0:00:05.005,0:00:20.772
<i>38C3 Vorspannmusik</i>

0:00:20.772,0:00:25.245
Herald: Willkommen zur Fortsetzung von [br]nem ziemlich spannenden Datenkrimi! Wir

0:00:25.245,0:00:29.965
sind jetzt in der Staffel zwei der [br]elektronischen Patientenakte. Jetzt

0:00:29.965,0:00:34.045
gibt's seit neuestem auch noch das Opt-Out[br]und die elektronische Patientenakte wird

0:00:34.045,0:00:39.605
alle wird für alle verpflichtend. In den [br]Hauptrollen von unserer zweiten Staffel

0:00:39.605,0:00:44.825
haben wir Martin und Bianca, die ich hier-[br]mit sehr sehr herzlich willkommen heiße.

0:00:44.825,0:00:47.992
Martin und Bianca beschäftigen sich[br]schon seit einiger Zeit damit.

0:00:47.992,0:00:55.431
<i>Applaus</i>

0:00:55.431,0:01:00.845
und bringen heute euch Updates von [br]eurem letzten talk vom 32C3. An dieser

0:01:00.845,0:01:04.925
Stelle noch mal herzlich willkommen und [br]einen sehr sehr großen Applaus.

0:01:04.925,0:01:11.815
<i>Applaus</i>

0:01:11.815,0:01:17.445
Kastl: Ja hallo grüß euch Hamburg. Willkommen [br]zum Talk konnte bisher noch nie gehackt

0:01:17.445,0:01:21.845
werden die elektronische Patientenakte [br]kommt jetzt für alle. Es geht ein

0:01:21.845,0:01:26.525
bisschen um ältere Probleme es geht um [br]das was in den letzten Jahren passiert

0:01:26.525,0:01:29.245
ist wie sich das jetzt auf die [br]elektrischen Patientenakte für alle

0:01:29.245,0:01:34.525
auswirkt. Martin und ich machen das Thema [br]mit Gesundheit und Digitalisierung schon

0:01:34.525,0:01:38.765
bisschen länger. Dieses Zitat was ihr [br]seht konnte bisher noch nicht gehackt

0:01:38.765,0:01:42.165
werden ist tatsächlich aber sehr neu, es [br]kommt aus dem Jahr 2023 von Karl

0:01:42.165,0:01:46.725
Lauterbach als er die Gesetze für die [br]elektronische Patientenakte beschlossen

0:01:46.725,0:01:51.485
hat. Und das ist ein Talk aus dem Track [br]Security der allerdings eigentlich gar

0:01:51.485,0:01:55.165
nicht mal so technisch ist. Weil ich glaub [br]vieles davon kann man auch mit wenigen

0:01:55.165,0:01:59.605
einfachen Mitteln die gar nicht so tief [br]technisch sind vielleicht nachstellen,

0:01:59.605,0:02:05.965
gucken wir mal. Genau ich bin Bianca, das [br]ist Martin. Wir stehen hier schon mal

0:02:05.965,0:02:10.605
wieder noch so ein paar Congress talks ab [br]und so sprechen wir auch mit Leuten in

0:02:10.605,0:02:13.205
verschiedenen Bundestagsausschüssen[br]das Thema Digitalisierung des

0:02:13.205,0:02:17.165
Gesundheitswesens. Dass wir jetzt [br]wiederstehen hier und über Probleme

0:02:17.165,0:02:20.645
sprechen ist vielleicht kein so gutes [br]Zeichen, wir werden sehen was dabei

0:02:20.645,0:02:24.925
rauskommt und wir sollten vielleicht [br]erstmal kurz sagen worüber wir eigentlich

0:02:24.925,0:02:29.005
genau sprechen, nämlich über die [br]sogenannte elektronische Patientenakte

0:02:29.005,0:02:34.045
für alle. Diese elektronische [br]Patientenakte für alle ist wirklich eine

0:02:34.045,0:02:38.605
elektronische Patientenakte für alle, denn [br]es ist eine elektronische Patientenakte

0:02:38.605,0:02:44.365
die im Opt-Out Verfahren auf die gesamte [br]Bevölkerung ausgerollt wird. Ihr könnt im

0:02:44.365,0:02:47.885
Ganzen auch widersprechen, ihr könnt [br]mehreren Ebenen widersprechen ihr könnt

0:02:47.885,0:02:52.565
widersprechen, dass diese Akte angelegt [br]wird. Ihr könnt widersprechen, dass in

0:02:52.565,0:02:55.845
dieser Akte bestimmte Zugriffe möglich [br]sind, ihr könnt widersprechen dass Daten

0:02:55.845,0:02:59.765
an ein Forschungsdatenzentrum ausgeleitet [br]werden, ihr könnt widersprechen, daß

0:02:59.765,0:03:05.285
Krankenkassenabrechnungsdaten einstellen [br]und so weiter und so fort. Vom Zeitplan

0:03:05.285,0:03:11.205
her ist es so, wir sind am 15.1 an dem [br]Punkt wahrscheinlich oder auch nicht mal

0:03:11.205,0:03:15.885
gucken das ist z.B in Hamburg hier in [br]Testregionen und in Franken und in Teilen

0:03:15.885,0:03:23.205
Nordernwestfalens eine gewisse ja Testung [br]geben wird nicht ein in der gesamten

0:03:23.205,0:03:27.325
Region aber mit der ausgewählten Anzahl [br]von sogenannten Leistungserbringern also

0:03:27.325,0:03:32.285
ÄrztInnen und anderen Beteiligten des [br]Gesundheitswesens und das ganze soll so

0:03:32.285,0:03:37.285
der ursprüngliche Plan ich weiß nicht ob [br]der noch zu halten ist aber soll am 15.2

0:03:37.285,0:03:41.325
deutschlandweit für euch alle zur [br]Verfügung stehen. Diese elektronische

0:03:41.325,0:03:46.845
Patientenakte für alle ist die Version [br]3.0 der elektronischen Patientenakte und

0:03:46.845,0:03:51.245
die erste Version gab es eigentlich schon [br]im Jahr 2020. Da hatte Martin damals auf

0:03:51.245,0:03:55.485
dem 36C3 schon so ein paar Sachen vorher [br]gefunden die wir nachher auch noch mal

0:03:55.485,0:04:00.885
aufgreifen werden und aktuell sind wir [br]bei einer Version 2.6 die migriert werden

0:04:00.885,0:04:06.165
wird auf eine EPA 3.0. Und falls ihr euch [br]fragt was in dieser EPA drin stehen wird,

0:04:06.165,0:04:12.085
na ja natürlich so Sachen wie E-Rezepte [br]aber auch also die Information aus den

0:04:12.085,0:04:16.725
E-Rezepten bzw auch die Information [br]welche Medikamente euch ausgegeben wurden

0:04:16.725,0:04:21.925
aber z.B auch Arztbriefe. Es wird Befunde [br]geben anfangs noch als PDF. Es wird

0:04:21.925,0:04:26.165
vielleicht auch Bilddaten geben anfangs [br]noch als PDF und es gibt vielleicht auch

0:04:26.165,0:04:30.205
Abrechnungsdaten von Kassen die euch [br]automatisch in diese elektronischen

0:04:30.205,0:04:34.925
Patientenakte übermittelt werden außer [br]Ihr widerspricht im Ganzen. Das was ist

0:04:34.925,0:04:39.645
das um was es fachlich geht, also ein [br]sehr sehr großes Projekt mit eigentlich

0:04:39.645,0:04:45.165
sehr sehr vielen Daten. Das ganze auch im [br]Opt-Out Verfahren und jetzt gehen wir ein

0:04:45.165,0:04:48.365
bisschen die Technik rein und das macht [br]am besten, der Martin der kann es

0:04:48.365,0:04:58.962
vielleicht ein bisschen besser als ich.[br]<i>Kastl lächelt, Applaus</i>

0:04:58.962,0:05:02.085
Tschirsich: Genau schauen wir uns doch [br]mal an zusammen was diese elektronische

0:05:02.085,0:05:06.885
Patientenakte ist und beginnen wir mal [br]bei uns das am Einfachsten. Wir das sind

0:05:06.885,0:05:11.205
Versicherte Krankenversicherte gesetzlich [br]aber auch privat. Bei den Privaten ist es

0:05:11.205,0:05:14.405
tatsächlich eine freiwillige [br]Angelegenheit, bei den gesetzlichen ist

0:05:14.405,0:05:21.565
es ein Opt-Out, wer nichts tun hat so eine [br]Akte ab nächstem Jahr. Und hier als Pat

0:05:21.565,0:05:26.565
Patientinnen bezeichnet da stehen wir in [br]der Ecke und halten eine Gesundheitskarte

0:05:26.565,0:05:31.805
in der Hand oder eine App Smartphone. Und [br]das ist unser Zugangsschlüssel zu dieser

0:05:31.805,0:05:36.445
elektronischen Patientenakte. Über eine [br]App wenn ich mich dort mit der digitalen

0:05:36.445,0:05:40.605
Identität registriert habe kann ich diese [br]Akte auch schön verwalten. Derzeit sind

0:05:40.605,0:05:45.485
1% aller Nutzer tatsächlich mit so einer [br]App ausgestattet an einer digitalen

0:05:45.485,0:05:48.765
Gesundheitsid, die das ermöglicht [br]vielleicht werden es noch ein paar mehr.

0:05:48.765,0:05:53.405
Der große Masse wird über die [br]Gesundheitskarte diese elektronische

0:05:53.405,0:05:59.805
Patientenakte ich sag mal freigeben und [br]zwar immer dann wenn Patientinnen und

0:05:59.805,0:06:04.205
Patienten zum Arzt, zum Krankenhaus in [br]eine Pflegeeinrichtung in eine

0:06:04.205,0:06:08.365
Gesundheitsinstitution gehen, dann [br]stecken wir dort als gesetzliche

0:06:08.365,0:06:12.805
Versicherte unsere Gesundheitskarte in [br]ein Lesegerät und dadurch wird zusammen

0:06:12.805,0:06:19.885
dann mit einer ähnlichen Karte die diese [br]Gesundheitsinstitution authentisiert eine

0:06:19.885,0:06:23.685
Freigabe erstellt ein sogenannte [br]behandlungskontext nachgewiesen und auch

0:06:23.685,0:06:29.245
dann hat die Praxis die Gesundheits [br]Institution für 90 Tage lang Zugriff auf

0:06:29.245,0:06:33.245
diese elektronische Akte der versicherten [br]Person, die da gerade in die Praxis

0:06:33.245,0:06:37.805
reingelaufen ist. Genau das heißt [br]Gesundheitskarte stecken in einer

0:06:37.805,0:06:42.165
Institution das Gesundheitwesen [br]ermöglicht dieser Institution für 90 Tage

0:06:42.165,0:06:46.285
Zugriff lesend und schreibend auf alle [br]Daten die in dieser Akte eingetragen sind

0:06:46.285,0:06:50.845
die nicht speziell verschattet sind, da [br]können wir auch noch drauf kommen. Was es

0:06:50.845,0:06:52.805
noch gibt bei dieser elektronischen [br]Patientenakte es gibt eine

0:06:52.805,0:06:56.685
Datenausleitung. Alle Daten die dort [br]reinfließen in dieser Akte das sind nicht

0:06:56.685,0:06:59.485
nur Daten aus den [br]Leistungserbringintitutionen oder die wir

0:06:59.485,0:07:02.485
selber reinstellen sondern das sind [br]automatisch auch alle Abrechnungsdaten

0:07:02.485,0:07:06.925
und E-Rezeptdaten die fließen in ein [br]Forschungs Datenzentrum Gesundheit und

0:07:06.925,0:07:11.485
Krankenversicherung also Krankenkassen [br]oder die privaten Versicherung haben auch

0:07:11.485,0:07:16.485
noch Zugriff auf die Akte. Das ist jetzt [br]hier die Person mit Schlips die können

0:07:16.485,0:07:21.285
Daten aber nur schreiben. Was wir dann [br]haben ist natürlich eine technische

0:07:21.285,0:07:24.365
Infrastruktur. Ein bisschen darüber da [br]haben wir ein paar verschiedene

0:07:24.365,0:07:27.725
Fachdienste die sehen wir gleich noch im [br]im Laufe dieses talks vielleicht ein

0:07:27.725,0:07:31.245
bisschen genauer IDP identity Provider [br]Versicherten Stammdatendienst des

0:07:31.245,0:07:34.925
Aktensystem, die werden betrieben und was [br]wir dann noch haben haben das ist der

0:07:34.925,0:07:38.125
sogenannte Vertrauensraum in der [br]Telematik Infrastruktur also diesem

0:07:38.125,0:07:42.685
gesamten Netz was wir hier sehen und das [br]wird ganz schön kompliziert. Da haben wir

0:07:42.685,0:07:46.605
z.B alle Kassen wir haben knapp 100 [br]gesetzliche Krankenversicherung Kassen

0:07:46.605,0:07:51.885
und jede dieser Kassen gibt [br]Gesundheitskarten an ihre Mitglieder aus.

