Gutachten zur E-Rezept-App

Wie sicher ist die Gematik-App?

Süsel - 01.07.2021, 15:00 Uhr

Die Gematik hat ihre E-Rezept-App prüfen lassen und ist nun überzeugt: Sie ist eine „sichere Sache“. (Foto: pressmaster / AdobeStock)

Die Gematik hat ihre E-Rezept-App prüfen lassen und ist nun überzeugt: Sie ist eine „sichere Sache“. (Foto: pressmaster / AdobeStock)


Die App der Gematik für das E-Rezept ist da – und dies wird von der Gematik öffentlichkeitswirksam verkündet. Um für Vertrauen zu sorgen, veröffentlicht die Gematik die aufwendigen Gutachten zur Sicherheit. Dabei wird allerdings deutlich, dass in den Details noch einige Arbeit steckt. Insbesondere zeichnet sich ein neuer grundsätzlicher Streit zum Datenschutz ab.

Pünktlich zum Start des E-Rezepts am 1. Juli bietet die Gematik ihre lange erwartete „offizielle“ App an, die den Patienten einen sicheren Umgang mit E-Rezepten ermöglichen soll. Die Gematik hat diese App selbst entwickelt und die Spezifikationen für das E-Rezept bereitgestellt. Die Einschränkungen insbesondere bei der Authentifizierung der Nutzer werden seit Wochen diskutiert. Doch so lange die App nicht vorlag, gab es keine Antwort auf die Frage, ob die App selbst sicher ist. Dazu liegen nun ausführliche Gutachten vor. Die Gematik holt zu den von ihr spezifizierten Produkttypen externe Sicherheitsgutachten von akkreditierten Gutachtern ein. In technisch komplexeren Fällen gibt es zusätzlich ein Produktgutachten. Die Gematik folgt damit einer gesetzlichen Pflicht (§ 360 Abs. 10 SGB V). Für die App zum E-Rezept hat die Gematik beide Gutachten eingefordert und diese freiwillig veröffentlicht. 

Große Worte von Gematik und BSI

Holm Diening, Leiter Sicherheit bei der Gematik, erklärt dazu: „Wir veröffentlichen das Gutachten zur E-Rezept-App, um Transparenz im Sinne der Vertrauensbildung herzustellen“. Das entspreche dem Anspruch an eine offene Kommunikation. Daher sei die Software der Gematik, die Standard für den E-Rezept-Fachdienst vorgibt, auch öffentlich zugänglich. Inhaltlich erklärt die Gematik, die Gutachter würden bestätigen, „dass einer kontrollierten Inbetriebnahme in den Produktionsbetrieb nichts im Wege steht und die Anwendungen somit Teil der Telematikinfrastruktur werden können“. 

Mehr zum Thema

E-Rezept-Start in der Fokusregion Berlin-Brandenburg

Das E-Rezept kommt mit kleinen Schritten

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Informationssicherheit der App bestätigt und damit die Freigabe erteilt. BSI-Präsident Arne Schönbohm bezeichnet das E-Rezept als echten „Meilenstein in der Digitalisierung des Gesundheitswesens“. Es werde vielen Patienten das Leben erleichtern und ihnen beschwerliche Wege ersparen. In einer Pressemitteilung des BSI wird die medienbruchfreie Versorgung hervorgehoben und auf die bundesweite Einführung des E-Rezepts im vierten Quartal hingewiesen. Dabei wird der Eindruck vermittelt, die Ablösung des Papierrezepts stehe unmittelbar bevor. In den detaillierten Berichten wird hingegen deutlich, dass noch einige Arbeit zu leisten ist. 

Freigabe nur für den Testbetrieb

Das Produktgutachten wurde von der Wirtschaftsprüfungsgesellschaft PricewaterhouseCoopers (PwC) erstellt. Diese habe bei der Prüfung der Sicherheit der Anwendung die technisch implementierten Anforderungen hinsichtlich der Wirksamkeit analysiert und die Effektivität bewertet. Dabei sei kein Versagen festgestellt worden. Zu den Gematik-Anforderungen seien keine Sicherheitslücken festgestellt, sondern nur acht Empfehlungen ausgesprochen worden, die derzeit durch die Gematik umgesetzt würden.  

Außerdem würden 23 Anforderungen aus der Vorschrift des BSI nicht erfüllt. Eine Risikoanalyse habe ergeben, dass die Restrisiken in „einem begrenzten Test- und Probebetrieb hinnehmbar“ seien, wenn alle Teilnehmer darüber informiert seien, dass die App noch nicht in ihrer endgültigen Fassung vorliegt. Beispielsweise gebe es keine Warnung, wenn der Zugriff auf das Smartphone weder mit einem Code noch über einen Fingerabdruck gesichert sei. Für zehn Abweichungen habe das BSI die Auflage erteilt, dass Maßnahmen zur Behebung bis Ende 2021 umgesetzt werden sollen bzw. müssen, heißt es von der Gematik. Der von der Gematik so demonstrativ herausgestellte Prüfungsbericht ist also durchaus kein Freifahrschein, sondern eher ein Ticket für einen zeitlich begrenzten Probebetrieb. 

