Gesundheitspolitik

Fehlende Ende-zu-Ende-Verschlüsselung

Sind die Verordnungsdaten von E-Rezepten einsehbar?

eda | Eine Ende-zu-Ende-Verschlüsselung, wie sie der Deutsche Apothekerverband (DAV) bis zuletzt gefordert hatte, wird es beim E-Rezept voraussichtlich nicht geben. Dagegen sollen die Rezeptinformationen auf Servern der Telematikinfrastruktur liegen – und könnten Einblick in das Verordnungsverhalten der Ärzte bieten. Wie kann man das Datenschutzproblem in den Griff bekommen?

Am 1. Juli 2021 soll der Startschuss für das deutschlandweite E-Rezept fallen, ab 2022 sollen Arzneimittel zulasten der GKV nur noch digital verordnet werden dürfen. Die Spezifikationen für die Gematik-App, die für den Transport des E-Rezepts nötig ist, liegen bereits seit Juni 2020 vor: Zunächst stellt der Arzt in seiner Praxissoftware ein E-Rezept aus und signiert es mithilfe seines elektronischen Heilberufsaus­weises (HBA). Per Gematik-App kann der Versicherte seine Verordnung in der Telematikinfrastruktur (TI) einsehen. Er hat dann die Möglichkeit, das Rezept zu löschen, direkt in einer Präsenzapotheke einzulösen oder über eine Weiterleiten-Funktion an eine Apotheke seiner Wahl zu übermitteln. Die Apotheke liest den 2D-Code aus und beliefert die Verordnung.

Foto: Bits and Splits – stock.adobe.com

Rezeptdaten auf zentralen Servern könnten unter Umständen dazu führen, dass das Verordnungsverhalten der ­Ärzte noch vor der Belieferung ausgewertet und beeinflusst wird.

Problematische Drittanbieter-Apps

Für Unbehagen aufseiten der Leistungserbringer, insbesondere bei den Apothekern, sorgen derweil zwei Themen. Einerseits sollen auch Apps von Drittanbietern existieren, mit denen Patienten an bestimmte Player gebunden werden könnten. Denkbar wären Bonusprogramme oder Videosprechstunden, die an die Arzneimittelabgabe gekoppelt sind. Andererseits verfolgt die Gematik bei der Übermittlung von Rezept- und Patientendaten offenbar keinen dezentralen Ansatz mehr. Die Informationen sollen vielmehr auf den Servern der TI liegen und einsehbar sein. So könnte das Verordnungsverhalten der Ärzte noch vor der Belieferung ausgewertet und unter Umständen beeinflusst werden. Das Vertrauen der Patienten und Leistungserbringer in den ­Datenschutz würde damit deutlich untergraben.

Sören Friedrich, Leiter der Telematik-Abteilung der ABDA, hatte dieses Szenario Ende August auf einer Informationsveranstaltung des Apothekerverbandes Schleswig-Holstein und des Hamburger Apothekervereins skizziert, von der die DAZ damals berichtete (DAZ 2020, Nr. 35, S. 12).

Makelverbot läuft ins Leere

Für den Deutschen Apothekerverband (DAV) ist das alles andere als der Idealzustand. Im Gespräch mit der DAZ machte Dr. Peter Froese, Vorsitzender des Apothekerverbandes Schleswig-Holstein, im Nachgang zu der Veranstaltung deutlich, dass die aktuelle Spezifikation für die Gematik-App offene Fragen zur Datensicherheit beinhalte. Die angedachte Variante mit dem Barcode für den Patienten ließe das Makelverbot ins Leere laufen. Denn ein solcher Code könnte dann an jede App jedes Anbieters versendet werden. Auf die Frage, wie dies zu verhindern sei, erklärte Froese: „Eigentlich war die beste Lösung bereits da. Das war die Ende-zu-Ende-Verschlüsselung ohne Weitergabe eines Zugriffs­tokens.“ Doch dieses Konzept sei verlassen worden.

