28.12.2024, aktualisiert um 09:56:51 Uhr

3873

EPA - Potenziell sind wie es aussieht die Daten aller Versicherten gefährdet

Moin Zusammen,

so wie es aussieht, ist die aktuelle Sicherheit der ePA (elektronische Patientenakte), auf gut deutsch gesagt, wohl nicht mal was für den Hintern. 😔

Weitere Details:
https://www.golem.de/news/elektronische-patientenakte-so-laesst-sich-auf ...
https://www.zeit.de/digital/2024-12/elektronische-patientenakte-hacker-w ...
https://www.tagesspiegel.de/gesellschaft/panorama/70-millionen-patienten ...
https://www.spiegel.de/netzwelt/netzpolitik/elektronische-patientenakte- ...

😭

Ich glaube, ich will erst gar nicht wissen, was uns dieser Murks bisher schon an Steuergelder gekostet hat. 😔

Wobei ... doch ... das möchte ich jetzt schon wissen, habe gerade jedoch nicht die Zeit das herauszufuchsen.
Ähm, kann das villeicht jemand anders übernehmen, danke.

Gruss Alex

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 670391

Url: https://administrator.de/knowledge/epa-potenziell-sind-wie-es-aussieht-die-daten-aller-versicherten-gefaehrdet-670391.html

Ausgedruckt am: 31.01.2025 um 11:01 Uhr

24 Kommentare

Neuester Kommentar

Moin,

wir hatten damals den Wechel von KVK (ohne Bild) zu eGK G1 (mit Bild) bei Zahnärzten in Norddeutschland bei unseren Kunden durchgeführt. Das war noch ohne TI. Da gab es so eine schöne Kostenuhr einer Krankenversicherung.
Ich glaube das waren so um 6 Milliarden.

Die hier kommen auf 35 Milliarden. Klingt plausibel
https://www.gesundheitsverbund.de/index.php/50-uncategorised/400-ti-was- ...

Stefan

Moin...

nun ja... die Artikel sind schon alle richtig, richtig ist aber auch, das wissen wir schon seit sehr sehr langer zeit- schein ja niemanden zu stören, nicht mal das BSI oder die KBV...aber zum Jahrewechsel kann das ja noch mal angesprochen werden!

Frank

Nicht zuletzt ist das wiedersprechen bei den meisten Versicherungen ein riesen Drama.

Und das sind Sicherheitslücken, die nur der CCC gefunden hat. Wenn das mal weltweit die Runde gemacht hat wird denen die ePA so richtig um die Ohren fliegen.

Hier kann man sich den Vortrag ansehen:

https://streaming.media.ccc.de/38c3/relive/135

Zitat von @Spirit-of-Eli:

Nicht zuletzt ist das wiedersprechen bei den meisten Versicherungen ein riesen Drama.

Genau genommen nicht.
Es genügt laut Gesetz sogar ein einfacher Anruf. Die KV muss den Widerspruch ohnehin schriftlich bestätigen.

Bei meiner war es ein einfaches Webformular. Name, Versichertennummer, eMail-Adresse und eine einzige Checkbox für den Gesamtwiderspruch.
Sekunden später Bestätigungsmail über den Eingang und ein paar Tage später Post.

Manuel

Zitat von @manuel-r:

Zitat von @Spirit-of-Eli:

Nicht zuletzt ist das wiedersprechen bei den meisten Versicherungen ein riesen Drama.

Prinzipiell hast du Recht. Das mit dem Anruf stimmt auch.
Aber die normalen Formulare dazu sind super umständlich.
Bei mir wollten die irgend eine PIN was nicht alles.

Schlussendlich hat diese Mail Funktion zum gewünschten Ergebnis geführt

Maine Frau und ich haben bei unserer Krankenversicherung (DAK Gesundheit) telefonisch der ePA widersprochen.
Wir sind nun gespannt, wann die Bestätigung der KV (Krankenversicherung) eintrifft.
Und wie diese formuliert ist. Schlimmstenfalls bin ich dann ganz schnell mit meinen ausgedruckten Informationen in der Niederlassung. Und werde dan auch den Datenschützer kontaktieren.

Gruss Penny.

Moin,

ich habe bei meiner Krankenkasse per Mail Widerspruch eingelegt. Einmal gegen die datengestützte Erkennung individueller Gesundheitsrisiken. Und ein weiteres Mal gegen die Einrichtung der ePa überhaupt. Innerhalb von zwei Tagen hatte ich die schriftliche Bestätigung im Postfach.

