Gematik betont Sicherheit ihrer E-Rezept-App

Die Gematik hat die E-Rezept-App selbst entwickelt und die Spezifikationen für das E-Rezept bereitgestellt. Die hohen Hürden bei der Authentifizierung der Nutzer werden seit Wochen diskutiert. Doch bisher war nicht zu prüfen, wie sicher die App selbst sein würde. Dazu liegen nun ausführliche Gutachten vor. Die Gematik ist gemäß § 360 Abs. 10 SGB V verpflichtet, die Sicherheit von Komponenten der Telematikinfrastruktur extern überprüfen zu lassen. Dazu sind externe Sicherheitsgutachten von akkreditierten Gutachtern erforderlich. In technisch komplexeren Fällen gibt es zusätzlich ein Produktgutachten, so auch zur E-Rezept-App.

Veröffentlichung zur Vertrauensbildung

Die Gematik hat beschlossen, diese Gutachten zu veröffentlichen.Holm Diening, Leiter Sicherheit bei der Gematik, erklärt dazu: „Wir veröffentlichen das Gutachten zur E-Rezept-App, um Transparenz im Sinne der Vertrauensbildung herzustellen.“ Das entspreche dem Anspruch an eine offene Kommunikation. Daher sei die Software der Gematik, die Standards für den E-Rezept-Fachdienst vorgibt, auch öffentlich zugänglich. Inhaltlich erklärt die Gematik, die Gutachter würden bestätigen, „dass einer kontrollierten Inbetriebnahme in den Produktionsbetrieb nichts im Wege steht und die Anwendungen somit Teil der Telematikinfrastruktur werden können“.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Informationssicherheit der App bestätigt und damit die Freigabe erteilt. BSI-Präsident Arne Schönbohm bezeichnet das E-Rezept als echten „Meilenstein in der Digitalisierung des Gesundheitswesens“. Es werde vielen Patienten das Leben erleichtern und ihnen beschwerliche Wege ersparen. In einer Pressemitteilung des BSI wird die medienbruchfreie Versorgung hervorgehoben und auf die bundesweite Einführung des E-Rezepts im vierten Quartal hingewiesen. Dabei wird der Eindruck vermittelt, die Ablösung des Papier­rezepts stehe unmittelbar bevor. In den detaillierten Berichten wird hingegen deutlich, dass noch einige Arbeit zu leisten ist.

Aufträge für Nacharbeiten

Das Produktgutachten wurde von der Wirtschaftsprüfungsgesellschaft PricewaterhouseCoopers (PwC) erstellt. Diese habe bei der Prüfung der Sicherheit der Anwendung die technisch implementierten Anforderungen hinsichtlich der Wirksamkeit analysiert und die Effektivität bewertet. Dabei sei kein Versagen festgestellt worden. Zu den Gematik-Anforderungen seien keine Sicherheitslücken festgestellt, sondern nur acht Empfehlungen ausgesprochen worden, die derzeit durch die Gematik umgesetzt würden.

Kein Freifahrschein, sondern Ticket für Probebetrieb

Außerdem würden 23 Anforderungen aus der Vorschrift des BSI nicht erfüllt. Eine Risikoanalyse habe ergeben, dass die Restrisiken in „einem begrenzten Test- und Probebetrieb hinnehmbar“ seien, wenn alle Teilnehmer darüber informiert seien, dass die App noch nicht in ihrer endgültigen Fassung vorliegt. Beispielsweise gebe es keine Warnung, wenn der Zugriff auf das Smartphone weder mit einem Code noch über einen Fingerabdruck gesichert sei. Für zehn Abweichungen habe das BSI die Auflage erteilt, dass Maßnahmen zur Behebung bis Ende 2021 umgesetzt werden sollen bzw. müssen, heißt es von der Gematik. Der von der Gematik so demonstrativ herausgestellte Prüfungsbericht ist also durchaus kein Freifahrschein, sondern eher ein Ticket für einen zeitlich begrenzten Probe­betrieb.

Konflikt zwischen Datenschutz und Datensicherheit

Zu drei Abweichungen sollte eine Klärung mit dem Bundesbeauftragten für den Datenschutz angestrebt werden. Dabei gehe es um dem Einsatz von „Google SafetyNet“. Von der Gematik heißt es dazu, das BSI habe aus der Sicht der IT-Sicherheit keine Bedenken dagegen. Der Einsatz sei im Bankensektor üblich. Das „Handelsblatt“ erläutert dazu in seinem Newsletter „Handelsblatt Inside Digital health“, einiges hätte die Gematik gerne umgesetzt, doch wegen des Widerstands des Bundesdatenschutzbeauftragten Ulrich Kelber habe sie das nicht gedurft. Kelbers Behörde habe untersagt, dass die App regelmäßig prüfe, ob das Smartphone einwandfrei arbeite. Solche Überprüfungen des Betriebssystems seien über Dienste des Betriebssystem-Herstellers möglich. Das halte Kelber offenbar nicht für rechtmäßig, denn es gehe darum, ob persönliche Gesundheitsdaten auf US-Servern verarbeitet werden. Das „Handelsblatt“ sieht darin eine neue Art des Konflikts mit dem Datenschutz. Sei es bisher beispielsweise bei der elektronischen Patientenakte um den Konflikt zwischen Datenschutz und Nutzerfreundlichkeit gegangen, würden nun Datenschutz und Datensicherheit aufeinandertreffen, heißt es im Newsletter des „Handelsblatts“. Zugleich wird dort erklärt, die Gematik habe mit den externen Prüfungen einen anderen Konflikt abgewendet. Denn zuvor sei kritisiert worden, dass die Gematik selbst Standards vorgibt, entwickelt und dann abnimmt.

Unbegrenzte Anfragen erleichtern Angriffe

Außerdem hat PwC einen „Security Penetration Test“ durchgeführt. Dabei wurde festgestellt, dass beliebig viele Anfragen an den Fachdienst und den Identity Provider gestellt werden können. Dies könne zur Überlastung führen und Angriffe auf das System erleichtern. Außerdem könnten Nutzer Screenshots von sensiblen Daten anfertigen und diese auch an ungeschützten Orten speichern.

Irritierende Formulierungen

Wer die Berichte über die Prüfungen näher betrachtet, wird von der Flut der technischen Aspekte erschlagen. Doch es bleibt zu bedenken, dass alle diese Tests nur auf die gewünschten Funktionen und die technische Sicherheit zielen. Damit wird jedoch nichts über die inhaltliche Sinnhaftigkeit einzelner Funktionen ausgesagt. In diesem Zusammenhang irritieren die Formulierungen in der Funktionsbeschreibung, der DataMatrix-Code der „papierbehafteten Rezepte“ könne abfotografiert werden und Rezepte könnten vom Fachdienst abgeholt und an Apotheken übermittelt werden. Hier wird sprachlich nicht zwischen den Rezepten in der Telematikinfrastruktur und den Zugangscodes unterschieden. |