Die elektronische Patientenakte und der Datenschutz

Weniger Bürokratie, schnellere Diagnosen, sicherer Informationsaustausch – die Digitalisierung im Gesundheitswesen eröffnet neue Möglichkeiten für eine effizientere Patientenversorgung. Ein Kernelement hiervon ist die elektronische Patientenakte.

Was steckt hinter der elektronischen Patientenakte?

Die elektronische Patientenakte (ePA) ist eine digitale Sammelmappe, die unter Berücksichtigung des Datenschutzes als zentraler Ablageort für medizinische Informationen wie Arztbriefe, Befunde oder Medikationspläne fungiert und deren einfachen Austausch zwischen verschiedenen Akteuren des Gesundheitssystems – darunter Ärzte, Krankenhäuser und Krankenkassen – ermöglicht. Die verbesserte Verfügbarkeit entsprechender Daten soll die Gesundheitsversorgung optimieren. Zum einen, indem Doppeluntersuchungen vermieden und eine ganzheitliche Betrachtung der Patientenhistorie erleichtert werden. Zum anderen, indem sie Gesundheitsdaten in pseudonymisierter Form für Forschungszwecken nutzbar macht.

Rollout der elektronischen Patientenakte

Erste Weichen für die ePA wurden bereits 2003 mit dem „Gesetz zur Modernisierung der gesetzlichen Krankenversicherung (GKV-Modernisierungsgesetz – GMG)“ gestellt. Die konkrete Ausgestaltung ließ jedoch lange auf sich warten. Erst mit dem am 29. Dezember 2015 in Kraft getretenen „Gesetz für sichere digitale Kommunikation und Anwendungen im Gesundheitswesen“ (E-Health-Gesetz) wurde die Gesellschaft für Telematik damit beauftragt, „bis zum 31. Dezember 2018 die erforderlichen Voraussetzungen dafür zu schaffen, dass Daten über den Patienten in einer elektronischen Patientenakte (…) bereitgestellt werden können“.

Dennoch dauerte es noch bis 1. Januar 2021, ehe Krankenkassen ihren Versicherten verpflichtend eine ePA bereitstellen mussten – sofern diese dies wünschten (Opt-in-Verfahren). Ab diesem Zeitpunkt hatten Versicherte zudem den Anspruch, dass Ärztinnen und Ärzte die digitale Akte befüllen.

Im Jahr 2023 brachte das Bundesgesundheitsministerium schließlich ein weiteres Gesetzesvorhaben auf den Weg: das Digital-Gesetz (DigiG). Eine zentrale Neuerung dieses Gesetzes ist die Einführung eines Opt-Out-Verfahrens für die elektronische Patientenakte. Das bedeutet, dass ab 2025 allen gesetzlich Versicherten automatisch eine ePA bereitgestellt wird – es sei denn, sie widersprechen ausdrücklich.

Bereits am 15. Januar 2025 startete der Rollout der ePA – zunächst in den Testregionen Hamburg, Franken und in Teilen von Nordrhein-Westfalen. In rund 300 Gesundheitseinrichtungen werden hier die elektronische Patientenakte sowie die damit verbundenen Abläufe in den Praxen erprobt. Gleichzeitig soll durch zusätzliche Schutzmaßnahmen der Schutz der sensiblen Patientendaten verbessert werden. Wann die ePA schließlich flächendeckend verfügbar sein wird, ist daher noch nicht abschließend geklärt. Das BMG erklärte zunächst, dass der bundesweite Rollout für den 15. Februar geplant sei. Inzwischen wird jedoch frühestens Anfang des zweiten Quartals 2025 als möglicher Starttermin genannt.

Welche technischen Voraussetzungen sind für die ePA notwendig?