Auch die Juristen Dr. Elmar Mand und Professor Hilko Meyer machen in einer Analyse auf die bedrohliche Sicherheitslücke aufmerksam. So könnte ein Makelverbot für das E-Rezept leicht ausgehebelt werden. Dabei geht es um die Trennung zwischen E-Rezept und dessen Zugriffscode, dem ­E-Rezept-Token. Die gesetzlichen Sicherheitsregeln für die Speicherung und den Transport würden sich bisher nur auf das E-Rezept beziehen, aber nicht für den Token gelten, den der Patient außerhalb der TI nach Belieben weiterleiten könne. Die Gematik habe dazu erklärt: „E-Rezept-Token, die außerhalb der TI transportiert werden, können durch die TI nicht geschützt werden.“

Die problematische Sicherheitsarchitektur um das E-Rezept ist nun auch in der Berichterstattung einiger weiterer Medien angekommen. „Heise online“ weist direkt in der Einleitung eines entsprechenden Beitrags darauf hin: „Die Einführung des E-Rezepts ist für 2022 geplant, allerdings ohne Ende-zu-Ende-Verschlüsselung. Aufseiten der Telematik-Infrastruktur kann mitgelesen werden.“ Das Portal „Medical Tribune“ zitiert eine Aussage von ABDA-TI-Leiter Sören Friedrich im DAZ-Artikel. Die ­jetzige Rechtslage bezüglich des E-Rezeptes sehe vor, so Friedrich, dass die Rezeptdaten vor der Verschlüsselung innerhalb der TI gelesen werden könnten.

DAV konnte sich nicht durchsetzen

Eine Sprecherin des DAV bestätigt auf Anfrage des Nachrichtenportals, dass sich der DAV als Gesellschafter der Gematik für eine E-Rezept-Lösung eingesetzt habe, die eine Gesamtverschlüsselung des Rezeptes von der Arztpraxis bis zur Apotheke beinhaltet. ­Leider habe sich der Großteil der Gesellschafter gegen eine Umsetzung im Rahmen einer ­Ende-zu-Ende-Verschlüsselung ausgesprochen.

Wenn tatsächlich keine dezentrale Lösung des E-Rezeptes mit Ende-zu-Ende-Verschlüsselung mehr in Betracht kommt, könnte es ­verschiedene alternative Wege heraus aus dem Sicherheitsproblem geben: Laut Dr. Peter Froese, Vorsitzender des Apothekerverbandes Schleswig-Holstein, müsste man den Export der Daten komplett verbieten oder einen digitalen und analogen Kopierschutz ein­führen. Ein solcher umfassender Kopierschutz würde dann auch bei ausgedruckten Barcodes funktionieren.

Makelverbot konkretisieren

Mit dieser Forderung sollten sich die Apotheker bei der Diskussion über noch anstehende Rechtsverordnungen und Gesetzesinitiativen positionieren. Denkbar wäre also, dass in das letzte Woche bekannt gewordene Gesetzesvorhaben aus dem Bundesgesundheitsministerium noch Details über das E-Rezept eingearbeitet werden könnten. Die Juristen Mand und Meyer fordern, die tatsächliche Funktion des E-Rezept-Tokens rechtlich unbedingt zu berücksichtigen. Es müsse klargestellt werden, dass die Zuweisungs- und Makelverbote, wie sie letzte Woche mit dem Patientendaten-Schutzgesetz in Kraft getreten sind, den Token einbeziehen. |

Das könnte Sie auch interessieren

Verordnungsdaten einsehbar

Das transparente E-Rezept?

Infoveranstaltung der Apothekerverbände Schleswig-Holstein und Hamburg

Von der TI-Anbindung zum E-Rezept

Umgehungsmöglichkeiten für E-Rezept-Regeln und mögliche Gegenmaßnahmen

(Neue) Lücken im Makelverbot

Das E-Rezept macht sich auf den Weg in die Apotheke

Der Countdown läuft

ABDA-IT-Experte Sören Friedrich zum E-Rezept-Startschuss am 1. Juli

„Eher ein langsames Hochfahren“

Forderung zum Umgang mit dem E-Rezept

Froese: „Das Papierrezept muss ein Dokument bleiben“

Kritik an den E-Rezept-App-Spezifikationen – was sagt der Gematik-Sicherheitschef dazu?

„Die Ende-zu-Ende-Verschlüsselung würde uns nicht weiterbringen“

Online-Info-Veranstaltung

Noch viel zu tun für das E-Rezept

Makelverbot und Plattformen

Bundestag verabschiedet Digital-Gesetz

0 Kommentare

Das Kommentieren ist aktuell nicht möglich.