„Ich erwarte eine Verschiebung der ePA-Einführung aus Datenschutzgründen“

Als stellvertretende Vorsitzende der Freien Ärzteschaft (FÄ) und Mitinitiatorin der „Aktion Stoppt die e-Card!“ kämpft Dr. Silke Lüder gegen die Telematik-Infrastruktur (TI) in der derzeit geplanten Form. Die kritische Stimme der Allgemeinmedizinerin aus Hamburg war kürzlich auch mehrfach im Radio und auf Internetportalen zu finden. Rückt das TI-Thema mehr in den Fokus der Medien? Und wie bewertet Lüder die jüngsten Aussagen des Bundesdatenschutzbeauftragten, Professor Ulrich Kelber? Der änd sprach mit Lüder.

Frau Dr. Lüder, in den vergangenen Wochen haben Sie zum Thema Telematik-Infrastruktur mehrere Interviews gegeben. Steigt das Interesse der Öffentlichkeit an dem Thema, da zum Beispiel der Einführungszeitpunkt der elektronischen Gesundheitsakte naht?

Das ist sicher der Hauptgrund. Es wird ja auch massiv damit geworben, dass durch die elektronischen Patientenakten (ePA), die die Krankenkassen ab 1. Januar 2021 ihren Versicherten zur Verfügung stellen müssen, vermeintlich die Medizin in Deutschland verbessert würde. Diese Aussage muss man allerdings in Frage stellen, wenn man sieht, dass der medizinische Mehrwert der ePA noch gar nicht erwiesen ist. Bevor aber so ein Mammutsystem auf die Bevölkerung losgelassen wird, müsste zunächst der Mehrwert für die medizinische Versorgung erwiesen sein. Das fehlt bisher. Frühere Testregionen existieren nicht mehr, und bisher hat die gematik nur getestet, ob die Anwendungen den technischen Anforderungen entsprechen.

Wir als Ärztinnen und Ärzte verlangen allerdings, dass es vor einem Rollout echte medizinische Mehrwerte, Funktionalität und Sicherheit nachgewiesen  werden. Niemand würde sich in ein Auto setzen, das vor Einführung nicht auf Funktionalität getestet wurde. Und bei der ePA spielen wir zusammen mit den Patienten die Testkaninchen für den Bundesgesundheitsminister, Jens Spahn. Die geplanten Kassen-ePAs sind für uns ein unvollständiges, unzuverlässiges, unsicheres und damit unbrauchbares Sammelsurium von PDF-Dateien. Jede Arbeit damit raubt ärztliche Behandlungszeit und ruft unabsehbare juristische Folgeprobleme für die Ärztinnen und Ärzte hervor.

Der Bundesdatenschutzbeauftragte, Professor Ulrich Kelber, hat kürzlich deutliche Kritik am Patientendaten-Schutzgesetz geäußert. Begrüßen Sie die Aussagen – oder kommt das jetzt zu spät?

Ich begrüße die Aussagen von Professor Kelber sehr. Lieber spät als gar nicht. Herr Spahn hat in 20 Monaten 20 neue Gesetze durch den Bundestag gepeitscht, die alle etwas mit „Digitalisierung“ zu tun hatten. Damit wurde nicht nur die Öffentlichkeit, sondern es wurden auch die Bundestagsabgeordneten überfordert. Wenn dann teilweise in letzter Sekunde nochmal datenschutzrechtliche Regelungen auch ohne Einbeziehung des Bundesdatenschützers erfolgten, kann man ihm den Verlauf sicher nicht vorwerfen. Man muss sich eher fragen, wie demokratisch diese Abläufe noch sind.

Ihre Kritik an der TI und den damit verbundenen Diensten stützt sich ja unter anderem auch auf die Befürchtung, dass Krankenkassen und IT-Konzerne Zugriff auf sensible Patientendaten haben könnten. Die Betreibergesellschaft gematik hat kürzlich auf einer Veranstaltung der KVNO betont, dass genau das technisch nicht möglich sei. Beruhigt Sie das ein wenig?