Grüße und einen guten Rutsch ins neue Jahr 2025...

Uwe

Hallo,
das mit dem Wiederspruch ist so einfach wie kompliziert.

Ja, Du bekommst ein Flag in Deiner Karte.
Aber wer garantiert, dass sich Alle daran halten?
So wie ich das bei vielen Firmen leider gesehen haben werden trotzdem erstmal alle Daten verarbeitet und gespeichert und erst danach geschaut was man anzeigt und was nicht.

Das Theme "Wie kann der Patient beim Arzt vor Ort auswählen welche Daten dieser Arzt sehen darf" ist bisher ungelöst und nicht trivial.

Das ganze Thema ist komisch verschoben.
Es wird furchtbar viel Zeit mit der Verschlüsselung gefummelt (TI-Konnektor) obwohl z.B. die Lesegeräte eine verschlüsselte Netzwerkverbindung von sich aus können und das Thema eigentlich einfach ist.
Auf der anderen Seite werden viele komplexe logische Themen, wie z.B. diese Auswahl, ignoriert oder nur oberflächlich behandelt.

Stefan

Der Hack ist gar nicht mal das, was mich beunruhigt. Vielmehr die Reaktion der Gematik, wurden die Lücken geschlossen? Ich hätte da eine andere Reaktion erwartet. Aber ein Grund mehr der ePA zu wiedersprechen.

Was haben die sich dabei gedacht? Auf der AU steht nicht mal der Grund und der Arbeitgeber darf nicht mal nachfragen. Zukünftig wird es dann wohl "Angebote" geben sich die ePA von Bewerbern und Angestellten zu holen oder analysieren zu lassen. 😂

Also mit anderen Worten:

1. Nicht widersprechen
2. Zum Arzt gehen, Daten werden gespeichert
3. Abwarten bis alternativloses Datenleck eintritt (eine Frage der Zeit, vermutlich ein euer Negativ-Rekord)
4. Klagen und Schadensersatz fordern (Datenschutzverletzung bei höchst sensiblen personenbezogenen Daten)
5. Profit?

p.s. noch viel interessanter wäre es Daten hinzufügen / ändern zu können. Das wäre der absolute Jackpot!

Moin Frank,

nun ja... die Artikel sind schon alle richtig, richtig ist aber auch, das wissen wir schon seit sehr sehr langer zeit- schein ja niemanden zu stören, nicht mal das BSI oder die KBV

das BSI ist für diesen Schlamassel direkt mitverantwortlich ...

Quelle:
https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standar ...

... . 😔

Und die KBV sollte sich ihre Aussagen mit diesem angeblich sicheren Netz ...

https://www.kbv.de/html/7237.php

... auch nochmals kräftigst durch den Kopf gehen lassen. 😡

Gruss Alex

Moin,

btw sind die Entwickler bei der TI auch nicht glücklich.
Ich hatte vor Jahren mit einem mal gesprochen.
So ganz grob ist es damals abgelaufen.

Chef: Erstellen Sie ein Konzept für System womit Praxen verschlüsselt Daten übertragen können
Entwicklier: OK
Chef: Das System muss so konzipiert sein, dass es mindestens 10 Jahre unverändert sicher betrieben werden kann
Entwicklier: Das geht nicht. Es weiß ja keiner was es in 5 Jahren so gibt.
Chef: Egal
Entwicklier: Fuck my life

Man sieht das bei teuren System ja häufig, dass diese nur eine veraltete Software für ein veraltetes Windows verwenden wenn die Geräte schlicht zu teuer sind um ausgetauscht zu werden. Das scheint hier auch der Fall zu sein.

Ich weiß nicht ob das noch aktuell ist.
https://www.pcwelt.de/article/1165496/neuer-britischer-flugzeugtraeger-n ...

Es wäre natürlich möglich ein Zukunftssicheres Konzept zu erstellen was im Laufe des Betriebes angekasst werden kann. Aber da müsste man ja mal Jemanden fragen der sich damit auskennt....

Stefan

Moin @StefanKittel,

Chef: Erstellen Sie ein Konzept für System womit Praxen verschlüsselt Daten übertragen können
Entwicklier: OK
Chef: Das System muss so konzipiert sein, dass es mindestens 10 Jahre unverändert sicher betrieben werden kann
Entwicklier: Das geht nicht. Es weiß ja keiner was es in 5 Jahren so gibt.
Chef: Egal
Entwicklier: Fuck my life

👍👍👍 ... 😂🤣😂🤣 ... 👏👏👏

Der ist gut, nur schade, dass es nicht wirklich ein Witz ist. 😔

Gruss Alex

Moin...

