Gematik-GeheimpapierWie groß sind die TI-Sicherheitslücken?

Neun von zehn Praxen entscheiden sich beim Anschluss ihres Konnektors gegen bestehende Empfehlungen. Das zeigt ein "vertrauliches Papier" - und warnt vor offenen Toren für Hacker. Doch das K.o.-Kriterium ist nicht zuletzt die Praxis-Kompatibilität. PLUS: Tipps für Hausärzte.

Neun von zehn Praxen entscheiden sich beim Anschluss ihres Konnektors gegen bestehende Empfehlungen. Das zeigt ein "vertrauliches Papier" - und warnt vor offenen Toren für Hacker. Doch das K.o.-Kriterium ist nicht zuletzt die Praxis-Kompatibilität. PLUS: Tipps für Hausärzte.
Wird der Konnektor im Parallelbetrieb nicht ausreichend abgesichert, erleichtert dies Hackern den Zugriff auf Patientendaten. © cendeced - stock.adobe.com

Berlin. Der Großteil der Arztpraxen entschließt sich bei der Anbindung an die Telematik-Infrastruktur (TI) gegen bestehende Empfehlungen und schließt den Konnektor – trotz potenziell entstehender Sicherheitsrisiken – im sogenannten Parallelbetrieb an. Die dadurch anfallenden zusätzlichen Sicherheitsvorkehrungen zum Schutz der Patientendaten, etwa die Installation einer Hardware-Firewall, seien jedoch nicht in allen Praxen vorhanden. Das berichten “NDR” und “Süddeutsche Zeitung” mit Verweis auf ein “vertrauliches Papier” der TI-Betreibergesellschaft Gematik (12. November).

Mehr als 90 Prozent der Praxen hätten sich demnach für den Parallelbetrieb des Konnektors entschieden. „Hacker können sich daher leicht Zugang zu den sensiblen Gesundheitsdaten von Millionen Patienten verschaffen. Dass das Problem nicht nur theoretischer Natur ist, berichten Ärzte, die auf ihren Praxiscomputern bereits Schadsoftware zum Abgreifen von Daten gefunden haben“, schreibt die „Süddeutsche Zeitung“.

“Ein zusätzlich parallel installierter Konnektor ändert nichts am Schutzniveau des bestehenden Internetzugangs”, entgegnet am Mittwoch (13. November) jedoch die Gematik. Auf Anfrage von “Der Hausarzt” bestätigt die Betreibergesellschaft, dass mehr als 90 Prozent der Praxen im Parallelbetrieb angeschlossen seien. “Von einer Sicherheitsbewertung in diesem Zusammenhang ist jedoch nicht die Rede”, betont Sprecherin Johanna Braun. Die hohe Anzahl von Praxen mit Parallelbetrieb beruhe auf einer Erhebung bei den Anbietern der VPN-Zugangsdienste, die in der Regel den Zugang zur TI als Gesamtpaket mit Installation, Konnektor, Kartenterminal etc. verkaufen. “Der Grund für den überwiegenden Parallelbetrieb in den Praxen ist darauf zurückzuführen, dass er gegenüber dem Reihenbetrieb die technisch weniger aufwändige, leichter zu realisierende Installation ist.”

Die Gematik sieht dabei die Ärzte in der Pflicht: Für die IT-Sicherheit seiner Praxis sei jeder Arzt selbst verantwortlich, unabhängig von der Art der Konnektor-Anbindung, heißt es in einer aktuellen Pressemitteilung. “Gelangt Schadsoftware wie Viren und Trojaner in das IT-System einer Arztpraxis, wird das nicht durch einen parallel installierten Konnektor verursacht, sondern durch mangelhafte Sicherheitsvorkehrungen der Praxis-IT kombiniert mit einer möglicherweise unbedachten Internetnutzung.”

Mit den aktuell zitierten Inhalten jedoch würde die Gematik erstmals Befürchtungen von Ärzten bestätigen. Denn: Während der noch immer laufenden Anbindung vieler Praxen an die TI werden immer wieder Sicherheitsbedenken laut. Zuletzt hatten Servicetechniker bei der Installation von Konnektoren Berichten zufolge die lokale Firewall der Praxis abgeschaltet. 

