Der Start der „ePA für alle“ ist am 15. Januar 2025 in den drei Testregionen erfolgt – aber in einem kleineren Rahmen, als ursprünglich erwartet. Sie wird jetzt in rund 230 Praxen getestet, so die Kassenärztliche Bundesvereinigung. Die Einrichtungen liegen in Hamburg, Franken und Nordrhein-Westfalen. In allen anderen Praxen kann die Akte erst nach erfolgreichem Abschluss der Erprobung genutzt werden. An der Testphase nehmen auch einige Krankenhäuser und Apotheken teil.
Hintergrund sind Hinweise unter anderem des Chaos Computer Clubs Ende 2024 auf diverse immer noch bestehende Sicherheitslücken. So hatten die Hacker sich über elektronische Heilberufsausweise (eHBA) und Institutionenkarten (SMB-C) Zugang zu ePA-Konten verschaffen können. Diese Karten seien unter anderem im Internet zum Kauf angeboten worden. Dies wurde zum Teil als eher unwahrscheinliches Szenario abgetan. Aufgrund dieser und weiterer Sicherheitslücken hatte die Gematik die Testphase modifiziert. Krankenkassen, Patientenvertreter und Ärzteschaft forderten, den generellen Rollout der ePA so lange aufzuschieben, bis alle möglichen Sicherheitslücken geschlossen sind.
Antragsportal der D-Trust GmbH gehackt
Nun meldete einer der Anbieter dieser Zugangskarten am 16. Januar 2025, dass er am 13. Januar 2025 gehackt worden sei und dabei auch Daten von Antragstellern auf einen eHBA abgeflossen sein könnten. Die Ärztekammern starteten daher am 18. Januar 2025 eine Warnung an alle, die in den vergangenen Wochen einen eHBA bei D-Trust bestellt hatten.
Die Ärztekammer Sachsen-Anhalt schreibt dazu: „Die D-Trust GmbH hat die Ärztekammer Sachsen-Anhalt am 16. Januar 2025 informiert, dass am 13. Januar 2025 ein Cyberangriff auf das Antragsportal für Signatur- und Siegelkarten festgestellt wurde. Daten wurden im Zeitraum vom 1. Januar 2025 bis zum 6. Januar 2025 abgegriffen. Unter anderem wird das Antragsportal für die Beantragung von eHBA und SMC-B verwendet. Bereits ausgegebene eHBA sind nicht von dem Cyberangriff betroffen“, so die Kammer, und bittet ihre Mitglieder, die in den vergangenen Wochen über das Portal bestellt haben, besonders auf verdächtige E-Mails und Phishing-Aktionen zu achten.
Bereits ausgegebene Karten nicht betroffen
Das betroffene Unternehmen, ein Tochterunternehmen der Bundesdruckerei, schreibt dazu: „Die D-Trust GmbH ist Ziel eines Angriffs auf das Antragsportal für Signatur- und Siegelkarten geworden. Der Angriff wurde am 13. Januar 2025 festgestellt. Dabei sind möglicherweise personenbezogene Daten von Antragstellern entwendet worden. Ausgegebene Signatur- und Siegelkarten wurden nicht kompromittiert und können weiter genutzt werden. PINs, Passwörter, Zahlungsinformationen sowie andere Systeme sind nicht betroffen.
Nach Aufdecken des Angriffs hat die D-Trust umgehend die Situation ausgewertet und Sofortmaßnahmen ergriffen, um den Schutz der Daten im Portal sicherzustellen. Die entsprechenden Aufsichtsstellen wurden benachrichtigt, die Betroffenen werden individuell informiert. Es wurde Strafanzeige gegen Unbekannt gestellt. Ein spezialisiertes IT-Sicherheitsteam der D-Trust arbeitet eng mit den zuständigen Behörden zusammen, um die Hintergründe des Angriffs aufzuklären. Die D-Trust bedauert die dadurch entstehenden Umstände und steht bei Rückfragen unter kontakt@d-trust.net zur Verfügung.“
Software-Update für die ePA nur in den Testpraxen freigeschaltet
Die KBV informierte vor dem Start der ePA-Testphase über das nun geplante Vorgehen. „Um auf die elektronische Patientenakte (ePA) zugreifen zu können, benötigen Ärzte und Psychotherapeuten neben dem Anschluss an die Telematikinfrastruktur ein Update für ihre Praxissoftware für die ePA 3.0. Dies wird ab dem 15. Januar zunächst nur in den Testpraxen installiert und freigeschaltet. Parallel dazu beginnen die Krankenkassen, die Patientenakten für alle Versicherten, die nicht widersprochen haben, anzulegen.
