Patientendaten sind begehrt. Ein Blick ins Darknet zeigt: Eine Krankenakte ist dort zwischen 50 und 60 Euro wert. Auch können Informationen über die Krankheit des Chefs eines börsennotierten Unternehmens den Aktienmarkt beeinflussen. „Wenn prominente Menschen Arztpraxen besuchen, schnellen die Hackerangriffe in die Höhe“, bestätigt Cyberabwehr-Experte Viktor Mraz.

Dennoch droht Bundesgesundheitsminister Jens Spahn (CDU) Vertragsärzten ab März mit Honorarabschlägen von 2,5 Prozent, wenn sie sich nicht an ein virtuelles Datennetzwerk mit über 115 000 Praxen anschließen, die sogenannte Telematikinfrastruktur (TI). Das ist zwar grundsätzlich sinnvoll: Durch die Vernetzung von Ärzten, Krankenhäusern, Apotheken und Krankenkassen können alle Beteiligten auf die elektronische Gesundheitsakte zugreifen. Das erspart Patienten Doppeluntersuchungen und Behandlungskosten.

Das Problem: Spahn macht den zweiten Schritt vor dem ersten. Viele Krankenhäuser sind noch gar nicht ausreichend gegen Hackerangriffe geschützt. Erst im Dezember musste das Klinikum in Fürth Operationen nach einem Cyberangriff absagen. Einige Monate zuvor blieb in Ingolstadt und Fürstenfeldbruck die Notaufnahme geschlossen, weil ein Virus die Rechner lahmgelegt hatte. Die Dunkelziffer dürfte weitaus höher sein, weil keine Meldepflicht besteht.

Das Blutdruckmessgerät als Einfallstor für Hacker

Gebessert hat sich trotz der Vorfälle offenbar wenig. Zum Jahreswechsel gelang es dem Chaos Computer Club erneut, auf die TI und damit auf Gesundheitsdaten von Versicherten zuzugreifen. Kleine Arztpraxen sind oft noch schlechter als Krankenhäuser geschützt, wie geleakte TI-Unterlagen zeigen. Ärzten und Mitarbeitern ist meist nicht bewusst, dass ihre elektronischen Geräte mit dem Internet verbunden sind. So kann das Blutdruckmessgerät zum Einfallstor für Hacker werden.

Ein weiteres Problem von Spahns Gesetz: Ärzte, die den 2,5-Prozent-Honorarabschlag vermeiden wollen und sich deshalb der TI anschließen, verstoßen möglicherweise gegen den gesetzlichen Datenschutz – und riskieren ein saftiges Bußgeld. Denn noch ist nicht geklärt, ob das Risiko der zentralen Verarbeitung der Patientendaten überhaupt in Relation zum Nutzen steht. Wegen eines Verstoßes gegen die Datenschutzgrundverordnung musste die Universitätsklinik in Mainz im Dezember 105 000 Euro Strafe zahlen.

Die Kassenärztliche Vereinigung Bayerns nennt die Einführung der TI in einem offenen Brief an Minister Spahn „eine unglaubliche Serie von Pleiten und Pannen“. Wegen zahlreicher Unklarheiten und IT-technischer Probleme sei es „kaum möglich, hochsensible Patientendaten und das vertrauliche Arzt-Patienten-Verhältnis zu schützen“, warnen die Ärzte. Das Bundesgesundheitsministerium antwortet, das Problem hätten diejenigen verursacht, die sich jetzt im offenen Brief beschweren. (David Lohmann)