Es wäre natürlich möglich ein Zukunftssicheres Konzept zu erstellen was im Laufe des Betriebes angekasst werden kann. Aber da müsste man ja mal Jemanden fragen der sich damit auskennt....

diese Konzepte gibbet doch schon... nur will sie doch keiner!
wenn du nicht alle 5 Jahre was neues auf den markt bringst, bist du rückständig, hast vergessen, dass du umsätze machen kannst, die dem Arzt / Praxis / KH aufgezwungen werden können, bist am besten still, das ein zertifikat wenige cent kostet, wo du doch 2,5 K bekommen kanst, und schreist dann nach Jahren, wir haben was neues entwickelt, obwohl das open source schon lange alles kann, und eigentlich alles ein alter hut ist.

Frank

Die ePA ist mMn grundsätzlich eine gute Idee. Bei einem Facharztbesuch konnte ich während der Wartezeit auf den Monitor blicken, sah den Button "ePA" in meiner Akte und habe nebenbei mal Wiki befragt (glaube das war 2022?). Es gab ein Rezept, Medi wurden eingeworfen und als keine Wirkung eintrat den Wisch aus der Packung geholt. Ich hätte die Tabletten gar nicht bekommen dürfen. Dies wäre mit der ePA vermutlich nicht passiert. Also den ganzen Kladderadatsch mit Fingerverbiegen und Fluchen auf einem Smartphone installiert. Bevor ein Doc seine Daten darauf speichern konnte gab es ein neues Handy, den Stress mit einer erneuten Installation hab ich mir bisher nicht mehr angetan.

Um die Sicherheit der elektronischen Patientenakte zu prüfen, hat die Gematik entsprechend ein Gutachten beim Fraunhofer SIT in Auftrag gegeben......Aber dann folgt ein widersprüchlicher Satz: "In Bezug auf das ePA-System wurde nach Absprache mit der gematik festgelegt, dass Angriffe durch Regierungsorganisationen nicht relevant sind."

https://www.zeit.de/digital/datenschutz/2024-12/elektronische-patientena ...

Bei einem Facharztbesuch konnte ich während der Wartezeit auf den Monitor blicken

Was mit anderen Worten nichts anderes bedeutet, als dass du dich auch bei jedem anderen Patienten hättest umsehen können. Mindestens in der Praxis-Software, wahrscheinlich aber auch in der ePA. Da geht das Problem doch schon los...

Manuel

Zitat von @manuel-r:

Bei einem Facharztbesuch konnte ich während der Wartezeit auf den Monitor blicken

Eigentlich nicht, die PVS sollte Kennwortgeschützt sein, an die EPA kommt der Arzt (nur nach Freigabe durch den Patienten) mit seinem Heilberufsausweis und Pin dran.

So sollte es sein, aber wie so oft: Plätze nicht beim Verlassen gesperrt, die MFA's ( medizinische Fachangestellen

) arbeiten mehr mit dem HBA als die Ärzte ( es ist ja für den Arzt trotz Batchverarbeitung zu viel Aufwand mit dem HBA direkt die eAU's und eRezepte beim erstellen zu signieren. Daher machen das die MFA's 2x am Tag.)

Mit Datenschutz ist es bei den meisten Praxen eh nicht weit her, auch beim alten Papier. Oder sind die Papierakten und Papierbefunde in den Praxen wie in Fort Knox gesichert. Eher nicht, was da alles an Papier offen rumliegt.
Kann mich noch an die alten Papierzeiten errinnern, da lagen die Rezepte und AUs zur "Batch"-Unterschrift auf dem Tresen direkt neben die Papierakten für die nächsten Patienten.

Just my 2 Cents

So sollte es sein, aber wie so oft: Plätze nicht beim Verlassen gesperrt, die MFA's

Nicht gesperrte Rechner sind eher ein kleines Übel, zumindest in kleinen Arztpraxen. Interessanter sind die von den Softwareanbietern gesetzten Rechte (Jeder) oder Kennwörter für Datenbanken. Letztens noch den Fall gehabt, dass die mit der Kennwortrichtlinien (>14 Zeichen) Probleme hatten, weil deren Passwort für die SQL-Datenbank nur 8 Zeichen hatte; natürlich hart einprogrammiert, so dass es nicht geändert werden kann 😂

Wenn man dann mit Datenschutz und Datensicherheit argumentiert werden die richtig grantig.