Allen anderen Praxen wird die neue Software in der Regel erst nach Abschluss der mehrwöchigen Tests bereitgestellt. Sollten Praxen, die nicht an der Erprobung teilnehmen, die Software bereits erhalten und installiert haben, können sie diese noch nicht nutzen. Die ePA wird erst mit Start des bundesweiten Rollouts für alle Praxen freigeschaltet.“
Reaktion auf Mängel in der Sicherheitsarchitektur
Mit der Beschränkung ausschließlich auf Einrichtungen, die an der Erprobung teilnehmen, reagiere die Gematik auf die Mängel in der Sicherheitsarchitektur der ePA-Server, auf die der Chaos Computer Club jüngst hingewiesen hat. „Die weitreichendste Schwachstelle ist, dass auf beliebig viele elektronische Patientenakte zugegriffen werden kann, ohne dass eine Gesundheitskarte des Versicherten gesteckt und der Behandlungskontext hergestellt wurde“, sagte KBV-Vorstandmitglied Dr. Sibylle Steiner den KBV „PraxisNachrichten.“
Steiner: Umfassende Sicherheit ist Grundvoraussetzung
Sie betonte, dass die KBV die Probleme sehr ernst nehme und die Testphase genau beobachten werde. Erst wenn die beschriebenen Sicherheitslücken geschlossen seien, dürfe die ePA bundesweit ausgerollt werden. Steiner: „Die umfassende Sicherheit der ePA ist eine Grundvoraussetzung, auf der eine positive Nutzererfahrung aufsetzen muss. Sonst verspielen wir die Akzeptanz der Bevölkerung.“
Kassen: Vertrauensvorschuss nicht verlieren
Auch die Krankenkassen, die jetzt begonnen haben, parallel zur Testphase die Akten für alle Versicherten anzulegen, forderten, dass ein bundesweiter Rollout erst erfolgen dürfe, wenn alle Sicherheitsrisiken geprüft und beseitigt worden seien. So erklärte die Vorständin des AOK-Bundesverbands, Carola Reimann, es sei eine sehr gute Nachricht, dass es jetzt endlich losgehe. Die Bevölkerung sei der ePA gegenüber sehr aufgeschlossen. Nur 2,9 Prozent der AOK-Versicherten hätten dem Anlegen der ePA bislang widersprochen. „Dieser Vertrauensvorschuss darf nicht verloren gehen“, mahnte Reimann. Bestehende Sicherheitslücken müssten schnellstmöglich geschlossen werden.
Lauterbach: „Beginn eines neuen Zeitalters der Digitalisierung“
Vor der Bundespressekonferenz in Berlin zeigte sich Bundesgesundheitsminister Prof. Karl Lauterbach am 15. Januar 2025 gewohnt selbstbewusst: „Dieser Tag markiert den Beginn eines neuen Zeitalters der Digitalisierung des deutschen Gesundheitssystems. Mehr als 20 Jahre nach der Ursprungsidee wird die ePA für alle endlich Realität. Die elektronische Patientenakte ist sicher und macht bessere Behandlung und Forschung möglich. Und sie macht den Patienten zum Herrn seiner Daten. Damit startet Deutschland das größte Digitalisierungsprojekt seiner Geschichte.“
Im Vorfeld der Testphase hatte er erklärt, dass der bundesweite Rollout der ePA erst erfolgen solle, wenn alle Sicherheitsprobleme behoben und die Testphase zur Zufriedenheit gelaufen sei. Das wiederholte er in Berlin. Er gehe davon aus, dass der bundesweite Rollout der ePA im „März oder April“ geschehen werde. Beim Rollout in ganz Deutschland würden „alle großen Probleme“ gelöst sein, auch die Bedenken, die der Chaos Computer Club (CCC) geäußert habe. Die vom CCC aufgezeigten Sicherheitslücken seien für die Pilotphase gelöst, so Lauterbach, was auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) bestätigt habe.