Die vertragsärztlichen Leistungserbringer müssen nach § 341 Abs. 6 SGB V bereits seit 30. Juni 2021, die ePA nutzen und befüllen können, ansonsten „ist die Vergütung vertragsärztlicher Leistungen pauschal um 1 Prozent zu kürzen (…) bis der Nachweis gegenüber der Kassenärztlichen Vereinigung erbracht ist“. „Die Krankenhäuser haben sich bis zum 1. Januar 2021 mit den für den Zugriff auf die elektronische Patientenakte erforderlichen Komponenten und Diensten auszustatten und sich an die Telematikinfrastruktur nach § 306 anzuschließen.“ (§ 342 (7)). Dafür notwendig sind:

• Konnektor / TI-Gateway / TI-as-a-Service: Stellen jeweils die Verbindung zur Telematikinfrastruktur (TI) her.
• Security Module Card Typ B (SMC-B): Eine Chipkarte für Praxen, Apotheken oder Krankenhäuser, die den Zugang zur TI ermöglicht und die Institution als berechtigt identifiziert.
• E-Health-Kartenterminal: Dient zum Einlesen der SMC-B und des elektronischen Heilberufsausweises (eHBA) und ist für die elektronische Signatur sowie den Zugriff auf die ePA erforderlich.
• Praxisverwaltungssoftware (PVS) bzw. Krankenhausinformationssystem (KIS): Ermöglicht das Suchen, Lesen und Herunterladen von Dokumenten.

Gemäß § 341 Abs. 3 SGB V müssen die für die ePA erforderlichen Komponenten und Dienste „auf Antrag des jeweiligen Anbieters (…) von der Gesellschaft für Telematik“ zugelassen werden. Zudem dürfen nach § 341 Abs. 5 SGB V ausschließlich elektronische Patientenakten genutzt werden, die nach § 325 zugelassen sind und von einer Krankenkasse, einem Unternehmen der privaten Krankenversicherung oder einer sonstigen Einrichtung gemäß § 362 Abs. 1 angeboten werden. Eine Liste der zugelassenen elektronischen Patientenakten ist hier einsehbar: gematik Fachportal

Welche Daten werden in der ePA gespeichert?

Die elektronische Patientenakte soll nach Paragraf 341 (1) SGB V „Informationen, insbesondere zu Befunden, Diagnosen, durchgeführten und geplanten Therapiemaßnahmen sowie zu Behandlungsberichten, für eine einrichtungs-, fach- und sektorenübergreifende Nutzung für Zwecke der Gesundheitsversorgung, insbesondere zur gezielten Unterstützung von Anamnese, Befunderhebung und Behandlung, barrierefrei elektronisch“ bereitstellen. Sie enthält dafür unter anderem:

• Arztbriefe
• Ergebnisse von Laboruntersuchungen
• Ergebnisse von bildgebender Diagnostik, zum Beispiel Röntgenbilder
• Krankenhaus-Entlassbriefe
• Operationsberichte
• Ergebnisse von genetischen Untersuchungen (Voraussetzung: die Patientin oder der Patient haben dem in schriftlicher oder elektronischer Form zugestimmt)
• Auf Wunsch: Diagnosen, Behandlungsberichte oder elektronische Arbeitsunfähigkeitsbescheinigungen (eAU), Gesundheitsdaten aus digitalen Gesundheitsanwendungen

Allerdings stehen nicht alle Funktionen der elektronischen Patientenakte sofort zur Verfügung. Laut Bundesgesundheitsministerium (BMG) können derzeit Medikationslisten, die sich automatisch anhand von E-Rezepten befüllen, sowie Arzt- und Befundberichte in der ePA hinterlegt werden.

Am 10. Februar gab das BMG allerdings bekannt, dass der digitale Medikationsprozess (dgMP) mit dem elektronischen Medikationsplan (eMP) erst im März 2026 und nicht wie ursprünglich geplant schon im Juli 2025 eingeführt wird. Welche Auswirkungen diese Verschiebung auf die geplante Integration von Laborbefunden hat, die Anfang 2026 erfolgen sollte, blieb unklar.

Welche Schutzmaßnahmen werden für die Daten ergriffen?

Die erfassten Daten zählen zu den Gesundheitsdaten und unterliegen damit gemäß Art. 9 Abs. 1 Datenschutz-Grundverordnung (DSGVO) einem besonderen Schutz. Dies bedeutet, dass sowohl ihre Speicherung als auch ihr Zugriff strengen Sicherheitsrichtlinien unterliegen. Um den Schutz dieser sensiblen Informationen zu gewährleisten, kommen verschiedene Sicherheitsmaßnahmen zum Einsatz.

