Telematikinfrastruktur: Welche Gefahren es dabei gibt

Ärzte, Apotheker und Krankenhäuser, aufgepasst: Seit März 2020 soll der Zugriff aller Heilberufler auf Patientendaten einfacher sein. Dafür sorgen soll das IT-System Telematikinfrastruktur, kurz TI. Das Ziel dabei ist, den Datenaustausch zu verbessern. Voraussetzung ist die elektronische Patientenakte (ePA) für alle gesetzlich Krankenversicherten. Die Daten der Versicherten werden dabei in einem zentralen IT-System gespeichert und sind von Ärzten, Apothekern und Krankenhäusern einsehbar.

Für den Anschluss wird vor Ort, beispielsweise in einer ärztlichen Praxis, ein Konnektor installiert. Das ist ein spezieller VPN-Router, der eine Verbindung zur Telematikinfrastruktur herstellt. „Diese ist an sich genommen gesichert. Im Zuge der Installation des Konnektors werden vorhandene Firewalls und Virenschutzprogramme aber häufig deaktiviert“, sagt Unternehmensberater Markus Bergmaier bei Ecovis in Dingolfing, „sie können den Konnektor stören.“ Damit sensible Patientendaten aber nicht gestohlen werden können, ist die Firewall richtig zu konfigurieren.

Konsequenzen drohen

Heilberufler, die das Risiko eines Datenlecks scheuen und sich nicht an die TI anschließen, riskieren seit März 2020 Abzüge der Krankenkassen. Bis zu 2,5 Prozent der Honorare können die Versicherer einbehalten. Bislang lag der Abzug bei einem Prozent. „Die Bußgelder aus Verstößen der Datenschutzgrundverordnung belaufen sich dagegen auf vier Prozent des Umsatzes“, erklärt Axel Keller, Rechtsanwalt und Datenschutzbeauftragter bei Ecovis in Rostock. Hinzu kommt, dass auch betroffene Patienten, deren Daten unbefugt öffentlich verfügbar werden, weil das System Lücken aufweist, einen Schadensersatzanspruch gegenüber dem Verantwortlichen haben. In der Regel ist das der Praxisinhaber. Selbst der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Ulrich Kelber, bemängelt die Probleme der Telematikinfrastruktur und weist auf die möglichen Bußgelder aus der EU-Datenschutzgrundverordnung (EU-DSGVO) hin.

Wie sich Ärzte verhalten sollten

„Ärzte sollten sich gut überlegen, ob sie sich der gesetzlichen Forderung beugen oder noch abwarten, bis die Systeme wirklich sicher sind“, rät Keller. „Dass die TI noch nicht ausgereift und der Umgang für Heilberufler nicht einfach ist, ist unbestritten“ (siehe „Wissenswertes zur Telematikinfrastruktur“).

Wissenswertes zur Telematikinfrastruktur

Warum die Telematikinfrastruktur (TI) noch nicht sicher ist und was Heilberufler beachten müssen

1. Wie kann ein Arzt wissen, ob die eigene Telematikinfrastruktur sicher ist?
   Ohne tiefgehende IT-Kenntnisse bezüglich Netzwerktechnik und IT-Sicherheit ist nicht festzustellen, ob die Konfiguration korrekt ist. In der Regel wird der Arzt ein IT-Systemhaus beauftragen, um die Installation des Konnektors vornehmen oder um die Konfiguration des Konnektors überprüfen zu lassen.
2. Fehler im Internet-Router: Vor allem in den von der Telekom eingesetzten und daher weitverbreiteten Routern namens „Digitalisierungsbox Premium“ gab es einen Fehler im Betriebssystem. Dieser ermöglichte deutlich mehr Zugänge von außen auf das Netzwerk einer Arztpraxis, als beabsichtigt waren. Erst ein Update der Telekom konnte diesen Fehler beheben. Wichtig: Ärzte, Apotheker und Krankenhäuser sind selbst dafür verantwortlich, dass dieses Update auch installiert wird. Dies passiert nicht immer automatisch.
3. Falsche Konfiguration: Computersysteme, auf denen Daten gespeichert sind, sollten vom Internet getrennt sein. Das verhindert, dass Patientendaten über das Internet von Unbefugten abrufbar sind. Meist ist das aber nicht praktikabel. Aus diesem Grund muss eine Firewall installiert sein, die den Netzwerkzugriff auf und von den betreffenden Computern regelt. Die interne Firewall des Routers ist dafür nicht ausreichend.

[*] Sicherheitslücken im Konnektor: Mitte Januar 2020 wurde bekannt, dass auf den Konnektoren der Telekom mit der Bezeichnung „Medical Access Port“ viele Zusatzdienste installiert sind, in denen eklatante Sicherheitslücken stecken. Dies gefährdet die Praxen und die gesamte TI.

Anschluss an die Telematikinfrastruktur

Apotheken müssen sich bis Ende September 2020 und Krankenhäuser bis Januar 2021 an die Telematikinfrastruktur (TI) anschließen. Hebammen, Physiotherapeuten und Pflegeeinrichtungen können sich freiwillig an die TI anschließen. Ihnen werden die Kosten dafür erstattet. Für Ärzte galt März 2020 als Stichtag. Mediziner, die sich weiterhin nicht anschließen, müssen seit März 2020 mit einem Honorarabzug von 2,5 Prozent rechnen (bislang 1 Prozent).

Markus Bergmaier, Unternehmensberater und Datenschutzbeauftragter bei Ecovis in Dingolfing