Abruf des E-Rezepts per eGK: BfDI macht Position unmissverständlich klar

Der BfDI kritisiert geplante Schnittstelle – nicht nach dem Stand der Technik abgesichert und verstößt damit gegen die DSGVO

[datensicherheit.de, 08.11.2022] Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Ulrich Kelber, geht in seiner aktuellen Stellungnahme vom 7. November 2022 auf die „unsichere Feature-Spezifikationsvariante ,Abruf der E-Rezepte in der Apotheke nach Autorisierung’“ ein und bekundet hierfür kein Einvernehmen: „Die geplante Schnittstelle ist nicht nach dem Stand der Technik abgesichert und verstößt damit gegen die DSGVO.“ Er schlägt indes eine sichere, für die Versicherten, Ärzte und Apotheker „vollkommen funktionsgleiche Alternative“ vor, bei der im Hintergrund andere Verfahren genutzt würden.

Foto: Bundesregierung/Kugler

Prof. Ulrich Kelber: Unzureichend gesicherte Schnellschüsse kann der BfDI bei seinem gesetzlichen Auftrag nicht mittragen!

BfDI enttäuscht über Ausstieg der Kassenärztlichen Vereinigungen aus Pilotprojekten

Der BfDI ist demnach „enttäuscht über den Ausstieg der Kassenärztlichen Vereinigungen aus den Pilotprojekten zur Einführung des E-Rezeptes“ sowie der Meinungsäußerungen der beiden kassenärztlichen Vereinigungen und des Apothekerverbands zum Thema:

„Das E-Rezept als solches und die drei ursprünglich vorgesehen Einlösungswege sind konsentiert und funktionsfähig. Auch die nun zusätzliche geplante Funktionalität der Einlösung durch Stecken der elektronischen Gesundheitskarte (eGK) ohne Eingabe einer PIN ist umsetzbar.“

BfDI sieht Patienten als Leidtragende, welche gerne das E-Rezept nutzen möchten

Die geplante Datenverarbeitung mit der zunächst von der gematik vorgelegten Umsetzung verursache allerdings ein „großes Risiko für die Rechte und Freiheiten aller Nutzerinnen und Nutzer des E-Rezepts“, bundesweit und bei allen Arztpraxen und Apotheken, warnt Professor Kelber und führt hierzu aus:

„Uns gegenüber gemachte Vorschläge zur Minderung des Problems abseits einer anderen Umsetzung verringern die Gefahren für die Versicherten nicht ausreichend.“ Unverständlich sei, dass Kassenärztliche Vereinigungen und Apothekerverband dieses Problem, dass ihnen seit Monaten und damit länger als dem BfDI selbst bekannt sei, nicht wahrnehmen wollten und stattdessen schon Basisabsicherungen von IT-Lösungen als überzogen diffamierten. Er betont: „Leidtragende sind die Patientinnen und Patienten, die gerne das E-Rezept auf einem der bereits funktionierenden Wege nutzen möchten.“

BfDI erwartet von allen Beteiligten bis zum Sommer 2023 eine sichere Lösung

Falls es zu einem – „wohl leicht umsetzbaren“ – Hack bei der unzureichend gesicherten, vom BfDI und auch dem Bundesamt für die Sicherheit in der Informationstechnik (BSI) nicht freigegebenen Umsetzungsvariante gekommen wäre, hätte das Vertrauen in das E-Rezept und andere Digitalisierungen des Gesundheitssystems enorm gelitten, moniert Professor Kelber und unterstreicht:

„Ich erwarte von allen Beteiligten, dass bis zum Sommer 2023 eine sichere Lösung für das Abholen von E-Rezepten durch Stecken der eGK zur Verfügung steht.“ Die kassenärztlichen Vereinigungen sollten ihren Ausstieg aus dem Pilotprojekt überdenken und nicht angeblich überzogene IT-Sicherheits- und Datenschutzanforderungen vorschieben. Schließlich stünden alle Möglichkeiten der Einreichung von E-Rezepten, „die auch zum Start des Pilotprojektes vorhanden waren“, weiter uneingeschränkt zur Verfügung.

Unzureichend gesicherten Lösungen wird der BfDI eine datenschutzrechtliche Absage erteilen

Neue Funktionalitäten müssten aber Standardanforderungen an IT-Sicherheit erfüllen und dürften nicht dem unberechtigten Zugriff auf den gesamten Bestand der E-Rezepte „Tür und Tor öffnen“. Eine Umsetzungszeit von sechs Monaten sei dabei in der Softwareentwicklung durchaus üblich und notwendig. „Unzureichend gesicherte Schnellschüsse kann der BfDI bei seinem gesetzlichen Auftrag nicht mittragen. Ich bedanke mich bei dem Teil der Berufsverbände im Gesundheitssektor, die uns in dieser Haltung klar und eindeutig unterstützen.“

Der BfDI fordert außerdem, dass das Bundesministerium für Gesundheit und der Deutsche Bundestag durchsetzen, dass vorhandene „sichere und bequeme Authentisierungsmittel“ zum Standard werden, wie beispielsweise eine PIN für die Gesundheitskarte oder den elektronischen Personalausweis: „Es ist alles da, überprüft und könnte sofort eingesetzt werden, wenn beispielsweise die Krankenkassen endlich ihre Versicherten mit der PIN zur eGK versorgen würden.“ Digitalisierung im Gesundheitssektor müsse richtig umgesetzt werden: Sicher, datenschutzkonform und bequem zu nutzen! Abschließend stellt Professor Kelber nochmals klar: „Unzureichend gesicherten Lösungen werden wir auch weiter eine datenschutzrechtliche Absage erteilen.“