Chaos Computer Clubs erläutert Cyberangriffe Lauterbach bestätigt Sicherheitslücke bei E-Patientenakte

Obwohl Gesundheitsminister Karl Lauterbach versichert hatte, dass die elektronische Patientenakte sicher sei, konnten ethische Hacker auch verbesserte Sicherheitsvorkehrungen der ePA umgehen. Eine Möglichkeit für Versicherte, ihre Daten zu schützen, ist es der ePA zu widersprechen.

Der scheidende Bundesgesundheitsminister Karl Lauterbach hat nach Angaben der Deutschen Presseagentur (dpa) bestätigt, dass nach dem bundesweiten Start der neuen elektronischen Patientenakte (ePA) am 29. April 2025 eine neue Sicherheitslücke entdeckt worden ist. „In der Frühphase des ePA-Starts war mit solchen Angriffsszenarien zu rechnen. Ich bin der Gematik dankbar, dass sie auf die ersten Hinweise sofort reagiert und auch diese Sicherheitslücke noch geschlossen hat“, schrieb der SPD-Politiker am Abend des 30. Aprils auf der Plattform X. Die Gematik (Gesellschaft für Telematikanwendungen der Gesundheitskarte) ist die zentrale Organisation in Deutschland, die für die Digitalisierung des Gesundheitswesens zuständig ist. Zu 51 Prozent gehört sie seit 2019 dem Bundesministerium für Gesundheit (BMG). Die Gematik hat die gesetzlichen Rahmenbedingungen, technischen Spezifikationen und Zulassungsprozesse für die ePA definiert.

IT-Sicherheit

Warum sind Hacker so heiß auf medizinische Daten?

Wiederkehrende Sicherheitslücken in der ePA

Bereits Ende Dezember 2024 hat der CCC bei seinem 38. Kongress erläutert, dass es unter bestimmten Voraussetzungen möglich gewesen sei, eine Schwachstelle in der elektronischen Patientenakte auszunutzen. So sei es möglich gewesen, auf Gesundheitsdaten zuzugreifen und Inhalte von Akten zu fälschen. „Die ePA in ihrem aktuellen Zustand auszurollen, ist angesichts ihrer besorgniserregenden Sicherheitsprobleme eine falsche Entscheidung“, mahnte der Club in seiner Pressemeldung. Sicherheitsmängel bei der ePA gebe es bereits seit ihrer Einführung im Jahr 2020.

Wie die Gematik berichtet, wurden daraufhin gemeinsam mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) weitere Sicherheitsmaßnahmen umgesetzt. Nun würden der Gematik allerdings Informationen vorliegen, dass der CCC ein weiteres Szenario beschrieben hat, bei dem Unberechtigte Zugriff auf die elektronische Patientenakte erlangen könnten. Nachdem die ethischen Hacker das Problem gemeldet hätten, sei mithilfe sofortiger Notfallmaßnahmen am Nachmittag des 30. Aprils die Sicherheitslücke vorerst geschlossen worden. Die potenziell betroffenen Versicherten seien identifiziert und ihre Daten geschützt worden.

Update: Anzeige gegen Unbekannt

Cyberangriff auf Tochter der Bundesdruckerei D-Trust

Widerspruch der ePA möglich

Dass es Hackern erneut gelungen ist, Schwachstellen in der ePA nachzuweisen, gibt den Startschuss für weitere Kritik an ihrer Sicherheit. Denn obwohl Lauterbach Anfang Januar noch betonte, die elektronische Patientenakte würde erst an den Start gehen, sobald sie komplett sicher vor unberechtigten Zugriffen sei, folgte Ende April der X-Post, dass in der Startphase der ePA bereits mit Angriffen gerechnet worden sei.

Nach einer Testphase der elektronischen Patientenakte, während der immer wieder Schwachstellen behoben wurden, ist die ePA seit dem 29. April 2025 für alle 73 Millionen gesetzlich Versicherten in Deutschland aktiv. Die ePA erfasst Gesundheitsdaten wie Diagnosen, Arztbriefe und eingenommene Medikamente digital. Zugriff auf diese Daten haben laut Paragraph 352 des Sozialgesetzbuchs V Leistungserbringen und andere zugriffsberechtigte Personen. Dazu zählen:

• Ärzte sowie deren Arztgehilfen und Azubis

• Zahnärzte sowie deren Zahnarztgehilfen und Azubis

• Apotheker, deren Apothekergehilfen und Azubis

• Psychotherapeuten,deren Apothekergehilfen und Azubis

• Krankenpfleger und Kinderkrankenpfleger

• Altenpfleger

• Pflegefachfrauen und Pflegefachmänner

• Kranken- und Altenpflegehelfer

• Hebammen

• Heilmittelerbringer wie Physiotherapeuten, Logopäden, Ergotherapeuten, Ernährungsberater oder Podologen sowie deren Apothekergehilfen und Azubis

• Ärzte im Öffentlichen Gesundheitsdienst

• Mitarbeiter des Öffentlichen Gesundheitsdienstes

• Fachärzte für Arbeitsmedizin und Betriebsärzte

• Notfallsanitäter

Zunächst bleibt die Nutzung dieser digitalen Akte für Ärzte, Apotheken und Krankenhäuser freiwillig. Ab dem 1. Oktober 2025 ist die Nutzung für die Leistungserbringer des Gesundheitswesens Pflicht.

Allerdings können Versicherte die sogenannte Widerspruchslösung nutzen. Sie können entweder nur bestimmte Anwendungen und Nutzungsrechten der ePA widersprechen oder dem Einsatz der elektronischen Akte generell. Ein entsprechendes Formular erhalten Versicherte in der Regel bei ihrer Krankenkasse. Wichtig ist, dass der Widerspruch zur ePA von Ihnen direkt kommt und eindeutig Ihnen zugeordnet werden kann. Deshalb sollten Sie unbedingt darauf achten, Ihre Versichertennummer mit anzugeben. Statt der ePA können Sie dann eine eigene Patientenakte führen. Die Daten und Informationen dafür erhalten Sie von den Leistungserbringen.

Widerspruchslösung

Appell an Versicherte vor Start der E-Patientenakte

(ID:50408344)