Hans Zeger, Obmann der ARGE-Daten, veröffentlichte im Zuge der Debatte um die neueste Anonymous-Aktion eine Analyse: "Anonymous Austria - Wie schlampig ist die Tiroler Gebietskrankenkasse?". Darin kritisiert er den Vorfall, bei dem sich die Aktivisten-Gruppe AnonAustria Zugang zu 600.000 Datensätzen der Tiroler Gebietskrankenkasse verschafft hat, beziehungsweise wie die Anonymous-Aktion möglich war. Die ARGE wird eine Anzeige zu Gericht bringen, weil "die mangelnden Sicherheitsvorkehrungen das eigentliche Problem sind", sagt Hans Zeger. Der Datenschutzexperte sprach mit dem WebStandard über die Lücken, die einen solchen Datenskandal möglich machen. 

derStandard.at: Wie sieht es mit der Daten-Sicherheit in Arzt Praxen aus?

Hans Zeger: Darüber kann man nicht so viel sagen, weil es natürlich unterschiedliche gibt. Viele Informationen sind aber immer noch in Karteikartensystemen gespeichert. Wenn ich jetzt bei einem Arzt Daten stehlen möchte - wobei meistens bei Ärzten wegen der Hausapotheke eingebrochen wird, um Medikamente zu stehlen - dann geh ich einfach hin und hole mir den Computer. Dann hab ich die Daten. Das muss man schon ganz klar sagen, dass das Risiko von einem Online-Einbruch in eine Arztpraxis zwar gegeben, aber gering ist.

derStandard.at: Wo liegt ihrer Meinung nach die Gefahr?

Zeger: Was ich aber durchaus als Gefahr sehe, dass in Zukunft derartige Geräte zum Beispiel mithilfe des Elektronischen Gesundheitsaktes, kurz ELGA, zum Einfallstor für solche Attacken werden. ELGA ist flächendeckendes und zentral gesteuertes Gesundheitsverbund, dessen Gesetzesentwurf bereits abgeschickt ist.

derStandard.at: Sie meinten, dass unter ELGA der Schutz der Gesundheitsdaten unzureichend gewährleistet sein wird.

Zeger: Ja, denn salopp gesagt, enthält der Akt "das Schlechte von allen Welten". Das System verwaltet einige hundert Millionen Befunde von neun Millionen Bürgern, die dann für etwa 40.000 Zugriffsberechtigte zur Verfügung stehen. Ein derartiges Konzept in diesem Umfang ist in Österreich neu und sogar weltweit ist es selten. Vielleicht beim CIA gibt es so etwas Konfuses, aber sonst nirgends.

derStandard.at: Was ist das größte Problem an ELGA?

Zeger: Neben grundrechtlichen Bedenken ganz klar jenes, dass dieses Konzept laut Gesetzesentwurf über kein integriertes Sicherheitskonzept verfügt. Für das Gesamtsystem ist interessanterweise niemand zuständig. Zentral verwaltet werden nur die Links, zur dezentralen Verwaltung bleiben die Gesundheitsdaten übrig. In einem Nebensatz steht dann irgendwo drin: 'Für den Schutz der Daten ist der jeweilige Gesundheitsdienstleister zuständig.' Das heißt die Ärzte, Laboratorien, Hersteller von medizinischen Behälfen usw. könnten sagen: 'Mein System ist eh in Ordnung, weil sie verschlüsselt sind.' Aber er kümmert sich nicht weiter darum - weil er ja auch nicht dafür zuständig ist - dass sein Gerät zum Einfallstor für einen Anschlag auf die ELGA-Daten werden kann.

Ich habe schon gehört, dass noch nie Rechner des Hauptverbundes geknackt worden. Ja, das mag stimmen, aber wenn ich Böses im Schilde führen würde, würde ich mir Vorfeldrechner schnappen, schauen, ob da Daten herumkugeln - wie im Fall der TGKK - oder ob ich Passwörter finde. Mit denen kann ich mich dann in das System hineinwählen. Diese Lücke des ELGA-Konzepts ist zwar schließbar, aber die Lösung ist mit derart viel Aufwand verbunden, dass sie den Großteil unserer Gesundheitsressourcen schlucken würde.

derStandard.at: Was ist also die Lösung?

Zeger: Da gibt es viele Möglichkeiten. Zum Beispiel, dass man nicht eine einzige Methode zur Verwaltung anbietet, denn es gibt auch dezentrale Möglichkeiten. Alle Dienstleister der Gesundheitsbranche sollten vor allem einen einheitlichen Dokumentenstandard verwenden. Dann ist es egal, woher meine Daten kommen, denn ich habe immer den gleichen Standard. Egal, ob Patienten ihre Daten auf einer DVD gespeichert haben oder ob man sich entscheidet, die eigenen Daten über den Hauptverband verwalten zu lassen. Wenn aber eine zentrale Lösung entwickelt wird, muss der Betreiber alle Daten zentral bei sich verwalten und die Verantwortung dafür übernehmen.
Das halte ich für eine wesentlich bessere Lösung als die momentane, bei der Links verschickt und verknüpft und dezentral gespeichert werden. Und niemand ist eigentlich für die Daten verantwortlich.

derStandard.at: Sie haben in ihrer Stellungnahme geschrieben, dass 50 Prozent der österreichischen IT-Systeme nicht zureichend gesichert werden. Kann ein Vorfall wie jener mit der TGKK auch andere Bereiche in der Gesundheitsbranche treffen?

Zeger: Ich würde das nicht ausschließen. Was wirklich sichtbar wurde in der TGKK-Causa ist, dass sie grob fahrlässig und eigentlich nach den Datenschutz-Bestimmungen rechtswidrig mit den versicherten Daten umgegangen ist. Die Argumentation, wie ein solcher Datenbestand zustande kommt, ist, dass man die Datensätze den Rettungsorganisationen bereitstellen müsse, für den Fall, dass der Verletzte keine e-card bei sich habe. Am Ende sind es aber ein oder zwei Dutzend täglich (und keine 600.000), die die e-card-Daten benötigen. Wieso kann man nicht auf Anfrage checken, ob die Personen versichert sind und diese Daten dann verschlüsselt schicken?
In einer Bankfiliale gehe ich auch nicht davon aus, dass jeden Tag alle Kontendaten aller Kunden in die Filiale geschickt werden. Da wird auch zentral gespeichert und verschlüsselt mit einer adäquaten Sicherheitsstufe abgerufen. 

derStandard.at: Wird IT-Sicherheit in der Gesundheitsbranche stiefmütterlich behandelt im Gegensatz zum Bankensektor zum Beispiel?

Zeger: Würde ich nicht sagen, oft wird das Gefahrenpotenzial personenbezogener Daten einfach unterschätzt. Weshalb solche Bestände und in weiterer Folge auch Datenskandale entstehen. (Eva Zelechowski, derStandard.at, 29.09.2011)