Patientendaten ungeschützt im Netz Ärzte allein für Datenschutzverstöße verantwortlich

Anbieter zum Thema

FTAPI Software GmbH

Immer wieder werden Sicherheitslücken bei Praxissoftware und der Telematikinfrastruktur bekannt. Für Ärzte fatal: Sie sind für jeglichen Datenschutzverstöße verantwortlich. Die Rufe, von der verpflichtenden Anbindung an die TI abzusehen, nehmen zu.

Gerade erst hat die Gematik das VideoIdent-Verfahren im Zusammenhang mit der Telematikinfrastruktur gestoppt. Eigentlich konnten sich Versicherte darüber beispielsweise für die Nutzung der elektronischen Gesundheitskarte authentifizieren. Externe Sicherheitsexperten hatten die Organisation allerdings auf schwerwiegende Sicherheitslücken hingewiesen. Einige Tage später wurde eine Sicherheitslücke bei der Praxissoftware des Herstellers Doc Cirrus bekannt. Über das zentrale Zugangsportal des Anbieters ist es Sicherheitsforschern gelungen, auf die internen Zugriffsdaten der Arztpraxen und damit nicht nur auf die eMails der Ärzte zuzugreifen, sondern auch Links auf Patientendokumente zu öffnen, die auf den Praxisservern hinterlegt waren – Laborbefunde etwa oder Blutwerte. Der Berliner Datenschutzbeauftragte geht davon aus, dass 270 Arztpraxen und mehr als 60.000 Patienten betroffen waren.

Sicherheitslücke entdeckt

Gematik stoppt VideoIdent-Verfahren mit sofortiger Wirkung

Doc Cirrus bestätigte einen Programmierfehler, die betroffenen Dienste seien unverzüglich deaktiviert und überprüft worden. Doch wer ist in so einem Fall für die Verletzung des Datenschutzes verantwortlich? „Tatsächlich hat ein Softwarehersteller keine Verpflichtung, seine Software in irgendeiner Art und Weise datenschutzkonform auszugestalten“, erklärt Christof Stein, Sprecher des Bundesdatenschutzbeauftragten. Auch bei Software, die sensible Daten verarbeite, seien die Arztpraxen dafür verantwortlich, zu überprüfen, ob die Software datenschutzkonform sei. Dabei dürfe man sich nicht auf Zertifikate oder Gütesiegel verlassen.

Dr. Gernot Petzold, Vorstand des Bayerischen Facharztverbandes (BFAV) und niedergelassener Augenarzt in Kulmbach, schließt daraus, das in letzter Konsequenz, „jede Verbindung des Praxisservers mit dem Internet zu einem Sicherheitsrisiko für eine Arztpraxis werden kann, für das der Praxisinhaber allein verantwortlich ist“. Der Verband hat daher beim Sozialgericht München gegen den Honorarabzug bei Nichtanschluss an die Telematikinfrastruktur geklagt. „Wenn der Arzt das Sicherheitsrisiko für die Patientendaten in seiner Praxis letztendlich allein trägt, muss er auch allein entscheiden können, ob er sich an die TI anbinden lässt oder nicht“, so Petzold.

Mit dieser Meinung steht er nicht alleine da. Auch der Mediverbund ist bereits gegen die Verpflichtung zur TI vorgegangen. „Durch die Verpflichtung zum TI-Konnektor wurden die Arztpraxen dazu gezwungen, eine Anwendung zu nutzen, die jedenfalls bis Ende 2020 (Inkrafttreten des Patientendaten-Schutz-Gesetzes) nicht DSGVO-konform war“, erklärt Frank Hofmann, Vorstandsmitglied der Mediverbund AG. „Es kommt hinzu: Ärztinnen und Ärzte sollen für ein System haften, für das sie gar keine Verantwortung übernehmen können. Die Arztpraxis haftet für die Sicherheit der Patientendaten, was aber mit den Daten, die über den Konnektor fließen, genau passiert, liegt nicht in ihrem Einflussbereich.“ Das Verfahren des Verbands befindet sich aktuell in Berufung.

Telematikinfrastruktur

„Ein riesiger Hemmschuh“

(ID:48564467)