Neuer Ärger um den Datenschutz

Zu drei Abweichungen sollte eine Klärung mit dem Bundesbeauftragten für den Datenschutz angestrebt werden. Dabei gehe es um den Einsatz von „Google SafetyNet“. Von der Gematik heißt es dazu, das BSI habe aus der Sicht der IT-Sicherheit keine Bedenken dagegen. Der Einsatz sei im Bankensektor üblich. Das „Handelsblatt“ erläutert dazu in seinem Newsletter „Handelsblatt Inside Digital health“, einiges hätte die Gematik gerne umgesetzt, doch wegen des Widerstands des Bundesdatenschutzbeauftragten Ulrich Kelber habe sie das nicht gedurft. Kelbers Behörde habe untersagt, dass die App regelmäßig prüfe, ob das Smartphone einwandfrei arbeite. Solche Überprüfungen des Betriebssystems seien über Dienste des Betriebssystem-Herstellers möglich. Das halte Kelber offenbar nicht für rechtmäßig, denn es gehe darum, ob persönliche Gesundheitsdaten auf US-Servern verarbeitet werden. Das „Handelsblatt“ sieht darin eine neue Art des Konflikts mit dem Datenschutz. Sei es bisher beispielsweise bei der elektronischen Patientenakte um den Konflikt zwischen Datenschutz und Nutzerfreundlichkeit gegangen, würden nun Datenschutz und Datensicherheit aufeinandertreffen, heißt es im „Handelsblatt“-Newsletter. Zugleich wird dort erklärt, die Gematik habe mit den externen Prüfungen einen anderen Konflikt abgewendet. Denn zuvor sei kritisiert worden, dass die Gematik selbst Standards vorgibt, entwickelt und dann abnimmt.

Zahl der Anfragen an das System nicht begrenzt

Außerdem hat PwC einen „Security Penetration Test“ durchgeführt. Dabei wurde festgestellt, dass beliebig viele Anfragen an den Fachdienst und den Identity Provider gestellt werden können. Dies könne zur Überlastung führen und Angriffe auf das System erleichtern. Außerdem könnten Nutzer Screenshots von sensiblen Daten anfertigen und diese auch an ungeschützten Orten speichern.

Keine Frage nach dem Sinn

Wer die Berichte über die Prüfungen näher betrachtet, wird von der Flut der technischen Aspekte erschlagen. Doch es bleibt zu bedenken, dass alle diese Tests nur auf die gewünschten Funktionen und die technische Sicherheit zielen. Damit wird jedoch nichts über die inhaltliche Sinnhaftigkeit einzelner Funktionen ausgesagt. In diesem Zusammenhang irritieren die Formulierungen in der Funktionsbeschreibung, der DataMatrix-Code der „papierbehafteten Rezepte“ könne abfotografiert werden und Rezepte könnten vom Fachdienst abgeholt und an Apotheken übermittelt werden. Hier wird sprachlich nicht zwischen den Rezepten in der Telematikinfrastruktur und den Zugangscodes unterschieden. 

Hier finden Sie die Gutachten mit einem Vorwort der Gematik zum Herunterladen.  



Dr. Thomas Müller-Bohn (tmb), Apotheker und Dipl.-Kaufmann
redaktion@daz.online


Diesen Artikel teilen:


Das könnte Sie auch interessieren

Gutachten von PricewaterhouseCoopers veröffentlicht / Neuer Ärger um den Datenschutz

Gematik betont Sicherheit ihrer E-Rezept-App

Das bietet die E-Rezept-App der Gematik

Der direkte Draht

Gematik veröffentlicht E-Rezept-Spezifikationen – mit einigen Überraschungen

E-Rezept-App soll Apotheken „durchsuchbar“ machen

Zusatzfunktionen von Drittanbietern

E-Rezept-Apps: Wo die Gematik-Welt endet

Interview mit gematik-Geschäftsführer Leyck Dieken

„EHealth-Tec wird zu keinem Zeitpunkt Betreiberverantwortung übernehmen“

Was die Arzneimittelversender mit den Ausdrucken der E-Rezept-Zugangscodes vorhaben

Die Angst der Aktionäre

Wer erklärt das E-Rezept?

Kassen-Vorstand: Gematik ist naiv

Gematik entscheidet und schweigt

Zur Rose liefert Infrastruktur für das E-Rezept

DocMorris-Mutterkonzern arbeitet an Fachdienst mit – Gematik schweigt

Deutschlands E-Rezept in der Hand von IBM und Zur Rose

0 Kommentare

Das Kommentieren ist aktuell nicht möglich.