Woran es noch fehlt

Während der Entwicklung der ePA mussten zahlreiche Kompromisse zwischen Nutzerfreundlichkeit und Datensicherheit, zwischen dem Drängen der Politik und dem Zögern einzelner Akteure, zwischen Funktionalität und Datenschutz geschlossen werden. Ein Beispiel dafür ist das Anmeldeverfahren zur ePA. Bei einigen Kassen müssen Patienten in Geschäftsstellen vorsprechen, obwohl sich diese mitunter weit vom Wohnort entfernt befinden. Einige Kassen haben auf Video-Identifikationsverfahren umgestellt, was wiederum vom Bundesamt für Sicherheit in der Informationstechnik als unsicher kritisiert wird. Allerdings wird dieses Verfahren auch von Banken zur Konto-Eröffnung eingesetzt, da Betrugsfälle selten sind. Solche Uneinigkeiten sorgen für Verunsicherung.

Diese wuchs noch, als im Vorfeld der ePA-Einführung klar wurde, dass in Arztpraxen bei der Implementierung der sogenannten Konnektoren zur Anbindung an die TI einiges schiefgehen kann. Security-Forscher um Christoph Saatjohann von der FH Münster entdeckten in der bisherigen TI 29 ältere Konnektoren, die ohne Authentifizierung erreichbar waren. Die Forscher hätten Zugriff auf die IT-Systeme der Einrichtung bekommen können. Die Gematik leitete Gegenmaßnahmen ein. 

Die Sicherheitsexperten bemängeln auch, dass die von der Gematik beworbene Ende-zu-Ende-Verschlüsselung nicht konsequent eingehalten werde, da der Schlüssel zur ePA nicht beim Patienten, sondern auf einem zentralen Server generiert wird. Dies ist sicher, solange ein Betrüger nicht an die ID-Karten der Leistungserbringer gelangt. Martin Tschirsich vom Chaos Computer Club konnte sich jedoch unter anderem einen Praxisausweis zuschicken lassen. Die Gematik hat sich dennoch für diese Lösung entschieden: Wären Patienten für den Schlüssel verantwortlich, würde dessen Verlust zu einem Verlust der Daten führen.

Eine weitere Kritik richtet sich an den Inhalt der ePA. In der ePA liegen die Informationen als Dokumente oder Bilder vor. Die Dokumente werden zwar mit Metadaten versehen, um sie auffindbar zu machen. Allerdings sind die Daten in den Dokumenten nicht automatisch mit maschinellen Lernverfahren auszuwerten. Die Vorteile der Digitalisierung zeigen sich aber vor allem in der Nutzung und Verarbeitung von Daten. So könnten ausgewählte Patientendaten über definierte Schnittstellen anderen IT-Systemen oder Apps zur Verfügung gestellt werden. Es gibt mehr als 40.000 Apps im Bereich Gesundheit allein im Google Play Store, darunter Apps wie Ada, die mit Künstlicher Intelligenz einem Nutzer eine Einschätzung geben, unter welcher Krankheit er leiden könnte. Solche Apps könnten durch die Anbindung an die ePA besser auf die Situation der Patienten reagieren. Damit der Austausch funktioniert, braucht es jedoch strukturierte Daten, die maschinell verarbeitet werden können, statt Dokumente, die betrachtet werden können. Und selbst wenn es diese Daten in der ePA gäbe, müsste noch geregelt werden, unter welchen Bedingungen der Datenschutz in der EU die Nutzung dieser Daten durch Apps erlaubt.