Der Nationalrat entscheidet heute über das elektronische Gesundheitsdossier. Das vorgesehene Gesetz stellt nicht sicher, dass nur die Betroffenen über die Schlüssel verfügen und damit allein bestimmen können, wer ihre Gesundheitsdaten entschlüsseln darf. Damit droht eine zentrale Bearbeitung der sensiblen Daten durch den Bund mit automatisch erstellten und befüllten Dossiers. Für die Digitale Gesellschaft dürfen Sicherheit und Informationelle Selbstbestimmung hingegen keine Versprechen bleiben, sondern müssen technisch durchgesetzt werden. Nur so erhalten wir ein mehrheitsfähiges Gesetz.
Mit dem Bundesgesetz über das elektronische Gesundheitsdossier (E-GD) verspricht der Bundesrat, die Patientensicherheit «im Rahmen der informationellen Selbstbestimmung» zu erhöhen. Bei den sensibelsten Daten der Bevölkerung müsste deshalb gelten: Niemand – auch nicht der Betreiber oder eine Gruppe privilegierter Stellen – darf sich gegen den Willen der betroffenen Personen technisch Zugang zu den Daten verschaffen können. Ein Antrag der Gesundheitskommission des Nationalrats schreibt zwar Verschlüsselung vor, lässt aber offen, wer die Schlüssel kontrolliert und wer Daten tatsächlich entschlüsseln kann.
Dass es anders geht, zeigt ausgerechnet die vom BAG in Auftrag gegebene Studie (PDF) der EPFL zur Ende-zu-Ende-Verschlüsselung (E2EE). Ihre Variante III legt die Schlüssel bei den Nutzer:innen ab. Der Betreiber des E-GD erhält weder Zugriff auf diese Schlüssel noch auf die Gesundheitsdaten im Klartext. Die Studie beschreibt zudem technische Lösungen für Notfallzugriffe und die Wiederherstellung verlorener Schlüssel. Die Digitale Gesellschaft fordert deshalb mindestens dieses Schutzniveau – einschliesslich der Möglichkeit, den eigenen Wiederherstellungsschlüssel ausschliesslich selbst zu verwalten.
Ein heute Morgen in der Republik erschienener Hintergrundartikel von Adrienne Fichter beleuchtet diese Varianten und die sicherheitstechnischen Schwächen der Vorlage.
Besonders problematisch ist, wie das Bundesamt für Gesundheit (BAG) die Ergebnisse aus der Studie gegenüber dem Parlament dargestellt hat. Sein Bericht (PDF) behauptet bei Variante III, Infrastruktur und Schlüsselwiederherstellung lägen «vollständig in der Verantwortung der Nutzenden – ohne institutionelle Absicherung». Die EPFL-Studie beschreibt hingegen ausdrücklich einen dezentralen Wiederherstellungsdienst mit staatlichen und öffentlichen Stellen sowie einen technisch vorgesehenen Notfallzugriff. Die Darstellung des BAG ist aus Sicht der Digitalen Gesellschaft nicht bloss verkürzt, sondern in einem für die politische Beurteilung zentralen Punkt irreführend.
Besonders schwer wiegt dies beim vorgesehenen Opt-out-Modell: Die Dossiers sollen automatisch für uns alle eröffnet und befüllt werden. Wer den Sicherheitsversprechen des Bundes nicht vertraut, muss aktiv widersprechen. Gerade ein solches System müsste deshalb technisch so konstruiert sein, dass Vertrauen in den Betreiber gar nicht erst erforderlich ist. Eine Sicherheitsarchitektur, bei der erst spätere Verordnungen darüber entscheiden, wer letztlich über die Schlüssel verfügt, genügt diesem Anspruch nicht. Der aktuelle Entwurf (insbesondere die Artikel 20, 21 und 22) lässt zudem keine echte Ende-zu-Ende-Verschlüsselung (E2EE) zu.
Wenn der Nationalrat die Vorlage heute wie erwartet (und gemäss den Anträgen seiner Kommission) durchwinkt, muss der Ständerat nachbessern. «Zero Trust» und informationelle Selbstbestimmung dürfen keine leeren Versprechen bleiben, sondern müssen technisch durchgesetzt werden. Nur so schaffen wir ein Gesetz, das auch in einer Volksabstimmung mehrheitsfähig ist.
Beteilige dich jetzt am Crowdfunding
Gesundheit darf digital werden – aber nur sicher, freiwillig und im Dienst der Menschen. Mit einem E-GD nach diesen Prinzipien wollen wir die Digitalisierung im Gesundheitswesen jetzt in die richtigen Bahnen lenken. Denn es geht um hochsensible Daten, die den stärksten Schutz verdienen. Weil sie so wertvoll sind wie deine Gesundheit.