Datenschutz dank Verschlüsselung

Um den Datenschutz zu gewährleisten werden die Gesundheitsdaten ausschließlich verschlüsselt gespeichert und können nur von berechtigten Personen sowie den Endgeräten der Versicherten entschlüsselt werden. Der hierfür erforderliche elektronische Sicherheitsschlüssel ist besonders gesichert:

• Der Schlüssel besteht aus zwei separaten Teilen, die an unterschiedlichen Orten aufbewahrt werden – einerseits beim Anbieter der elektronischen Patientenakte und andererseits bei einem zentralen, von der Gematik bestimmten Schlüsseldienstbetreiber.
• Für den Zugriff auf die ePA sind beide Schlüsselteile erforderlich. Weder der Anbieter der ePA noch der Schlüsseldienstbetreiber verfügen allein über den vollständigen Schlüssel.
• Die elektronische Gesundheitskarte (eGK) speichert diesen Schlüssel bewusst nicht, um den Zugang auch bei einem Austausch der eGK weiterhin zu gewährleisten.

Laut Gematik befinden sich die Server, auf denen diese Daten gespeichert werden, zudem in Deutschland und weiteren EU-Ländern. Sie werden nach den Vorgaben der Datenschutz-Grundverordnung betrieben und regelmäßig von unabhängigen Gutachtern überprüft.

Schutz vor Schadsoftware

Um das Einschleusen von Schadsoftware beim Hochladen von Dateien zu verhindern, sind nur bestimmte Dateiformate zugelassen. Die zulässigen Formate sind:

• PDF/A-Dokumente
• FHIR-Standard-Daten

Andere Dateiformate – beispielsweise JPG-Bilder – müssen vor dem Hochladen in das PDF-Format umgewandelt werden. Dies kann zu einer leichten Qualitätsminderung führen. Zudem ist die maximale Dateigröße pro Dokument auf 25 Megabyte begrenzt.

Zugriffsmanagement und individuelle Freigaben

Der Zugriff auf Daten innerhalb der elektronischen Patientenakte erfolgt nach individuellen Einstellungen der Versicherten. Dabei gilt:

• Patientinnen und Patienten entscheiden selbst, welche Informationen beispielsweise Apotheken, Arztpraxen oder Krankenhäuser einsehen dürfen.
• Einzelne Dokumente können bewusst verborgen werden, sodass sie nur den Patientinnen und Patienten selbst zugänglich sind.
• Zudem besteht die Möglichkeit, bestimmten Anwendungen oder Institutionen den Zugriff generell zu verweigern.

Schulungen, Notfallpläne und Datenschutzbeauftragte

Die Krankenkassen tragen als Hauptanbieter der ePA die primäre Verantwortung für die Einhaltung der Datenschutzvorgaben. In Zusammenarbeit mit der Gematik stellen sie sicher, dass alle gesetzlichen Anforderungen erfüllt werden.

Zusätzlich müssen auch Arztpraxen, Apotheken und Krankenhäuser strenge Datenschutzauflagen erfüllen. Dazu gehören insbesondere:

• Regelmäßige Schulungen der Mitarbeiter: Alle Mitarbeitenden, die mit personenbezogenen Daten arbeiten, erhalten fortlaufende Schulungen und Sensibilisierungsmaßnahmen. Ziel ist es, das Bewusstsein für Datenschutz und IT-Sicherheit zu stärken sowie mögliche Sicherheitsrisiken frühzeitig zu erkennen.
• Notfallplanung und Datenwiederherstellung: Für den Fall eines Datenverlusts oder einer Sicherheitsverletzung müssen Einrichtungen im Gesundheitswesen über wirksame Notfallpläne verfügen. Diese sorgen dafür, dass betroffene Daten möglichst schnell wiederhergestellt werden und der Betrieb zügig fortgeführt werden kann.
• Bestellung eines Datenschutzbeauftragten: Viele Einrichtungen im Gesundheitswesen sind verpflichtet, einen Datenschutzbeauftragten zu benennen. Dieser überwacht die Einhaltung der Datenschutzrichtlinien, berät bei der Implementierung von Schutzmaßnahmen und fungiert als Schnittstelle zu den Aufsichtsbehörden.

