Fragen und Antworten zur elektronischen Patientenakte

Was ist die elektronische Patientenakte?
„Mit der elektronischen Patientenakte erhalten Versicherte einen digitalen Ordner, in dem persönliche Gesundheitsdaten einrichtungsübergreifend abgelegt werden – ob Arztbriefe oder Befunde beispielsweise vom letzten Besuch beim Hausarzt oder Orthopäden, Entlassbriefe aus dem Krankenhaus oder eine Liste mit den elektronisch verordneten Medikamenten. Auch die Versicherten können Daten einstellen, zum Beispiel Vitaldaten aus Fitness-Apps. Sie entscheiden, welche Daten in ihre ePA reinkommen und wer Einsicht nehmen darf. Praxen beispielsweise haben Zugriff auf alle Informationen in der ePA, sofern der Versicherte dem nicht widersprochen oder bestimmte Dokumente verborgen hat“, erläutert die Kassenärztliche Bundesvereinigung (KBV).

Erhalten alle Versicherten am 15. Januar eine elektronische Patientenakte?
Der 15. Januar ist, so die SBK Siemens-Betriebskrankenkasse, der Startpunkt für die Einrichtung der Akten. Die gesetzlichen Krankenkassen beginnen an diesem Tag damit, die rund 70 Millionen elektronischen Patientenakten (ePA) anzulegen. Insgesamt wird es rund vier Wochen dauern, bis alle elektronischen Patientenakten für die Versicherten zur Verfügung stehen.

Sind alle Arztpraxen ab dem 15. Januar startbereit?
Die Einrichtung der nötigen Praxissoftware für die ePA werde ebenfalls schrittweise erfolgen. Die SBK Siemens-Betriebskrankenkasse erläutert: „Die gematik arbeitet für die Erprobung ihrer TI-Anwendungen mit zwei festen Modellregionen zusammen. In diesen Regionen gibt es ein aktives Ärztenetzwerk. Eine Gesellschaft koordiniert verschiedene Tests, Prozesse und Schnittstellen. Die über die Tests gewonnenen Erkenntnisse spielt diese Gesellschaft an die gematik zurück. Die Modellregionen sind Hamburg und Umland sowie Franken. Die Arztpraxen und Krankenhäuser, die sich in diesen Netzwerken engagieren, werden die ersten sein, die die ePA im Behandlungsalltag nutzen können. 
Hinzu kommen ausgewählte Ärztinnen und Ärzte aus Nordrhein-Westfalen - auch wenn das Bundesland keine offizielle Modellregion ist. Die Kassenärztlichen Vereinigungen Westfalen-Lippe, Nordrhein und die Krankenhausgesellschaft Nordrhein-Westfalen starten in Abstimmung mit der gematik ebenfalls bereits am 15. Januar damit, die Integration der ePA in den Versorgungsalltag zu testen.“
In den anderen Teilen Deutschlands könne die ePA bis zum Ende der Pilotphase von den Patientinnen und Patienten nur eingeschränkt genutzt werden. Sie erhalten nicht automatisch den Zugriff auf die ePA, sobald Versicherte ihre elektronische Gesundheitskarte in das Kartenterminal stecken. Bei Bedarf hätten die Versicherten jedoch die Möglichkeit, ihrer Arztpraxis oder ihrem Krankenhaus den ePA-Zugriff über die App zu gestatten.

Warum dauert das so lange, und wann ist dann die ePA wirklich überall im Einsatz?
Dazu die SBK Siemens-Betriebskrankenkasse: „Fast 100.000 Arztpraxen und rund 1.800 Krankenhäuser gibt es in Deutschland. Allein für die ambulante Praxisorganisation stellen 200 verschiedene Softwareanbieter Praxisverwaltungssysteme (PVS) zur Verfügung. Krankenhäuser nutzen dafür die sogenannten Krankenhaus-Informations-Systeme (KIS). Alle diese Anbieter müssen die entsprechenden Updates für die Anbindung der ePA bereitstellen, die Arztpraxen und Krankenhäuser müssen sie installieren und testen. Die Abläufe bei den Leistungserbringenden müssen angepasst werden. Wegen des immensen Aufwands wird mit der Umsetzung zunächst in den Modellregionen begonnen.
Die Hersteller der PVS und KIS sind verpflichtet, die Updates für ihre Softwarelösungen bis 15. Februar bereitzustellen. Wie lange der Testlauf in Arztpraxen und Krankenhäusern dauert, hängt vom Verlauf der Einführung ab. Ob die ePA nach der vierwöchigen Testphase bundesweit ausgerollt werden kann oder ob weitere Tests oder sogar Anpassungen durchgeführt werden müssen, entscheidet sich anhand festgeschriebener Kriterien. Das Bundesgesundheitsministerium gibt den offiziellen Startschuss. Erst dann sind alle Leistungserbringenden verpflichtet, die ePA auch zu befüllen. Experten rechnen damit frühestens Ende des ersten Quartals.“
 
