zuletzt durch den NSA-„Skandal“ verunsicherte Bevölkerung und unterschiedliche Interessensgruppen werden den Ausbau und die Inbetriebnahme der TI zwar vmtl. nicht verhindern, womöglich aber die Akzeptanz der Beteiligten im Gesundheitswesen weiter reduzieren – bis zur Verweigerung, künftige eGK-Dienste überhaupt zu nutzen.

Neben zahlreichen mittlerweile gut organisierten Gegnern der eGK (z.B. das Aktionsbündnis "Stoppt die e-Card!") wird die Entwicklung und Einführung der eGK aber auch durch den permanenten Schlagabtausch zwischen dem GKV-Spitzenverband als zentrale Interessenvertretung der gesetzlichen Kranken- und Pflegekassen in Deutschland einerseits und der Bundesärztekammer (BÄK), als Vertreter der Ärzteschaft und  Leistungserbringer andererseits, verzögert und behindert. Unabhängig von Sicherheitsbedenken argumentiert die Bundesärztekammer u.a., dass die Zielsetzungen zur Verbesserung der medizinischen Versorgung (z.B. Notfalldaten, Arzneimitteltherapiesicherheit/AMTS) hinter denen der Verwaltungskosteneinsparung zurückstehen. Mehr noch: es wird der Vorwurf erhoben, dass Ärzte bei Anwendung der eGK mit eigenem Mehraufwand die Kassen entlasten, ohne Gegenleistungen zu erhalten – all das fördert nicht gerade ein konzertiertes Vorgehen in diesem Projekt.

Im aktuell laufenden bundesweiten Online-Rollout-Stufe 1 (ORS1) werden zu Beginn im Wesentlichen nur 2 Punkte erprobt:

Bereitstellung der Telematikinfrastruktur (Basis-TI)

Das Netzwerk zwischen den beteiligten Akteuren im Gesundheitswesen als Plattform für alle weiteren geplanten Anwendungen und Dienste dar. Das Projekt wird gleichermaßen von dem GKV-SV und der KBV verantwortet.

Versichertenstammdatenmanagement (VSDM)

Die Bereitstellung der Versichertenstammdaten über die eGK ist aktuell bereits erfolgt. Innerhalb von ORS1 sollen die Gültigkeit der Gesundheitskarten und die Aktualität der auf ihr gespeicherten Daten überprüft werden. Auch die Aktualisierung der Daten der Gesundheitskarte ist Gegenstand der Erprobung. Die Projektverantwortung obliegt dem GKV-Spitzenverband.

Erst zu einem späteren Zeitpunkt, aber immer noch zur Stufe 1 gehörend, soll als weitere Anwendung hinzukommen:

Qualifizierte elektronische Signatur (QES)

Die qualifizierte elektronische Signatur ist das elektronische rechtsgültige Pendant einer handschriftlichen Unterschrift. Insbesondere die Ärzteschaft hat hieran ein großes Interesse, um elektronische Dokumente komfortabel signieren zu können. Im Rahmen der Erprobung erfolgt zunächst ausschließlich die Nutzung der QES mit und zwischen den Leistungserbringern.

Weitere geplante Anwendungsfälle der eGK, mit denen gleichermaßen Rationalisierungsziele und die Verbesserung der Versorgungsqualität bzw. –sicherheit erreicht werden sollen, sind z.B. das Speichern von ausgestellten Rezepten (zwecks Auslesen durch den Apotheker und direkter Abrechnung bei den Kassen) sowie die sog. Notfalldaten (medizinische Vorgeschichte wie z.B. Allergien, notfallrelevante Medikamente sowie die Kontaktdaten des Hausarztes inkl. bis zu 20 seiner letzten Diagnosen) oder weitere wichtige Informationen, wie die Blutgruppe des Versicherten.

<next>

 

Diese und weitere Möglichkeiten – wie z.B. Speicherung des Verwahrungsortes einer Patientenverfügung oder der Organspenderstatus auf der eGK – sollen auch künftig jedoch nur mit Einwilligung des Patienten erlaubt sein.

All diese der Verbesserung von Qualität und Effizienz in der Versorgung dienenden und schon vor mehr als 10 Jahren angekündigten Anwendungen der eGK wird es vmtl. frühestens ab 2018 geben können; bis dahin gilt die eGK bis auf die Sammlung von Praxiserfahrungen als teurer Ersatz für die alte Krankenver-sicherungskarte (KVK) und wird bis Ende 2014 mehr als 1 Milliarde Euro gekostet haben – Investitionen, die später als Verwaltungskosten wiedereingespart werden sollen.

