Berlin. Der Großteil der Arztpraxen entschließt sich bei der Anbindung an die Telematik-Infrastruktur (TI) gegen bestehende Empfehlungen und schließt den Konnektor – trotz potenziell entstehender Sicherheitsrisiken – im sogenannten Parallelbetrieb an. Die dadurch anfallenden zusätzlichen Sicherheitsvorkehrungen zum Schutz der Patientendaten, etwa die Installation einer Hardware-Firewall, seien jedoch nicht in allen Praxen vorhanden. Das berichten “NDR” und “Süddeutsche Zeitung” mit Verweis auf ein “vertrauliches Papier” der TI-Betreibergesellschaft Gematik (12. November).
Mehr als 90 Prozent der Praxen hätten sich demnach für den Parallelbetrieb des Konnektors entschieden. „Hacker können sich daher leicht Zugang zu den sensiblen Gesundheitsdaten von Millionen Patienten verschaffen. Dass das Problem nicht nur theoretischer Natur ist, berichten Ärzte, die auf ihren Praxiscomputern bereits Schadsoftware zum Abgreifen von Daten gefunden haben“, schreibt die „Süddeutsche Zeitung“.
“Ein zusätzlich parallel installierter Konnektor ändert nichts am Schutzniveau des bestehenden Internetzugangs”, entgegnet am Mittwoch (13. November) jedoch die Gematik. Auf Anfrage von “Der Hausarzt” bestätigt die Betreibergesellschaft, dass mehr als 90 Prozent der Praxen im Parallelbetrieb angeschlossen seien. “Von einer Sicherheitsbewertung in diesem Zusammenhang ist jedoch nicht die Rede”, betont Sprecherin Johanna Braun. Die hohe Anzahl von Praxen mit Parallelbetrieb beruhe auf einer Erhebung bei den Anbietern der VPN-Zugangsdienste, die in der Regel den Zugang zur TI als Gesamtpaket mit Installation, Konnektor, Kartenterminal etc. verkaufen. “Der Grund für den überwiegenden Parallelbetrieb in den Praxen ist darauf zurückzuführen, dass er gegenüber dem Reihenbetrieb die technisch weniger aufwändige, leichter zu realisierende Installation ist.”
Die Gematik sieht dabei die Ärzte in der Pflicht: Für die IT-Sicherheit seiner Praxis sei jeder Arzt selbst verantwortlich, unabhängig von der Art der Konnektor-Anbindung, heißt es in einer aktuellen Pressemitteilung. “Gelangt Schadsoftware wie Viren und Trojaner in das IT-System einer Arztpraxis, wird das nicht durch einen parallel installierten Konnektor verursacht, sondern durch mangelhafte Sicherheitsvorkehrungen der Praxis-IT kombiniert mit einer möglicherweise unbedachten Internetnutzung.”
Mit den aktuell zitierten Inhalten jedoch würde die Gematik erstmals Befürchtungen von Ärzten bestätigen. Denn: Während der noch immer laufenden Anbindung vieler Praxen an die TI werden immer wieder Sicherheitsbedenken laut. Zuletzt hatten Servicetechniker bei der Installation von Konnektoren Berichten zufolge die lokale Firewall der Praxis abgeschaltet.
“Wir erwarten, dass die Installationstechniker die Vorgaben der Gematik im Rahmen des Anschlusses der Praxen einhalten”, erklärt Dr. Roland Stahl, Sprecher der Kassenärztlichen Bundesvereinigung (KBV), gegenüber “Der Hausarzt”. “Idealerweise wird ein Protokoll erstellt, mindestens aber der Arzt vom Techniker genau informiert, was er genau macht. Versäumnisse, die beispielsweise durch IT-Dienstleister geschehen sind, werden wir konsequent und transparent aufarbeiten.” Die KBV hat aufgrund der aktuellen Unsicherheiten eine Hotline für Ärzte geschaltet: Praxen können unter der Telefonnummer 030 4005 2000 montags bis donnerstags von 8 bis 18 Uhr und freitags bis 17 Uhr ihre Fragen stellen.