“Wir erwarten, dass die Installationstechniker die Vorgaben der Gematik im Rahmen des Anschlusses der Praxen einhalten”, erklärt Dr. Roland Stahl, Sprecher der Kassenärztlichen Bundesvereinigung (KBV), gegenüber “Der Hausarzt”. “Idealerweise wird ein Protokoll erstellt, mindestens aber der Arzt vom Techniker genau informiert, was er  genau macht. Versäumnisse, die beispielsweise durch IT-Dienstleister geschehen sind, werden wir konsequent und transparent aufarbeiten.” Die KBV hat aufgrund der aktuellen Unsicherheiten eine Hotline für Ärzte geschaltet: Praxen können unter der Telefonnummer 030 4005 2000 montags bis donnerstags von 8 bis 18 Uhr und freitags bis 17 Uhr ihre Fragen stellen.

Entscheidung liegt bei Praxischefs

Nach Angaben der Gematik sind bereits rund 115.000 der 170.000 Praxen an die TI angeschlossen. Wie das vertrauliche Papier zeige, erfolgten bis Mai 2019 mehr als 90 Prozent der Installationen im Parallelbetrieb, bei dem zusätzliche Schutzfunktionen unerlässlich sind. Solche Schutzfunktionen aber gebe es “in den meisten Praxen” nicht, heißt es; konkrete Zahlen dazu fehlen jedoch bislang. Die Gematik als Betreiberin der TI spricht zwar Empfehlungen zum Anschluss aus, kontrolliert jedoch nicht, welche technische Lösung Ärzte schließlich implementieren. Tatsächlich ist also nicht klar, ob Praxisinhaber wirklich zum Beispiel auf die nötige Hardware-Firewall beim Parallel-Betrieb verzichten. Die alternative Anschlussmethode, den Reihenbetrieb, würden viele IT-Dienstleister gar nicht anbieten, heißt es.

Zum Hintergrund: Der Konnektor als Tor in die TI kann in der Praxis auf zwei Wegen installiert werden. Entweder wie von der Gematik empfohlen im Reihenbetrieb – auch serieller Betrieb genannt -, oder in einem zweiten, nicht empfohlenen, aber erlaubten Betrieb, dem Parallelbetrieb. Bei der Installation müssen sich Ärzte für eine dieser Varianten entscheiden.

Serieller versus paralleler Betrieb – was ist Praxis-kompatibler?

Gematik, Kassenärztliche Bundesvereinigung (KBV) und Bundesamt für Sicherheit in der Informationstechnik (BSI) empfehlen den Reihenbetrieb. Er zeichnet sich dadurch aus, dass der Konnektor alle Internetverbindungen erfasst und dadurch die Praxis zusätzlich schützen kann. Denn: Die integrierte Firewall schützt dann nicht nur die TI vor Angriffen von außen, sondern ergänzend das gesamte Praxisnetzwerk. Bereits getroffene Schutzvorkehrungen würden dadurch jedoch nicht ersetzt, erklärt die Gematik.

Doch bereits im Frühjahr zeigte sich Erfahrungsberichten zufolge, dass bei dieser seriellen Anbindung Probleme bei Anwendungen wie Online-Laborabruf oder HZV-Online-Key auftreten können. Die Folge beobachtet Hausarzt Christian Sommerbrodt, der sich für den Hausärzteverband Hessen ausgiebig mit der TI-Anbindung auseinandergesetzt hat. “In persönlichen Kontakten zu einer Vielzahl hessischer Vertragsärzte und bundesweit zu etlichen Hausärzten ist mir keine Praxis bekannt, die den Konnektor im seriellen Betrieb installiert hat”, sagt Sommerbrodt. Denn: Da kein freier Zugang zum Internet mehr bestehe, funktioniere nicht einmal mehr ein Windows-Update, was den Einsatz in der Praxis nicht praktikabel macht (s. Tab.).

