Gematik erklärt die ePA-Sicherheitslücke für erledigt – aber das eigentliche Problem ist systemisch

Die gematik hat nur einen Tag nach dem offiziellen Start der elektronischen Patientenakte (ePA) eine Sicherheitslücke eingeräumt. Doch anstatt transparent über strukturelle Defizite zu sprechen, liefert sie eine Mischung aus beschwichtigenden Formulierungen, selektiver Darstellung und politischer Abwiegelung. Wer sich die Pressemitteilung genauer anschaut, erkennt: Das Problem ist größer als ein »Szenario«.

»Der Chaos Computer Club hat ein Szenario für unberechtigte Zugriffe […] beschrieben.«

Die gematik spricht verharmlosend von einem Szenario. Gemeint ist: Der CCC könnte den Behandlungskontext einer versicherten Person einsehen bzw. zugreifen. Das war kein hypothetisches Gedankenspiel, sondern ein nachvollziehbarer, praktisch demonstrierbarer Angriffspfad auf reale Gesundheitsdaten.

Das Wort Szenario dient hier dazu, die Bedrohung zu abstrahieren und das Risiko in den Bereich des Theoretischen zu schieben. Damit wird gezielt verschleiert, wie gravierend die Lücke tatsächlich war.

»Die Sicherheitslücke, die für einzelne Versicherte weniger Krankenkassen bestehen könnte […]«

Diese Formulierung ist ein rhetorisches Meisterstück der Vernebelung. Eine Lücke besteht könnte – aber auch nur für einzelne Versicherte – und das bei wenigen Krankenkassen. Statt Verantwortung zu übernehmen, wird das Problem auf ein vages »irgendwo, vielleicht, nicht viele« heruntergestuft.

Tatsächlich war der Angriffspfad, den der CCC (Bianca Kastl und Martin Tschirsich) dokumentierten, klar nachvollziehbar: Für den Zugriff auf eine ePA wird ein sogenannter hash check value (hcv) benötigt – ein Prüfwert, der aus der Wohnadresse und dem Versicherungsbeginn berechnet wird. Diese Informationen sollten laut gematik nur durch Auslesen des Chips der Gesundheitskarte zugänglich sein. Doch die Forscher zeigten, dass sich diese Daten automatisiert über die Schnittstelle zur elektronischen Ersatzbescheinigung (eEB) abfragen lassen – allein durch Eingabe der Versichertennummer und der öffentlichen Kennziffer der Krankenkasse.

Mit dem so berechneten hcv, der Versichertennummer, der Gesundheitskartennummer (beide auf der Karte aufgedruckt), einem gültigen Praxisausweis (SMC-B) und Zugang zur Telematikinfrastruktur war der Zugriff auf ePAs technisch möglich – ohne die Karte physisch auszulesen. Es handelt sich nicht um ein theoretisches Risiko, sondern um ein praktisch demonstriertes Angriffsmodell – bei einem System, das angeblich höchsten Sicherheitsanforderungen genügt.

Karl Lauterbach: »In der Frühphase des ePA-Starts war mit solchen Angriffsszenarien zu rechnen.«

Diese Aussage ist ein Offenbarungseid. Wenn der Minister »mit solchen Angriffsszenarien« rechnet – warum wurde das System dann in dieser Form ausgerollt? Wer Angriffe erwartet, aber keine robusten Schutzmechanismen implementiert, handelt grob fahrlässig.

Gesundheitsdaten gehören zu den sensibelsten überhaupt. Wenn selbst der Minister eingesteht, dass mit Angriffen gerechnet wurde, dann liegt die Verantwortung für fehlende Sicherheitsvorkehrungen direkt bei ihm und der gematik. »Frühphase« ist hier keine Ausrede, sondern ein Eingeständnis struktureller Unsicherheit.

Dr. Florian Fuhrmann (gematik): »Hinweise externer Sicherheitsforscher:innen gehen wir in standardisierten Prozessen umgehend nach […]«

Das klingt nach einem Sicherheitsprozess, wie man ihn sich in einem Lehrbuch vorstellt – doch in der Praxis hat es offenbar nicht gereicht, die Schwachstelle selbst zu entdecken. Es braucht also den CCC, um auf schwerwiegende Mängel hinzuweisen. Die Selbstbeschreibung als proaktiv agierende, sicherheitsbewusste Institution steht im krassen Widerspruch zur Realität: Die gematik war reaktiv, nicht präventiv.

