Sicherheit der ePA: gematik beschließt Maßnahmen

Februar 4, 2025

Der Chaos Computer Club (CCC) hat kurz vor dem Jahreswechsel 2024/2025 über Sicherheitsprobleme bei der elektronischen Patientenakte (ePA) berichtet. Daraufhin hat die gematik in Absprache mit den Gesellschaftern ein Maßnahmenpaket beschlossen, um Sicherheitslücken im System zu schließen.

Laut der gematik wird das Ausnutzen der vom CCC identifizierten Schwachstellen als unwahrscheinlich einstuft. Dennoch werden konkrete Schritte unternommen, um die Sicherheit des Systems zu erhöhen. Die beschlossenen Maßnahmen umfassen sowohl technische als auch organisatorische Aspekte.

Die Umsetzung der technischen Maßnahmen obliegt der gematik, die organisatorischen Maßnahmen müssen dezentral von verschiedenen Parteien im Gesundheitssystem – einschließlich Apotheken – umgesetzt werden.

Darunter fallen folgende Maßnahmen:

• Keine Weitergabe von Hardware: Hardware, die für den Zugang zur TI benötigt wird (Konnektor, Kartenterminal, etc.) darf unter keinen Umständen weitergegeben oder verkauft werden. Dies gilt insbesondere für die SMC-B und die dazugehörige PIN.
  Entsprechend SGB V und der Endnutzerverträge zur SMC-B ist der Eigentümer verpflichtet, gemäß §5 des Endnutzervertrages stets sicherzustellen, dass Unberechtigte keinen Zugriff auf die SMC-B und deren PIN erhalten. Das Gleiche gilt auch für den persönlichen HBA.
  
  
• Kontrolle von IT-Dienstleistern vor Ort: Gesundheitseinrichtungen müssen sicherstellen, dass Dienstleister vor Ort (DVO) keinen unbefugten Zugriff auf die TI erhalten. Es wird empfohlen, nur vertrauenswürdige Personen an den Systemen arbeiten zu lassen und diese zu beaufsichtigen. Gesundheitseinrichtunge sind verpflichtet, den Zugang zur TI nur dafür zugelassenen Personen zu gewähren.
  
  
• Aktualisierung von Softwareständen: Alle Systeme mit TI-Zugriff müssen stets auf dem aktuellen Stand gehalten werden, um Sicherheitsrisiken durch veraltete Software zu minimieren.

Die gematik betont, dass die Umsetzung dieser Maßnahmen essenziell für die Sicherheit der ePA und das Vertrauen in das System ist. Gesundheitseinrichtungen und IT-Dienstleister sind aufgefordert, die Vorgaben sorgfältig zu prüfen und umzusetzen.

Quelle: ABDA-Information an die Geschäftsführer:innen und Justitiar:innen der Apothekerkammern vom 31. Januar 2025