Gesundheits-Apps: LfDI Rheinland-Pfalz rät zur Vorsicht

Schutz und Sicherheit von Patientendaten in Digitalen Gesundheitsanwendungen müssten höchste Priorität haben

[datensicherheit.de, 22.10.2020] Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP) meldet, dass Anfang Oktober 2020 das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) die ersten beiden digitalen Anwendungen – sogenannte Gesundheits-Apps – zugelassen und in das Verzeichnis für Digitale Gesundheitsanwendungen („DiGA-Verzeichnis“) aufgenommen habe. Der LfDI RLP rät indes zu „Vorsicht bei Gesundheits-Apps“ – Schutz und Sicherheit von Patientendaten müssten höchste Priorität haben.

Kosten für verschriebene Gesundheits-Apps könnten von den gesetzlichen Krankenversicherungen übernommen werden

Somit könnten nun die Kosten für diese Gesundheits-Apps, sofern sie ärztlich verschrieben wurden, von den gesetzlichen Krankenversicherungen übernommen werden. Voraussetzung für die Aufnahme in das DiGA-Verzeichnis sei unter anderem, „dass die Anwendungen den Anforderungen an den Datenschutz entsprechen und die Datensicherheit nach dem Stand der Technik gewährleistet ist“ (§ 139 e Abs. 2 Satz 2 Nr. 2 SGB V).
Inzwischen sei bekanntgeworden, dass bei einer der Apps, die zur Behandlung von Menschen mit Angsterkrankungen eingesetzt werde, IT-Sicherheitsexperten gravierende Datenschutz-Mängel festgestellt hätten. Laut LfDI RLP hätten Angreifer durch Nutzung der Sicherheitslücken Angstpatienten als solche „enttarnen“ und schlimmstenfalls deren Accounts mit sensiblen Daten übernehmen können.

Gesundheits-Apps sammeln hochsensible Daten, welche genaue Einblicke in die persönliche Lebensführung zulassen

„Bei Gesundheits-Apps müssen Schutz und Sicherheit der Daten höchste Priorität haben. Die Geräte und die Software-Anwendungen sammeln hochsensible Daten, welche genaue Einblicke in die persönliche Lebensführung zulassen. Aus diesen Gründen ist es unerlässlich, dass gerade Apps, die vom BfArM freigegeben wurden, höchsten Sicherheits- und Datenschutzansprüchen genügen“, betont der Stellvertretende LfDI RLP, Helmut Eiermann.
Die Nutzer digitaler Gesundheitsanwendungen müssten darauf vertrauen können, dass ihre Daten wirksam geschützt werden. „Dass eine der ersten freigegebenen Apps Sicherheitsmängel aufweist, ist beunruhigend. Das zuständige Bundesgesundheitsministerium sollte daher Nachbesserungen am Zulassungsverfahren angehen.“

Defizite bei Ausgestaltung des Prüfverfahrens zur Aufnahme von Gesundheits-Apps in das DiGA-Verzeichnis angemahnt

Der LfDI RLP hatte nach eigenen Angaben in der Vergangenheit wiederholt gemeinsam mit den anderen Datenschutz-Aufsichtsbehörden Defizite bei der Ausgestaltung des gesetzlich vorgesehenen Prüfverfahrens zur Aufnahme von Gesundheits-Apps in das DiGA-Verzeichnis angemahnt. Dabei habe er insbesondere kritisiert, dass lediglich aufgrund von Hersteller-Angaben Apps in das Verzeichnis aufgenommen würden, ohne dass deren datenschutzrechtliche Vereinbarkeit durch unabhängige Stellen geprüft werde.
„Es wird deutlich, dass das vom BfArM durchgeführte Zulassungsverfahren nicht tauglich ist, um die Datenschutzkonformität der in das DiGA-Verzeichnis aufgenommenen Apps zu gewährleisten“, sagt Eiermann.

Punkte zur Bewertung und Aufnahme der Gesundheits-Apps in das DiGA-Verzeichnis

Aus technischer Sicht sollten insbesondere folgende Punkte zur Bewertung und Aufnahme der Gesundheits-Apps in das DiGA-Verzeichnis berücksichtigt und im Rahmen unabhängiger Audits geprüft werden:

• die Vertraulichkeit und Integrität der Kommunikation (Inhalts- und Metadaten),
• die Sicherheit der auf dem Endgerät beziehungsweise in der App gespeicherten Gesundheitsinformationen,
• die beteiligten technischen Dienstleister sowie die Einbeziehung sonstiger Stellen (etwa zur Reichweitenmessung und App-Analyse).

Hierbei reiche es nicht aus, sich allein auf Hersteller-Angaben zu verlassen.

Weitere Informationen zum Thema:

datensicherheit.de, 09.08.2020
Phishing: Gesundheitssektor benötigt Schutztechnik und -trainings / Laut Interpol nun auch Organisationen im Gesundheitssektor vermehrt Cyber-Attacken ausgesetzt

datensicherheit.de, 14.05.2020
Gesundheitswesen: Globaler Anstieg von Ransomware- und Cyberangriffen / Bitdefenders Telemetrie zeigt Spitzen seit Ausbruch der Pandemie

datensicherheit.de, 05.05.2020
Gesundheitswesen: Kontrolle über Patientendaten in Kliniken und Praxen / Die 6 größten Schwachstellen im Blick