Ärzteorganisationen stimmen ePA-Paket nicht zu
Kooperativ hin oder her, ganz einstimmig scheint die Sache nicht gewesen zu sein. Alle stimmberechtigten Leistungserbringerorganisationen scheinen die Freigabe des Dokumentenpakets abgelehnt zu haben. Das sind konkret Bundesärzte- und zahnärztekammer, Kassen(zahn)ärztliche Bundesvereinigung(en), Deutsche Krankenhausgesellschaft und der Deutsche Apothekerverband. Es fehle der ePA für alle der „deutliche Mehrwert“ gegenüber den derzeit von den Krankenkassen angebotenen ePAs, so die Bundesärztekammer (BÄK) in einer Stellungnahme, mit der sie die Ablehnung publik machte.Konkret fehlt der BÄK unter anderem eine Volltextsuche für die Inhalte der ePA: „Hier muss schnell nachgearbeitet werden, damit die Suchfunktion möglichst von Anfang an Ärztinnen und Ärzte bei der Nutzung der ePA in der Behandlung ihrer Patientinnen und Patienten unterstützt“, so Erik Bodendieck, Co-Vorsitzender des BÄK-Ausschusses "Digitalisierung in der Gesundheitsversorgung". Kritisch zu sehen sei außerdem, dass serverseitig kein Virenscanner für die ePA-Inhalte vorgesehen sei.
Neue Sicherheitsarchitektur öffnet Tor für neue Funktionen
Beide Funktionen werden überhaupt erst durch die neue Sicherheitsarchitektur der „ePA für alle“ möglich, die auf die Ende-zu-Ende-Verschlüsselung traditioneller Art verzichtet. Bisher werden ePA-Dokumente vom Konnektor ver- und entschlüsselt, und sie liegen entsprechend lückenlos verschlüsselt auf dem Server.Das soll anders werden: Auch künftig werden ePA-Daten verschlüsselt übertragen und gespeichert. Es wird aber ein Zeitfenster geben, in dem die Daten auf dem Server in einer so genannten vertrauenswürdigen Ausführungsumgebung (VAU) im Klartext vorliegen, ähnlich wie das auch beim eRezept gemacht wird. Das ermöglicht es, mit den Daten in begrenztem Umfang zu arbeiten und erlaubt theoretisch – unter anderem – Volltextsuchen und serverseitiges Virenscannen.
Dass beides, Volltextsuche und serverseitige Virenscanner, zumindest in der ersten Version „3.0“ der neuen ePA-Spezifikation keine Berücksichtigung finden sollen, hat auch der ePA-Experte Mark Langguth in einem aktuellen Interview mit E-HEALTH-COM kritisiert. Er war früher bei der gematik und ist heute freier Berater.
Volltextsuche wäre „ein Riesenmehrwert“
Langguth hält die neue Architektur prinzipiell für absolut sinnvoll: „Es geht bei der ePA ja nicht um eine Datenübertragung von Punkt A nach Punkt B, sondern um eine potenziell lebenslange Akte, die Daten und Dokumente enthält, mit denen ich nach Jahren oder sogar Jahrzehnten noch arbeiten will. Auch der Server selbst sollte in meinem Auftrag mit meinen Daten arbeiten können. Das wird jetzt möglich. Ärztinnen und Ärzte könnten Dokumente serverseitig durchsuchen lassen, das Handling von Medikationsplan bzw. Medikationsliste wird unkomplizierter. Und auch Performance und Stabilität der ePA werden sich verbessern.“
Die neue Architektur kommt den Nutzer:innen also weit entgehen. Gerade Performance und Stabilität waren Dinge, die von Ärzteseite immer wieder angemahnt wurden. Umso unverständlicher sei, dass die Möglichkeiten der neuen Architektur jetzt nicht konsequent genutzt würden, so Langguth: „Die gematik sieht eine Volltextsuche in der aktuellen Spezifikation nicht vor. Das tut weh, und ich finde es unverständlich. Das sollte mit Blick auf die Akzeptanz der ePA bei den medizinischen Einrichtungen dringend geändert werden. In meinen Gesprächen mit Ärztinnen und Ärzten ist die Aussage immer: ‚Ich will nicht nach Metadaten suchen, sondern ich will konkrete Anfragen an das Aktensystem stellen.‘ Das ginge künftig mit der neuen ePA, und das wäre ein Riesenmehrwert.“
Warum kein zusätzlicher Virenscanner?
Auch den Verzicht auf die serverseitigen Virenscanner kann Langguth nicht nachvollziehen: „Man könnte beim zentralen Aktenprovider zusätzlich zu den ohnehin nötigen Virenscannern auf Ebene der medizinischen Einrichtungen einen weiteren Virenscanner laufen lassen, der alle eingestellten Dokumente nochmals prüft und verdächtige Dokumente in Quarantäne stellt. Ich hielte das für sehr sinnvoll, und es ist bei zentraler Datenhaltung eigentlich auch üblich. Aber es ist derzeit noch nicht von der gematik vorgesehen. Warum das so ist, erschließt sich mir nicht, insbesondere wenn man bedenkt, dass ja auch die Versicherten von ihren ePA-Apps aus Dokumente hoch- und runterladen sollen und dass auf Mobilgeräten typischerweise keine Virenscanner installiert sind.“
Dass einerseits auf zentrale Virenscanner verzichtet wird, andererseits bei den Dokumententypen eine bisher nicht übliche Beschränkung auf PDF/A statt konventionellem PDF erfolgen soll, hält der IT-Experte für besonders unglücklich. PDF/A ist sicherer, unter anderem weil konventionelles PDF ausführbaren Java-Code enthalten kann. Es wird aber in weiten Teilen des Gesundheitswesens und auch darüber hinaus noch sehr wenig genutzt. Nicht einmal EKG-Dokumente der Apple Watch nutzen PDF/A. Mit einem zusätzlichen Virenscanner, so Langguth, könnte man das geringe zusätzliche Risiko durch konventionelle PDF-Dokumente quasi abfedern, ohne darauf verzichten zu müssen. Das wird auch in vielen anderen sicherheitskritischen Bereichen so gehandhabt. „Das kann man keinem erklären, und es ist völlig unnötig“, so Langguth.
gematik: Volltextsuche kommt später
Was sagt die gematik zu den genannten Kritikpunkten? E-HEALTH-COM hat nachgefragt, und zumindest hinsichtlich der Volltextsuche scheint Problembewusstsein vorhanden. Zwar werde es zum Start lediglich die Möglichkeit geben, „die anfangs eher in geringem Umfang vorhandenen Dokumente anhand ihrer Metadaten zu durchsuchen.“ Dabei soll es aber nicht bleiben: „Eine erweiterte Volltextsuche, die über das Durchsuchen der Metadaten hinausgeht, wird in einem darauffolgenden Update umgesetzt.“
Beim Thema Virenscanner scheint man dagegen keine Änderungen zu planen: Hinsichtlich potenzieller Bedrohungen durch Viren sei die Architektur der ePA dahingehend konzipiert, dass „von vornherein verhindert wird, Schadsoftware einzuschleusen.“ Diese geschehe zum einen durch die Beschränkung auf PDF/A und strukturierte Dateiformate, zum anderen durch die in der Versorgung eingesetzten Programme zum Virenschutz.
Weitere Informationen
Das ausführliche Interview mit Mark Langguth zur ePA-Spezifikation der gematik lesen Sie in der aktuellen Ausgabe 1/2024 der E-HEALTH-COM (erscheint am 28. Februar 2024).