0:07:51.885,0:07:57.005
Und auch die GesundheitsID wird durch [br]diese Kassen ausgegeben. Das sind die

0:07:57.005,0:08:02.205
Zugriffsschlüssel zur Akte. Dann haben [br]wir die gematik in der Mitte, die legt die

0:08:02.205,0:08:06.565
Spezifikation fest aber auch die gematik [br]selbst ist Kartenherausgeber für

0:08:06.565,0:08:12.205
Institutionsidentitäten für bestimmte z.B [br]bestimmte eine privatärztlich tätige

0:08:12.205,0:08:17.565
Institution. Dann haben wir die ganzen [br]Kartenherausgeber, die die gesetzlich oder

0:08:17.565,0:08:23.685
die ich sag mal Kassenärzte oder [br]Kassenarztpraxen Praxissitze mit

0:08:23.685,0:08:27.125
Identitäten versehen also Zugangskarten [br]zu diesem System für die ganzen

0:08:28.405,0:08:35.325
Krankenhäuser oder ambulanttätigen Praxen [br]die Kassensitze haben und dann haben wir

0:08:35.325,0:08:41.925
natürlich auch noch ganz am Ende alle [br]möglichen Betreiber in dem Fall von den

0:08:41.925,0:08:45.685
sogenannten Versicherten [br]Stammdatendienste die dort symmetrische

0:08:45.685,0:08:49.925
Schlüssel initiieren. Das sind auch alles [br]da kommen wir später noch im Detail drauf

0:08:49.925,0:08:55.605
alles zentrale sagen wir mal [br]Zugangsschlüssel zu dem Gesamtsystem. Was

0:08:55.605,0:08:59.805
vielleicht deutlich werden sollte ist, es [br]ist ein sehr komplexes System. Nicht nur

0:08:59.805,0:09:05.485
wir und LeistungserbringerInnen und [br]Kassen haben dort unterschiedliche Arten

0:09:05.485,0:09:09.725
von Zugriffen sondern die der gesamte [br]Vertrauensraum die Ausstattung mit

0:09:09.725,0:09:13.445
Identitäten spielt ja eine wesentliche [br]Rolle und da haben wir hunderte von

0:09:13.445,0:09:20.165
Beteiligten in diesem System. Genau.[br]Kastl: Gut damit wir ein bisschen besser

0:09:20.165,0:09:23.645
verstehen was wir gleich zeigen sollten [br]wir vielleicht mal kurz zeigen was in den

0:09:23.645,0:09:26.485
letzten Jahren passiert ist in der [br]Telematik Infrastruktur und auf dem

0:09:26.485,0:09:33.885
Kongress. Beim 36c3 und dazwischen wurden [br]paar Sachen gezeigt. Wir haben jetzt für

0:09:33.885,0:09:39.725
den 36C3 gesehen man kann da bestimmte [br]Teile mit den Herausgabeprozessen von

0:09:39.725,0:09:45.365
Karten und Vertrauensdiensten angreifen [br]auf eine eher sehr soziale Art und Weise:

0:09:45.365,0:09:50.765
man benutzt irgendwelche Formulare, man [br]man versucht Informationen zu bekommen um

0:09:50.765,0:09:54.965
solche Prozesse anzustoßen hat dann eben [br]unter Umständen einen gewissen Zugriff

0:09:54.965,0:10:00.125
auf für diese Institutionen freigegebenen [br]elektronischen Patientenakten. Zu den

0:10:00.125,0:10:02.185
Details aber vielleicht noch mal kurz [br]Martin.

0:10:02.185,0:10:06.365
Tschirsich: Genau. Wir haben uns unter anderem [br]Konnektoren bestellt wie man sie hier

0:10:06.365,0:10:11.045
sehen das sind Zugriffs sag mal Geräte [br]Komponenten die man braucht um an dieses

0:10:11.045,0:10:15.765
VPN dieses weite deutschlandweite Netz [br]angeschlossen zu werden. Wir haben aber

0:10:15.765,0:10:21.085
damals auch geschafft uns die Identitäten [br]für die Praxen also die Institution zu

0:10:21.085,0:10:24.965
beschaffen. Wir haben auch [br]Gesundheitskarten uns beschaffen können

0:10:24.965,0:10:28.645
natürlich immer auf den Namen Dritter und [br]das waren alles sehr sehr einfache

0:10:28.645,0:10:33.205
Angriffe, die sind auch schon bekannt [br]seit mindestens 2012. Unter Anderem das

0:10:33.205,0:10:36.525
regelmäßige Bestellen von von [br]Gesundheitskarten auf anderem Namen das

0:10:36.525,0:10:41.765
hat der Andrè Zilch der auch beim [br]letzten talk auf 36C3 hier stand

0:10:41.765,0:10:46.965
demonstriert wieder und wieder und wieder. [br]Und das ist auch zum 36C3 haben das

0:10:46.965,0:10:49.665
erneut demonstriert und auch die [br]Praxisidentitäten.

0:10:49.665,0:10:56.085
Kastl: Ja und wie aufwendig war das so?[br]Tschirsich: Ja das waren würde ich mal sagen eine

0:10:56.085,0:10:59.765
Stunde maximal ne? Oft war es einfach nur [br]ein Telefonat führen oder eine E-Mail

0:10:59.765,0:11:05.245
absenden und dann hat man die [br]Zugangsschlüssel zu Akten und zwar remote

0:11:05.245,0:11:10.045
das heißt vom heimischen PC aus wo auch [br]immer der steht ob in Deutschland ob

0:11:10.045,0:11:13.765
weltweit, das war völlig gleich und man [br]hatte damit Vollzugriff auf eine

0:11:13.765,0:11:18.605
Patientenakte. Und wenn man sich eine [br]Praxisidentität besorgt hat Vollzugriff

0:11:18.605,0:11:23.485
auf alle Akten auf denen diese Praxis [br]Zugriff hatte das sind dann immer so bis

0:11:23.485,0:11:27.365
zu 1000 Stück oder mehr je nachdem wie [br]viele Patienten wie groß der

0:11:27.365,0:11:31.085
Patientenstamm ist dieser Praxis und wie [br]viele Patienten da pro Quartal

0:11:31.085,0:11:36.205
durchgeschlust werden. [br]Kastl: Ja dann gibt es natürlich Dinge die

0:11:36.205,0:11:41.085
zwischen den auch passiert sind nach dem [br]36c3. Wir haben dann vielleicht

0:11:41.085,0:11:45.565
Möglichkeiten dass man zwischen sieht na [br]ja dieses ganze Netz der Telematik

0:11:45.565,0:11:51.245
Infrastruktur ist vielleicht an den [br]Endpunkten etwas offen und ja da war die

0:11:51.245,0:11:56.165
Konnektorenfalschung.[br]Tschirsich: Genau. Christoph Saatjohann seinerseits

0:11:56.165,0:12:01.005
Professor für itsicherheit hat [br]demonstriert damals schon dass sehr sehr

0:12:01.005,0:12:03.325
viele dieser Konnektoren die ich ja [br]gerade gezeigt habe also die

0:12:03.325,0:12:07.245
Verbindungsstücke in dieses Netz falsch [br]ruminalliert sind. Also nicht so sondern

0:12:07.245,0:12:12.805
so. Also das bedeutet das lansseitige Ende [br]das innen Ende nach außen gekehrt s dass

0:12:12.805,0:12:16.005
man aus dem öffentlichen Internet auf [br]diese Konnektoren zugreffen konnte und

0:12:16.005,0:12:21.365
darüber dann auf die gesamten für diese [br]jeweilige Praxis freigegebenen Patienten.

0:12:21.365,0:12:26.985
War auch eine sehr einfache Sache vom [br]Aufwand her was meinst Du?

0:12:26.985,0:12:34.445
Kastl: Ja ich sag mal so ein Tag <i>lächelt</i>[br]Tschirsich: Und zum Glück war das tatsächlich auch

0:12:34.445,0:12:39.405
noch ein Projekt was vor der [br]Veröffentlichung der EPA 1.0 sehr

0:12:39.405,0:12:43.485
verantwortungsbewusst disclosed wurde. [br]Wäre die EPA zu dem Zeitpunkt da gewesen

0:12:43.485,0:12:47.685
hätte man natürlich Vollzugriff gehabt. [br]Genau ist schon länger bekannt

0:12:47.685,0:12:53.365
tatsächlich ich glaube Ärzteblatt hat [br]schon getitelt. Telematik Infrastruktur

0:12:53.365,0:12:56.765
unsachgemäße Installation, keine [br]fehlerhafte Technik also nicht die

0:12:56.765,0:13:00.845
Technik sondern wie wird diese Technik [br]eingebracht das das Problem und auch

0:13:00.845,0:13:05.165
wieder remote wäre das durchführbar oder [br]war remote durchführbar und ermöglichte

0:13:05.165,0:13:09.405
Vollzugriff auf eben wieder alle Akten [br]die für eine leistungserbringen Situation

0:13:09.405,0:13:14.125
freigegeben waren.[br]Kastl: Gut dann ist Martin und die Künstler

0:13:14.125,0:13:17.445
gegangen.[br]Tschirsich: Genau was haben wir dann noch gemacht

0:13:17.445,0:13:22.645
so um die zwischenzeiträume ein bisschen [br]zu füllen bis so EPA für alle? Na gut wir

0:13:22.645,0:13:25.925
haben uns angeschaut wie werden denn [br]diese digitalen Identitäten ausgegeben

0:13:25.925,0:13:31.245
oder damals zum Teil auch diese Zugänge [br]zu diesen Kassen eröffnet über die ich

0:13:31.245,0:13:34.805
dann alle möglichen Dinge bekomme nicht [br]nur neue Gesundheitskarte sondern auch

0:13:34.805,0:13:37.725
diese digitalen Identitäten. Und [br]tatsächlich wir haben das

0:13:37.725,0:13:42.325
Videoidentverfahren was damals ich glaube [br]29 der 30 größten Kassen haben Videoident

0:13:42.325,0:13:45.925
eingesetzt. Eine Kasse hat komplett auf [br]ident verzichtet, da kann man einfach

0:13:45.925,0:13:50.805
anrufen <i>lautes gemurmel</i> und das haben [br]wir überwunden. Man sieht hier noch

0:13:50.805,0:13:54.805
seitlich so die Reste von dem markerboard [br]da haben wir unser Ausweisdokument

0:13:54.805,0:14:01.405
gescannt und dann mit den Techniken ich [br]sag mal der in ein Art Augmented Reality

0:14:01.405,0:14:06.405
vor der Kamera gezaubert und haben uns [br]dann eine Zugang zu einer elektronischen

0:14:06.405,0:14:09.965
Patientenakte eröffnet. [br]Kastl: Ja das klingt jetzt so ein bisschen

0:14:09.965,0:14:13.605
aufwendig in den Zeiten vor KI und Deep [br]Fakes aber wie aufig war es

0:14:13.605,0:14:16.445
wahrscheinlich?[br]Tschirsich: Na ja der erste Zugang so eine Woche

0:14:16.445,0:14:20.765
bis zwei Vorbereitungszeit aber dann das [br]Wiederholen vom ersten zum zweiten zum

0:14:20.765,0:14:24.645
dritten Dokument also das wäre dann sehr [br]einfach gewesen das wäre dann maximal

0:14:24.645,0:14:29.445
noch ein Tag weiter Aufwand gewesen. [br]Genau auch schon wieder remote klar weil

0:14:29.445,0:14:34.605
wir videoident ist ja remote durchführbar [br]vom heimischen Sofa aus auch wieder

0:14:34.605,0:14:38.325
Vollzugriff auf eine beliebige Akte [br]deiner Wahl.

