Sensible Patientendaten zentral in der Cloud?

Aktuell sieht die Spahn´sche Digitalisierung eine zentral geführte elektronische Patientenakte vor. Ist das tolerierbar?

Nahezu im Wochentakt werden Datenhacks bekannt

Der jüngste Ausfall vieler Coop-Läden in Schweden und USA sowie anderer Firmen nach einem Hackerangriff ist nur das jüngste Glied in einer langen Kette von Datenpannen. Nicht nur der Deutsche Bundestag, die Berliner Justiz, die amerikanische Administration incl. FBI, die dortige Pipeline-Infrastruktur, englische und deutsche Krankenhäuser sind in jüngster Zeit Opfer eines Datenhacks geworden. Selbst große Konzerne, die wissen, wie IT  zu organisieren ist, hat es schon getroffen.  Aus Ländern mit zentraler Patientenakte sind Datenskandale bekannt geworden, beispielsweise  aus Schweden, Dänemark, Singapur, Australien und nicht zuletzt den USA, dem Land der führenden IT-Konzerne. Man kann ganze Datenbanken mit Krankenakten im Darknet kaufen. Im Jahr 2020 hatten Hacker Zugriff auf 150 Millionen Termine beim Onlineterminservice Doctolib. An den Metadaten konnte man z.B. Fruchtbarkeitsbehandlungen über mehrere Jahre erkennen.  Im Februar wurden in Frankreich Patientendaten von 500 000 Personen im Netz veröffentlicht.  Anfang dieses Jahres wurden psychotherapeutische Behandlungsdaten von 40.000 Finnen zum Kauf angeboten und noch immer werden Menschen mit Daten daraus dort erpresst. Ohne Zweifel  ein nicht hinnehmbarer Zustand.

Nur Anwenderfehler?

Dennoch werden anscheinend solche Pannen, die für etliche Menschen verheerende Folgen haben können, akzeptiert mit Verweis auf den immensen gesellschaftlichen Nutzen, die die Verarbeitung großer zentral geführter Datenmengen für das Gesundheitswesen bringen würde. Minister Spahn preist das in seinem Buch von 2016 „App vom Arzt“ als ultimative Notwendigkeit an.  Von Seiten der Bitkom-Industrie wird suggeriert, der Datenmissbrauch ließe sich vermeiden, wenn ordentlich verschlüsselt und korrekt programmiert würde. Wenn der Anwender internetgeschult Klippen vermeiden würde und nicht patzen wie beim Öffnen infizierter Mails und vieles andere. Also das Problem wäre eigentlich beherrschbar.

Auch wer alles richtig macht, kann betroffen sein

Das wird  widerlegt durch ständig neue Arten von Angriffen, die teilweise einfach nur die Strukturen der Datenverarbeitung nutzen. Der eingangs berichtete Hackerangriff über Kaseyas Software-Management stellt eine neue Qualität der Ransomware-Angriffe dar. Kaseya VSA ist eine Plattform für das Management von Software. Zu deren Aufgaben gehört unter anderem die Installation von Software und Updates. Genutzt wird VSA von Management Service Providern (MSPs), die damit die IT ihrer Kunden verwalten. Nach der Infektion dieser Firma erreichte die Revil-Gang mit der Lieferung virushaltiger updates  nicht nur über 1000 Firmen auf einen Schlag, sie traf auch Firmen, die eigentlich gar keinen Fehler gemacht hatten. Anders als beim Angriff über Phishing, RDP, verwundbare VPN-Dienste oder andere Sicherheitslücken hatten diese Opfer keine offensichtlichen Schwachstellen, die die Angreifer ausnutzen konnten. Stattdessen erfolgte der Angriff über ganz reguläre Prozesse, wie sie jede IT aufweist. Das macht solche Supply-Chain- oder Lieferkettenangriffe besonders heimtückisch (heise).