Bevor dann nach erfolgreicher Erprobung allerdings die zusätzlichen Anwendungen der eGK an den Start gehen können, müssten jedoch ein weiteres Mal alle elektronischen Gesundheitskarten ausgetauscht werden - weil das auf ihr hinterlegte Zertifikat bis dahin ungültig sein wird.

Fazit – wo kann man ansetzen?

Nur allein mit Technik kann man die Anforderungen an Datenschutz und Informationssicherheit nicht erfüllen, die fortschreitende Integration und Automatisierung ist auch nicht zu verhindern. Regulierung, Kontrolle, Awareness und vor allem Vertrauensbildung bei allen Beteiligten müssen die Eckpfeiler eines zu fordernden Sicherheitsniveaus – auch und erst recht für eine zentrale, übergeordnete Telematik-Infrastruktur – sein.

Massiver Vertrauensverlust und Skepsis sind durch gravierende Sicherheitsmängel bei den bereits heute bestehenden IT-gestützten Prozessen und dem Austausch von medizinischen Daten entstanden. Dieser wird nicht durch eine selbst nachweislich höhere Sicherheit bei der erst einzuführenden Telematik-Infrastruktur wiederhergestellt – es gilt in erster Linie, unverzüglich die Informationssicherheit der vorhandenen Systeme zu verbessern. Geeignete Maßnahmen sind u.a.:

  • Analyse und Dokumentation der Prozesse bei den beteiligten Leistungserbringern
  • Einführung von ISMS-Lösungen, ggf. auch Zertifizierung
  • Identifikation und Bewertung von Risiken
  • Definition geeigneter (Notfall-)Maßnahmen
  • Regelmäßige Sicherheitsüberprüfung von Netzgrenzen, Systemen und Softwarelösungen
  • Reviews bestehender Softwarelösungen auch unter Sicherheitsaspekten
  • Sicherheit im Software-Entwicklungsprozess verankern (SDL)

 

Unkontrollierter und unzureichend gesicherter Datenaustausch im Gesundheitswesen muss verhindert werden, für bereits praktizierte Verfahren sind Sofortmaßnahmen zur Wahrung der Informationssicherheit unumgänglich. Perspektivisch dürfte eine bundesweite, regulierte und sichere Telematik-Infrastruktur für sensible Gesundheitsdaten eine verlässlichere Basis bieten zur Rationalisierung von Verwaltungsprozessen und Erhöhung der Versorgungsqualität und –sicherheit. Dies gilt insbesondere dann, wenn die von der Bundesregierung geförderten Telemedizin Strategien zur hochwertigen medizinischen Versorgung der Menschen auch in ländlichen und strukturschwachen Regionen umgesetzt werden.

Autor: Wilfrid Kettler, GAI NetConsult GmbH

Quellennachweis:

Integrierte Versorgung
http://www.bmg.bund.de
Positionspapier „Risikomanagement für medizinische Netzwerke“ (ISO 80001)
http://www.vde.com 
Schutz Kritischer Infrastrukturen: Risikoanalyse Krankenhaus-IT
https://www.bsi.bund.de/
Entwurf des IT-Sicherheitsgesetzes
https://www.bmi.bund.de
Medizinische Software mit agilen Methoden normkonform entwickeln (Scrum und IEC62304)
http://agilecoach.de  
Telematikinfrastruktur
https://www.gematik.de

Diesen Artikel empfehlen

IT-SiG verabschiedet – was kommt auf uns zu?

Die Informationstechnologie prägt seit Jahrzehnten die Unternehmen in immer stärkerem Maße und spätestens seit Mitte der 90-er Jahre kann man dies auch für das Internet feststellen. Dass das Internet somit schon lange kein „Neuland“ mehr für deutsche Unternehmen ist, dies hat nun mittlerweile auch...

Datenpannen immer teurer?

Die Kosten, die Unternehmen durch den Verlust oder den Diebstahl von kritischen Daten entstehen, belaufen sich mittlerweile im Schnitt auf rund 3,8 Millionen US-Dollar – eine Steigerung um 23 Prozent seit 2013. Das geht aus der von IBM gesponserten, aktuellen „2015 Cost of Data Breach Study“ des...

Sicherheitsprüfungen bei Beschaffung und Betrieb von PDV-Systemen

Unsichere Netzwerkstruktur und Netzwerkschnittstellen Bei dem Design der Netze kann man sich auf publizierte und in der Praxis getestete Architekturen abstützen und dabei von den Erfahrungen anderer profitieren. Dennoch werden häufig bereits langjährig etablierte Schutzmaßnahmen nicht umgesetzt....