0:14:38.325,0:14:44.045
Kastl: Ja bekannt übrigens seit 2017 dieser [br]Angriff das BSI hat das schon einmal

0:14:44.045,0:14:46.765
schön demonstriert tatsächlich auch [br]durchgeführt damals aber noch für den

0:14:46.765,0:14:50.325
Zugriff auf Bankkonten. Wir haben quasi [br]daselbe genommen bisschen vereinfacht und

0:14:50.325,0:14:55.165
dann den Zugriff nicht auf Bankkonten [br]sondern Aktenkonten da eingesetzt. Wurde

0:14:55.165,0:15:01.025
dann abgestellt als wir es demonstriert [br]haben durch Anordnung des BfDI.

0:15:01.025,0:15:05.445
Kastl: Ok jetzt ist die Frage Frage warum [br]erzählen wir euch diese ganzen

0:15:05.445,0:15:09.765
Geschichten. Na ja vieles davon wird sich [br]vielleicht in gewisser Art und Weise

0:15:09.765,0:15:14.285
wiederholen, wir zeigen euch jetzt ein [br]paar Sachen aus dem Stand von ca Mitte

0:15:14.285,0:15:19.125
Dezember 2024. Wir haben natürlich alle [br]diese Dinge verantwortlich Menschen

0:15:19.125,0:15:22.885
mitgeteilt und geguckt wie reagiert wird. [br]Dann wurde ein bisschen schneller

0:15:22.885,0:15:25.685
reagiert als wir gezeigt haben es ist [br]dann doch mehr möglich als wir schon

0:15:25.685,0:15:30.925
angekündigt haben und das ist einfach [br]eine Auflistung für verschiedene Dingen

0:15:30.925,0:15:37.765
die Mitte 24 so möglich sind oder möglich [br]waren. Und wie gesagt 15. Januar Start

0:15:37.765,0:15:42.485
EPA für alle hier so in Hamburg und in [br]Modellregion spannende Nummer was da

0:15:42.485,0:15:48.965
jetzt so alles zu finden ist es ist dann [br]doch Einiges. Wir müssen dazu sagen dass

0:15:48.965,0:15:52.885
das Projekt eigentlich als eines der [br]größten IT-Projekte der Bundesrepublik

0:15:52.885,0:15:56.845
gilt zumindest auch laut Florian Fuhmann [br]von der gematik. Er sagt dazu auch noch

0:15:56.845,0:16:01.445
dass sein Mitgeschäftsführer der gematik [br]Florian Hartge gesagt dass keiner dieser

0:16:01.445,0:16:05.485
Stats so gut vorbereitet gewesen wäre. [br]Weiß ich nicht wer macht bei euch

0:16:05.485,0:16:08.245
irgendwie Telematik Sachen vielleicht ist [br]es ein bisschen anstrengend in letzte

0:16:08.245,0:16:13.965
Zeit und Florian Fuhrmann hat das auch [br]verglichen mit einem Basketballspiel

0:16:13.965,0:16:18.885
wo es dann in das letzte Viertel geht und [br]es sei jetzt Crunch time damit die

0:16:18.885,0:16:23.765
Digitalisierung das Gesundheitswesen so [br]wirklich vorwärts geht. Na ja guck mal ob

0:16:23.765,0:16:29.325
diese Sport Vergleiche wirklich so [br]sinnvoll sind. Die gute Frau Osikowski

0:16:29.325,0:16:33.925
vom Bundesgesundheitsministerium meinte [br]dazu aber auch dass die EPA die sicherste

0:16:33.925,0:16:39.165
in Europa sei in der Form wie sie am 15 [br]Januar kommen soll und weil wir euch

0:16:39.165,0:16:43.845
jetzt diese zete so nennen da werdet ihr [br]feststellen vielleicht ist es nicht ganz

0:16:43.845,0:16:50.125
so wahr weil es dann doch noch paar [br]Sachen gibt die man finden kann die ja

0:16:50.125,0:16:55.525
diese EPA angreifbar machen. Und dann [br]beginnen wir mal vielleicht mit einfachen

0:16:55.525,0:17:00.285
Sachen so ein Klassiker oder auch kein [br]Klassiker ich weiß nicht wer von euch

0:17:00.285,0:17:04.285
kennt noch sQL Injections?[br]<i>viele lachen</i>

0:17:04.285,0:17:09.005
Ok ein paar. Also für die für die [br]jüngeren Leute hier das früher musste man

0:17:09.005,0:17:13.085
noch aufpassen was man für Code in [br]irgendwelche Formulare eintippt weil dann

0:17:13.085,0:17:19.322
wird es in der Datenbank ausgeführt. Das [br]gibt's aber noch! Und ja.. <i>viele lachen</i>

0:17:19.322,0:17:26.205
Tschirsich: Genau. Das Einzige was ich auf der [br]Folge geändert habe sind die Namen die

0:17:26.205,0:17:31.885
Bezeichner also Mitglied Passwort mit der [br]Rest ist original SQL Statement so aus

0:17:31.885,0:17:37.805
einem dieser Karten Herausgeberportale. Da [br]beantragt man nur die Identitäten von den

0:17:37.805,0:17:41.725
gesamten Gesundheitsinstitutionen in [br]unserem Gesundheitswesen. Das heißt was

0:17:41.725,0:17:47.205
sich da machen kann also ich kann dort [br]SQL Code also ich sag mal Statements

0:17:47.205,0:17:51.725
dieses SQL Statement kann ich [br]manipulieren indem ich dort eigene

0:17:51.725,0:17:56.205
Befehle dort einbringe und kann z.B hier [br]bei diesem Karten Herausgeber Portal

0:17:56.205,0:18:03.845
einer entsprechenden eines [br]Kartenherausgebers neue Mitglieder also

0:18:03.845,0:18:07.925
Mitglieder durchiterieren z.B. Ich kann [br]die Mitgliedsnummer dort beliebig

0:18:07.925,0:18:10.765
anpassen ich kann dort weitere SQL [br]Statements anhängen neue Mitglieder

0:18:10.765,0:18:14.405
eintragen manipulieren und so weiter und [br]so fort. Was man auch machen kann was man

0:18:14.405,0:18:18.885
hier sieht das ist noch ein klassischer [br]MD5 hash Passwort man hat die komplette

0:18:18.885,0:18:24.205
passportdatenbank also will bedeuten wir [br]haben hier die Möglichkeit uns diese

0:18:24.205,0:18:32.325
smc-b Karten diese Praxis Ausweise OMAs zu [br]besorgen zu beschaffen sowohl auf

0:18:32.325,0:18:36.605
bestehende Mitglieder das auf bestehende [br]praxenintitution als auch vielleicht ganz

0:18:36.605,0:18:40.845
neue zu schaffen. Das haben wir jetzt [br]nicht ausprobiert und mit diesen Karten

0:18:40.845,0:18:44.565
habe ich dann wieder was habe ich damit?[br]Kastl: Ja mit diesen Karten kann ich als

0:18:44.565,0:18:48.725
Leistungserbringer zumindest auf alles [br]zugreifen was ich auf Leistungserbringer

0:18:48.725,0:18:52.765
Ebene Zugriff habe also ich kann es z.B [br]versuchen irgendwie die Daten eines

0:18:52.765,0:18:55.725
Arztes oder eine Ärztin zu ändern die [br]vielleicht schon Zugriff auf

0:18:55.725,0:18:59.765
elektronische Patientenakten hat. Das [br]ganzes remote durchführbar und ergibt

0:18:59.765,0:19:06.485
uns quasi die Möglichkeiten die alle alle [br]arbeitungsrechte die eine Ärztin oder

0:19:06.485,0:19:11.205
eine entsprechend personierte LEI hat [br]durchzuführen. Das Ganze ist eigentlich

0:19:11.205,0:19:14.925
schon etwas länger bekannt und kann man [br]eigentlich so über alle Jahre verteilt

0:19:14.925,0:19:17.445
immer wieder mal nachweisen. [br]Tschirsich: Genau wir regelmäßig.

0:19:17.445,0:19:22.565
Kastl: Aber ja gut. Was man auch dazu sagen [br]sollte vielleicht so von der Einschätzung

0:19:22.565,0:19:25.885
was hat denn so eine [br]Leistungserbringerintitution so an

0:19:25.885,0:19:31.925
Patientenkontakt irgendwie im Jahr oder [br]im Monat oder in 90 Tagen im Quartal? So

0:19:31.925,0:19:36.805
ca 1000 also Hausärzte haben ein bisschen [br]mehr weil die natürlich mehr Versorgung

0:19:36.805,0:19:42.845
mit mit Patientinnen vor Ort haben. [br]FachärztInnen haben weniger aber ja so

0:19:42.845,0:19:47.445
1500we s 800 also das heißt ihr habt dann [br]wirklich tatsächlich wenn ihr wenn ihr es

0:19:47.445,0:19:51.965
auf eine von diesen Institutionen [br]geschafft habt schon auch Zugriff auf

0:19:51.965,0:19:55.885
mehr als eine Aktie. [br]Tschirsich: Und was halt bezeichnet ist das ist ja

0:19:55.885,0:20:01.845
jetzt hier so ein Zugang zu 1000 Akten [br]gleichzeitig. Das ist Passwort MD5 hash,

0:20:01.845,0:20:06.685
sql-injection, irgendein modifiziertes [br]WordPress. Wenn wir als versicherte auf

0:20:06.685,0:20:09.685
unsere eigene einzige Akte zugreifen [br]wollen ist es ein sehr sehr kompliziertes

0:20:09.685,0:20:11.045
Verfahren.[br]<i>sehr viele lachen, Applaus</i>.

0:20:11.045,0:20:22.285
Muss ich Postident multifaktor <i>Applaus</i>[br]Authentisierung. Es ist sogar noch nicht

0:20:22.285,0:20:25.605
mal einige Zeit lang war es untersagt [br]Biometrie zu verwenden am SM weil es

0:20:25.605,0:20:28.765
jetzt zu unsicher ist ja dass ich mich [br]mit Biometrie als zweiten Faktor hier

0:20:28.765,0:20:33.085
haben wir ein Passwort als MD5hash. Also [br]diese Relation diese diese diese

0:20:33.085,0:20:37.565
Unterschiede die begegnen uns sehr häufig [br]auch im weiteren Verlauf des talks heute.

0:20:37.565,0:20:43.445
Kastl: Ja jetzt war bei 1000, jetzt müssen [br]wir das Gelierung bisschen höher gehen.

