Digitale Selbstverteidigung

Prism und Tempora – was man vor Kurzem noch für Automodelle von Ford oder Chrysler hätte halten können – sind zu Synonymen für die weltweite Datensammelwut der Nachrichtendienste geworden. Mit Prism überwacht die NSA, mit Tempora der britische Geheimdienst GCHQ das Internet – mehr oder weniger komplett, wie man nach heutigem Stand weiß. Ob Microsoft, Apple, Google, Yahoo, Facebook, YouTube oder Skype – auf alle großen Anbieter haben die Nachrichtendienste Zugriff. Auch digitale Datenspeicherdienste wie etwa dropbox sind unsicher, weil ihre Server in Nordamerika stehen. Hintergrund für das Überwachungsinferno ist der Patriot Act. Das Bundesgesetz, das am 25. Oktober 2001 vom amerikanischen Kongress im Zuge des Krieges gegen den Terrorismus verabschiedet wurde, erlaubt US-Behörden wie dem FBI, der NSA oder der CIA nicht nur den Zugriff ohne richterliche Anordnung auf die Server von US-Unternehmen. Auch ausländische Tochterunternehmen sind nach dem US-Gesetz verpflichtet, Zugriff auf ihre Server zu gewähren. Und dies selbst dann, wenn lokale Gesetze dies untersagen.

Fest steht: Heute werden millionenfach sensible Daten im Internet verschickt – und die werden auch millionenfach abgeschöpft. Das sollte gerade Zahnärzten zu denken geben, die täglich mit hochsensiblen Daten (Patienten, Abrechnungen) umgehen.

Die Brisanz des Themas debattierten kürzlich Ärzte, Juristen und Mitarbeiter von Krankenkassen und Körperschaften auf der Tagung „Datenschutz in der Medizin“ in Leipzig. Die Stiftung Datenschutz war Schirmherrin der Veranstaltung. In diesem Jahr von der Bundesregierung gegründet hat die Stiftung die Aufgabe, Datenschutzgütesiegel zu entwickeln. Die Referenten wiesen darauf hin, das der Datenschutz aufgrund des rasanten technischen Fortschritts eine immense Herausforderung für das gesamte Gesundheitswesen sei.

„Kern der ärztlichen Schweigepflicht ist es, dass der Patient darauf vertrauen kann, dass die dem Arzt anvertrauten persönlichen Daten nicht an Dritte weitergegeben werden“, konstatierte Julia Fellmer, Fachanwältin für Medizinrecht in Düsseldorf, die die Tagung moderierte. Dies gelte übrigens ante und post mortem. Der § 203 des Strafgesetzbuches stelle die Verletzungen von Privatgeheimnissen unter anderem durch Ärzte unter Strafe. Es sei denn, der Patient hat eingewilligt, der Arzt ist zur Offenbarung gesetzlich verpflichtet oder es geht um die Wahrnehmung berechtigter eigener Interessen. Das könne laut Fellmer Regress, eine Honorarforderung oder Schadenersatz sein.

Werden Patientendaten elektronisch – sprich über das Internet – übermittelt, muss der Zahnarzt sicherstellen, dass die Daten entweder hinreichend pseudonymisiert oder durch ein sicheres Verfahren verschlüsselt werden. Noch im September warnte die gematik, die für die Einführung und Weiterentwicklung der elektronischen Gesundheitskarte zuständig ist, dass im Gesundheitswesen Dokumente wie beispielsweise Arztbriefe und Laborbefunde per Post oder per Fax versendet oder unverschlüsselt per E-Mail verschickt würden. Das Risiko dabei sei groß, dass Unberechtigte Einblicke in Daten von Patienten erhielten.

Prof. Thomas Jäschke vom Institut für Sicherheit und Datenschutz im Gesundheitswesen in Dortmund gab auf der Leipziger Tagung wichtige Hinweise für die Praxishomepage. So sollte google analytics aus Sicherheitsgründen nicht als Analysetool genutzt werden. Jäschke empfahl, das Tool zu deaktivieren und zu löschen. Geeignet sei dagegen die Open-Source-Webanalyse-Software Piwik. Einige Landesdatenschützer – etwa Dr. Thilo Weichert aus Schleswig-Holstein – würden sich für Piwik aussprechen. Im Übrigen sollte der Host der Seite, also der Datenbankanbieter in der EU ansässig sein und kein Geschäft in den USA haben. Jäschke relativierte Datenschutzbemühungen mit den Worten: „Es gibt nichts, was hundert Prozent sicher ist.“ Jedoch sollte sich jede Praxis die Fragen stellen: Wie werden Daten bei uns geführt? Und wie sichern wir den Prozess ab?

