Bundesregierung stuft EPA als sicher ein

Rund um den Start der Testphase der elektronischen Patientenakte (EPA) Mitte Januar waren Sicherheitsbedenken laut geworden. Der Chaos Computer Club (CCC) hatte Sicherheitsmängel aufgedeckt und zusätzlich sorgte ein Datenschutzvorfall beim Vertrauensdienstleister D-Trust für Unsicherheit.

Das nahm die Gruppe Die Linke zum Anlass, sich bei der Bundesregierung genauer nach der EPA zu erkundigen. Die Abgeordneten wollten wissen, wie es um die Sicherheit bei dem digitalen Großprojekt bestellt ist.

In ihrer Antwort listet die Bundesregierung die Maßnahmen auf, die seit der Veröffentlichung der Sicherheitslücken getroffen wurden. Etwa wurde demnach bei der Herausgabe und  Sperrung von elektronischen Gesundheitskarten (EGK) nachgeschärft, ebenso beim Versichertenstammdatenmanagement. Gleichzeitig sollten zusätzliche Überwachungsmaßnahmen wie Monitoring und Anomalie-Erkennung umgesetzt werden. Das Bundesgesundheitsministerium (BMG) und die Gematik stünden im intensiven Austausch mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI).

Zudem räumt die Bundesregierung ein, dass die Gematik bereits ab August 2024 von  »einer Schwachstelle« der EPA wusste, nachdem externe Sicherheitsforschende sie darauf hingewiesen hatten. Diese sei allerdings rein theoretisch gewesen und sei als »unwahrscheinlich« eingestuft worden. Besonders habe diese Einschätzung »die sichere Ausgabe und Nutzung der Institutionsausweise nebst zugehöriger PIN durch die berechtigten Leistungserbringerinstitutionen« betroffen.

Nach Umsetzung der Maßnahmen stehe weder »der kontrollierten Inbetriebnahme in den Modellregionen noch dem bundesweiten Rollout etwas entgegen«, heißt es. Restrisiken, nach denen sich die Linke erkundigt hatte, schließt die Bundesregierung dann aus: »Die EPA für alle kann sicher von Praxen, Krankenhäusern, Apotheken sowie Patientinnen und Patienten genutzt werden.«

Die Bundesregierung bekräftigt, dass der bundesweite Rollout für Anfang des zweiten Quartals geplant sei. Das hatte das BMG unlängst angekündigt, nachdem die Testphase zuvor stets als auf rund vier Wochen beziffert wurde.