Entscheidung liegt bei Praxischefs
Nach Angaben der Gematik sind bereits rund 115.000 der 170.000 Praxen an die TI angeschlossen. Wie das vertrauliche Papier zeige, erfolgten bis Mai 2019 mehr als 90 Prozent der Installationen im Parallelbetrieb, bei dem zusätzliche Schutzfunktionen unerlässlich sind. Solche Schutzfunktionen aber gebe es “in den meisten Praxen” nicht, heißt es; konkrete Zahlen dazu fehlen jedoch bislang. Die Gematik als Betreiberin der TI spricht zwar Empfehlungen zum Anschluss aus, kontrolliert jedoch nicht, welche technische Lösung Ärzte schließlich implementieren. Tatsächlich ist also nicht klar, ob Praxisinhaber wirklich zum Beispiel auf die nötige Hardware-Firewall beim Parallel-Betrieb verzichten. Die alternative Anschlussmethode, den Reihenbetrieb, würden viele IT-Dienstleister gar nicht anbieten, heißt es.
Zum Hintergrund: Der Konnektor als Tor in die TI kann in der Praxis auf zwei Wegen installiert werden. Entweder wie von der Gematik empfohlen im Reihenbetrieb – auch serieller Betrieb genannt -, oder in einem zweiten, nicht empfohlenen, aber erlaubten Betrieb, dem Parallelbetrieb. Bei der Installation müssen sich Ärzte für eine dieser Varianten entscheiden.
Serieller versus paralleler Betrieb – was ist Praxis-kompatibler?
Gematik, Kassenärztliche Bundesvereinigung (KBV) und Bundesamt für Sicherheit in der Informationstechnik (BSI) empfehlen den Reihenbetrieb. Er zeichnet sich dadurch aus, dass der Konnektor alle Internetverbindungen erfasst und dadurch die Praxis zusätzlich schützen kann. Denn: Die integrierte Firewall schützt dann nicht nur die TI vor Angriffen von außen, sondern ergänzend das gesamte Praxisnetzwerk. Bereits getroffene Schutzvorkehrungen würden dadurch jedoch nicht ersetzt, erklärt die Gematik.
Doch bereits im Frühjahr zeigte sich Erfahrungsberichten zufolge, dass bei dieser seriellen Anbindung Probleme bei Anwendungen wie Online-Laborabruf oder HZV-Online-Key auftreten können. Die Folge beobachtet Hausarzt Christian Sommerbrodt, der sich für den Hausärzteverband Hessen ausgiebig mit der TI-Anbindung auseinandergesetzt hat. “In persönlichen Kontakten zu einer Vielzahl hessischer Vertragsärzte und bundesweit zu etlichen Hausärzten ist mir keine Praxis bekannt, die den Konnektor im seriellen Betrieb installiert hat”, sagt Sommerbrodt. Denn: Da kein freier Zugang zum Internet mehr bestehe, funktioniere nicht einmal mehr ein Windows-Update, was den Einsatz in der Praxis nicht praktikabel macht (s. Tab.).
Im – für digitale Anwendungen oft praktikableren – Parallelbetrieb hingegen sind alle Komponenten wie Computer und Kartenterminals direkt hinter der Internetanbindung am Router angeschlossen. Der Konnektor wird „parallel“ zum restlichen Netzwerk angebunden und kann somit nur die TI-Verbindungen, nicht aber das Praxisnetzwerk, schützen. Diese Anbindungsvariante ist laut KBV sinnvoll bei größeren Praxen oder Medizinischen Versorgungszentren (MVZ), die bereits über ein hohes Sicherheitsniveau verfügen. Bei kleineren Praxen jedoch, deutet das nun vorliegende Gematik-Papier an, können sich dadurch erhebliche Sicherheitsrisiken ergeben, werden diese Vorkehrungen nicht getroffen.
Ärzten dürfen keine Mehrkosten entstehen
Das Problem: Gerade für kleinere Praxen können, aufgrund der zusätzlichen Schutzmaßnahmen, mitunter Kosten entstehen. “Die finanzielle Förderung entspricht nur dem Reihenbetrieb, mit allen weiteren Kosten werden in Deutschland 150.000 Ärztinnen und Ärzte von der Politik alleine gelassen”, bringt es Hausarzt Sommerbrodt auf den Punkt. Die Digitalisierung in Deutschland wird für ihn daher “auf dem Rücken der Ärzte ausgetragen”.
Sowohl der Hessische wie auch der Deutsche Hausärzteverband fordern daher eine bessere finanzielle Ausstattung der Arztpraxen, damit die geplante Digitalisierung für Ärzte und Patienten nutzbringend und sicher umgesetzt werden kann. So hatten die Delegierten des Deutschen Hausärzteverbands bei ihrer Herbsttagung jüngst die Erstattung der Folgekosten, die aufgrund der zusätzlichen Sicherheitsvorkehrungen im Parallelbetrieb entstehen, gefordert.