Elektronische Patientenakte: Was bringt die Einführung der ePA?

Für Millionen Menschen in Praxen, Kliniken und Apotheken soll sie jetzt in den Alltag kommen: die elektronische Patientenakte, kurz ePA. Nach vielen Verzögerungen geht das Großprojekt am Mittwoch an den Start. Wichtige Gesundheitsdaten wie Befunde und Medikamente sollen damit standardmäßig digital parat stehen – es sei denn, man lehnt es für sich ab. Gesundheitsminister Karl Lauterbach (SPD) erwartet enorme Verbesserungen für die Versorgung und die Forschung. Vor dem bundesweiten Einsatz steht aber noch eine Testphase.

Alle gesetzlich Versicherten, die nicht widersprochen haben, bekommen jetzt nach und nach eine ePA von ihrer Krankenkasse eingerichtet. Das dürfte sich über zwei bis vier Wochen hinziehen, heißt es vom Ministerium. Denn gerechnet wird mit mehr als 70 Millionen E-Akten. Am Mittwoch startet auch der konkrete Betrieb – aber nicht gleich überall, sondern in drei Modellregionen. In Hamburg mit Umland und in Franken sollen mehr als 250 Praxen, Apotheken und Kliniken loslegen und Daten einstellen. Eine dritte Region ist in Nordrhein-Westfalen.

Wenn das System in den Regionen stabil funktioniert, soll es auch bundesweit losgehen. Klar sein soll das frühestens nach vier Wochen – also voraussichtlich nicht vor Mitte Februar. Dann soll auch die technische Anbindung in 150.000 Gesundheitseinrichtungen in der ganzen Republik startbereit sein. Dafür, wie Versicherte von ihrer Kasse erfahren, dass eine ePA für sie bereitsteht, gibt es verschiedene Vorgehensweisen, wie es beim Spitzenverband heißt – etwa als Push-Nachricht in der Kassen-App oder mit einer Info auf der Homepage.

Patienten haben Zugriff per App

Für Patienten bringt die E-Akte mehr Transparenz etwa über Befunde, Laborwerte, Diagnosen, Medikamente und Abrechnungen ihrer Kasse. Wer möchte, kann in seine ePA hineinschauen und auch Daten einstellen, man muss es aber nicht. Einsehen kann man sie über eine App der jeweiligen Kasse zum Beispiel auf Smartphones, Tablets oder Laptops. Was Ärzte einstellen und wer worauf zugreifen darf, kann jeweils festgelegt werden. Bei einem Kassenwechsel kann man die Daten mitnehmen. Generell bleibt die ePA freiwillig, man kann auch später noch widersprechen und sie löschen lassen.

Das Kernziel ist, bisher verstreute Daten zusammenzuführen und damit eine bessere Behandlung zu ermöglichen. In Praxen sei es oft so, dass Dokumente aus vorangegangenen Behandlungen fehlten oder gar nichts vorliege, erläutert die Kassenärztliche Bundesvereinigung (KBV). Manche Patienten haben Ausdrucke zu Hause, Daten liegen auch in Computern der jeweiligen Praxen. Künftig sollen wichtige Angaben auf einen Blick bereitstehen und damit auch Mehrfachuntersuchungen und Arznei-Wechselwirkungen besser vermeiden.

Fünf Prozent der Patienten widersprechen aktiv

Der Start der „ePA für alle“ soll einen Durchbruch für die lange stockende Digitalisierung bringen. Als wählbares Angebot, um das sich Versicherte aktiv kümmern mussten, waren E-Akten bereits 2021 eingeführt worden. Sie wurden bisher aber kaum genutzt: Zu Jahresbeginn gab es 1,9 Millionen ePAs bei mehr als 74 Millionen gesetzlich Versicherten. Ein Gesetz der Ampel-Koalition kehrte daher das Prinzip um: Nun bekommen alle eine ePA, außer man widerspricht aktiv (Opt-out). Die Widerspruchsquote liegt laut Kassen-Spitzenverband im Schnitt bei fünf Prozent. Auch private Versicherungen können ePAs anbieten.

Wenn man in der Praxis oder Klinik die Versichertenkarte einsteckt, bekommen die behandelnden Ärzte ein Zugriffsrecht zum Lesen und Füllen der ePA. Standardmäßig gilt es für 90 Tage, man kann die Spanne über die App verkürzen und verlängern. Patienten können in der Sprechstunde bestimmen, wenn ein Befund nicht in die Akte hinein soll. Bei sensiblen Daten müssen sie auch ausdrücklich auf dieses Widerspruchsrecht hingewiesen werden, wie das Ministerium erläutert. Der Verbraucherzentrale Bundesverband pocht auf unkomplizierte Einstellungen, welcher Mediziner was einsehen kann. „Sonst erfährt am Ende die Zahnarztpraxis von der Psychotherapiebehandlung.“

Erweiterungen für die kommenden Monate geplant

Ärzte sind künftig verpflichtet, wichtige Dokumente in die E-Akte einzustellen. Gleich zum Start soll auch eine Liste der Medikamente enthalten sein, die automatisch aus den inzwischen üblichen E-Rezepten erstellt wird. Ab Sommer soll als nächstes ein Medikationsplan mit zusätzlichen Angaben etwa zu Dosierungen von Arzneimitteln dazukommen. Die KBV weist darauf hin, dass die ePA als „versichertengeführte“ Akte die eigene Dokumentation der Ärzte in ihrem jeweiligen Praxissystem nicht ersetzt. Auch eine direkte Kommunikation zwischen Praxen bleibe wichtig, zumal Versicherte Daten löschen können.