Was ist der Unterschied zwischen der „ePA für alle“ und der bisherigen ePA?
Der Funktionsumfang ist der SBK Siemens-Betriebskrankenkasse zufolge zunächst im Großen und Ganzen gleich. Der Unterschied liege vor allem beim Einsatz im Versorgungsalltag: Die Mehrheit aller Versicherten werde eine ePA haben. „Die gesetzlichen Krankenkassen sind verpflichtet, sie ihnen anzubieten, und die Ärzteschaft muss sie auch befüllen. Die Erweiterung des Funktionsumfangs ist dann schrittweise ab der zweiten Jahreshälfte 2025 geplant.“

Wie funktioniert die ePA in der Videosprechstunde?
Dazu die KBV: „War der Patient in den letzten 90 Tagen in der Praxis – wurde also die Versichertenkarte gesteckt und das Versichertenstammdatenmanagement erfolgreich durchgeführt – haben Ärzte und Psychotherapeuten auch in der Videosprechstunde Zugriff auf die ePA. Ist das nicht der Fall, könnte der Patient dem Arzt oder Psychotherapeuten über seine ePA-App Zugriff erteilen. Ansonsten kann die ePA in Videosprechstunden nicht genutzt werden.“

Wann kommt die ePA für Privatversicherte?
„Private Krankenkassen dürfen ihren Versicherten eine ePA anbieten, müssen es aber nicht“, teilt die KBV mit.

Wie sicher ist die ePA?
Dazu nimmt die  Verbraucherzentrale Stellung: „Die elektronische Patientenakte speichert wichtige Gesundheitsdaten, die besonders geschützt werden müssen, um Missbrauch, Diskriminierung oder Vertrauensverlust im Gesundheitssystem zu vermeiden. Trotz eines hohen Sicherheitsniveaus, das von der gematik und vom BSI vorgegeben wurde, gibt es Bedenken hinsichtlich möglicher Schwachstellen.
Der Chaos Computer Club entdeckte im Dezember 2024 Lücken, durch die Angreifer mit gefälschtem Praxisausweis oder gefälschten Gesundheitskarten auf Gesundheitsdaten hätten zugreifen können. Diese Sicherheitslücken waren zum Beispiel möglich durch

• die unverschlüsselte Kartennummer auf der elektronischen Gesundheitskarte,
• Mängel im Kartenausgabeprozess für sogenannte Instituts-und Heilberufsausweise und
• den Erwerb gebrauchter Konnektoren. Das sind Geräte, die Zugang zur Infrastruktur des Gesundheitswesen gewähren.

Die gematik reagierte darauf mit einer Stellungnahme. Sie räumt ein, dass diese Angriffe theoretisch möglich sind, aber in der Praxis nur unter bestimmten Bedingungen und mit hohem Aufwand umzusetzen wären. Um die Schwachstellen zu beheben, sollen zusätzliche Sicherheitsmaßnahmen eingeführt werden, darunter

• eine Verschlüsselung,
• verbesserte Zugangskontrollen,
• verstärkte Überwachungssysteme und
• eine intensivere Sensibilisierung der Nutzer für den sicheren Umgang mit den Daten.“

Grundsätzlich seien die Sicherheitsvorgaben des Bundesamtes für Sicherheit in der Informationstechnologie für die ePA hoch. Bereits im Oktober 2024 hätte ein Forschungsteam des Fraunhofer-Instituts für Sichere Informationstechnologie das Sicherheitskonzept geprüft und als angemessen befunden.

Quellen: SBK Siemens-Betriebskrankenkasse, KBV, Verbraucherzentrale