»Wir haben bislang keine Hinweise darauf, dass es einen unbefugten Zugriff […] gegeben hat.«

Auch das ist eine typische Verteidigungsfloskel. Keine Hinweise bedeuten nicht, dass es keine Zugriffe gab – nur, dass sie möglicherweise nicht bemerkt wurden. In sicherheitskritischen Infrastrukturen zählt nicht die Abwesenheit von Nachweisen, sondern der Nachweis von Sicherheit.

Weil die gematik keine öffentlich nachvollziehbare Dokumentation zu einem integritätssicheren Audit-Logging bereitstellt, ist Zurückhaltung bei der Bewertung angebracht. Die Behauptung, es gebe »keine Hinweise« auf Zugriffe, ersetzt keine forensische Nachvollziehbarkeit – und ist daher sicherheitstechnisch nicht belastbar.

»Grundsätzlich gilt weiterhin: Die ePA für alle wurde und wird mit höchsten und modernsten Sicherheitsstandards gebaut […]«

Diese Passage ist reiner PR-Sprech. »Höchste und modernste Sicherheitsstandards« – dabei wurde gerade öffentlich gemacht, dass Angreifer die Infrastruktur täuschen und sich unberechtigten Zugriff auf hochsensible Gesundheitsdaten verschaffen konnten. Wie passt das zusammen?

Diese Formel ist das digitale Pendant zu »alles unter Kontrolle«. In Wahrheit ist sie Ausdruck einer Sicherheitsfiktion: Standards sind nur so gut wie ihre Umsetzung – und hier hat die Praxis das Marketing eingeholt.

Fazit

Die gematik bemüht sich, eine Sicherheitslücke herunterzuspielen, indem sie technisches Versagen in vorsichtige Formulierungen kleidet und Verantwortung diffus verteilt. Die zentrale Erkenntnis des CCC wird nicht ernsthaft aufgearbeitet, sondern mit rhetorischer Schadensbegrenzung übertüncht.

Die Lücke ist symptomatisch für ein tiefer liegendes Problem: Die ePA wurde in einer sicherheitskritischen Umgebung auf ein technisches Fundament gestellt, das nicht präventiv denkt, sondern reaktiv repariert – und dabei auf Hinweise von außen angewiesen ist. Wer davon ausgeht, dass niemand über die Motivation und die Mittel verfügt, gezielt Gesundheitsdaten auszuspähen, verkennt die Realität und wiegt sich in gefährlicher Naivität. Gerade staatliche Akteure wie Russland oder China verfügen über das technische Know-how, die nachrichtendienstlichen Strukturen und ein strategisches Interesse an der Auswertung personenbezogener Informationen. Gesundheitsdaten gelten aufgrund ihrer Sensibilität und Tiefe als besonders schützenswert (intelligence goldmin) – sie erlauben Rückschlüsse auf psychische Verfassung, Erkrankungen, Beziehungsgeflechte und Verwundbarkeiten. Aus sicherheitspolitischer Perspektive können solche Daten zur gezielten Beeinflussung, Erpressung oder Diskreditierung eingesetzt werden.

Doch der eigentliche Skandal ist: Es brauchte nicht einen Geheimdienst, um auf Gesundheitsdaten zugreifen zu können – es reichten zwei engagierte Sicherheitsforscher, ein einfaches Skript und öffentlich dokumentierte Schwächen im System. Dass eine derart sensible Infrastruktur auf derart leicht aushebelbaren Schutzmechanismen basiert, ist nicht nur ein technisches Versagen – es ist ein sicherheitspolitisches Risiko für Staat und Gesellschaft.

Solange die gematik nicht bereit ist, echte Fehlerkultur, vollständige Transparenz und externe Kontrolle zuzulassen, bleibt das Vertrauen in die digitale Gesundheitsinfrastruktur fragil. Und das ist gefährlich – für die Gesellschaft, nicht nur für »einzelne Versicherte«.