So wie man sensible Daten eben nicht auf einer Postkarte versenden würde, sollte man dies auch nicht im Internet tun. Was der Briefumschlag auf dem Postweg, ist analog die Verschlüsselung im Netz. „Encryption works“ – „Verschlüsselung funktioniert“ – antwortete Edward Snowden am 17. Juni 2013 auf eine entsprechende Leseranfrage in der britischen Zeitschrift „The Guardian“. Als Schwachstelle benannte Snowden hier allerdings die Sicherheit am Endpunkt, da für den jeweiligen Kommunikationspartner oft nicht ersichtlich sei, welche Datenschutzrichtlinien nach erfolgter Entschlüsselung beim Empfänger eingehalten würden.

Wie kann sich der Niedergelassene konkret in seiner Praxis schützen? KZBV und BZÄK geben in ihrem Leitfaden zu Datenschutz und Datensicherheit für die Zahnarztpraxis-EDV erste wertvolle Hinweise. Die heute übliche elektronische Speicherung und Verarbeitung persönlicher Daten erleichtere die Praxisabläufe, bringe aber zugleich neue Verpflichtungen für Zahnarzt und Praxisteam mit sich, heißt es darin. Es müssen Schutzvorkehrungen getroffen werden, die erstens die Patientendaten vor der Weitergabe an Dritte schützen und zweitens diese Daten vor dem unbefugten Zugriff Dritter und vor einem Verlust, zum Beispiel durch technische Ausfälle, absichern. Der Sicherheitsstandard in der Praxis ist im besten Fall angemessen und praktikabel zugleich.

Die flächendeckende Online-Übermittlung der Abrechnungsdaten soll mittelfristig in allen KZV-Gebieten möglich sein. BZÄK und KZBV geben in ihrem Leitfaden folgende Hinweise zur Online-Abrechnung:

• Sicherzustellen ist, dass der Empfänger der Abrechnungsdaten zweifelsfrei die zuständige KZV ist. Falls die Abrechnungsdaten auf einem Portal abgelegt werden, wird durch die KZV sichergestellt, dass jeder berechtigte Zahnarzt nur auf seine Daten Zugriff hat (durch sichere, idealerweise Hardware-basierte Authentisierungsmaßnahmen).

• Da Abrechnungsdaten in der Regel personenbezogene und damit sensible Daten sind, müssen sie während der Übertragung nach aktuellen Sicherheitsstandards verschlüsselt sein.

• Sobald die Abrechnungsdateien ohne begleitende Papierunterlagen übermittelt werden, auf denen der Zahnarzt die Ordnungsmäßigkeit der abgerechneten Leistungen per Unterschrift bestätigt hat („papierlose Abrechnung“), ist die Abrechnungsdatei nach Auffassung der KZBV qualifiziert zu signieren, um die Rechtssicherheit für diese Form des Abrechnungswegs zwischen KZVen und Praxen zu gewährleisten. Die geeigneten Instrumente dazu sind mit ZOD-Karte und elektronischem Zahnarztausweis vorhanden – letzterer ist aktuell nur im Saarland verfügbar. Die jeweilige KZV entscheidet, wie zu verfahren ist.

Diese Anforderungen können alle durch ZOD-Karte oder elektronischem Zahnarztausweis erfüllt werden. Beide Karten ermöglichen mit der zugehörigen Sicherheitsinfrastruktur eine sichere Kommunikation des Zahnarztes mit seiner Standesorganisation oder Kollegen. Mit ihrer Hilfe können Zahnärzte Dateien und E-Mails vor dem Versenden verschlüsseln. Das Besondere: Daten können speziell für einen bestimmten Empfänger verschlüsselt werden, so dass nur er sie öffnen kann. Außerdem wird mit Hilfe dieser Karten die sichere Authentifizierung an den KZV-Online- Portalen und eine qualifizierte elektronische Signatur ermöglicht.

Der Datenschutzkontrollausschuss der Vertreterversammlung der KZBV empfiehlt, die Online-Datenübermittlung über einen eigenen „Internet“-Computer durchzuführen, der nicht mit der restlichen Praxis-EDV verbunden ist. Eine direkte Internetverbindung des Praxisverwaltungssystems (PVS) dürfe nur bei bei ausreichender Absicherung des PVS mit geeigneten Schutzmaßnahmen durchgeführt werden (Firewall, Virenschutz).

Mit den vorhandenen Instrumenten und technischen Lösungen lässt sich der Schutz von Patientendaten bei richtiger Anwendung gewährleisten. Auch die Politik sieht sich im Übrigen nach der NSA-Affäre zur digitalen Selbstverteidigung gezwungen. Das EU-Parlament verabschiedete kürzlich strengere Datenschutzregeln.