Wenn man sich ein bisschen mit den neuen Regelungen auskennt, kann diese Aussage der gematik keineswegs beruhigen. Über einen Umweg können die gesetzlichen Kassen auf den gesamten Inhalt der geplanten ePA zugreifen. Sie dürfen künftig einen Teil ihrer Rücklagen investieren, um mit Risikokapitalgesellschaften zusammen „Gesundheitsanwendungen“ zu entwickeln. Da die Krankenkassen jetzt schon die gesamten Behandlungsdaten vorliegen haben, also auch jede Diagnose von jedem Arztbesuch, können sie dann aktiv auf die Versicherten zugehen und ihnen zum Beispiel Apps anbieten. Vorher können sie die Versicherten auffordern, ihre gesamte ePA mit allen sensiblen Arzt- und Psychotherapeutenberichten freizuschalten. Und diese werden dann sicher nicht vom MDK-Arzt gelesen, sondern eher von nicht-ärztlichen Mitarbeitern. Das ist nicht akzeptabel, läuft aber alles unter der vermeintlichen „Freiwilligkeit“. Zu befürchten ist auch, dass Druck auf Krankengeldempfänger ausgeübt wird, ihre Daten freizuschalten, um sie besser „beraten“ zu können. Wir Hausärzte erleben eine zunehmende Übergriffigkeit durch Krankenkassenmitarbeiter, die etwa unangemeldet langfristig Erkrankte anrufen.

Ein anderer Aspekt: Der ChaosComputerClub (CCC) hatte vor einigen Monaten ja bemängelt, dass es Probleme bei der persönliche Identifizierung und der Übergabe von elektronischer Gesundheitskarte und PIN gegeben habe. Sehen Sie diese Probleme inzwischen als gelöst an?

Die Probleme sind keineswegs gelöst. Das ist auch der Grund dafür, dass die Krankenkassen jetzt sagen: Sie befinden sich in einer Zwickmühle zwischen PDSG und EU-Datenschutzgrundverordnung. Die Forderung des CCC und auch von Herrn Kelber sind ja nicht neu. Seit 2009 fordern Datenschutzexperten und auch wir als ärztliche Organisation öffentlich, dass es im Medizinbereich eine sichere digitale Identität geben muss.

Was bedeutet …

… dass es zunächst eine sichere persönliche Identifizierung des Versicherten geben muss, zum Beispiel durch tatsächlich geprüfte Fotos seitens einer berechtigten Stelle wie auch bei den Personalausweisen. Und dann muss es einen sicheren Weg der Übergabe von elektronischer Gesundheitskarte und PIN an den Versicherten geben. Beides ist bis heute nicht realisiert, obgleich das seit Langem eine Muss-Anforderung nach dem gültigen Sicherheitskonzept der gematik ist. Die Krankenkassen haben das nicht umgesetzt, und sehen sich jetzt in der Falle. Eine nachträgliche Umsetzung dieser internationalen Kriterien würde die Kassen jetzt nach Schätzungen bis zu 1 Milliarde Euro kosten – das sind Versichertengelder.

Ein TI-System mit zentraler Speicherung von Gesundheitsdaten wird sich vermutlich – wie alle anderen elektronischen Systeme – nicht zu 100 % gegen Hackerangriffe absichern lassen. Dennoch betonen die beteiligten Firmen oft, dass sie die Datenschutzvorgaben übererfüllt hätten. Das System sei sicherer als Online-Banking. Muss das nicht als ausreichend gesehen werden? Schließlich könnten auch schon heute einzelne Praxiscomputer gehackt werden.

Die Medizindaten sind viel sensibler als unsere Bankdaten. Sie müssen für das ganze Leben des Menschen abgesichert sein und bei Gen-Daten auch noch für nächste Generationen. Ansonsten ist die ärztliche Schweigepflicht für immer zerstört und das hat schwere Folgen für den Einzelnen und die Gesellschaft. Es gibt klare Standards dafür, welche Sicherheitskriterien für welche Daten anzusetzen sind, bei Medizindaten geht es um die Sicherheitsstufe „hoch“ oder „sehr hoch“. Ein Bundesgesundheitsminister, von dem der Satz „Datenschutz ist etwas für Gesunde“ stammt , hat sicher kein ausreichendes Verständnis für Datenschutz, Datensicherheit und damit auch die Privatsphäre des Einzelnen – das sehen wir an seiner Gesetzgebung.

Gab es denn im Verlaufe der vergangenen Monate überhaupt Ansätze von dezentralen Systemen, welche mehr Aufmerksamkeit verdient hätten? Könnten die TI-Kritiker eine alternative Lösung benennen und unterstützen, wäre das doch sicher hilfreich und könnte den Vorwurf der allgemeinen Technikfeindlichkeit aushebeln.

