IT-Sicherheit
Krankenhäuser im Visier von Hackern
Laut IT-Berater Pierre Gronau ist der Gesundheitssektor nur unzureichend vor Cyberangriffen geschützt.
Regensburg.Herr Gronau, wie ist es um die Digitalisierung des Gesundheitssektors bestellt?
Pierre Gronau: Wir erleben hier unterschiedliche Szenarien. Zum einen nutzen Konsumenten immer mehr Fitness- und Sport-Apps, um Gesundheitsdaten zu speichern. In den Arztpraxen hingegen findet eher ein Verharrungsmoment statt. Ärzte, insbesondere Hausärzte, begegnen einer weitergehenden Digitalisierung mit Vorbehalt. Meine Annahme ist, dass sie möglicherweise den Hippokratischen Eid – die älteste bekannte Datenschutzregelung im europäischen Rechtskreis – vor Augen haben und IT sowie die digitale Transformation nicht als Helfer, sondern als nicht berechtigte „Mitwisser“ begreifen. In den Krankenhäusern wiederum ist das große Problem, dass die Digitalisierung nicht mit den Anforderungen an die IT-Sicherheit Schritt hält. Laut Eigenangaben verwendet nur ein Drittel der 130 Krankenhäuser Deutschlands, die als kritische Infrastruktur eingestuft werden, eine dem Stand der Technik gemäße IT. Mindestens zwei Drittel aller Krankenhäuser – wahrscheinlich sind es viel mehr – sind durch die Anbindung an das Internet unzureichend vor Cyberangriffen geschützt.
Wie kann die IT-Sicherheit in den Krankenhäusern verbessert werden?
Milliardenbeträge sind notwendig, um medizinische Geräte und die klassische IT-Infrastruktur zu modernisieren und zu sichern. Dazu brauchen wir eine Wertediskussion. Unsere Gesellschaft sollte bereit sein, für die bessere und geschützte Versorgung mehrere Milliarden Euro zusätzlich auszugeben. Inzwischen haben uns Einzelfälle in den USA und Großbritannien gezeigt, dass auch Herzschrittmacher über das Internet angreifbar sein können. Das will niemand.
Die zentrale Verfügbarkeit von Behandlungsdaten in digitalen Patientenakten soll das Gesundheitssystem effizienter machen. Erfüllt sich das Versprechen?
Von einer zentralen Verfügbarkeit kann momentan noch nicht die Rede sein und aus meinem Wissensstand heraus kann ich sagen, dass sich dies auch in den nächsten Jahren leider nicht ändern wird. Ein Grundproblem ist auch, dass sich die Gesundheitskarte ausschließlich an gesetzlich Krankenversicherte richtet, die 25 Millionen Privatversicherten sind ausgenommen. Die Mehrheit wäre also gezwungen, ihre Daten dem System zur Verfügung zu stellen. Die Minderheit der Privatversicherten würde davon profitieren, ohne sich jedoch selbst dem Risiko des Datenmissbrauchs auszusetzen. Private Krankenversicherungen wie beispielsweise die Allianz entwickeln aber eigene Angebote an digitalen Plattformen für ihre Patienten. Auch hier ist nicht klar, wer den Datenschutz sowie die IT-Sicherheit überprüft und sicherstellt.
Sie haben einen sehr kritischen Blick auf die digitale Patientenakte. Hat es nicht unbestreitbare Vorteile, Informationen wie Medikationsplan, Behandlungs- und Notfalldaten auf einer Plattform zusammenzuführen und dort verfügbar zu halten?
Aus Patientensicht ergibt folgende Prozessunterstützung Sinn: lückenlose und gesicherte Aufzeichnung aller Medizingerätedaten für die Behandlung. Dadurch können Fehlbehandlungen aufgrund von Allergien oder Wechselwirkungen von Medikamenten vermieden werden. Diese Vorteile können aber in diversen Szenarien auch ohne IT-Einsatz generiert werden. Als Beispiel sei hier der Allergiepass genannt. Und selbst wenn eine Patientenakte vorliegt, kann IT-Nutzung scheitern. So ist es beispielsweise in Unfallsituationen zum Teil unmöglich, die Identität des Patienten festzustellen. In so einem Fall besteht auch kein Zugriff auf gespeicherte Patientendaten mit Allergiehinweisen.
Was sollte getan werden, damit Patienten und die medizinischen Berufe die digitalen Möglichkeiten vertrauensvoll nutzen und größtmöglich davon profitieren können?
Auf Basis der Wertediskussion muss der Prozess für Datenschutz und IT-Sicherheit etabliert werden, während unabhängige Experten mindestens jährlich auditieren müssen. Hierbei erachte ich sogenannte Penetrationstests als wesentlich, um Sicherheitslücken zu entdecken und zu schließen. IT-Sicherheit sollte auf den Stand der Technik und der Wissenschaft gehoben werden, was bei den Datenansammlungen im Gesundheitswesen Pflicht sein muss. Zu guter Letzt fordere ich dazu auf, dass jeder Code, der hier eingesetzt wird, veröffentlicht wird, um Vertrauen und Sicherheit aufzubauen.
Dieser Text ist ein Beitrag aus der Wirtschaftszeitung. Hier geht es zum E-Paper: www.die-wirtschaftszeitung.de/epaper