Stand: Oktober 2025
Die elektronische Patientenakte (ePA), seit Januar 2025 für rund 70 Millionen gesetzlich Versicherte in Deutschland automatisch eingeführt (sofern kein Widerspruch erfolgt), ist ein zentraler Baustein der Gesundheitsdigitalisierung. Sie speichert Diagnosen, Befunde und Medikationspläne zentralisiert, um Behandlungen effizienter zu gestalten. Seit Oktober 2025 sind Ärzte, Apotheken und Kliniken verpflichtet, die ePA zu nutzen, was die Vernetzung intensiviert. Trotz hoher Sicherheitsversprechen der Gematik, die das System betreibt, zeigen unabhängige Gutachten und Expertenanalysen erhebliche Schwachstellen. Diese Analyse beleuchtet die zentralen Sicherheitslücken, potenzielle Angriffsvektoren und deren Implikationen.
Überblick über die ePA-Architektur und Sicherheitskonzeption
Die ePA basiert auf der Telematikinfrastruktur (TI), einem Netzwerk für sicheren Datentransfer im Gesundheitswesen. Daten werden verschlüsselt in zertifizierten deutschen Rechenzentren gespeichert, mit Ende-zu-Ende-Verschlüsselung für die Kommunikation. Patienten steuern Zugriffsrechte über Krankenkassen-Apps, und Zugriffe werden protokolliert. Die Gematik betont strenge Standards, einschließlich Virenscans und rollenbasierten Zugriffen. Dennoch fehlt eine patientenindividuelle Verschlüsselung, was die Abhängigkeit von zentralen Schlüsseln erhöht. Externe Betreiber wie IBM verwalten Teile der Infrastruktur, was Risiken durch Drittanbieter birgt. Unabhängige Gutachten, etwa vom Fraunhofer-Institut, sowie Kritik von Experten wie dem Chaos Computer Club (CCC) deuten auf strukturelle und technische Mängel hin, die Massenzugriffe ermöglichen könnten.
Zentrale IT-Sicherheitsschwächen der ePA
Die Schwachstellen der ePA lassen sich in technische, organisatorische und menschliche Faktoren gliedern, resultierend aus der Systemkomplexität und einer überhasteten Einführung.
- Schwächen in der Authentifizierung und Identitätsprüfung
Die Verifikation über die elektronische Gesundheitskarte (eGK) ist anfällig für Umgehungen, sodass Zugriffe ohne physische Karte möglich sind. Experten demonstrierten, dass elektronische Ersatzbescheinigungen gezielt Akten freischalten können, selbst nach Updates. Die Abschaffung der PIN-Eingabe in Praxen erleichtert den Workflow, vergrößert aber die Angriffsfläche. Zudem fehlt eine strikte Rollentrennung bei Betreibern, sodass Mitarbeiter mit Rechenzentren-Zugriff Masterkeys kompromittieren könnten, was vollständige Datenverluste ermöglicht. - Fehlende patientenindividuelle Verschlüsselung und zentrale Abhängigkeiten
Anders als ursprünglich geplant, gibt es keine patientenspezifische Ende-zu-Ende-Verschlüsselung. Daten sind zentral verschlüsselt, was Innentäter oder externe Hacker mit Root-Zugriff gefährdet. Die Beteiligung von Drittanbietern wie IBM erhöht das Risiko durch unklare Zugriffsregelungen. Cloud-Elemente in der TI machen das System anfälliger für externe Angriffe, ähnlich wie in den USA, wo unverschlüsselte Server häufig kompromittiert werden. - Organisatorische und menschliche Faktoren
Die TI leidet unter technischen Störungen, etwa durch unzureichende Praxisausstattung, was Zugriffsprobleme verursacht. Interne Bedrohungen durch medizinisches Personal oder Hersteller sind möglich, da Zugriffsrechte institutionell vergeben werden. Phishing und Malware zielen auf schwache Endgeräte wie Praxis-PCs oder Apps ab, was durch fehlende flächendeckende Multifaktor-Authentifizierung erleichtert wird. Die Opt-out-Mechanik ist benutzerunfreundlich, was ungewollte Datensammlung begünstigt und das Vertrauen mindert. - Weitere technische Lücken
Ungepatchte Schwachstellen in der TI ermöglichen Netzwerk-Intrusionen. Die Integration von vernetzten Medizingeräten (IoMT) wie Wearables erweitert die Angriffsfläche. Ein Cyberangriff auf einen Zugangskarten-Anbieter zeigte, wie Antragsdaten abfließen können, um Kaskaden-Zugriffe zu ermöglichen. Zudem fehlen Virenscans für hochgeladene Dokumente, was Malware-Infektionen erleichtert.
