Mehrheitlich nehmen Gesundheitsakteure die zunehmende Digitalisierung positiv wahr: 61 Prozent der Apotheker und 56 Prozent der Ärzte befürworten die Vorteile eines „digitalisierten Gesundheitswesens“. Sorgen bereitet allerdings das Thema „Schutz der sensiblen Patientendaten“. Zu Recht, finden IT-Experten: Sie bezweifeln, dass die Apps „TK-Safe“ und „Vivy“ die elektronischen Gesundheitsdaten von Millionen Versicherten einwandfrei speichern.

Sprung in die Zukunft: Ein App-Szenario

Dirk Wieland fühlt wieder ein stechendes Gefühl im Magen. Er loggt sich unterwegs in seiner Gesundheits-App ein und aktiviert die Selbstdiagnose. Wo er das Stechen fühlt? Wann das Stechen auftritt? Wie sich der Schmerz genau äußert? Die App stellt ihm noch einige Fragen und nennt anschließend die Diagnose „Magenübersäuerung“. Er erhält den Hinweis, einen Arzt zu konsultieren. Er seufzt, das Leiden hoffte er besiegt. Zum Glück erhält er für 17 Uhr eine digitale Sprechstunde bei seinem Gastroenterologen. Er sendet ihm dafür ein Update seiner letzten Arzt- und Laborbefunde. Der Arzt bestätigt: Es ist Hyperazidität. Das elektronische Rezept vom Arzt löst er noch heute in seiner Apotheke ein: die Nacht ist gerettet.

Gesundheits-Apps bleiben fraglich

Dass dieses Zukunftszenario fraglich bleibt, zeigt der Blick in die Schattenseiten solcher  Gesundheits-Apps. Dem MDR gegenüber äußerte sich Prof. Gerd Glaeske, Leiter des Bremer Instituts „Länger besser leben“, kritisch über die Gesundheits-App „Vivy“. Zwar könne sie Patientendaten einheitlich zugänglich machen, doch sei der Datenschutz lückenhaft. Auch wären Ärzte wie Krankenhäuser faktisch noch nicht in der Lage, beispielhaft E-Rezepte zur Verfügung zu stellen. Zum Datenschutz sagte er dem Rundfunksender: "Eine App kann leicht mitgelesen und gehackt werden." Viel besser sei die Lösung, Daten über die elektronische Gesundheitskarte zu speichern.

Auch Mike Kuketz, IT-Lehrbeauftragter an der dualen Hochschule Karlsruhe, veröffentlichte im vergangenen September harsche Kritik an den bislang verfügbaren Modellen zur Gesundheitsdaten-Speicherung. Auf seinem Blog fielen die beiden Gesundheits-Apps „Vivy“ und „TK-Safe“ aus guten Gründen durch.

Über Vivy sagt Kuketz dort explizit: „Denn noch bevor der Nutzer überhaupt die Möglichkeit hat, in die Datenschutzerklärung einzuwilligen, werden zahlreiche Informationen an Drittanbieter (Tracking-Unternehmen im Ausland) übermittelt.“ Weitergeleitet würden beispielsweise Informationen über das Gerät und den Mobilfunkanbieter. Dass bei der App „Vivy“ das Tracking-Unternehmen „Mixpanel“ in den USA Zugriff auf die Analysedaten habe, sei wenig beruhigend. Das Unternehmen sei schon mehrfach in Medienberichten negativ aufgefallen.

Auch bei der App TK-Safe entdeckte der IT-Experte, dass gleich nach deren Start Daten an eine Analysefirma geschickt werden: „Unmittelbar nach dem Start kontaktiert die App die Analysefirma Webtrekk“. Das Problem: Die Einwilligungserklärung erhält der Nutzer erst, nachdem die Daten bereits übermittelt wurden.

Die Haltung der App-Anbieter

Dagegen führt das Berliner Unternehmen Vivy auf Rückfrage an, dass ihre App durch eine asymmetrische Ende-zu-Ende-Verschlüsselung gesichert sei und der Patient selbst entscheide, mit wem er diese teilen möchte. Auch habe weder Vivy selbst noch sein IT-Dienstleister Bitmarck Zugriff auf diese Daten. So äußert sich Jennifer van der Wals stellvertretend für das Berliner Start-Up: „Grundsätzlich sind alle Transportwege gesichert und verschlüsselt. Daten werden bei jeder Übersendung verschlüsselt.“ Auch Dr. Jens Baas, Pressesprecher der TK, ist der Ansicht, dass die App „TK-Safe“ höchsten Datenschutz und Datenhoheit gewährleiste: „Alles, was in TK-Safe abgespeichert wird, ist dreifach verschlüsselt. Nur mit registriertem Smartphone und Passwort kommen Sie an die Daten“ lautet ein offizielles Statement Dr. Baas' im April 2018. Dabei würden die Daten direkt auf dem Smartphone ver- und wieder entschlüsselt.

Staat soll Kontrollinstanz bilden

Wie kann der Datenschutz im Bereich e-Health groß geschrieben werden? Und zwar noch größer als die Apps der Krankenkassen es bislang tun? Aus Sicht des IT-Lehrbeauftragten der Hochschule Karlsruhe Mike Kuketz ist der Staat die beste Instanz, um einen sicheren und datenschutzfreundlichen Umgang mit Daten zu gewährleisten. Staatliche Prüfer sollten ihmzufolge regelmäßig Unternehmen und Akteure kontrollieren. „Auch wenn viele unserem Staat die IT-gestützte Verwaltung von Gesundheitsdaten ebensowenig zutrauen, so hätte ich persönlich mehr Vertrauen in unseren Staat, als in ein gewinnorientiertes Privatunternehmen“, schreibt Kuketz in seinem Blog. Letzteres sei dem Analysten zufolge ein essentieller Sicherheitsstandard: „Sowohl die IT-Infrastruktur als auch die Gesundheits-App selbst sollten regelmäßig anlassbezogen von unabhängigen externen Institutionen auf die Gewährleistung eines angemessenen Sicherheitsniveaus geprüft werden. Diese Audits … müssen unverzüglich und vollständig – nach Behebung schwerwiegender Fehler – veröffentlicht werden“, sagt Kuketz zu etwaigen Sicherheitslücken.

Weitere technische Anforderungen an e-Gesundheitsdaten

Als technische Anforderungen nennt der IT-Analyst folgende Standards für den Umgang mit Gesundheitsdaten: Die Speicherung der Daten sollte eher auf einem elektronischen Chip als auf einer App erfolgen, die stets lückenhaft sei. Daneben propagiert er ein offenes Sicherheitskonzept: Alle Akteure sollen Schutzmaßnahmen transparent und lückenlos dokumentieren. Etwaige Störfälle müssen sofort gemeldet werden. Offene Schnittstellen würden den Betroffenen ermöglichen, ihre Gesundheitsdaten jederzeit zu verwenden. Die Datenhoheit müsse selbstverständlich bei den Patienten liegen. Und zuletzt gewährleistet Datensparsamkeit, dass nur Daten erhoben und verarbeitet werden, die unbedingt erforderlich sind.