Flop beim elektronischen Patientendossier: Was ist da wirklich los?

Der Start des elektronischen Patientendossiers im Wallis musste Knall auf Fall abgeblasen werden: Denn die Piratenpartei hatte ernsthafte Sicherheitslücken entdeckt. Wie das? Der Versuch einer genaueren Erklärung.

, 2. September 2015 um 15:35
image
  • e-health
  • trends
  • wallis
  • patientendossier
Es war in der Tat ein ungewöhnlicher Vorgang: Eine Kleinstpartei gibt bekannt, dass ein Patienteninformations-System nicht funktioniert. Ein Datenschutz-Beauftragter gibt der Partei recht und empfiehlt, den Start des E-Dossier-Systems zu verschieben. Und die zuständige Regierung folgt auf dem Fuss und bricht die Übung ab.
So gestern geschehen: Zum Septemberbeginn hätte das neue elektronische Patientendossier im Kanton Wallis starten sollen – doch daraus wurde nichts. Wie die Walliser Gesundheitsdirektorin Esther Waeber-Kalbermatten entschieden hat, sollen externe Spezialisten nochmals die Sicherheit des Systems Infomed überprüfen.

«Freiwild für Hacker?»

Doch was heisst das konkret? Wären die Walliser Patienten ohne die Warnung aus der Piratenpartei zum «Freiwild für Hacker» geworden, wie die «Neue Zürcher Zeitung» in einer Schlagzeile rätselte?
Solche Fragen sind umso drängender, als recherchierenden Piraten auch befinden, dass das andere aktive E-Patientendossier in der Schweiz, jenes von Genf, ebenfalls zu unsicher sei.
Konkret benennen die Experten zwei Lücken:
Zum einen würden die Infomed-Websiten nach veralteten Standards verschlüsselt, so Piratenpartei-Co-Präsident Stefan Thöni zur NZZ. «Damit ist das System nicht genügend gegen Hackerangriffe geschützt»; und es sei denkbar, dass gewiefte Übeltäter die Gesundheitsdaten der Walliser Bevölkerung einsehen oder sogar abändern könnten.

«So sicher, wie es sein kann»

Der andere Punkt: Infomed verwendet den Dienst Google Analytics, um seine Zahlen und Nutzerdaten zu analysieren. Dabei werden aber auch IP-Adressen und Browserdaten an Google übermittelt – also präzise Hinweise auf die Benutzer, in diesem Fall also auf die Walliser Patienten oder Ärzte. Damit wird es zumindest leicht einsichtig, wer wann auf die Infomed-Seite zugegriffen hat.
Ist dies kritisch? Ist es sehr bedenklich? An einer Podiumsdiskussion im Rahmen des Forums «Health 2.015» äusserte der Direktor des Bundesamts für Gesundheit, Pascal Strupler, gestern die Ansicht, das Infomed-System sei trotz allem «vermutlich so sicher, wie es sein kann» – und das Problem sei wohl effizient unter Kontrolle zu bringen. Doch solch ein Fall koste Vertrauen. Was wiederum die ganze Idee der E-Patientendossiers schädige.

«Weit entfernt von aktuellen guten Praktiken»

Tatsächlich scheint ein Problem nicht in der vorhandenen Technologie selber zu liegen, sondern in deren Auswahl und Anwendung. Das welsche Fachportal «ICT Journal» erkundigte sich beim Computersicherheits-Professor Pascal Junod nach einer Einschätzung – und der Befund war ernüchternd: Nur schon auf den Zugängen zur Website scheine es grosse Sicherheitslücken zu geben. Gewisse Technologien seien vier oder fünf Jahre alt, teils würden sie gar nicht mehr unterstützt, so dass Verbesserungen und Updates nicht mehr möglich sind.
Insgesamt, so Junods Einschätzung, sei die Sicherheit nicht richtig berücksichtigt worden («Cela demontre que la sécurité n'a probablement pas été prise en consideration»). Und weiter: Das Infomed-System sei «weit entfernt von aktuellen guten Praktiken im Sicherheitsbereich.»
Dies erinnert dann doch an eine Einschätzung, welche Guillaume Saouli gestern geäussert hatte, der andere Co-Präsident der Piratenpartei: «Schlamperei». 

«Wenn schon so einfache Sachen schiefgehen…»

Gegenüber der Fachseite «Computerworld» monierte Stefan Thöni obendrein, dass die Nutzer gar nicht über die Einbindung von Google Analytics informiert würden. Auch fehlten auf Infomed die Informationen, wie man seine persönlichen Daten bearbeiten oder löschen könne.
Auf die heiklen Punkte seien die Piraten gestossen, indem sie lediglich die öffentlich zugänglichen Informationen ausgewertet habe, erläuterte Thöni in der NZZ: «Wenn schon so einfache Sachen schiefgehen, muss man leider annehmen, dass doch andere gravierende Sicherheitslücken bestehen.»
Artikel teilen

Loading

Comment

2 x pro Woche
Abonnieren Sie unseren Newsletter.

oder

Mehr zum Thema

image

Diese fünf Behandlungen in der Physiotherapie sind unnötig

Massagen, Ultraschall oder Infrarot-Wärme: Solche Behandlungen allein gelten heute als unnütz und stehen deshalb nun auf einer Liste.

image

Rega will trotzdem ins Wallis

War es ein abgekartetes Spiel? Die Rega ortet jedenfalls «grobe Mängel» beim Entscheid, dass sie im Wallis nicht retten darf.

image

Ist das die Lösung für den Transport von Laborproben?

Bisher scheiterten viele Versuche mit Transportdrohnen. Doch die Laborgruppe Dr. Risch versucht es nun erneut.

image

Deshalb heissen Affenpocken nun Mpox

Das kommt sehr selten vor: Die WHO hat eilig den Namen einer Krankheit geändert. Weil «Affenpocken» zum Schmähwort geworden ist.

image

Der ORBIS U Frame wird pilotiert

«Willkommen bei ORBIS» – seit vielen Jahren begrüsst ORBIS NICE seine Anwender mit diesen Worten. Als Marktführer im deutschsprachigen Raum hat ORBIS täglich viele tausend Nutzer aus allen Arbeitsbereichen eines Krankenhauses.

image

Die Rega scheitert im Wallis an Air Zermatt und Air Glacier

Der Kampf der Rettungs-Unternehmen um den Walliser Luftraum ist entschieden: Die Rega erhält keinen Auftrag.

Vom gleichen Autor

image

Brust-Zentrum Zürich geht an belgische Investment-Holding

Kennen Sie Affidea? Der Healthcare-Konzern expandiert rasant. Jetzt auch in der Deutschschweiz. Mit 320 Zentren in 15 Ländern beschäftigt er über 7000 Ärzte.

image

Wer will bei den Helios-Kliniken einsteigen?

Der deutsche Healthcare-Konzern Fresenius sucht offenbar Interessenten für den Privatspital-Riesen Helios.

image

Deutschland: Investment-Firmen schlucken hunderte Arztpraxen

Medizin wird zur Spielwiese für internationale Fonds-Gesellschaften. Ärzte fürchten, dass sie zu Zulieferern degradiert werden.