0:20:43.445,0:20:48.085
Das was wir jetzt zeigen ist ein bisschen [br]aufwendiger aber es wäre für angreifende

0:20:48.085,0:20:53.205
tatsächlich sehr lohnswert das zu tun, [br]denn jetzt geht es um zentrale Dienste in

0:20:53.205,0:20:56.925
der telematikinrastruktur um den [br]Versicherten stammdatendienst. Der

0:20:56.925,0:21:02.445
Versicherten stammdatendienst ermöglicht [br]uns zumindest Zugriff für sehr sehr viele

0:21:02.445,0:21:06.485
elektronischen Patienten Akten zu [br]erlangen und wie das genau geht wird

0:21:06.485,0:21:11.005
Martin jetzt erklären. [br]Tschirsich: Sehr gerne. Also erstmal komplizierte

0:21:11.005,0:21:13.765
Folie erstmal noch mal nicht auf die [br]Folie schauen sondern einen Schritt

0:21:13.765,0:21:18.125
zurück. Wir hatten mit der 1. EPA und [br]auch der 2. EPA wir sind jetzt bei der

0:21:18.125,0:21:21.445
3.EPA für alle bei der 3.EPA, bei den [br]ersten beiden hatten wir eine

0:21:21.445,0:21:25.445
Gesundheitskarte und eine PIN. Wer hat [br]eine PIN für seine Gesundheitskarte bitte

0:21:25.445,0:21:30.125
einmal Handheben? Oh also deutschlandweit [br]sind das 1%.

0:21:30.125,0:21:33.525
Kastl: Ich glaub das können wir hier toppen, [br]vielleicht sind hier sogar 2%.

0:21:33.525,0:21:34.880
<i>Gelächter</i>.

0:21:34.880,0:21:38.565
Tschirsich: Also diese PIN und die [br]Gesundheitskarte zusammen die ermöglichen

0:21:38.565,0:21:43.365
wenn ich dann bei in der Arztpraxis bin [br]Zugriff freizugeben auf meine Akte. Also

0:21:43.365,0:21:46.325
ich stecke ja meine Karte sowieso immer [br]das ist das sogenannte Versicherten

0:21:46.325,0:21:49.885
Stamdatenmanagement das muss ich machen [br]um nachzuweisen dass ich hier

0:21:49.885,0:21:54.365
leistungsberechtigt bin und dann gebe ich [br]meine PIN ein und kann dann eine Befugnis

0:21:54.365,0:21:58.765
erteilen vor Ort, wenn ich das nicht per [br]App mache forort. Und jetzt hat man sich

0:21:58.765,0:22:01.485
gedacht lass wir doch einfach die PIN weg [br]weil das Beantragen der PIN ist so

0:22:01.485,0:22:05.845
kompliziert gewesen damals. Dann wird es [br]einfacher. Vor allen Dingen hat man sich

0:22:05.845,0:22:11.325
gedacht wenn ich zu einem Opt-Out gehen [br]will dann kann ich nicht Jedem und Jeder

0:22:11.325,0:22:15.205
in der Bundesrepublik noch eine PIN zu [br]schicken nachdem sie zwangsweise bei der

0:22:15.205,0:22:18.845
durch irgende identverfahren gelaufen [br]sind wir lassen sie einfach weg. Das

0:22:18.845,0:22:23.445
heißt allein die Gesundheitskarte ist [br]schon Nachweis wenn ich die

0:22:23.445,0:22:26.925
Gesundheitskarte stecke in eine [br]Arztpraxis und zwar in ein solches

0:22:26.925,0:22:30.885
Lesegerät das kennen viele hier wird die [br]Gesundheitskarte reingesteckt dann hat

0:22:30.885,0:22:36.885
die Praxis Zugang auf diese Akte für 90 [br]Tage. Das ist der sogenannte

0:22:36.885,0:22:40.325
behandlungskontext der nachgewiesen wird [br]das auch im sogenannten Digitalgesetz

0:22:40.325,0:22:43.725
gesetzlich eingeführt und gefordert [br]worden im behandlungskontext also wenn

0:22:43.725,0:22:46.645
ich nachweisen kann da legt auch eine [br]Gesundheitskarte vor dann darf die

0:22:46.645,0:22:52.485
Arztpraxis auf diese Akte zugreifen. Wie [br]funktioniert jetzt der Nachweis dass da

0:22:52.485,0:22:55.805
eine Gesundheitskarte vorliegt? Ja so [br]eine Gesundheitskarte die hat ein Chip

0:22:55.805,0:23:01.485
drauf, Prozessorkarte und da sind ganz [br]viele private Schlüssel, Zertifikate und

0:23:01.485,0:23:06.205
so weiter drauf. Und da steckt auch eine [br]sogenannte iccsn in dieser Karte ist eine

0:23:06.205,0:23:11.045
Kartennummer einfach eine Kartennummer [br]und anhand dieser Kartennummer diese

0:23:11.045,0:23:16.165
Kartennummer ist quasi das Merkmal was [br]diese Karte identifiziert. Diese

0:23:16.165,0:23:20.685
Kartennummer steckt aber in mehreren [br]Dateien auf dieser Karte einmal in dem

0:23:20.685,0:23:25.925
entsprechenden Zertifikat das ist dieses [br]EFC eGK CVC Zertifikat dazu gibt's auch

0:23:25.925,0:23:28.925
ein privaten Schlüssel, den kriege ich [br]auch nicht raus aus der Karte. Der weiß

0:23:28.925,0:23:33.245
mir kryptografisch sicher nach, dass da [br]tatsächlich eine echte Karte ist. So ein

0:23:33.245,0:23:36.685
Biss wie die Chip authentication bei [br]neuen Personalausweis. Also das ist eine

0:23:36.685,0:23:42.365
echte Karte und das heißt die behauptete [br]iccsn die in dem Certifikat steckt die

0:23:42.365,0:23:45.725
entspricht auch tatsächlich der die auf [br]dieser Karte aufgedruckt ist. Und dann

0:23:45.725,0:23:53.005
gibt noch zweite Fundort dieser iccsn auf [br]der Karte das ist eine Datei efgdo global

0:23:53.005,0:23:57.485
data Object. Und die ist nicht [br]authentisiert nicht signiert gar nichts.

0:23:57.485,0:24:02.165
Und mit dieser iccsn geht jetzt quasi die [br]Arztpraxis zum sogenannten Versicherten

0:24:02.165,0:24:06.005
stammdatendienst h ccsn wird zum [br]versicheren stammdatendienst geschickt

0:24:06.005,0:24:08.885
und zurück bekomme ich ein [br]Prüfungsnachweis. Den Prüfungsnachweis

0:24:08.885,0:24:13.285
schicke ich dann zum Aktenkonto zur EPA [br]und bekommen dann die Daten so

0:24:13.285,0:24:17.405
vereinfacht gesprochen. Welche iccsn wird [br]jetzt zum vericherten stammdatendienst

0:24:17.405,0:24:23.035
geschickt die wo ich sicher den privaten [br]Schlüssel Nachweise? <i>gemurmel</i>

0:24:23.035,0:24:29.805
Tschirsich: Nein nein <i>Gelächter</i> die andere so. Wo [br]kann ich das Angreifen? Na ja an vielen

0:24:29.805,0:24:33.685
Stellen. Zum einen kann ich das ein Soap [br]Aufruf zu diesem versicheren

0:24:33.685,0:24:37.365
Stammdeitendienst im sogenannten Update Flag [br]Service kann ich direkt aufrufen. Der

0:24:37.365,0:24:41.045
einzige Parameter in diesem Soap Aufruf [br]ist die iccsn kann ich mir frei

0:24:41.045,0:24:46.085
ausdenken. Problem ist ich muss diesen [br]connektor irgendwie unter meine Kontrolle

0:24:46.085,0:24:50.645
bringen oder die Verbindung in dieses TI [br]VPN selber aufbauen, weil der Connector

0:24:50.645,0:24:53.805
ist wie eine Firewall zwischen mir hinter [br]dem Connector und diesem Update Flag

0:24:53.805,0:24:57.565
Service. Ist aber auch kein Problem, der [br]Liebe flippke hatte das gemacht und

0:24:57.565,0:25:01.685
schätzt dafür eine Woche Zeit. Wenn ich [br]mich direkt mit der TI verbinde ohne so

0:25:01.685,0:25:05.605
ein Connector zu knacken nehme ich mal [br]Anst ein paar Tage. Wenn ich ein

0:25:05.605,0:25:08.925
virtuelles Kartenterminal programmiere [br]was ich hinterm Konnektor anhänge, was

0:25:08.925,0:25:12.525
dann man in the middle Angriff auf die [br]durchgeleitete iccsn macht was auch geht

0:25:12.525,0:25:16.685
da sind wir so bei Entwicklungszeiten [br]einem zwei Monate. Was ich natürlich auch

0:25:16.685,0:25:19.685
machen kann ich kann auch vorne wenn ich [br]die Karte stecke keine echte

0:25:19.685,0:25:24.325
Gesundheitskarte stecken sondern eine wo [br]diese GDO Datei manipuliert ist. Ist auch

0:25:24.325,0:25:28.605
kommerziell erwerblich solche Kellen die [br]ich dort stecken kann und da bin ich

0:25:28.605,0:25:34.805
dabei! Tja kleiner Fehler, große Wirkung. [br]Was bedeutet das jetzt? Vielleicht noch

0:25:34.805,0:25:37.165
einmal hier, man sieht noch einmal [br]virtualisiert haben wir natürlich

0:25:37.165,0:25:40.405
gemacht. Also alles was wir hier sagen [br]haben wir für euch demonstriert. Wir

0:25:40.405,0:25:44.285
haben virtuelles kartenerminal damit [br]haben wir diese iccsn ausgelesen, wir

0:25:44.285,0:25:48.805
haben auch entsprechend einen sogenannten [br]prüfungsnachweis erzeugt für eine

0:25:48.805,0:25:52.685
beliebige iccsn allerdings in der [br]sogenannen referenzumgebung weil

0:25:52.685,0:25:56.045
produktiv kommt diese Akte erst am 15.1 [br]ne? Eben genau.

0:25:56.045,0:26:00.445
Kastl: was man vielleicht dazu sagen sollte [br]diese ICCsn sieht so schön aufgereiht, ja

0:26:00.445,0:26:03.365
die die sind quasi wirklich [br]durchnummeriert, ihr könnt sie

0:26:03.365,0:26:05.845
hochzählen. <i>erstaunliche laute</i> Also ihr [br]könnt über die Krankenkasse gehen

0:26:05.845,0:26:11.685
<i>lachen</i>, er sagt also <i>Applaus</i>. Wir [br]verraten euch mal die die ersten fünf

0:26:11.685,0:26:14.925
Ziffern sind immer gleich. Deutschland [br]Gesundheitswesen, dann nimmt ihr die

0:26:14.925,0:26:18.645
Krankenkasse und dann fangt ihr eben an [br]den nummerraum hochzzählen je nachdem wie

0:26:18.645,0:26:21.085
groß die Krankenkasse ist kann es über [br]ein paar Millionen gehen oder ein paar

0:26:21.085,0:26:24.845
tausend paar hundertausend, wie auch immer. [br]Da steckt nicht so viel Logik dahinter

0:26:24.845,0:26:29.805
diesen Nummernraum irgendwie zu treffen [br]und wie Martin schon sagte so viel

0:26:29.805,0:26:34.285
bzw jetzt kommt spannende daran glaube [br]ich weil wir haben mal gesucht ob das

0:26:34.285,0:26:37.925
vielleicht irgendwie jemand schon mal [br]aufgefallen wäre. Also der Fehler der ist

0:26:37.925,0:26:40.325
ja hier im Publikum sehr schnell [br]aufgefallen ohne dass ich überhaupt sagen

0:26:40.325,0:26:45.405
muss was los war, die kennen auch die [br]gematik. Spätestens seit 2016 ist er

0:26:45.405,0:26:48.325
bekannt steht in den Specks kann man [br]nachlesen eine von der gesteckten

0:26:48.325,0:26:52.805
Gesundheitskarte abweichende iccsn deutet [br]auf einen Fehler der dezentralen ti also

0:26:52.805,0:26:56.645
das das was in der Arztpraxis passiert [br]hin oder einen Angriff. Ja Angriff das

0:26:56.645,0:27:00.565
haben wir jetzt hier deutet hin steht in [br]der Speck dennoch hat man sich

0:27:00.565,0:27:05.205
entschieden genau dieses Verfahren für [br]den Nachweis des Vorliegens ein echten

0:27:05.205,0:27:10.125
Gesundheitskarte zu wählen um Zugriff auf [br]Akten freizugeben. Genau. Was noch?

