BMG: Keine „offenen Fehler“ bei Cardlink

Das Bundesgesundheitsministerium (BMG) drückte Mitte März im Alleingang die Spezifikationen für das Cardlink-Verfahren durch. Alle anderen Gesellschafter der Gematik hatten Bedenken – sowohl Leistungserbringer als auch Kostenträger. Die ABDA zeigte sich in einer ersten Reaktion damals „schockiert“ und argwöhnte, dass das BMG seine Mehrheit nutze, „um den Partikularinteressen vereinzelter Großkonzerne nachzukommen“.

Moniert wurde insbesondere, dass die für das Verfahren nötigen Apps keine Zulassung und damit auch keine Sicherheitsprüfung seitens der Gematik erfahren würden. In einem Brief an die Mitglieder des Gesundheitsausschusses schrieb Präsidentin Gabriele Regina Overwiening, Cardlink gefährde „die Datensicherheit erheblich, gefährdet das Vertrauen der Patientinnen und Patienten in das E-Rezept und macht die Arzneimittelversorgung angreifbar, beliebig und somit unsicher“.

Aber warum hat das BMG die Spezifikationen trotz der Bedenken freigegeben? Und warum ist Cardlink überhaupt nötig, wenn es doch mit der E-Rezept-App der Gematik bereits einen komplett digitalen Einlösewege gibt? Und nicht zuletzt: Werden die Apps überhaupt überprüft? Diese Fragen stellte der CDU-Bundestagsabgeordnete Georg Kippels dem BMG – nun liegt die Antwort des Parlamentarischen Sekretärs Edgar Franke (SPD) vor.

Demnach seien dem BMG keine „offenen Fehler“ bei Cardlink bekannt. Die Anzahl der gemeldeten Bedenken – von 20 ist bei Overwiening und Kippels die Rede – beziehe sich darauf, dass die Gematik „nicht in allen Punkten mit allen Gesellschaftern ein Einvernehmen erzielen konnte“. Das BMG weist auch noch einmal darauf hin, dass Cardlink eine „Übergangstechnologie“ für einen Zeitraum von etwa eineinhalb Jahren darstelle.

Überprüfung der Anwendung?

Auf die Frage, wie die Anwendung der für das Cardlink-Verfahren nötigen Apps überprüft werde, heißt es von Franke: „Die Anforderungen für die Sicherheitsfunktion SMS-Gateway sind Teil des Zulassungsverfahrens von CardLink. Die Gematik legt darüber hinaus im Rahmen des Zulassungsverfahrens fest, in welchem Rahmen eine zulässige Nutzung von CardLink stattfinden darf. Die Festlegungen enthalten insbesondere Vorgaben zu zulässigen Anwendungen und Diensten der Telematikinfrastruktur, die CardLink nutzen, Vorgaben zu Datenschutz- und Datensicherheit sowie eine Meldeverpflichtung der IT-Systeme, die eine Schnittstelle zum CardLink aufweisen und die Funktionalität CardLink nutzen bzw. unterstützen.“

BfDI: Keine „rechtlichen Hürden“

Zweimal verweist das BMG in seinen Antworten darauf, dass das Verfahren mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) sowie dem Bundesamt für Sicherheit in der Informationstechnik „einvernehmlich abgestimmt“ wurde. Dabei seien zusätzliche Sicherheitsfunktionen implementiert worden.

Ein BfDI-Sprecher bestätigte das gegenüber der DAZ. Man sehe keine „rechtlichen Hürden“ bei der gegenwärtigen Ausgestaltung des Verfahrens, hieß es.