Sehr geehrter Herr Bundesminister Lauterbach,<\/p>\n
wir sind \u00fcberzeugt, dass Deutschland und Europa eine gut gemachte digitale Infrastruktur des Gesundheitswesens ben\u00f6tigen und eine patient*innenorientierte ePA dazu einen wesentlichen Beitrag leisten kann. In den weiteren Entwicklungsprozess m\u00f6chten wir uns daher konstruktiv einbringen. Zum Start der ePA haben wir zum jetzigen Zeitpunkt allerdings erhebliche Bedenken.<\/p>\n
Sicherheitsforscher*innen zeigten Ende 2024\u00a0auf dem Kongress des Chaos Computer Clubs gravierende Sicherheitsl\u00fccken der ePA und der zugeh\u00f6rigen IT-Infrastruktur. <\/a> In Kombination h\u00e4tten diese L\u00fccken Unbefugten einen Vollzugriff auf die Patient*innenakten aller 70 Millionen gesetzlich Versicherten erlaubt. Dar\u00fcber hinaus sind wesentliche Schw\u00e4chen im Umfeld der ePA weiterhin ungel\u00f6st, zum Beispiel Prozesse der Ausgabe von Gesundheitskarten.<\/p>\n Alle berechtigten Bedenken m\u00fcssen vor einem bundesweiten Start der ePA glaubhaft und nachpr\u00fcfbar ausger\u00e4umt werden.<\/strong> Die nun gefundenen Sicherheitsl\u00fccken zu schlie\u00dfen, ist daf\u00fcr eine grundlegende Voraussetzung, aber alleine nicht ausreichend.<\/p>\n Die Bereitstellung einer Testinstanz der geplanten Infrastruktur sowie die Einf\u00fchrung \u00fcber eine Testphase begr\u00fc\u00dfen wir. Das aktuelle Beispiel zeigt, wie Sicherheitsl\u00fccken vor dem Start identifiziert werden k\u00f6nnen statt \u2013 wie bei \u00e4hnlichen Projekten in der Vergangenheit \u2013 erst im laufenden Betrieb. Ein Datenleck konnte so verhindert werden. Eine \u00f6ffentliche Begutachtung durch Wissenschaft, zivilgesellschaftliche Akteur*innen und unabh\u00e4ngige Expert*innen ist eine wichtige Kontrollinstanz. Auf diese Weise werden Risiken im Vorfeld identifiziert, beseitigt und so letztlich auch das Vertrauen in die ePA gest\u00e4rkt.<\/p>\n Damit die ePA langfristig zu einem Erfolg werden kann, sind aus unserer Sicht folgende Ma\u00dfnahmen notwendig:<\/p>\n Der Start in den Modellregionen darf nur unter zus\u00e4tzlichen Sicherheitsma\u00dfnahmen erfolgen, die eine unmittelbare Ausnutzung der bekannten L\u00fccken verhindern. Diese sind transparent zu kommunizieren. Grunds\u00e4tzlich begr\u00fc\u00dfen wir den Start in Modellregionen, um die ePA schrittweise zu erproben.<\/p>\n<\/li>\n Bei der Bewertung des ePA-Starts in den Modellregionen m\u00fcssen Patient*innen, \u00c4rzt*innen und Organisationen der digitalen Zivilgesellschaft substanziell einbezogen werden. Hierf\u00fcr braucht es ein echtes Mitspracherecht f\u00fcr diese Akteure, statt eines blo\u00dfen Rederechts f\u00fcr einzelne Organisationen in den Gremien der Gematik. Ein bundesweiter Start darf erst nach einer gemeinsamen positiven Bewertung der Erfahrungen in den Modellregionen erfolgen.<\/p>\n<\/li>\n Expert*innen aus Wissenschaft und Digitaler Zivilgesellschaft m\u00fcssen die M\u00f6glichkeit erhalten, eine belastbare Bewertung von Sicherheitsrisiken vorzunehmen, zum Beispiel durch Ver\u00f6ffentlichung aller Quelltexte, Bereitstellung einer Testumgebung und transparente Kommunikation von Updates. Dazu geh\u00f6rt auch eine rechtliche Absicherung der Arbeit von Sicherheitsexpert*innen sowie die F\u00f6rderung unabh\u00e4ngiger Sicherheitschecks.<\/p>\n<\/li>\n Sicherheitsl\u00fccken k\u00f6nnen bei technischen Systemen generell nie ausgeschlossen werden. Daher m\u00fcssen neben den Vorteilen einer ePA den Nutzer*innen auch Risiken transparent gemacht werden. Unter anderem m\u00fcssen die Krankenkassen dem Auftrag nachkommen, ihre Versicherten neutral zu informieren. Eine pauschale Aussage wie \u201eDie ePA ist sicher.\u201c ist ungeeignet. Das Vertrauen der Versicherten in die Datensicherheit der ePA kann nur mit maximaler Transparenz \u00fcber die getroffenen Ma\u00dfnahmen gewonnen beziehungsweise wiederhergestellt werden.<\/p>\n<\/li>\n Viele Organisationen haben sich in den Entwicklungsprozess der ePA eingebracht und Kritik ge\u00e4u\u00dfert, zum Beispiel an M\u00e4ngeln im Berechtigungsmanagement. Diese Kritik spiegelt berechtigte Interessen Betroffener. Die genannten Aspekte m\u00fcssen zeitnah aufgegriffen und ber\u00fccksichtigt werden. Auch nach dem Start der ePA muss es dauerhaft einen offenen Prozess der Weiterentwicklung geben, um unterschiedliche Interessen miteinander in Einklang zu bringen und in die weitere Planung und Umsetzung zu integrieren. Ziel muss eine ePA sein, die einen gr\u00f6\u00dftm\u00f6glichen Nutzen f\u00fcr Patient*innen und Leistungserbringer*innen gleicherma\u00dfen hat und sich so positiv auf Gesundheitswesen und Gesellschaft auswirkt.<\/p>\n<\/li>\n<\/ol>\n In einen konstruktiven Prozess, der den Nutzen f\u00fcr Patient*innen in den Vordergrund stellt, bringen wir uns gerne ein.<\/p>\n Mit freundlichen Gr\u00fc\u00dfen<\/p>\n <\/p>\n Mitzeichnende Organisationen in alphabetischer Reihenfolge<\/strong><\/p>\n\n
\n