Einem aktuellen Bericht des IT-Magazins c’t zufolge protokollieren die Konnektoren des Herstellers Secunet unberechtigt Patientendaten. Die Kassenzahnärztliche Bundesvereinigung (KZBV) fordert Hersteller und Gematik auf, diese Vorwürfe schnell und umfassend aufzuklären. Zahnärztinnen und Zahnärzte sieht die KZBV ausdrücklich nicht in der Verantwortung.

Bewertung des Bundesdatenschutzbeauftragten falsch

Die Bewertung des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), Prof. Ulrich Kelber, der dem Bericht zufolge die Praxen in der Verantwortung sieht, weist die KZBV entschieden zurück. „Die zitierte Aussage ist sehr ärgerlich. Und sie ist falsch!“, betonte Pochhammer. „Zahnarztpraxen sind gesetzlich verpflichtet, sich an die Telematikinfrastruktur anzuschließen. Die Verarbeitung personenbezogener Daten liegt dabei ausdrücklich nicht in ihrer Verantwortung, weil Praxen eben nicht über die Mittel der Datenverarbeitung mitentscheiden, sondern nach dem Willen des Gesetzgebers einen zugelassenen Konnektor einsetzen müssen.“

Zahnärzte ohne Möglichkeit, auf Konnektor Einfluss zu nehmen

Zahnärztinnen und Zahnärzte hätten also schlichtweg keine Möglichkeit, Einfluss auf das in dem Bericht geschilderte Vorgehen des Konnektors zu nehmen. „Vor diesem Hintergrund ist es vollkommen abwegig, nun den Praxen die Schuld an dieser erneuten TI-Panne in die Schuhe zu schieben.“ Die KZBV verwahre sich im Namen des gesamten Berufsstandes gegen solche unzutreffenden Schuldzuweisungen.

Hersteller, Gematik und BSI die richtigen Adressaten

„Wenn Herr Prof. Kelber als BfDI sich schon medienwirksam auf Fehlersuche begibt, dann sollte er damit zunächst beim Hersteller Secunet, bei der Gematik und beim BSI beginnen.“ Die letztlich Verantwortlichen müssten betroffene Praxen schnellstmöglich über den Vorfall aufklären und klarstellen, dass die Zahnärzte für die vermeintlichen Fehler eben nicht verantwortlich sind, sagte Pochhammer.
 

Secunet will Firmware-Update bereitstellen

Wie das Technikportal Heise und die Zeitschrift c’t in ihrem aktualisierten Online-Beitrag berichten, können Nutzer laut Secunet tatsächlich die als kritisch gesehene Protokollierung ausschalten, allerdings werde damit die Analyse technischer Fehler erschwert. Das Unternehmen selbst sieht in seiner am 25. Februar 2022 abgegebene Stellungnahme keinen Verstoß und keinen Fehler im Konnektor, aber will trotzdem ein Firmware-Update für den Konnektor zur Verfügung stellen, mit dem das Problem behoben werden kann. Auf der Internetseite des Unternehmens zum Konnektor sind diese Informationen ebenfalls eingestellt.

Auch die Kassenärztliche Bundesvereinigung hat deutlich auf das Bekanntwerden von Datenschutzproblemen bei Konnektoren der Firma Secunet reagiert und drängt auf eine umgehende Aufklärung und Lösung des Sicherheitsvorfalls. In einem am 25. Februar versandten Schreiben an Gematik-Chef Markus Leyck Dieken wird dieser aufgefordert, auf die entstandenen Fragen unverzüglich Antwort zu geben. Die Verantwortung für die Gewährleistung der technischen Anforderungen an die Datenschutzsicherheit liege im Rahmen des Prüf- und Zulassungsprozesses bei der Gematik, heißt es in dem Schreiben des KBV-Vorstands. So sehe auch die entsprechende Spezifikation der Gematik vor, dass personenbezogene Daten nicht in Protokolleinträgen gespeichert werden dürfen.

Gematik soll Fragen unverzüglich klären

Der Vorstand der KBV fordert die Gematik auf, bis zum 28. Februar mehrere Fragen zu klären und die Ärzte und Psychotherapeuten entsprechend zu informieren. Dabei geht es darum, wie mit den betroffenen Konnektoren umzugehen ist. Darüber hinaus will die KBV wissen, wie es zu den Problemen kommen konnte und wie die Gematik dafür Sorge trägt, dass im Falle der Kenntnis von Verstößen gegen Anforderungen der Gematik diese abgestellt werden. Auch geht es um Lehren, die aus diesem Vorgang gezogen werden.

Keine eigenständigen Prüfungen durch Anwender erforderlich

Auch die KBV stellt klar, dass die betroffenen Praxen für die Verstöße nicht verantwortlich sind. „Bis auf Weiteres können sie auf die Klärung der in Rede stehenden Fragen vertrauen, da es im Verantwortungsbereich der Gematik liegt, darüber zu entscheiden, wie mit den Konnektoren weiter zu verfahren ist. Insofern besteht keine Veranlassung eigenständig weitergehende Prüfungen vorzunehmen“, heißt es.

Ärzte müssen sich auf Prüfungen der Gematik verlassen können

Die KBV weist außerdem darauf hin, dass es Aufgabe der Gematik sei, im Rahmen des Zulassungsprozesses verantwortlich zu prüfen, dass Konnektoren die in den Spezifikationen festgelegten datenschützenden Anforderungen einhalten. Auf diese Prüfungen dürften und müssten sich Ärzte und Patienten verlassen können.

„Skepsis bei TI weiter berechtigt“

Auch die KZV Hessen fordert Klärung: „Immer wieder hat die Zahnärzteschaft darauf hingewiesen, dass bei der Digitalisierung im Gesundheitswesen die Daten von Patientinnen und Patienten zu jeder Zeit geschützt sein müssen und dass die Praxen selbst nicht haftbar dafür zu machen sind, wenn die gesetzlich vorgegebene Sicherheitsarchitektur keinen ausreichenden Schutz bietet“, sagt Stephan Allroggen, Vorsitzender des Vorstandes der Kassenzahnärztlichen Vereinigung Hessen.

„Der jetzige Vorfall zeigt, dass die Skepsis berechtigt war und dass diese Skepsis auch weiterhin berechtigt ist. Zahnärztinnen und Zahnärzte müssen sich auf die in ihren Praxen zum Einsatz kommenden Geräte und Komponenten verlassen können, die von der Gematik vorgegeben sind. Es ist unfassbar, wie leichtfertig offenbar technische Komponenten zur Nutzung freigegeben wurden, die in der Praxis DSGVO-Vorgaben brechen. Das darf weder zulasten der Patienten und Patientinnen erfolgen, noch dürfen dafür Zahnärztinnen und Zahnärzte zur Verantwortung gezogen werden. Wir fordern von der Gematik und vom BSI in Abstimmung mit dem Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI) eine umgehende Klärung des Sachverhalts.“