0:27:10.125,0:27:15.525
Kastl: Ja was spannendes ist man macht es [br]dann Jahr vorher anders weil man hat das

0:27:15.525,0:27:20.605
z.B im Thema des eHealth-CartdLinks wieder [br]das sicher validiert? Das heißt wir haben

0:27:20.605,0:27:22.885
jetzt zwei verschiedene Verfahren das [br]eine wird sicher validiert, das andere

0:27:22.885,0:27:25.642
wird nicht sicher validiert... Hm [br]spannend genau .

0:27:25.642,0:27:28.765
Tschirsich: Also gerade letztes Jahr hatten wir [br]das noch mal in der neuen Speck auch

0:27:28.765,0:27:32.485
extra sogar eine mitigation gegen diesen [br]Angriff aber bei der EPA wurde es nicht

0:27:32.485,0:27:36.245
mitigiert. [br]Kastl: Ja was heißt das jetzt wir haben einen

0:27:36.245,0:27:39.445
Angriff der ist ein bisschen aufwendiger [br]er braucht vielleicht ein Monat um

0:27:39.445,0:27:43.605
irgendwie mal so in diesem Kontexten [br]einfachen Prototypen zu haben, der ist

0:27:43.605,0:27:47.005
remote durchführbar und der ermöglicht [br]Vollzugriff auf alle EPAs. Wenn wir sagen

0:27:47.005,0:27:51.445
alle EPAs meinen wir alle EPAs. Das heißt [br]der braucht nur diese icssn und hab dann

0:27:51.445,0:27:56.765
Zugriff auf eine von den 70 Millionen [br]EPAs mit eben der Leistungsbringer

0:27:56.765,0:27:59.925
Institution den rechten die diese [br]Institution hat mit der man sich da quasi

0:27:59.925,0:28:04.125
in der TI anmeldet. Das ist die [br]Einschenkung dazu also wir brauchen

0:28:04.125,0:28:08.445
irgendwie die Identität einer [br]Leistungsbringer Institution um zumindest

0:28:08.445,0:28:11.485
diese Rechte zu haben und dann aber [br]Vollzugriff zu haben.

0:28:11.485,0:28:15.885
Tschirsich: Genau wir brauchen so eine smcb also [br]diese Karte die wir vorher bestellt haben

0:28:15.885,0:28:21.565
und über das kartenherausgeberportal mit [br]der sql-injektion aber vielleicht wollen

0:28:21.565,0:28:25.845
wir die noch schneller vielleicht wollen [br]wir da noch bisschen einfacher rankommen

0:28:25.845,0:28:33.125
weil SQL Injektion sind ja strafbar [br]wahrscheinlich weiß ich jetzt nicht.

0:28:33.125,0:28:34.575
<i>gemurmel, gelächter</i>

0:28:34.575,0:28:39.165
Kastl: Genau deswegen haben wir uns [br]angeschaut gibt's ja vielleicht einen Weg

0:28:39.165,0:28:43.845
der uns allen offen steht auch den [br]ehrlichen heuteen unter uns und haben uns

0:28:43.845,0:28:47.205
einfach mal angeschaut ja was gibt's denn [br]dann noch?

0:28:47.725,0:28:54.645
Tschirsich: Das eine ist <i>gelächeter</i> wobei wir [br]haben jetzt gelernt wenn ich ein Passwort

0:28:54.645,0:28:58.725
öffentlich irgendwo finde z.B im Kompilat [br]und das nehme und eingebe, dann ist das

0:28:58.725,0:29:02.245
doch nicht zulässig ja also vor den [br]Gerichten wird das dennoch als strafbare

0:29:02.245,0:29:05.805
Handlung gesehen hab wir es leider [br]gesehen. Das heißt auch das wir hatten

0:29:05.805,0:29:08.205
hier bei bestimmten [br]Praxisverwaltungssystem also diese

0:29:08.205,0:29:11.685
Software die Arztpraxen einsetzen eine [br]bestimmte Standardkonfiguration und

0:29:11.685,0:29:19.565
konnten übers Internet auf Akten [br]zugreifen wenn wir da nicht responsible

0:29:19.565,0:29:24.565
disclosed hätten so. Das zweite ist man [br]kann natürlich showdown anwerfen interest

0:29:24.565,0:29:28.565
of things Suchmaschine dort einfach mal [br]Praxis eintippen und dann findet man

0:29:28.565,0:29:32.445
endlos endlos endlos wenn es auf [br]Deutschland eingrenzt Zugänge zu allen

0:29:32.445,0:29:36.045
möglichen Gesundheitsinstitution. [br]Gesundheitsinstitutionen in Deutschland

0:29:36.045,0:29:39.005
sind miserabel geschützt. Das ist auch [br]nicht deren Aufgabe die haben oft nicht

0:29:39.005,0:29:43.045
die ich sag mal die die Ressourcen dafür [br]sind e schon überlastet und natürlich

0:29:43.045,0:29:46.245
kommt man remote an so eine [br]Gesundheitsinstitution ran und kann dann

0:29:46.245,0:29:52.005
die dort vorhandene it Connector smcb [br]einfach mitnutzen. Ist alles schon

0:29:52.005,0:29:56.245
freigeschaltet alles schon da ist also [br]sehr einfach aber vielleicht gibt's ja

0:29:56.245,0:29:58.565
noch ein einfachen Weg, jetzt schauen wir [br]uns erstmal den an.

0:29:58.565,0:30:02.245
Kastl: Schauen wir uns erstmal den an dauert [br]so zwei Stunden wenn man irgendwie suchen

0:30:02.245,0:30:06.285
lässt oder sucht das ganze ist remote durch[br]führbar das Ganze das gleiche ihr kennt das

0:30:06.285,0:30:10.045
inzwischen Zugriff auf alle EPAs die für [br]diese Leistungserbringerinstitution

0:30:10.045,0:30:13.565
freigegeben sind. Das ganze ist [br]eigentlich schon mal so ein bisschen

0:30:13.565,0:30:17.365
bekannt wurde gemeldet responsible [br]disclose. Wurde dann gefixt aber es gibt

0:30:17.365,0:30:20.125
wie viele Praxisverwaltungssysteme z.B [br]200?

0:30:20.125,0:30:22.965
Tschirsich: Knapp über 100.[br]Kastl: Ja also irgendwie ein paar die find

0:30:22.965,0:30:27.045
vielleicht alle nicht so ganz proper und [br]jetzt ist aber die Frage na ja so

0:30:27.045,0:30:31.085
irgendwie remote Zugriff vielleicht [br]möchte man das doch irgendwie in die Hand

0:30:31.085,0:30:42.485
nehmen! Und ja sie an die Hand nehmen genau.[br]Tschirsich: Genau wir haben uns noch einen Weg

0:30:42.485,0:30:49.085
angeschaut ein alten Bekannten. Da muss [br]ich nur zum Telefonhörer greifen. Und

0:30:49.085,0:30:51.245
zwar haben wir uns angeschaut wie komme [br]ich denn eigentlich an diese

0:30:51.245,0:30:55.405
Gesundheitskarte? Also das ja der [br]Schlüssel für den jeweiligen Versicherten

0:30:55.405,0:31:00.005
für die Versicherte auf diese eine Akte. [br]Wie komme ich daran? Na ja die

0:31:00.005,0:31:06.885
ausgabeprozesse wie schon demonstriert [br]2014 2015 2016 2017 2017 2019 und auch

0:31:06.885,0:31:11.525
schon davor 2012 sind nicht sicher und es [br]ist quasi so ein jährliches Ritual sich

0:31:11.525,0:31:18.085
eine neue Gesundheitskarte zu bestellen [br]aber nicht die eigene <i>lachen</i> sondern ja

0:31:18.085,0:31:23.245
von jemand anderem. Mit Einwilligung [br]natürlich. Also bei uns ich weiß nicht

0:31:23.245,0:31:28.885
wie ihr das Hand habt wenn ihr jährlich [br]Gesundheitskgarten bestellt. <i>gelächter</i>

0:31:28.885,0:31:31.965
Haben wir wieder gemacht, haben wieder [br]Gesundheitskarte bestellt. Es waren

0:31:31.965,0:31:36.445
diesmal zwei Telefonate notwendig jeweils [br]5 Minuten Aufwand 10 Minuten in etwa

0:31:36.445,0:31:39.885
würde ich schätzen und dann kam sie frei [br]Haus. Heutzutage brauche ich ja die PIN

0:31:39.885,0:31:44.165
nicht mehr, das heißt da gibt's auch kein [br]ident kommt die Gesundheitskarte und

0:31:44.165,0:31:46.805
Gesundheitskarte ist ja der [br]Zugangsschlüssel zu meiner Akte ich muss

0:31:46.805,0:31:49.845
da nur an den Kiosk gehen und kann dann [br]in meine Akte rumwülen.

0:31:49.845,0:31:56.645
Kastl: Ja jetzt ist die Frage also 20 Minuten [br]kann man remote machen lösch-,

0:31:56.645,0:32:00.125
lesenzugriff weil ihr könnt ja quasi auch [br]in eurer EPA Dinge löschen auch lesen und

0:32:00.125,0:32:04.645
so weiter. Hat das irgendjemand schon mal [br]gemerkt dass es vielleicht irgendwas ist

0:32:04.645,0:32:08.085
was man fixen hätte sollte ja? Jetzt [br]kommt leider das was Karl Lauterbach

0:32:08.085,0:32:12.045
nicht gefallen wird. Ulrich Kelber hat [br]angemerkt 2023 dass die elektronischen

0:32:12.045,0:32:15.485
Gesundheitskarten eGK müssen persönlich [br]zugestellt werden oder eine

0:32:15.485,0:32:19.605
nachidentifizierung muss stattfinden [br]bevor die eGK als Zugangsmittel zur it

0:32:19.605,0:32:25.565
eingesetzt wird. Ja er hat halt recht. [br]bekannt aus Funk und Fernsehen

0:32:25.565,0:32:32.845
tatsächlich seit 2012 Kelber hat es noch [br]mal auf Punkt gebracht.

0:32:32.845,0:32:37.365
<i>Applaus</i>

0:32:37.365,0:32:44.245
So jetzt waren wir eine beliebige [br]Patienttin jetzt hatten wir Zugriff auf

0:32:44.245,0:32:48.365
theoretisch alle EPAs aber irgendwie [br]vielleicht braucht man noch mal so ein so

0:32:48.365,0:32:50.722
eine so ein SNCB?[br]<i>B lächelt</i>

0:32:50.722,0:32:56.245
Tschirsich: Man kann nie genug haben <i>lächelt</i>[br]Kastl: <i>lächelt</i> Ja wo findet man sowas denn?

0:32:56.245,0:33:01.725
Kastl: Ja weiß nicht Internet irgendwo ne [br]ebay? Nee.