Im – für digitale Anwendungen oft praktikableren – Parallelbetrieb hingegen sind alle Komponenten wie Computer und Kartenterminals direkt hinter der Internetanbindung am Router angeschlossen. Der Konnektor wird „parallel“ zum restlichen Netzwerk angebunden und kann somit nur die TI-Verbindungen, nicht aber das Praxisnetzwerk, schützen. Diese Anbindungsvariante ist laut KBV sinnvoll bei größeren Praxen oder Medizinischen Versorgungszentren (MVZ), die bereits über ein hohes Sicherheitsniveau verfügen. Bei kleineren Praxen jedoch, deutet das nun vorliegende Gematik-Papier an, können sich dadurch erhebliche Sicherheitsrisiken ergeben, werden diese Vorkehrungen nicht getroffen.

Ärzten dürfen keine Mehrkosten entstehen

Das Problem: Gerade für kleinere Praxen können, aufgrund der zusätzlichen Schutzmaßnahmen, mitunter Kosten entstehen. “Die finanzielle Förderung entspricht nur dem Reihenbetrieb, mit allen weiteren Kosten werden in Deutschland 150.000 Ärztinnen und Ärzte von der Politik alleine gelassen”, bringt es Hausarzt Sommerbrodt auf den Punkt. Die Digitalisierung in Deutschland wird für ihn daher “auf dem Rücken der Ärzte ausgetragen”.

Sowohl der Hessische wie auch der Deutsche Hausärzteverband fordern daher eine bessere finanzielle Ausstattung der Arztpraxen, damit die geplante Digitalisierung für Ärzte und Patienten nutzbringend und sicher umgesetzt werden kann. So hatten die Delegierten des Deutschen Hausärzteverbands bei ihrer Herbsttagung jüngst die Erstattung der Folgekosten, die aufgrund der zusätzlichen Sicherheitsvorkehrungen im Parallelbetrieb entstehen, gefordert.

 

E-Mail-Adresse vergessen? Schreiben Sie uns.
Passwort vergessen? Sie können es zurücksetzen.
Nur wenn Sie sich sicher sind.

Sie haben noch kein Passwort?

Gleich registrieren ...

Für Hausärzte, VERAH® und ÄiW (Allgemeinmedizin und Innere Medizin mit hausärztlichem Schwerpunkt) ist der Zugang immer kostenfrei.

Mitglieder der Landesverbände im Deutschen Hausärzteverband profitieren außerdem von zahlreichen Extras.


Persönliche Daten

Ihr Beruf

Legitimation
Die Registrierung steht exklusiv ausgewählten Fachkreisen zur Verfügung. Damit Ihr Zugang freigeschaltet werden kann, bitten wir Sie, sich entweder mittels Ihrer EFN zu legitimieren oder einen geeigneten Berufsnachweis hochzuladen.
Einen Berufsnachweis benötigen wir zur Prüfung, wenn Sie sich nicht mittels EFN autorisieren können oder wollen.
Mitglied im Hausärzteverband
Mitglieder erhalten Zugriff auf weitere Inhalte und Tools.
Wir verifizieren Ihre Mitgliedschaft anschließend.

Newsletter
Sie stimmen zu, dass wir Ihre E-Mail-Adresse für diesen Zweck an unseren Dienstleister Mailjet übermitteln dürfen. Den Newsletter können Sie jederzeit wieder abbestellen.

Das Kleingedruckte
Die Zustimmung ist notwendig. Sie können Sie jederzeit widerrufen, außerdem steht Ihnen das Recht zu, dass wir alle Ihre Daten löschen. Jedoch erlischt dann Ihr Zugang.

Auswahl
Alle der unten angegebenen Newsletter
Spicker, Checklisten und Medizin für die hausärztliche Praxis, berufspolitische News, sowie Neues aus Wissenschaft und Organisation
Inhalt und E-Paper neuer HAUSARZT-Ausgaben
Nachrichten aus der Industrie

Das Kleingedruckte
Die Zustimmung ist notwendig. Sie können Sie jederzeit widerrufen, außerdem steht Ihnen das Recht zu, dass wir alle Ihre Daten löschen. Jedoch erlischt dann Ihr Zugang.

Auswahl ändern/abbestellen

Wenn Sie für Ihr bestehendes Newsletter-Abo andere Themen auswählen oder den Newsletter abbestellen wollen, geben Sie bitte Ihre E-Mail-Adresse an und wählen Sie die gewünschte Funktion. Wir senden Ihnen dann eine E-Mail zur Bestätigung.

Nach oben