Anschluss der Arztpraxen an Telematikinfrastruktur offenbar mit vielen Fehlern

Im Zuge des "Roll-outs" verbinden derzeit sogenannte "Dienstleister vor Ort (DVO)" die von der gematik zur Anbindung an die Telematikinfrastruktur (TI) zertifizierten Konnektoren und Kartenlesegeräte mit den Praxisnetzwerken. Bis zum 31.03.2019 mussten Ärzte und Psychotherapeuten laut Gesetz die Ausstattung bestellen. Nun liegt es laut Kassenärztlicher Bundesvereinigung (KBV) an der Industrie, die Technik in allen Praxen bis zum 30.06.2019 zu installieren. Je nach bereits vorhandener Praxisumgebung stehen dazu laut gematik in der Regel zwei Anbindungsvarianten zur Verfügung - die "serielle" Anbindung und die "parallele" Anbindung.

Parallele Anbindung erfordert weitere Sicherheitsmaßnahmen

Für die große Mehrzahl der Arztpraxen sieht die gematik die serielle Anbindung (auch "Reihenbetrieb" genannt) als geeignete Anbindungsvariante. Hierbei erhielten alle Komponenten im Praxis-Netzwerk (LAN) Zugang über den Konnektor zur TI. Durch die integrierte Firewall des Konnektors werde das LAN optimal vor unautorisierten Zugriffen von außen geschützt. Die Betriebsart sei leicht zu konfigurieren und gewährleiste eine vertrauliche Übertragung medizinischer Daten, so die gematik.

Schaubild Reihenbetrieb
Im Parallelbetrieb ist dagegen keine Komponente des Praxisnetzwerks durch den Konnektor vor unautorisierten Zugriffen geschützt. Der Konnektor fungiert hierbei nicht als Firewall im LAN, sondern hängt parallel zu den anderen Netzwerkgeräten z. B. am Router. Die Betriebsart ist daher laut gematik nur für medizinische Einrichtungen geeignet, die bereits ein LAN etabliert haben und über entsprechende Sicherheitsfunktionen wie Verschlüsselungen und Firewalls gemäß den Standards des Bundesamtes für Sicherheit in der Informationstechnik verfügen.

Schaubild Parallelbetrieb
Woran erkenne ich die installierte Betriebsart?

Ärzte können die bei ihnen installierte Anbindungsvariante leicht erkennen. So ist der Konnektor im Reihenbetrieb mit mindestens zwei Kabeln, im Parallelbetrieb dagegen nur mit einem Kabel angeschlossen.

Auswahl der Betriebsart nicht alleine dem Techniker überlassen

So klar wie die gematik die Anschlussvarianten differenziert, ist für die Techniker (DVOs) die Entscheidung offenbar nicht. So ist IT-Experten Ernst nach eigener Aussage aktuell keine Praxis bekannt, wo der Reihenbetrieb Anwendung findet. Auch bei kleineren Praxen, die zuvor nicht mit dem Internet verbunden waren, wurde demnach der Parallelbetrieb gewählt. Obwohl die Ausgangslage klassisch für den von der gematik als sicher beschriebenen Reihenbetrieb sprach, hätten die Techniker den Praxis-PC direkt mit dem Router und nicht "in Reihe" über den Konnektor mit dem Internet verbunden. In Folge würde nicht nur die Firewall des Konnektors ausgehebelt, in einem konkreten Fall sei zudem auch keine Ersatzlösung konfiguriert worden. In solchen Fällen werden Patientendaten massiv dem Risiko eines unautorisierten Zugriffs via Internet ausgesetzt.

Ärzte sollten sich deshalb bei der Auswahl ihres DVO und der passende Betriebsart ausreichend Zeit nehmen. Der Installation vorausgehen sollte eine umfängliche und auf das jeweilige Praxisnetzwerk zugeschnittene Beratung durch den DVO inklusive der mit den Betriebsarten verbundenen weiteren Sicherheitsmaßnahmen wie Firewalls und Verschlüsselungen.