Wie die ePA gehackt werden kann: Potenzielle Methoden
Angriffe auf die ePA nutzen die genannten Schwächen und folgen Mustern aus internationalen Datenschutzverletzungen.
- Phishing und Credential-Theft
Angreifer täuschen Praxis-Mitarbeiter mit gefälschten E-Mails, um Zugangsdaten zu stehlen. Mit kompromittierten Credentials können ganze Patientengruppen-Daten abgerufen werden. Solche Angriffe dominieren weltweit, da Multifaktor-Authentifizierung oft fehlt. - Ausnutzung von Authentifizierungs-Lücken
Kryptografische Schwächen in der eGK-Verifikation erlauben Zugriffe auf einzelne oder Massenakten ohne physische Karte, etwa über manipulierte Ersatzbescheinigungen oder Identitätsnachweise. Solche Angriffe sind skalierbar und könnten im Extremfall alle 70 Millionen Akten gefährden. - Innentäter-Angriffe und Supply-Chain-Exploits
Betreiberpersonal oder Drittanbieter könnten Masterkeys missbrauchen, um Daten zu exfiltrieren oder zu löschen. Ein Angriff auf einen Kartenanbieter zeigte, wie Ausweisanträge kompromittiert werden können. Ransomware könnte zudem Systeme lahmlegen, wie in den USA, wo unverschlüsselte Daten häufig betroffen sind. - Malware und Netzwerk-Intrusionen
Ungepatchte Server sind anfällig für Malware, die Daten verschlüsselt oder stiehlt. IoMT-Geräte bieten Seiteneinstiege, da sie oft schwach gesichert sind. Internationale Beispiele zeigen, dass solche Angriffe bei fehlenden Patches hohe Erfolgsraten haben.
Risiken und gesellschaftliche Implikationen
Ein erfolgreicher Hack könnte Identitätsdiebstahl, Erpressung durch sensible Diagnosen oder Versorgungsstörungen verursachen. Die Kosten pro Vorfall könnten Millionen Euro erreichen, ähnlich wie in den USA. In Deutschland droht ein Vertrauensverlust, da viele Versicherte die ePA skeptisch sehen. Langfristig könnten Daten auf dem Darknet gehandelt werden, was Diskriminierung durch Versicherungen oder Arbeitgeber begünstigt. Die Gematik hat auf Lücken reagiert, doch Experten fordern eine grundlegende Überarbeitung.
Maßnahmen und Empfehlungen
Zur Risikominimierung sind regelmäßige Sicherheitsprüfungen, schnelle Patches und Schulungen für Personal essenziell. Patienten sollten Zugriffe strikt kontrollieren und die Opt-out-Option nutzen. Betreiber müssen patientenspezifische Verschlüsselung einführen und unabhängige Audits durchführen. Internationale Standards wie HIPAA zeigen, dass Incident-Response entscheidend ist. Die ePA birgt großes Potenzial, doch ohne Sicherheitsverbesserungen bleibt sie ein Risiko.
Quellen
- Chaos Computer Club (CCC), Analysen zur ePA-Sicherheit, 2025
- Fraunhofer-Institut SIT, Sicherheitsgutachten zur Telematikinfrastruktur, Frühjahr 2025
- Bundesamt für Sicherheit in der Informationstechnik (BSI), Berichte zu TI-Schwachstellen, 2025
- Gematik, Offizielle Dokumentation zur ePA, 2025
- Bundesministerium für Gesundheit, Stellungnahmen zur ePA, 2025
- Berichte zu US-EHR-Datenlecks, Healthcare IT News, 2025
- Studien zu Phishing-Angriffen in Gesundheitssystemen, Cybersecurity Reports, 2025
- Analysen zu IoMT-Sicherheitsrisiken, NIST, 2025
- Berichte zu D-Trust-Cyberangriff, IT-Sicherheitsnachrichten, Januar 2025
- CCC-Demonstrationen zu Authentifizierungslücken, April 2025
- Umfragen zur ePA-Akzeptanz, Deutsches Ärzteblatt, 2025