Risiken und Bedenken bei der elektronischen Patientenakte

Trotz der bestehenden Sicherheitsvorkehrungen wird die Einführung der elektronischen Patientenakte von Meldungen über Schwachstellen und Bedenken begleitet.

Dezentrale Speicherung gefordert

Kritik gibt es insbesondere an der zentralen Speicherung von Gesundheitsdaten in der Cloud auf Servern der Unternehmen IBM und Bitmarck/Rise. „Die Krankheitsdaten aller 72 Millionen gesetzlich Versicherten werden künftig nicht mehr ‚auf der Karte‘ gespeichert, sondern liegen unverschlüsselt und zentral in der Cloud auf Servern von IBM und Bitmarck/Rise“, erklärt Jan Kuhlmann, Jurist und Datenschützer.

„Eine dezentrale Datenhaltung, wie sie der frühere Bundesdatenschutzbeauftragte Prof. Kelber empfohlen hat, wäre deutlich sicherer“, so Kuhlmann weiter. Jüngst bekannt gewordene Datenlecks belegen aus seiner Sicht die Risiken einer zentralen Speicherung.

Chaos Computer Club zeigt: Zugriff auf beliebige Patientenakten möglich

Gemeint sind damit die Sicherheitsmängel, die der Chaos Computer Club (CCC) Ende 2024 veröffentlichte. Demnach war es Sicherheitsforschern möglich, mit geringem Aufwand gültige Heilberufs- und Praxisausweise sowie Gesundheitskarten Dritter zu beschaffen und damit auf Gesundheitsdaten zuzugreifen. „Ursächlich sind erneut Mängel in den Ausgabeprozessen, den Beantragungsportalen sowie im real existierenden Umgang mit den Karten im Feld“, heißt es in der zugehörigen Pressemitteilung.

Zudem hätten Forscher auf Patientenakten beliebiger Versicherter zugreifen können – ohne dass die Gesundheitskarte vorgelegt oder eingelesen werden musste. „Damit hätten Kriminelle auf einen Schlag Zugriff auf mehr als 70 Millionen Akten.“ Auch die Ursache für diese Schwachstelle benennt der Chaos Computer Club (CCC): eine unsicher konfigurierte IT – sowohl in den Gesundheitseinrichtungen selbst als auch über Dienstleisterzugänge.

Sicherheitsanalyse des Fraunhofer-Institut für Sichere Informationstechnologie

Auch das Fraunhofer-Institut für Sichere Informationstechnologie (SIT) stellte erst kürzlich in einer Analyse 21 Schwachstellen an den Datenschutz- und Sicherheitsmaßnahmen fest. Diese werden wie folgt eingestuft:

• 4 Schwachstellen mit hoher Kritikalität
• 6 Schwachstellen mit mittlerer Kritikalität
• 11 Schwachstellen mit geringer Kritikalität

Insgesamt ergibt sich das Bild einer grundsätzlich angemessenen Systemarchitektur, so das Fazit der Forscher. Allerdings erfordert sie bessere technische und organisatorische Maßnahmen, insbesondere zum Schutz vor Insider-Angriffen und zur Sicherstellung der Verfügbarkeit.

Der unsauber spezifizierte Entwicklungsprozess der einzelnen Komponenten offenbart erheblichen Verbesserungsbedarf – insbesondere, um Supply-Chain-Angriffe wirksam zu verhindern. Das Fraunhofer-Institut verweist in diesem Zusammenhang auf bestehende Prozesse, die durch den Cyber Resilience Act künftig als Mindestanforderung gelten werden.

Zudem wird empfohlen, klare Sicherheitsanforderungen an die Primärsysteme der Leistungserbringer zu definieren, da bereits ein unzureichend gesichertes System ausreichen kann, um sensible Daten zu gefährden.

