Datenschützer blockieren E-Rezept via EGK

Bei der flächendeckenden Einführung des E-Rezeptes gibt es einen weiteren, herben Rückschlag: Nach Informationen der PZ haben sowohl der Bundesbeauftragte für Datenschutz und die Informationsfreiheit (BfDI), Ulrich Kelber, als auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) in einem Brief an die Gematik Kritik an einem Verfahren geübt, das für die Etablierung des neuen Verordnungssystems von zentraler Bedeutung ist. Konkret geht es um die E-Rezept-Übermittlung über die elektronische Gesundheitskarte (EGK) – ein Verfahren, das die Gematik bereits technisch vorbereitet hat und in das das Gesundheitswesen derzeit große Hoffnungen setzt, weil es neben den Papier-Ausdrucken derzeit das einzige massentaugliche Verfahren zur E-Rezept-Einlösung ist.

Zur Erklärung: Der eigentliche Königsweg für die E-Rezept-Einlösung sollte die Smartphone-App der Gematik werden. Patienten sollten über die App eine Apotheke ihrer Wahl aussuchen und E-Rezepte entsprechend zuweisen können. Doch die Gematik-App ist wegen eines zu komplexen Zugangsverfahrens nicht massentauglich. Die Gesellschafter der Gematik hatten daher vor einigen Wochen beschlossen, dass für die Einführung des neuen Verordnungssystems jetzt so schnell wie möglich das Verfahren über die EGK etabliert werden soll. Die EGK soll dabei gewissermaßen eine Schlüsselfunktion bekommen: Die Patienten sollten die Karte in der Apotheke vorlegen, um der Apotheke Zugriff auf den zentralen E-Rezept-Server (Fachdienst) zu gewähren.

Doch nach PZ-Informationen haben der BfDI und das BSI in ihrem Brief an die Gematik ihr Einvernehmen ausdrücklich nicht erteilt. Konkret sorgen sich die Datenschützer, dass Personen ohne Identitätsprüfung in der Apotheke mit einer EGK E-Rezepte einlösen können. So könnte es theoretisch möglich sein, dass Personen die EGK eines/einer Dritten in der Apotheke vorlegen und unberechtigt Einsicht in alle offenen, auf dem Fachdienst liegenden E-Rezepte bekommen. Dies wäre ebenfalls möglich, wenn eine unberechtigte Person über die Versichertennummer eines/einer Dritten verfügt. Auch die Eingabe dieser Nummer ermöglicht es beispielsweise den Apothekenbeschäftigten, alle offenen E-Rezepte einzusehen. Dem Vernehmen nach hatten die Gematik-Gesellschafter den Datenschützern signalisiert, dass man dem Gesetzgeber vorschlagen wolle, dass unberechtigte Zugriffe auf die E-Rezepte zur Straftat erklärt werden. Aber auch dies lehnen die Datenschützer dem Vernehmen nach ab.

In dem Brief, der der PZ vorliegt, heißt es: »Der unsignierte Prüfungsnachweis ist prinzipiell manipulierbar und könnte Angreifern den unberechtigten Zugang zum E-Rezept-Fachdienst mit den dort gespeicherten E-Rezepten ermöglichen.« Es verstoße gegen die Datenschutzgrundverordnung (DSGVO), wenn die Prüfungsnachweise nicht signiert werden, heißt es weiter. Zur technischen Begründung wird ausgeführt: »Dem vorliegenden Konzept nach würde der E-Rezept-Fachdienst so geöffnet, dass Apotheken dort alle Rezepte zu einer bekannten Krankenversichertennummer (KVNR) herunterladen können. Dazu muss die Apotheke einen Nachweis mitliefern, dass die elektronische Gesundheitskarte zu dieser KVNR in ihrem Kartenleser steckt. Diesen Nachweis soll das VSDM-System der Telematik-Infrastruktur ausstellen. Doch dieser Nachweis soll nicht signiert sein und wäre somit ohne weiteres fälschbar (…)«