Vorschläge für dezentrale Systeme gibt es schon lange. Wir arbeiten alle mit digitalen Daten und Geräten, seit Jahrzehnten schon. Wir sind nicht gegen gute digitale Lösungen, nur gegen schlechte digitale Lösungen. Wichtig ist, dass es endlich eine sichere digitale, moderne und zeitsparende Kommunikation unter den medizinischen Behandlern gibt, darauf warten wir seit 2006. Mal sehen, was jetzt mit dem Kommunikationsdienst KIM für die elektronischen Arztbriefe kommen wird. Das Problem dabei ist, dass auch KIM über die TI laufen sollen, alles soll über die altertümlichen Konnektoren laufen. Diese haben nur noch eine Laufzeit bis Ende 2022, dann werden sie wohl nach Ankündigungen aus Bundesgesundheitsministerium und gematik abgeschafft, weil ihr Sicherheitszertifikat ausläuft. Außerdem haben die Konnektoren nur eine Speicherkapazität von 25 MB. Darüber kann man keine größeren Datenvolumina leiten, wie CT-, MRT-Bilder und Videos. Die Öffentlichkeit wird hier für dumm verkauft. Die Konnektoren sind schon in der ersten Ausbaustufe 2020 für sieben Wochen ausgefallen. Das heißt, sieben Wochen keine Verfügbarkeit für alle Medizindaten, wenn alles über diese „Datenautobahn“ laufen soll. Da werden wir bei der nächsten Viruspandemie den Zusammenbruch des Gesundheitswesens erleben. Eine technische Infrastruktur von dieser Wichtigkeit und Größe darf nach internationalen Standards – Tier 4 nach Uptime-Institute – maximal 0,8 Stunden pro Jahr ausfallen, nicht sieben Wochen.

Im nächsten Jahr werden laut Gesetz nach dem Versichertenstammdatenmanagement weitere TI-Funktionen umgesetzt. Über vorangegangene Tests und großflächige Erprobungen ist bislang wenig an die Öffentlichkeit gedrungen. Welche Informationen dazu liegen Ihnen vor?

Es hat rudimentäre Tests für das Notfalldatenmanagement auf der eGK gegeben. Es gab Tests in Westfalen-Lippe von einigen Praxen und Kliniken. Diese Tests hatten nichts mit dem Realbetrieb zu tun, die Daten wurden nicht real auf der Karte gespeichert, sondern nur auf den PCs der beteiligten Ärzte, und die Versicherten bekamen einen Papierausdruck in die Hand. Das ist kein Test, sondern ein schlechter Witz. Der Zeitverlust für die beteiligten Tester war wohl so groß, dass die Arbeit wesentlich in der Freizeit ausgeführt werden musste. Das BMG wünscht sich die Erstellung von Notfalldatensätzen für 20 Prozent der Versicherten. Das in einem Quartal durchgeführt, würde nach Schätzungen des IGES-Instituts die Hausärzte pro Woche vier Stunden mehr ärztliche Arbeitszeit kosten – wohlgemerkt in der Sprechstunde, wenn der Patient anwesend ist und über weitere Kartenlesegeräte in jedem Sprechzimmer seine Karte gesteckt und eventuell auch die PIN eingegeben hat. Auch das betrachte ich als schlechten Witz. Geht man davon aus, dass wir unterbeschäftigt sind? Ich nehme dafür dann lieber den neunsprachigen EU-Notfallausweis, der in jedes Portemonnaie passt.

Viele TI-Skeptiker in den Praxen sind derzeit sicher verunsichert, da im schlimmsten Fall im nächsten Jahr Probleme mit der Kassenzulassung drohen. Was raten Sie diesen Kollegen im Moment?

Wir können davon ausgehen, dass wie seit 14 Jahren in diesem Projekt auch die nächsten Ausbaustufen verschoben werden. Die Einführung der elektronischen AU-Bescheinigung wird sicher schon auf Mitte bis Ende des nächsten Jahres verschoben. Ich erwarte eine Verschiebung der Einführung der ePA aus den genannten Datenschutzgründen. Wir können in Ruhe abwarten, ob die fundierte Kritik und unsere juristischen Klagen an diesem Projekt der Pleiten, Pech und Pannen noch etwas verändern werden.

Quelle: änd 27.08.2020, Interview: Jan Scholz