Neue Vorgaben der Finanzverwaltung für die IT-Compliance

Eine Verwaltungsverordnung kann zwar dem Bürger keine direkten Pflichten auferlegen, dennoch ist die GoBD von erheblicher Bedeutung, da die Finanzämter das Schreiben des BMF bei der Bearbeitung der Steuerangelegenheiten zwingend befolgen müssen und sich daher die Bearbeitungspraxis der Finanzämter...

Im Test: Remote Support-Appliance von Bomgar

Im laufenden Betrieb wird die Bomgar Remote Support-Appliance im Netz des jeweiligen Unternehmens – üblicherweise in der DMZ – in Betrieb genommen. Dort verwaltet sie dann die Zugriffe auf die fernzuwartenden Systeme. Der Remote Access funktioniert auch dann, wenn sich diese Systeme hinter...

Netzwerke sicher virtualisieren mit Software-defined Networking (SDN)

Im Bereich der IT ist die Virtualisierungstechnik längst nicht mehr neu. Schon in den 60er Jahren experimentierten Hardwarehersteller wie IBM mit virtueller Speicherverwaltung zur Partitionierung von Ressourcen in deren Mainframes. Das ermöglichte ein quasi Multitasking und somit ein beinahe...

Sichere Systeme – Security beim Hardwaredesign

Als eines der kritischen Systeme ist unser Straßenverkehr zu sehen. Jeder kennt es: In dicht besiedelten und infrastrukturell gut ausgestatteten Regionen reicht ein Kfz mit Defekt, um große Teile des Straßenverkehrs zu stören oder gar zum Erliegen zu bringen. Dies, und vorrangig die...

Das Ende der Ära von SSLv3

Wer hätte das gedacht, dass ein Pudel (engl. poodle) die lange Amtszeit von SSLv3 so abrupt beenden würde? Immerhin hat es vor diesem Angriff viele andere Angriffe auf das Protokoll gegeben, wie zum Beispiel BEAST, CRIME oder auch BREACH, denen man namentlich eher den Sturz von SSLv3 zugetraut...

Gefährliche Dinge(r) im Internet-of-Things?

Viele sprechen heute schon von der vierten industriellen Revolution (nach Erfindung der Dampfmaschine, der Einführung der Elektrizität und dem Beginn des Computerzeitalters) und meinen damit die bereits angelaufene Vernetzung im Internet-of-Things (IoT). Gartner geht in der Studie „Forecast: The...

ICS-Schadsoftware Havex

Die Berichte in den Fachmedien über die Schadsoftware Havex werfen in der Regel mehr Fragen auf, als sie beantworten, und stellen zudem die Bedrohungslage sehr unterschiedlich dar. Dies ist insbesondere für namenhafte Antiviren-Hersteller festzustellen; ein Teil schenkt dem Thema kaum Beachtung,...

Out-Of-Band-Management mit eingebauten Sicherheitsproblemen

„Turnschuhadministration“ - dieser Begriff ist sicherlich ein Albtraum für jeden Administrator, der etwas von seinem Handwerk versteht oder dessen Server nicht gerade im Raum nebenan stehen. Damit nicht für jede Tätigkeit der Weg in den Serverraum angetreten werden muss, bedient man sich...

Neuer Entwurf des IT-Sicherheitsgesetzes veröffentlicht

Eine erste Durchsicht des Entwurfs brachte folgende wesentliche Punkte und Neuerungen gegenüber dem Entwurf der alten Legislaturperiode für Betreiber Kritischer Infrastrukturen zu Tage: • Die Definition Kritischer Infrastrukturen und damit die Abgrenzung des Geltungsbereiches des Gesetzes ist...

Auswirkungen der Änderungen von ISO 27001:2005 zu ISO 27001:2013

Die ISO - International Organization for Standardization - ist die internationale Vereinigung von Normungsorganisationen. Ihre Aufgabe ist das Erarbeiten internationaler Normen in allen Bereichen mit Ausnahme der Elektrik / Elektronik (IEC) und der Telekommunikation (ITU). Die ISO, IEC und ITU...

E-Government-Gesetz

Deutschland hat in dem Bereich der elektronischen Kommunikation im Behördenverkehr den Anschluss an die Spitze in Europa längst verloren, in den Niederlanden und in Skandinavien ist dies längst Standard.   Abbildung-1: E-Kommunikation im Behördenverkehr (Quelle: Eurostat) Das...