Reinhardt: Positiver Verlauf der Pilotphase zwingend für Rollout
Für die Ärzteschaft betonte Dr. Klaus Reinhardt, Präsident der Bundesärztekammer (BÄK), die Ärztinnen und Ärzte erwarteten „eine elektronische Patientenakte, die sie bei der Behandlung ihrer Patientinnen und Patienten unterstützt. Das aber setzt die Sicherheit der Daten sowie die Funktionalität im Praxisalltag und intuitive Nutzbarkeit der Anwendung voraus. Dann bietet die ePA in der Versorgung einen echten Mehrwert.“ Unter Verweis auf die Testphase erklärte er: „Der positive Verlauf dieser Pilotphase ist zwingende Voraussetzung für den bundesweiten Rollout. Das ist entscheidend für den Erfolg der ePA für alle.
TK-Chef Baas: Ein Erfolg, wenn alle sie nutzen
Der Chef von Deutschlands größter gesetzlicher Krankenkasse, Dr. Jens Baas von der Techniker Krankenkasse, bezog aus Sicht der Patientinnen und Patienten Stellung. Die ePA habe „enormes Potenzial für die Behandlung“. „Mit der ePA haben sie erstmals die Möglichkeit, ihre wichtigen Gesundheitsinformationen wie Medikationsliste, Impfungen und Diagnosen übersichtlich in einer App zu haben und jederzeit darauf zugreifen zu können. Entscheidend ist: Die Hoheit über die Daten liegt bei den Patientinnen und Patienten.“ Die ePA werde ein Erfolg, wenn alle Beteiligten sie aktiv nutzen – Patientinnen und Patienten und Ärztinnen und Ärzte, so Baas.
Gematik begleitet Pilotphase – eigener Newsbereich
Der Geschäftsführer der Gematik, Dr. Florian Fuhrmann, hob auf die enge Begleitung der rund 300 Einrichtungen in der Testphase ab: „Jeden Schritt der Einführung begleiten wir Hand in Hand mit den Einrichtungen und unseren Partnern“. Die Gematik hat auf ihrer Internetseite einen eigenen Newsbereich zur Testphase eingerichtet, in dem aktuelle Berichte aus den Testregionen eingetellt werde. Die Gematik stellt auch ein Infoblatt für die Praxen zur Verfügung, in denen Patientinnen und Patienten schon jetzt nach der ePA fragen.
Webinar von Gematik und KZBV demnächst als Aufzeichnung
Am 13. Januar 2025 hatte die Gematik gemeinsam mit der Kassenzahnärztlichen Bundesvereinigung (KZBV), dem Verband Deutscher Dental-Software Unternehmen und den Unternehmen CGM, Dens, Computer Konkret, Solutio und Dampsoft ein Webinar mit Breakout-Sessions zu den einzelnen PVS zum Einsatz der ePA speziell in Zahnarztpraxen angeboten. Dort wurde noch einmal herausgestellt, dass vonseiten der Praxen zunächst nur Daten zu neuen Behandlungen auf der ePA abgelegt werden müssen, wenn der Patient dies wünsche. Erste zahnärztliche Anwendung für ePA vonseiten der Zahnärzte ist das digitale Bonusheft, das als echtes MIO, Medizinisches Informationsobjekt, in der Akte gespeichert werden kann. Auch wurde von den Anbietern gezeigt, wie die ePA über die PVS erreicht und Einträge vorgenommen werden sollen. Die Aufzeichnung dieses Webinars soll demnächst auf der Gematik-Internetseite verfügbar sein.
Weitere Informationen zur ePA für alle speziell für Zahnarztpraxen hat die KZBV auf ihrer Homepage zusammengestellt.