Parallelbetrieb als vermeintlich bessere Lösung

Die Sicherheit des Reihenbetriebs resultiert wesentlich aus der Firewallfunktion des Konnektors. Andere Dienste, wie zum Beispiel die Updatefunktionen des Betriebssystems oder weiterer installierter Software, könnten hierdurch auch unter Nutzung des zusätzlich über den Konnektor angebotenen "sicheren Internetzugangs (SIS)" blockiert werden. Schon nach kurzer Zeit würde sich die TI durch veraltete Software auf den angeschlossenen Rechnern auszeichnen, was wiederum ein netzinternes Risiko für die Arztpraxis bedeuten würde. Vielleicht erscheint es den DVOs deshalb leichter, die gewohnte Softwarefunktionalität unter Einrichtung des Parallelbetriebs aufrecht zu erhalten.
Wesentliche Grundvoraussetzung wäre dann jedoch die Einrichtung einer Firewall sowie eine Verschlüsselung für das gesamte Praxisnetz. Doch bereits bei der Konfiguration der Firewall träten nach Auskunft von Ernst Probleme auf. Sie lasse sich schon deshalb nicht ordnungsgemäß durchführen, weil die Ziel-IP-Adressen der TI sowie die benötigten Ports nicht bekannt seien und auch auf Nachfrage nicht veröffentlicht würden. Um alles schnell ans Laufen zu bekommen, so Ernst, würde dann der einfachste Weg gewählt. Über die dabei entstehenden Sicherheitsrisiken wie generell geöffnete Ports bis hin zu deaktivierten Firewalls blieben die Ärzte unkundig.

Dass der Reihenbetrieb in der Praxis nur wenig Anwendung findet, ist der gematik bekannt. Die TI-Betreibergesellschaft verweist in Anbetracht der Schlussfolgerung jedoch darauf, dass es sich bei der Installation der Konnektoren um ein Vertragsverhältnis zwischen Arzt und DVO handelt. Sie selbst hätte hierbei keinerlei Regulierungsbefugnis. In Anbetracht der jüngsten Berichterstattung hat die gematik aber am Donnerstag (25.04.2019) angekündigt "auf weitere Beratung und Information der Dienstleister vor Ort" hinzuwirken.

Freie Ärzteschaft rät: Notfalls Stecker ziehen

Die Freie Ärzteschaft (FÄ) empfiehlt den Praxisärzten daher, sich unbedingt abzusichern: Die IT-Firma, die die benötigten Geräte wie den Konnektor in der Praxis installiert hat, müsse ihnen schriftlich bestätigen, dass dabei höchste Sicherheitsstandards erfüllt und alle Datenschutzmaßnahmen genau umgesetzt wurden.

"Andernfalls ist es ratsam, das Praxisverwaltungssystem vom sogenannten Konnektor wieder zu trennen", sagte FÄ-Vorsitzender Wieland Dietrich. Nur dann könne der Arzt sicher sein, keine unkalkulierbaren Haftungsrisiken bei Datenschutzverletzungen nach der Berufsordnung, dem Straftatbestand des § 203 StGB oder der EU-Datenschutzgrundverordnung (DSGVO) einzugehen.

Techniker, so die FÄ, schalteten Berichten zufolge immer wieder Firewalls und Virenschutzprogramme der Praxisnetzwerke ab. "Beim Bundesbeauftragten für den Datenschutz und die Informationsfreiheit hat man dieses Vorgehen als ´grob fahrlässig´ eingestuft", unterstreicht Dietrich. Der FÄ-Chef weiter: "Die IT-Firmen haben bei der Installation der Geräte dafür zu sorgen, dass die Netzwerke hochsicher und deshalb auch verschlüsselt sind - das tun sie aber offenbar teilweise nicht."

Kritik auch vom Fachärzte-Spitzenverband

Die Diskussion spitze sich auf die Frage zu, wer für Verstöße gegen den Datenschutz haftet, die durch den TI-Konnektor verursacht werden, kritisiert Lars F. Lindemann, Hauptgeschäftsführer des Spitzenverbandes Fachärzte Deutschlands (SpiFa). Sein Verband fordert die Verantwortlichen, insbesondere jedoch die KBV als Interessenvertretung für die Vertragsärzte mit Nachdruck auf, zügig Klarheit zu schaffen, wer bei Fehlern haftet. "Vor dem Hintergrund der dringend notwendigen Beschleunigung der Digitalisierung sind solche Eiertänze pures Gift", so Lindemann.