Aber was soll Sicherheit im Backend wenn sie im Frontend durch die Praxis nicht gelebt wird.
Wozu einzelne Benutzer mit den passenden Rechten ?

Ist ja zu viel Aufwand wenn der Arzt sich beim Zimmerwechsel jedes mal neu anmelden muss und vor allem seinen HBA mitnehmen muss. Was war das für ein Theater als in der PVS der HBA mit einem User verknüpft werden musste.. Ende vom Lied: alle Ärzte arbeiten unter dem selben User , die MFA's signieren 2x am Tag mit den jeweiligen HBA's die AU's und Rezepte.

Warum muss eine MFA die gleichen Rechte wie ein Arzt haben? Weil sie halt zu viele "ärztliche Aufgaben" übernimmt damit der Arzt sich halt nicht mit Praxismanagement und Verwaltung herumschlagen muss und Medizin machen kann.

Meinst ihr ein Arzt sieht überhaupt noch einmal was von den "Dauerrezepten die bestellt werden" ? nee das machen alles die MFA's nebenher.

Ich könnte euch Sachen erzählen, da ist die ePA noch das kleinste Problem..

Bei einem Facharztbesuch konnte ich während der Wartezeit auf den Monitor blicken

vs.

So sollte es sein, aber wie so oft: Plätze nicht beim Verlassen gesperrt

Eben. Deswegen kann ich als Patient dann (mindestens in der Praxissoftware) frei schalten und walten mit den Berechtigungen von demjenigen der angemeldet ist. Sollte eigentlich jeder der dort arbeitet verstehen können.

Manchmal sind die sogar lokaler Admin. Dann könnte ich als Patient sogar Software installieren. Und selbst ohne Admin zu sein kann ich mal eben was auf den Rechner schieben womit dann fortan sekündlich ein Screenshot gemacht und zu mir übertragen wird. Dafür braucht's noch nicht einmal besondere Kenntnisse.

Um das als Anwender oder Verantwortlicher zu erkennen muss man aber die graue Masse im Schädel benutzen.

Manuel

da lagen die Rezepte und AUs zur "Batch"-Unterschrift auf dem Tresen direkt neben die Papierakten für die nächsten Patienten.

So kenne ich es auch von meinem Orthopäden. Immerhin umgedreht, abgedeckt mit einem Blatt Papier und dem Namen des Doc obendrauf, so dass jeder der Ärzte seinen Stapel hat.

Winzig kleiner Raum, direkt neben dem HNO-Stuhl der PC, Monitor an der Wand. In der Software mein Name und weitere Daten/Diagnosen/Verlauf der Besuche, irgendwo der kleine ePA-Button. Mit ein wenig Skrupel hätte ich die Maus nehmen können...

K.A. ob das praxisfern ist, aber Patient mit Karte ins Behandlungszimmer, rein ins Lesegerät, Arzt mit 2FA (Fingerabdruckscanner?) kann dann die ePA einsehen und seine Dinge dazu packen.

Anekdote aus Zeiten als Uniformträger: ebenfalls HNO im Facharztzentrum, Untersuchungen gemacht, musste wieder ins Wartezimmer, aus dem knarzenden Lautsprecher wurden die Patienten wieder aufgerufen, keiner regt sich, mit ein wenig Phantasie war es mein Name (zumindest der Anfang), ab ins Arztzimmer, mit Namen vorgestellt, Diagnose und Befunde bekommen, alles unauffällig obwohl Gehörschaden. Akte in die Hand gedrückt, ab ins Vorzimmer damit die eingepackt werden kann...blöd nur dass es nicht meine Akte war. Arzt jammert herum, ich weise ihn darauf hin dass ich meinen Namen genannt hatte und wegen Hörproblemen zur Untersuchung dort erschienen bin und gerade bei einem HNO das Aufrufsystem verständlich laufen sollte, da war er ruhiger.

K.A. ob das praxisfern ist, aber Patient mit Karte ins Behandlungszimmer, rein ins Lesegerät, Arzt mit 2FA (Fingerabdruckscanner?) kann dann die ePA einsehen und seine Dinge dazu packen.

So ist ja der Plan: Der Patient berechtigt die Praxis/Arzt entweder via App oder mit seiner Karte und PIN für einen bestimmten Zeitraum. Der Arzt kann dann mit seinem HBA und seiner PIN darauf zugreifen. Die Zugriffe werden auch in der EPA dokumentiert.