Lauterbach versicherte zum Start: „Die Daten der Bürger sind sicher vor Hackern.“ Zuvor hatte der Chaos Computer Club (CCC) vor Angriffsmöglichkeiten gewarnt. Die Computerexperten seien mit ihren Bedenken monatelang nicht ernst genommen worden, sagte CCC-Mitglied Martin Tschirsich dem Magazin „Stern“. Demnach könnten sich Kriminelle durch Schwachstellen umfassenden Zugang zu sensiblen Gesundheitsdaten verschaffen. Ein Sprecher des Gesundheitsministeriums wies die Darstellung als „so nicht richtig“ zurück.

Gesundheitsministerium beteuert Sicherheit

Tschirsich zufolge hat der CCC nachgewiesen, „dass Angreifern der Zugriff auf sämtliche digitalen Patientenakten möglich wäre“. Bereits im August 2024 habe er die Manipulationsmöglichkeiten der Agentur Gematik mitgeteilt. Als Nationale Agentur für Digitale Medizin ist die Gematik zuständig für die Telematik-Infrastruktur, also die sichere Vernetzung der medizinischen Versorgung innerhalb Deutschlands. Im Dezember 2024, so Tschirsich weiter, habe er die Sicherheitslücken praktisch demonstriert, kurz vor einer geplanten Veröffentlichung der Erkenntnisse beim CCC-Kongress in Hamburg.

Die mehrheitlich bundeseigene Digitalgesellschaft Gematik kündigte daraufhin Lösungen an, um gewisse Angriffsszenarien zu unterbinden. Gespeichert werden die Daten laut Ministerium auf Servern in Rechenzentren im Inland innerhalb der geschützten Datenautobahn des Gesundheitswesens. Generell wird jeder Zugriff auf die ePA mit Datum und Uhrzeit protokolliert. In die ePA hochzuladen sein sollen nur Dateiformate, die keine Viren übertragen.

Lücken bis zuletzt?

Das Bundesgesundheitsministerium erklärte laut „stern“ auf Anfrage, das vom CCC im Dezember präsentierte Angriffsszenario sei „in dieser Kombination neu“ gewesen. Die neue Sicherheitslücke werde derzeit technisch aufgelöst und ist bis zum Start der ePA in Deutschland behoben. Die ePA für alle gehe nicht ans Netz, bevor solche Risiken für den massenhaften Angriff nicht ausgeschlossen sind.

In der Pilotphase sei das Angriffsszenario des CCC nicht relevant, weil nur für die Testphase registrierte Ärzte Zugriff auf Patientenakten im Behandlungskontext hätten. Auch die Gematik teilte laut „stern“ auf Anfrage mit, das Angriffsszenario des CCC sei bis Dezember unbekannt gewesen und habe „eine neue Risikobetrachtung notwendig gemacht“. Die Gematik habe die Punkte des CCC mit einem Maßnahmenpaket adressiert. Nach deren Umsetzung stehe dem bundesweiten Rollout nichts entgegen.

Forschungsdaten sollen nur pseudonymisiert weitergegeben werden

Für Versicherte gibt es bei der ersten Anmeldung in der ePA-App ebenfalls Sicherheitsanforderungen. Gebraucht wird ein elektronischer Personalausweis mit Geheimnummer (Pin) – oder die elektronische Gesundheitskarte mit Pin, die man auf Antrag von der Krankenkasse bekommt. Für die spätere App-Nutzung kann man dann selbst Identifizierungswege am Smartphone einstellen, etwa per Gesichtserkennung. Wer die App nicht selbst verwenden will, kann zum Beispiel Angehörige damit betrauen. Auch Kinder bekommen eine ePA, wenn die Eltern nicht widersprechen, ab 15 können sie es selbst entscheiden.

Einen Schub bringen soll die E-Akte auch für die Forschung. Geplant ist, dass von Juli 2025 an Daten der ePAs für Forschungswecke an eine zentrale Stelle weitergeleitet werden. Die Daten werden dafür pseudonymisiert verwendet, wie das Ministerium erläutert - also ohne direkt personenbeziehbare Angaben wie Name und Adresse. Versicherte können aber auch dieser Nutzung in der App oder bei einer Ombudsstelle der Krankenkasse widersprechen. Lauterbach sieht enorme Chancen für die Forschung mit großen Datenbeständen, wenn auch noch Daten aus Registern und Kassen-Abrechnungen einbezogen werden.