Auswirkungen auf den Rollout der elektronischen Patientenakte

Die Auswirkungen der Vorfälle sind deutlich spürbar, die Widersprüche nehmen weiter zu. Die die Nutzung der ePA hängt maßgeblich vom Vertrauen der Bevölkerung in die Sicherheit der Anwendung ab. Infolgedessen wurde nicht nur der bundesweite Rollout verschoben, sondern auch die Einführung weiterer Funktionen. Stattdessen soll im Juli 2025 zunächst das „Zwischen-Release ePA 3.0.5“ erfolgen, mit dem das System stabilisiert und optimiert werden soll.

Das Bundesgesundheitsministerium teilte den Gesellschaftern der Gematik zudem mit, dass zwei Kriterien für den bundesweiten Start entscheidend seien: Erstens müsse sich die ePA in den Modellregionen bewähren, und zweitens müsse die Sicherheit weiter erhöht werden. Letzteres werde in Abstimmung mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) umgesetzt.

Aktuell arbeitet die Gematik nach eigenen Angaben in enger Zusammenarbeit mit dem BSI daran, technische Lösungen zur Abwehr der vom CCC entdeckten Angriffsszenarien zu entwickeln. In einer Stellungnahme erklärt die Organisation dazu:

„Vor dem bundesweiten Rollout werden weitere technische Maßnahmen umgesetzt und abgeschlossen sein. Die zusätzlichen Sicherheitsvorkehrungen befinden sich bereits in der Umsetzung und konzentrieren sich auf folgende Aspekte:

• Verhinderung des missbräuchlichen Einsatzes von Ausweisen der Telematikinfrastruktur.
• Schließung der Sicherheitslücke durch eine zusätzliche Verschlüsselung der Krankenversichertennummer.
• Sensibilisierung der Nutzerinnen und Nutzer der Telematikinfrastruktur für den sicheren Umgang mit der technischen Infrastruktur, Ausweisen und Karten.
• Erweiterung der Überwachungsmaßnahmen, etwa durch Monitoring und Anomalie-Erkennung.“

Ausblick auf den European Health Data Space

Der Austausch von Daten über die ePA soll langfristig nicht auf Deutschland beschränkt bleiben. „Die elektronische Patientenakte eignet sich auch im Kontext des EDHS als zentraler Zugangspunkt – sowohl für Patientinnen und Patienten als auch für Leistungserbringer“, so das Bundesgesundheitsministerium.

Der EDHS (European Health Data Space, Europäischer Gesundheitsdatenraum) basiert auf einer EU-Verordnung, die den Austausch und den Zugang zu Gesundheitsdaten auf EU-Ebene erleichtern soll. Ziel ist es, einerseits die Gesundheitsversorgung zu verbessern („Primärnutzung von Daten“) und andererseits der gesundheitsbezogenen Forschung sowie der Politikgestaltung eine fundiertere Datengrundlage zu bieten („Sekundärnutzung von Daten“).

Um den Datenschutz zu gewährleisten, baut der EHDS auf der DSGVO, dem Daten-Governance-Rechtsakt, dem Datengesetz sowie den Richtlinien über Netz- und Informationsdienste aus, heißt es von Seiten der EU. „Als horizontale Rahmenregelungen enthalten diese Rechtsakte und Vorschläge Vorschriften (einschließlich Sicherheitsmaßnahmen), die auch für den Gesundheitssektor gelten. Der europäische Raum für Gesundheitsdaten wird jedoch zur Berücksichtigung der Sensibilität von Gesundheitsdaten zusätzliche, sektorspezifische Vorschriften enthalten.“

Seit Anfang Januar liegt der konsolidierte Verordnungstext des EHDS vor. Er definiert gemeinsame Regeln, Standards und Infrastrukturen sowie einen Governance-Rahmen. Diese Regelungen treten zwei Jahre nach ihrer Veröffentlichung im Amtsblatt der Europäischen Union (demnächst erwartet) in Kraft. Für bestimmte Kapitel und Vorschriften gelten jedoch längere Übergangsfristen von vier bis sechs Jahren (siehe Art. 105 EHDS).