0:33:01.725,0:33:05.405
Tschirsich: Kleinanzeige ist jetzt nicht mehr ebay [br]ist jetzt getrennt.

0:33:05.405,0:33:12.845
Kastl: Ok. zeig mal kleiner zeigen. [br]Tschirsich: Genau Kleinanzeige genau. Was haben

0:33:12.845,0:33:20.165
Kleinanzeige gemacht smcb nein wir haben [br]kartenerminals bestellt. Solche. Die sind

0:33:20.165,0:33:25.165
Orga 6141 gute Teile gute Teile haben [br]sehr viele Kartenslots ein für die

0:33:25.165,0:33:30.605
Gesundheitskarte ein für [br]heillberufausweise und zwei einmal für

0:33:30.605,0:33:36.085
eine kleine Chipkarte im Kartenterminal [br]selbst und dann für die sogenannte smcb.

0:33:36.085,0:33:39.885
Und ja wir haben uns mal ein paar [br]bestellt und haben dann auch ein paar

0:33:39.885,0:33:43.525
smcb frei hausgeliefert bekommen [br]<i>gelächter, einzelne applaus</i> teilweise

0:33:43.525,0:33:48.845
teilweise waren ja auch noch versiegelt [br]original also schön sicher. Auch die Pins

0:33:48.845,0:33:54.045
lagen teilweise dabei also. Wenn man net [br]gefragt hat vorher bei Kleinanzeige gibt

0:33:54.045,0:33:56.045
eine Chatfunktion dann kriegt man auch [br]die PIN. <i>Gelächter</i>

0:33:56.045,0:34:03.925
Weil ja Restlaufzeit ausnutzen [br]Gebrauchtmarkt Zweitverwertung ist

0:34:03.925,0:34:07.805
ökologisch. Genau was wir gemacht haben [br]wir haben die dann mal in so eine Karte

0:34:07.805,0:34:12.605
eingelassen also diese smcbs das so [br]kleine Dinger wenn man die entsprechend

0:34:12.605,0:34:16.325
präpariert dann kriegt man die auch ein [br]klassisches reiner SCT Kartenterminal da

0:34:16.325,0:34:21.765
braucht man das auch nicht mehr und ja [br]nicht nur das wir haben auch gedacht wenn

0:34:21.765,0:34:26.405
kleiner zeig schon so ein gutes Hacker [br]Tool ist schauen was es noch her gibt wir

0:34:26.405,0:34:29.845
haben uns als Dienstleister auf [br]Kleinanzeigen mal ein paar Anzeigen

0:34:29.845,0:34:34.245
rausgesucht und da gibt's tatsächlich [br]einige die aus ärzlicher Sicht Probleme

0:34:34.245,0:34:36.645
mit demem connektor haben mit der [br]Installation das ist wirklich kompliziert

0:34:36.645,0:34:39.325
und haben wir gerne unseren Support [br]angeboten und hat dann auch remote

0:34:39.325,0:34:43.158
Zugriff auf eine freigeschalte Zms

0:34:43.158,0:34:43.202
<i>Applaus</i>

0:34:43.202,0:34:55.605
Kastl: Ja so wie lange dauert so eine [br]Internetrecherche na ja 4er Stunden

0:34:55.605,0:34:59.885
remote über ist Inter [br]Tschirsich: Ja manchmal ist das das so ein

0:34:59.885,0:35:03.245
bisschen haklig oder so aber kriegt man [br]auch irgendwie hin also response time bei

0:35:03.245,0:35:05.796
Kleinanzeigen ist nicht immer ideal ne?

0:35:05.796,0:35:05.845
<i>viele lachen</i>

0:35:05.845,0:35:10.925
Gibt schlechte Bewertung ja <i>lächelt</i>? [br]Und was hat man damit hat Zugriff auf

0:35:10.925,0:35:15.445
diese für die Leihe freigegebene EPAs das [br]kann unterschiedlich sein was da so

0:35:15.445,0:35:19.965
freigegeben ist aber ja man hat dann [br]zumindest halt den ordentlichen Zugriff

0:35:19.965,0:35:23.885
in die TI ja. [br]Kastl: Jetzt reicht langsam würde ich sagen

0:35:23.885,0:35:28.605
ja jetzt haben wir so glaube ich im [br]Gesamtfeld eigentlich alles was wir

0:35:28.605,0:35:33.925
brauchen um auf alle EPAs zuzugreifen im [br]wahrsten Sinne das Wortes und was ist

0:35:33.925,0:35:37.245
jetzt unser Fazit? hm [br]Tschirsich: Ja also erstmal kann man noch mal

0:35:37.245,0:35:41.765
aufmalen was wir uns alles angeschaut [br]haben ne? Also überall wo hier rot

0:35:41.765,0:35:44.325
eingekreist ist das haben wir uns [br]angeschaut und da war auch irgendwas,

0:35:44.325,0:35:47.925
also wir haben auf verschiedensten Wegen [br]uns die Identitäten der Patientinnen

0:35:47.925,0:35:51.805
Patienten besorgt, Gesundheitskarten. Wir [br]haben auf verschiedensten Wegen uns die

0:35:51.805,0:35:57.085
Praxisidentitäten besorgt sei es über den [br]Zugang von außen über das Thema der

0:35:57.085,0:36:04.365
Konfiguration it, oder Gebrauchtmarkt [br]oder IT support. Wir haben uns dann auf

0:36:04.365,0:36:07.525
diesen verschiedenen Wegen unter Anderem [br]auch über die Karten Hererausgeber ganz

0:36:07.525,0:36:11.485
oben die in rot markiert sind bei den [br]Portalen mal umgeschaut haben gesehen da

0:36:11.485,0:36:16.165
ist vielleicht noch einfacher und damit [br]hatten wir wirklich alles zusammen um auf

0:36:16.165,0:36:20.925
individuelle Akten beliebige zuzugreifen, [br]um auf alle für eine Praxis freigegebenen

0:36:20.925,0:36:29.145
Akten zuzugreifen, um auf alle 70 [br]Millionen Praxis Akten zuzugreifen

0:36:29.145,0:36:36.975
genau. <i>viele Applaus</i>[br]Kastl: Ja so und weil diese ganzen Timelines

0:36:36.975,0:36:40.965
vielleicht ein bisschen verwirrend war [br]haben wir noch mal eine schöne Übersicht

0:36:40.965,0:36:46.765
gemacht was den eigentlich so seit dem [br]36C3 um den 36C3 passiert ist paar

0:36:46.765,0:36:51.685
Sachen. Also wir haben z.B in Zugangsweg [br]für die Patientinnen in Reihe

0:36:51.685,0:36:54.085
kompromittiert, wir haben den Zugriff [br]über die Leistungsverbringer

0:36:54.085,0:36:57.005
kompromittiert und wir haben jetzt noch [br]dazu warum die Sache noch schlimmer zu

0:36:57.005,0:37:03.765
machen einen systematischen Fehler im [br]versicherten Stammdatenmanagement. Ja und

0:37:03.765,0:37:07.485
jetzt haben wir eine Opt-Out EPA für alle [br]die nicht widersprechen. Das ist

0:37:07.485,0:37:14.925
irgendwie doof, weil es erzeugt sowas wie [br]Opportunitätskosten. Früher wurde gesagt

0:37:14.925,0:37:20.285
na ja die EPA ist zu sicher deswegen [br]nutzt die niemand <i>einzelne Gelächter</i>.

0:37:20.285,0:37:25.045
Ja ich glaube so sicher war sie auch eine [br]Historie nicht wir haben jetzt aber

0:37:25.045,0:37:28.645
natürlich durch das Thema EPA für alle [br]ein wesentlich gesteigertes

0:37:28.645,0:37:34.765
Schadensausmaß. Jetzt ist tatsächlich ein [br]sagen wir mal Implementierungsdetail im

0:37:34.765,0:37:39.405
versicherten Stammdatenmanagement [br]ursächlich für einen Massendaten Abfluss

0:37:39.405,0:37:45.125
theoretischen was (wir hoffen mal) dass [br]noch gefixt wird in der EPA für alle für

0:37:45.125,0:37:49.445
70 Millionen, die nicht widersprochen [br]haben und das kostet natürlich in der

0:37:49.445,0:37:54.855
Gesamtbetrachtung das Vertrauen in das [br]digitale Gesundheitswesen und dieses

0:37:54.855,0:37:59.805
Vertrauen kann man glaube ich auch nicht [br]so wirklich in Zahlen aufwiegen. Es ist

0:37:59.805,0:38:03.725
aber am Ende unser aller Gesundheitswesen [br]unser Digitalisierung des

0:38:03.725,0:38:06.845
Gesundheitswesens und eigentlich sollten [br]wir Interesse daran haben dass das

0:38:06.845,0:38:13.125
entsprechend vertrauenswürdig und sicher [br]ist damit es eben auch genutzt wird. Ja

0:38:13.125,0:38:16.745
aber dazu vielleicht mal wir versuchen [br]ein bisschen weiterzuhelfen.

0:38:16.745,0:38:20.045
Tschirsich: Wir versuchen jetzt haben wir Symptome [br]gesehen, ziemlich viele Symptome sogar

0:38:20.045,0:38:24.045
leider und auch quasi in in jährlicher [br]Sukzession immer wiederholt dieselben

0:38:24.045,0:38:28.205
oder ähnliche Symptome, gibt irgendwie [br]Gemeinsamkeiten um rauszufinden was die

0:38:28.205,0:38:31.365
Ursache da was liegt eigentlich dahinter [br]warum ist das so? Warum können wir uns

0:38:31.365,0:38:34.605
darauf nicht verlassen dass jetzt lich [br]Maline EPA kommt die dann sicher ist? Na

0:38:34.605,0:38:38.215
ja also erstens was man sehr schnell [br]feststellt wenn man sich damit

0:38:38.215,0:38:41.015
beschäftigt da können ja einige ein Lied [br]von Singen

0:38:41.015,0:38:44.855
Das ist ein sehr komplexes Thema diese [br]Gesamte Spezifikationslandschaft

0:38:44.855,0:38:47.165
Die Vertrauensräume diese

0:38:47.165,0:38:49.245
Komplexität auch der vielen Beteiligten [br]in der Selbstverwaltung des

0:38:49.245,0:38:53.875
Gesundheitwesen, wie gesagt 100 Kassen [br]100 Karten Herausgeber. Das sind alles

0:38:53.875,0:38:57.495
außentäterszenarien die wir gezeigt haben [br]die wirklich nur außen an der Oberfläche

0:38:57.495,0:39:02.375
von dieser Komplexität kratzen ne? Hier [br]gibt's ein großer Gutachter von TI

0:39:02.375,0:39:07.065
Anwendungen und das Zitat dort ist also [br]das System ist zwischen so komplex dass

0:39:07.065,0:39:10.665
kaum noch Jemand vollständig durchtrinkt. [br]Frauenhofer SIT hat sich dort mal

0:39:10.665,0:39:16.995
versucht mit einem gematic GPT also das [br]auf diesem Wege daran zu kommen aber auch

0:39:16.995,0:39:22.955
das kann diese Komplexität in der Größe [br]nicht durchdringen.