Faktor Mensch und Faktor Staatssicherheit

Zudem werden zwei Dinge außer  Acht gelassen. Zum einen der Mensch. Nicht jeder ist standfest. Ist die angebotene Summe Geldes groß genug, wird es zugriffsberechtigte medizinische Profis geben, die sich korrumpieren lassen und einen Datenzugriff für Fremde ermöglichen. Es bedarf erheblichen Aufwand, um in einem solchen Fall den Schaden zu begrenzen. Der zweite Punkt ist völlig unterbelichtet und taucht kaum in der öffentlichen Debatte auf. Es sind nicht nur Programmier- oder Anwenderfehler, die zu einem Daten-Gau führen. Es sind die Sicherheitsbehörden verschiedenster Staaten, allen voran die USA, die für eine beständige Unsicherheit des Internets sorgen. Aus dem Bedürfnis heraus, Cyberkriminalität aufzuklären oder Terrorismus zu bekämpfen, werden in soft- oder hardware Hintertüren (backdoors) eingebaut, die es ermöglichen, den Computer Verdächtiger auszuspionieren. Das ist wegen des Sicherheitsbedürfnisses von Staaten nachvollziehbar, hat aber fatale Folgen. Regelmäßig werden kurz über lang diese Hintertüren entdeckt. Seriöse Informatiker melden dies, damit mittels eines patches diese verletzliche Flanke eines Computers geschlossen wird. Entdecken aber Kriminelle diese Zugriffsmöglichkeit, wird sie für ihre Zwecke genutzt, beispielsweise wird angeboten, für viele Millionen Dollar in Bitcoin die gehackten Daten wieder zu entschlüsseln. Manches update eines Computers dient dem Zweck, eine bekannt gewordene und/oder genutzte backdoor zu schließen. Wollte man das Internet sichern, müssten alle Staaten auf diese Hintertüren  verzichten und auch nicht die Möglichkeit sich  verschaffen, Verschlüsselungen zu unterlaufen. Das wird kaum geschehen, unterstützt doch auch unsere Regierung entsprechende Aktivitäten (Stichwort „Regierungstrojaner“, Gesetz zur  Anpassung des Verfassungsschutzrechts, Bundespolizeigesetz), auch auf EU-Ebene.

Erst persönliche Betroffenheit weckt Verlangen nach Datenschutz

Ist es vor diesem Hintergrund vertretbar, alle intimen Krankendaten der bundesrepublikanischen Bevölkerung als ePa (elektronische Patientenakte) zentral in einer Datenbank zu speichern? Sicher nicht. Das wird auch der hartnäckigste Befürworter  spätestens dann einsehen, wenn in seiner Krankenakte beispielsweise eine Geschlechtskrankheit notiert ist, die er sich bei einem Kongressbesuch  als Politiker zugezogen hat, und wenn dies nach einem Hackerangriff in die Öffentlichkeit gelangt. Auch das Bekanntwerden einer psychotherapeutischen Behandlung kann einer Person schwere Nachteile bringen, auch wenn sie Jahrzehnte zurückliegen sollte.

Arztgeheimnis muss sichergestellt sein

Informelle Selbstbestimmung ist Menschenrecht. Auch wenn viele Menschen zahlreiche persönliche Daten über Fitnessuhren und soziale Medien, oft unbewusst, preisgeben, kann das nicht die Gefahr bagatellisieren, mit der eigenen Krankengeschichte an die Öffentlichkeit zu geraten. Gesunde mit bislang nur erlebten Bagatellen sehen diese Thematik naturgemäß eher unkritisch. Wir Ärzte aber wissen, wie extrem wichtig das Arztgeheimnis für die uns anvertrauten Chronischkranken ist. Deshalb hat der 121. Deutsche Ärztetag 2018  gefordert (Drucksache Ic – 59):  Das Arzt-Patienten-Verhältnis basiert auf dem gegenseitigen Vertrauen, dass Patientendaten nicht an unberechtigte Dritte gelangen können. Das muss sichergestellt werden.

Dezentrale Speicherung behindert nicht Forschung

Nun haben wir aber oben gelernt, Sicherstellen geht im Internet nicht. Deshalb führt, wenn man ehrlich ist, kein Weg daran vorbei, Patientendaten dezentral zu speichern. Das wurde auch bei Einführung der Corona-App mit Recht so gesehen. Dezentrale Daten mit Betroffenen-Einwilligung auszuwerten ist zwar etwas mühsamer, aber dennoch machbar. Dadurch wird Forschung nicht behindert.

Keine Aufweichung des Datenschutzes

Liest man das aktuelle Wahlprogramm der CDU, steht auf Seite 95: „Datenschutz ist allerdings kein „Super-Grundrecht“. Eine übertriebene Auslegung von Datenschutzanforderungen darf nicht dazu führen, Innovationen zu hemmen und Verfahren bürokratisch zu verlangsamen.“ Das kommt nicht von ungefähr. Allerorten wird von interessierter Seite getrommelt, Datenschutz würde den Fortschritt behindern. Das ist falsch, Datenschutz schützt die eigene Person. Deren Daten gehören ihr und nicht beliebigen Vermarktern.  Ganz besonders, wenn es sich um höchst sensible Gesundheitsdaten handelt. Das ist kein „Super-“Grundrecht, sondern normales Persönlichkeitsrecht. Ich hoffe, dass das in Bezug zur elektronischen Gesundheitsakte auch die CDU noch lernt.

Zusammenfassung: Eine zentrale Datenbank für die Krankendaten der Republik (ePa) ist wegen des hohen Gefährdungsrisikos nicht zu verantworten.