„Die Ende-zu-Ende-Verschlüsselung würde uns nicht weiterbringen“

DAZ: Die Spezifikationen für die E-Rezept-App liegen seit Juni 2020 vor. Ein Aspekt, der in verschiedenen Medien für Aufsehen und Diskussionsstoff sorgte, ist die Tatsache, dass es bei der Übertragung von E-Rezepten zwischen Arztpraxen und Apotheken keine Ende-zu-Ende-Verschlüsselung geben wird. Wie argumentieren Sie den Kritikern gegenüber?

Diening: Wichtig ist, zunächst klarzustellen, dass es bei den Spezifikationen nicht darum geht, etwas kategorisch auszuschließen, sondern zu definieren, wie man stattdessen ein entsprechendes Sicherheitsziel erreicht. Die sogenannte vertrauenswürdige Ausführungsumgebung, die wir nun konzipiert haben, wird ein gleichwertiges Datenschutzniveau gewährleisten wie die Ende-zu-Ende-Verschlüs­selung und gleichzeitig garantieren, dass wir mit automatisierbaren Prozessen die Übertragung von Rezept­daten optimieren. Es soll um die Verringerung von Bearbeitungsaufwand und Fehlerrate gehen. Selbstverständlich wird ausgeschlossen, dass der Betreiber des Fachdienstes auf Patienten- und Verordnungsdaten zugreifen kann. Wie wir dies erreichen, werden wir als Quellcode offenlegen. Eine Referenzimplementierung des E-Rezeptes befindet sich schon jetzt auf unserer Webseite.

DAZ: Blickt man auf die E-Rezept-Modellprojekte, dann ergeben sich ja die unterschiedlichsten Lösungsansätze: GERDA in Baden-Württemberg impliziert eine zentrale Lösung, mit einem Server, auf dem die Rezeptdaten abgelegt werden und von dem sie beim Einlösen des Rezept-Tokens in der Apotheke dann abgerufen werden. Bei der „Zukunftsregion Digitale Gesundheit“ (ZDG), dem E-Rezept-Pilotprojekt in Berlin/Brandenburg, geht es hingegen um eine dezentrale Ende-zu-Ende-Verschlüsselung. Musste sich die Gematik zwischen einem der beiden Konzepte entscheiden im Hinblick auf die Spezifikationen?

Diening: Wie Sie richtig anmerken: Das sind Modellprojekte, in denen zeitlich und regional begrenzt Erfahrungen gewonnen werden sollen. Uns bei der Gematik geht es aber um die Digitalisierung des Gesundheitswesens für mehr als 80 Millionen Menschen. Das heißt, es müssen Daten zwischen den unterschiedlichsten Institutionen ausgetauscht werden – und zwar nicht nur bundesweit, sondern zukünftig auch in Europa, damit deutsche Patienten beispielsweise ihre Rezepte in Frankreich einlösen können.

DAZ: In der IT-Branche wird der Schritt weg von der Ende-zu-Ende-Verschlüsselung aber durchaus skeptisch gesehen. Für den Deutschen Apothekerverband (DAV) wäre dies die favorisierte Sicherheitsarchitektur gewesen. Andererseits wird von der Übertragung vertraulicher Daten über Messenger-Dienste grundsätzlich abgeraten – auch wenn diese mit einer Ende-zu-Ende-Verschlüsselung arbeiten. Wie passt dies zusammen?

Diening: Bei einer Ende-zu-Ende-Verschlüsselung bleiben die Daten über alle Übertragungsstationen hinweg verschlüsselt, und nur Absender und Empfänger können auf sie zugreifen und sie lesen. Zwischendurch hat also niemand Zugriff. Trotzdem ist über Meta-Daten einsehbar, von wem und an wen, wann und wo etwas übertragen wird. Unabhängig davon würde uns die Ende-zu-Ende-Verschlüsselung beim E-Rezept in der Telematikinfrastruktur nicht weiterbringen.

DAZ: Weshalb?

Diening: Weil es uns ja nicht darum geht, lediglich das Muster-16-Rezeptblatt zu digitalisieren und zu versenden, sondern die Übertragung von Verordnungen zu optimieren und vor allem sicherer zu machen. Dafür muss es möglich sein, dass im Rahmen der vertrauenswürdigen Ausführungs­umgebung das E-Rezept auf bestimmte Eigenschaften überprüft wird: Wurde es vom Praxisverwaltungssystem syntaktisch korrekt erstellt? Ist es von der Apotheke bereits abgerufen worden? Muss es nachträglich unter Umständen storniert oder ersetzt werden? Diese Fragen lassen sich bei einer Ende-zu-Ende-Verschlüsselung überhaupt nicht klären. Außerdem ist es notwendig, dass eine auf internationalen Standards basierende Anbindung geschaffen wird.

DAZ: Nun stellt die vertrauenswürdige Ausführungsumgebung ja gewissermaßen einen zentralen Computerspeicher dar, der örtlich lokalisierbar ist. Jetzt gehen wir mal von einem Stromausfall aus …

Diening: Die vertrauenswürdige Ausführungsumgebung verteilt sich auf mehr als einen Standort und legt die Informationen als redundante Datenpakete ab. Es müsste also schon ein europaweiter Stromausfall sein, dass Patienten überhaupt nicht mehr auf ihre E-Rezepte zugreifen könnten. Ein eher unrealistisches Szenario.

DAZ: Wie sieht es bei einer Hacker-­Attacke aus? Zuletzt wurde beispielsweise das Robert Koch-Institut Opfer eines DDoS-Angriffs, bei dem eine Flut sinnloser Anfragen die Server in die Knie zwingen.

Diening: Bezüglich solcher Anomalien findet bei uns ein permanentes Monitoring statt. Wir tun extrem viel dafür, dass genau solche Angriffe nicht von Erfolg gekrönt sind. Selbst, wenn es zu dem unwahrscheinlichen Fall kommt, dass der E-Rezept-Dienst vor­übergehend nicht zu erreichen ist, sollte dies noch kein Problem für die Versorgung darstellen.

DAZ: Spätestens seit der Einführung von SecurPharm sind die Apotheker leidgeplagt, was den – auch nur temporären – Ausfall zentraler Server angeht. Da, wo Digitalisierung eigentlich für Vereinfachung und Convenience sorgen soll, ergibt sich plötzlich ein noch größeres Hindernis.

Diening: Wenn alle Stricke reißen, können die Ärzte immer noch ersatzweise ein Muster-16-Rezept ausstellen. Schließlich kann ein IT-Problem ja auch an ganz anderen Stellen auftreten, z. B. auf der Seite der Praxis.