0:39:22.955,0:39:23.835
Kastl: Ja [br]Tschirsich: Genau was leiten wir daraus ab? Also

0:39:23.835,0:39:29.865
was sehen wir das ist so ein bisschen so [br]die die Oberfläche der wir gekratzt haben

0:39:29.865,0:39:32.985
dann sind wir ein bisschen tiefer [br]gegangen und jetzt haben wir scharf

0:39:32.985,0:39:35.865
überlegt und uns ein paar Kern [br]Forderungen zurecht geschrieben die

0:39:35.865,0:39:41.915
umgesetzt werden müssen damit wir dieses [br]Vertrauen wieder zurückgewinnen was hier

0:39:41.915,0:39:45.635
verloren gegangen ist. Zunächst einmal [br]das ist die wichtigste Forderung brauchen

0:39:45.635,0:39:49.675
unabhängige belastbare Bewertung von Sicherheitsrisiken[br]den in diesem System inherenten Risiken

0:39:49.675,0:39:54.335
Es kann nicht sein, dass ehrenamtlich von [br]draußen immer wieder und wieder zugetragen

0:39:54.335,0:39:57.545
wird, wo ad hock gefixt wird. Nein. Wir brauchen [br]unabhängige blastbare Bewertung

0:39:57.545,0:40:01.035
von dem in diesem System inherenten[br]Risiken

0:40:01.035,0:40:05.945
dieser Datenverarbeitung und das kann [br]nicht die gematik oder das BMG machen.

0:40:05.945,0:40:14.935
Das muss eine unabhängige Stelle sein. [br]<i>Applaus</i>

0:40:14.935,0:40:16.885
Dann muss das kommuniziert werden was

0:40:16.885,0:40:21.545
hier als Entscheidung als Risiko [br]Akzeptanzkriterium als in in dieser

0:40:21.545,0:40:25.415
Risikobewertung einfließendes Kriterium [br]in diese Risiko Bewertung einfließen.

0:40:25.415,0:40:28.545
dort vereinbart worden ist das muss [br]transparent kommuniziert werden. Also

0:40:28.545,0:40:31.755
transparente Kommunikation von Risiken [br]gegenüber Betroffenen und wir sind alle

0:40:31.755,0:40:44.185
betroffen weil das ist die EPA für alle.[br]Dann <i>wachsende Applaus</i>

0:40:44.185,0:40:48.355
brauch es ein anderen Prozess, einen [br]anderen Entwicklungsprozess, denn wenn

0:40:48.355,0:40:52.295
wir immer das Gleiche tun kommt auch am [br]Ende immer dasselbe raus und es es

0:40:52.295,0:40:55.385
irwitzig zu erwarten dass jetzt auf [br]einmal ein sicheres Produkt kommt nachdem

0:40:55.385,0:40:57.895
die EP 1 die EP 2 und die EP 3 mit [br]derartigen Mängeln versehen war. Wir

0:40:57.895,0:41:02.495
brauchen einen offenen [br]Entwicklungsprozess open development und

0:41:02.495,0:41:05.285
zwar über den gesamten Lebenszyklus [br]hinweg.

0:41:05.285,0:41:13.910
<i>Applaus</i>

0:41:13.910,0:41:15.075
Kastl: Ja was wir aber gleich dazu sagen [br]sollten weil vielleicht irgendwelche

0:41:15.075,0:41:18.235
Leute wieder auf die Ideen kommen das [br]musssen man irgendwie privatisieren, das

0:41:18.235,0:41:21.695
macht noch viel schlimmer. Ich glaube wir [br]brauchen eine sinnvolle digitale

0:41:21.695,0:41:23.965
staatliche Lösung die auch sinnvoll als [br]öffentliche Infrastruktur funktioniert

0:41:23.965,0:41:32.245
weil ich glaube niemand will irgendwie [br]Doctorlib oder sonst irend was seine EPA

0:41:32.245,0:41:38.555
maintainen lassen. Wir merken dass diese [br]intransparenten risobetrachtung im

0:41:38.555,0:41:42.475
digitalen Gesundheitswesen Vertrauen [br]zerstören ja das geht dann wieder dazu

0:41:42.475,0:41:44.925
dass natürlich Menschen die besonders von [br]EPA profitieren würden diese nicht

0:41:44.925,0:41:50.405
nutzen. Denkt an Menschen mit HIV [br]Erkrankungen. Denkt an Menschen mit

0:41:50.405,0:41:53.475
psychischen Erkrankungen. Denkt an [br]Menschen die irgendwie häusliche Gewalt

0:41:53.475,0:41:56.745
ausgesetzt sind. All diese Menschen haben [br]eigentlich durch Digitalisierung

0:41:56.745,0:42:02.205
Gesundheitswesen vielleicht auch noch die [br]bessere Möglichkeit ja an

0:42:02.205,0:42:05.505
Gesundheitsleistungen zu kommen aber die [br]haben natürlich ein sehr sehr viel

0:42:05.505,0:42:08.285
stärkeres Sicherheits ja Bedürfnis was [br]aber natürlich durch solche Aktionen die

0:42:08.285,0:42:11.285
von der gematik ausgehen die wir nur [br]zeigen sondern machen es nicht kaputt

0:42:11.285,0:42:16.915
sondern wir zeigen nur was kaputt ist [br]nicht unbedingt vertrauen aufbauen. Das

0:42:16.915,0:42:21.305
ist leider so ein teufelskreis in dem wir [br]uns gerade befinden und ich glaube ohne

0:42:21.305,0:42:24.875
wirklichen Ändern des Prozesses wird da [br]auch zukünftig nichts anders

0:42:24.875,0:42:28.275
herauskommen. Ich meine wir stehen zwar [br]gern hier aber irgendwann wird's auch ein

0:42:28.275,0:42:34.875
bisschen langweilig sorry und na ja. [br]Deswegen ist es eigentlich wichtig dass

0:42:34.875,0:42:38.595
wir eine vertrauenswürdige Lösung auch [br]für jeden Sicherheitsbedarf schaffen. Es

0:42:38.595,0:42:41.485
gibt natürlich Menschen die haben [br]vielleicht chronische Erkrankungen die

0:42:41.485,0:42:45.845
haben ganz anderes Verständnis zu wie [br]sicher muss das sein den ist irgendwie

0:42:45.845,0:42:49.405
die medizinische Leistung wichtiger aber [br]es gibt auch Menschen die haben sehr sehr

0:42:49.405,0:42:52.845
hohen Bedarf an nach sicheren Lösungen [br]und ich glaube da ist auch dieser Gedanke

0:42:52.845,0:42:55.685
mit ja ich nehme nur eine eGK um [br]irgendwie hinzugehen und irgendwo meine

0:42:55.685,0:43:01.005
Karte zu stecken vielleicht für manche [br]nicht ausreichend. Ja jetzt ist es aber

0:43:01.005,0:43:04.925
so, jetzt stehen wir und erklagen wieder [br]an hat vielleicht nicht irgendjemand das

0:43:04.925,0:43:11.575
schon mal artikuliert. Ja schon z.B Alena [br]Buyx ehemalige Vorsitzende des Deutschen

0:43:11.575,0:43:15.975
Ethikrates sagt z.B es geht Lösungen zu [br]finden die es möglich machen dass alle

0:43:15.975,0:43:22.415
glücklich sind ja das würden wir auch [br]gerne haben und Susanne Ozegowski ihres

0:43:22.415,0:43:27.585
Zeichens im Bundesgesundheitsministerium [br]sagte selbst das Sicherheit dass A und O

0:43:27.585,0:43:32.495
für die EPA sei und das Vertrauen der [br]Menschen in die EPA so wichtig sein. Wir

0:43:32.495,0:43:39.885
merken davon nicht so viel aber zumindest [br]ist Erkenntnis da und ja wir gucken mal

0:43:39.885,0:43:44.775
wo wir in ein paar Monaten Jahren wo auch [br]immer stehen vielleicht hoffentlich nicht

0:43:44.775,0:43:48.405
auf dieser Bühne vielleicht wird's besser [br]vielleicht wird's auch genauso bleiben

0:43:48.405,0:43:51.815
schauen wir mal.[br]Tschirsich: Vielleicht noch ein Schlusssatz um das

0:43:51.815,0:43:56.675
ganze zu fassen. Also vertrauenswürdige [br]Digitalisierung Gesundheitswesen das ist

0:43:56.675,0:44:00.205
das was wir wünschen vertrauenswürdige [br]Entwicklung und Produkte und

0:44:00.205,0:44:03.085
elektronische Patientenakten für die die [br]sind nutzen wollen und können und die

0:44:03.085,0:44:08.125
davon profitieren das ist unser an unser [br]ansinn unser Ziel. Aber dafür braucht es

0:44:08.125,0:44:13.245
einen vertrauenswürdigen Prozess der [br]Vertrauen ermöglicht und dieses Vertrauen

0:44:13.245,0:44:15.375
das ist irgendwo verloren gegangen und [br]das muss sehr hart wieder

0:44:15.375,0:44:18.645
zurückgearbeitet werden und wir hoffen [br]dass unsere Forderung Gehör finden.

0:44:18.645,0:44:45.685
Herald: Jo und in diesem Sinne[br]<i>ausgiebige Applaus, Wows</i>

0:44:45.685,0:44:50.285
Vielen Dank Martin, Bianca. Es war wieder [br]ein Fest. Ich muss mich leider

0:44:50.285,0:44:54.335
entschuldigen es war nicht der 32C3 war [br]natürlich der 36C3. Bin schon bisschen

0:44:54.335,0:44:59.445
älter da vergisst man Sachen tut mir [br]leid. Bevor wir zur Fragerunde kommen wir

0:44:59.445,0:45:02.045
haben dafür jetzt noch 15 Minuten Zeit [br]lass mich noch mal kurz eins fragen.

0:45:02.045,0:45:06.155
Fragen Ihr habt vorhin gefragt gesagt [br]Ehrenamt das heißt alles was wir jetzt

0:45:06.155,0:45:07.985
gerade gesehen haben sind ehrenamtliche [br]Recherchen.

0:45:07.985,0:45:10.910
Kastl: Ja [br]Herald: Das ist ziemlich cool!

0:45:10.910,0:45:21.045
<i>ausgiebige Applaus</i>

0:45:21.045,0:45:26.125
Das führt nämlich dazu dass wir zum einen [br]natürlich mit als Ehrenamt sei rotes

0:45:26.125,0:45:30.205
Kreuz sei es sonst wo aber eben auch als [br]IT-spezialisten tatsächlich auch was für

0:45:30.205,0:45:34.515
die Gesellschaft tun können das ziemlich [br]wirklich ziemlich gut. Wie gesagt wir

0:45:34.515,0:45:39.325
kommen zur Fragerunde wenn ihr Fragen [br]habt dann bitte an die Mikros stehen es

0:45:39.325,0:45:44.125
gibt hier nummerierte Mikros die stehen [br]auch in den Mittelgängen ich meine oben

0:45:44.125,0:45:51.805
gäbe es auch noch welche auf den Rängen. [br]Wink mal jemand wenn dem so ist. Da oben

0:45:51.805,0:45:57.325
ja da hinten winkt jemand sehr gut. Dann [br]gehen wir Mikrofon für Mikrofon durch

0:45:57.325,0:45:59.565
Signal Angel hat auch schon eine Frage [br]hervorragend.

0:45:59.565,0:46:04.925
Mikrofon 1 bitte da: Ja ihr habt vorhin [br]mit der Größen Übersicht da gezeigt an

0:46:04.925,0:46:09.005
welchen Stellen in dem großen [br]Zusammenhang ihr überall gepokt habt und

0:46:09.005,0:46:13.885
an Informationen gekommen seid. Die [br]Krankenkassen waren nicht dabei. Droht

0:46:13.885,0:46:18.365
uns da noch was?[br]Kastl: Jetzt wir ein bisschen politisch die

0:46:18.365,0:46:22.645
Krankenkassen dürfen inzwischen mit den [br]ihn vorliegenden Daten Lauch

0:46:22.645,0:46:28.045
Gesundheitsdaten nutzungsgesetz Paragraph [br]25 SGB 25b sgb5 Entschuldigung für den

0:46:28.045,0:46:33.805
ganzen rechtsplan <i>Applaus</i> dabei von [br]daher kenne ich das noch die

0:46:33.805,0:46:38.085
Krankenkassen können mit den [br]Abbrechnungsdaten zumindest bestimmte

0:46:38.085,0:46:41.965
Krankheitsbilder oder [br]Behandlungsszenarien auswerten das ist

0:46:41.965,0:46:47.045
inzwischen schon per Design auch wieder [br]per Opt-Out widersprechbar. Aber das ist

0:46:47.045,0:46:53.325
tatsächlich so die erste Stufe wo [br]Krankenkassen auch etwas mehr ja sagen

0:46:53.325,0:46:58.325
wir mal in in Behandlungsverläufe [br]Einsicht bekommen was da politisch

0:46:58.325,0:47:03.085
passiert ist da natürlich eine [br]Entscheidung die könnt ihr auch mit eurer

0:47:03.085,0:47:06.805
Wahl bei der anstehenden Bundestagswahl [br]ein bisschen beeinflussen. Fragt doch mal

0:47:06.805,0:47:12.045
einfach eure Wahlkandidatinnen dazu was [br]sie davon halten wie die Trennung von

0:47:12.045,0:47:17.925
Krankenkassen und diesem System [br]eigentlich sein sollte. Das kann man so

0:47:17.925,0:47:21.685
und so politisch Regeln.[br]F1: Aber ihr habt noch keinen Zugangsweg

0:47:21.685,0:47:24.725
dort ausprobiert? [br]Tschirsich: Also Kassen sind ja die Herausgeber

0:47:24.725,0:47:29.445
von Gesundheitskarten und dieser Prozess [br]ist halt teilweise angreifbar gewesen und

0:47:29.445,0:47:32.845
ist auch weiterhin angreifbar. Das heißt [br]wir müssen damit leben dass diese

0:47:32.845,0:47:37.405
Prozesse auch dauerhaft nicht richtig [br]sicher sein können. Wenn wir nicht das

0:47:37.405,0:47:40.285
umsetzen was eine sehr strickte [br]Sicherheitsforderung ist. Das zweite ist

0:47:40.285,0:47:43.485
Kassen betreiben auch zum Teil diese [br]versicheren stammdatendien selber aber

0:47:43.485,0:47:46.085
ansonst haben Kassen natürlich nur ein [br]schreibbrecht in die elektronische

0:47:46.085,0:47:49.325
ptientenakte. Das muss man mal ganz klar [br]sagen also Kassen auch mit einer SMC

0:47:49.325,0:47:53.125
Karte oder bzw dieser Identität einer [br]Kasse kann ich nur schreiben auf das in

0:47:53.125,0:47:56.965
diese Akte zugreifen und das ist sollte [br]man vielleicht noch mal hervorheben.

0:47:56.965,0:48:00.285
F1: Danke.[br]Herald: Das Internet hat eine Frage.

0:48:00.285,0:48:02.525
Bitte.[br]Signal Angel: Was wäre denn eure

0:48:02.525,0:48:07.765
Empfehlung für so den 081 Patienten und [br]wie kann man aus der elektronischen

0:48:07.765,0:48:10.945
Krankheit elektronischen Patientenakte [br]Opt-Outen.

0:48:10.945,0:48:15.525
Tschirsich: Opt-Out ist vielfach möglich man kann [br]komplett optouten man kann auch später

0:48:15.525,0:48:20.245
wieder einwilligen dass man oder ich sag [br]mal sagen ich nehme den optout zurück.

0:48:20.245,0:48:23.685
Man kann auch die Akte grundsätzlich [br]erstmal haben und dann gegen einzelne

0:48:23.685,0:48:26.565
verarbeitungsvorgänge wiedersprechen das [br]ist alles auf den Seiten der gematik sehr

0:48:26.565,0:48:29.725
schön dargelegt wie das geht. [br]Grundsätzliche Empfehlung sprechen wir

0:48:29.725,0:48:32.885
eigentlich nicht aus weil wir sagen jeder [br]hat unterschiedlichen Sicherheitsbedarf.

0:48:32.885,0:48:36.085
Manche die würden sehr schon davon [br]profitieren und haben aber jetzt kein

0:48:36.085,0:48:39.885
Bedürfnis ein sehr vertraulichen Umgang [br]mit diesen Daten zu pflegen und da würde

0:48:39.885,0:48:43.445
ich sagen ok. Wenn jemand sagt nein ich [br]möchte nicht dass diese Daten in Hände

0:48:43.445,0:48:47.525
von Familienangehörigen oder von Dritten [br]gelangen und mir ist ein Aufwand von vier

0:48:47.525,0:48:52.525
Stunden da zu gering für ein Angreifer [br]dann würde ich sagen dann erstmal optout

0:48:52.525,0:48:55.565
und schauen ob sich das vielleicht [br]grundlegend mit der EP4 ändert ja? Man

0:48:55.565,0:48:59.405
kann auch das optout wie gesagt jederzeit [br]zurücknehmen. Aber das muss jeder selber

0:48:59.405,0:49:04.725
für sich oder jede selber für sich [br]entscheiden. Herald: Vielen Dank Mikrofon

0:49:04.725,0:49:10.165
2 hat noch eine Frage.[br]Mic 2: Könntet ihr einen Grund dafür

0:49:10.165,0:49:16.645
finden warum da ein statische ID [br]verwendet wird statt die signierte. Ist

0:49:16.645,0:49:20.385
das irgendwie fixbar ohne die Spec zu [br]verändern?

0:49:20.385,0:49:25.805
Tschirsich: Jetzt beim Versicherten standamard [br]Management warum die iccsn verwendet wird

0:49:25.805,0:49:30.085
statt die signierte? Das ist historisch [br]gewachsen dass dieser Prüfungsnachweis

0:49:30.085,0:49:35.925
der dort erzeugt wird der wo ist [br]eigentlich nur Nachweis darüber dass eine

0:49:35.925,0:49:41.365
eine Ärztin ein Arzt die Stammdaten auf [br]Aktualität geprüft hat und soll nie

0:49:41.365,0:49:43.925
nachweisen dass eine echte [br]Gesundheitskarte vorlag. Das hat man dann

0:49:43.925,0:49:49.285
später als das einzige was da war [br]genutzt. Es gibt ein was diesen Mangel

0:49:49.285,0:49:54.365
angeht also ist ja wie gesagt nur einer [br]von vielen 2026 neuen Dienst der das dann

0:49:54.365,0:50:00.231
richtig machen soll.

0:50:00.231,0:50:00.278
<i>Gelächter</i>

0:50:00.278,0:50:05.805
Mic 2: Danke schön ja[br]Herald: Problem für future it.

0:50:05.805,0:50:12.045
Mic 3: Guten Tag meine Frage richtet sich [br]daran ihr hatt jetzt über Jahre

0:50:12.045,0:50:18.965
kommuniziert mit den Verantwortlichen wie [br]seht ihr diese Kommunikation was

0:50:18.965,0:50:23.565
funktioniert was funktioniert nicht wie [br]herzlich oder wie ehrlich ist die

0:50:23.565,0:50:28.485
Kommunikation was hat euch was motiviert [br]euch weiterzum machen und wo sagt ihr da

0:50:28.485,0:50:34.885
sind ganz klare Wände gegen die man rennt.[br]Kastl: Also wir haben ja schon ein bisschen

0:50:34.885,0:50:38.605
auch vorher mit Menschen gesprochen [br]Menschen draf vorbereitet was kommen wird

0:50:38.605,0:50:42.245
und ich glaube auch dieses wie auch die [br]gematik selbst diese Security Prozesse

0:50:42.245,0:50:46.405
aufnimmt das ist schon auch irgendwie wie [br]man das so vom Prozessen erwarten würde

0:50:46.405,0:50:52.605
auch freundlich kollegial so ein bisschen [br]Security do nennen wir es mal so. Ich

0:50:52.605,0:50:56.445
sehe das aber halt mit politischen [br]Prämissen die dann irgendwie sagen mit

0:50:56.445,0:51:00.365
datenschätzen und so weiter und so fort [br]die gemati auch immer ein bisschen so

0:51:00.365,0:51:03.485
einer so einer ungünstigen Rolle von das [br]sind die politischen Forderungen die

0:51:03.485,0:51:06.885
erfüllt werden müssen und das ist das was [br]man auf der Arbeitsebene noch noch regeln

0:51:06.885,0:51:12.725
kann. Wenn halt eine Timeline sagt am 15 [br]Januar müssen wir mit diesem Ding online

0:51:12.725,0:51:15.765
gehen und dann sagt jemand ja [br]securitymäßig müssen wir da vielleicht

0:51:15.765,0:51:19.165
noch was fixen weil es ist vielleicht [br]doch ein Risiko ist natürlich auch der

0:51:19.165,0:51:23.685
Handlungsspielraum den man da hat [br]vielleicht eher dazu da um das politische

0:51:23.685,0:51:27.685
Ziel zu erreichen und ich glaube das ist [br]der das Problem in dem sich dieses ganze

0:51:27.685,0:51:30.525
kon dieser ganze Kontext befindet und das [br]Z mein Eindruck davon.

0:51:30.525,0:51:32.645
Tschirsich: Vielleicht kann man auf den Satz [br]zusammenbringen also alle mit denen wir

0:51:32.645,0:51:37.725
zusammenarbeiten auf fachlicher Ebene [br]insbesondere die auch hier in

0:51:37.725,0:51:42.565
beispielsweise bei der gematik versuchen [br]alle versuchen unter den Voraussetzung

0:51:42.565,0:51:45.685
das Beste zu erreichen was sie können. [br]Aber selbst wenn alle zehn Mal besser

0:51:45.685,0:51:48.525
arbeiten würden dann hätten wir die [br]elektronische Patientenakte in den

0:51:48.525,0:51:53.805
letzten 5 Jahren eben nicht zehn sondern [br]einmal gehackt und bei einer Lebensdauer

0:51:53.805,0:52:01.645
von 100 Jahren werden das halt dann nur [br]na ja zehnmal. Ich weiß nicht wie wie oft

0:52:01.645,0:52:04.485
das erwartet wie oft darf so eine Akte in [br]der Lebenszeit gehackt werden ich glaube

0:52:04.485,0:52:07.285
diese Rechnung W wir nicht anstellen und [br]das führt auch zu nichts man muss

0:52:07.285,0:52:11.485
erkennen dass dieser Prozess in dem diese [br]Akte entsteht nicht zu einer sicheren

0:52:11.485,0:52:15.205
vertrauenswürdigen digitalen [br]Gesundheitsakte führen kann und dass es

0:52:15.205,0:52:19.165
da grundlegende Änderung braucht. Es ist [br]nicht es liegt nicht an den Menschen es

0:52:19.165,0:52:22.365
liegt vielleicht an der ich sag mal der [br]Entscheidungsebene die vorgibt dass

0:52:22.365,0:52:25.005
gewisse Ziele eingehalten werden müssen [br]zu gewissen Terminen das kann natürlich

0:52:25.005,0:52:28.845
sein. [br]Mic2: Danke für diese ausführliche

0:52:28.845,0:52:32.325
Einsicht.[br]Herald: ich danke auch ich hatte vorher

0:52:32.325,0:52:34.885
nach den Reng gefragt ich kann die Nummer [br]leider nicht sehen steht da jemand und

0:52:34.885,0:52:41.165
hat eine Frage?[br]Mic 0: Ja sind euch nech weitere Stellen

0:52:41.165,0:52:45.085
bekannt in das spec in den die gematik [br]festgestellt hat dass Angreifer eventuell

0:52:45.085,0:52:51.525
Lücken ausnutzen können.[br]Mic: Also wie gesagt wir haben von außen

0:52:51.525,0:52:54.565
drauf geschaut aus einer [br]außentäterperspektive und das sind die

0:52:54.565,0:52:57.645
Lücken die wir heute vorgestellt haben [br]aus der außentäterperspektive weil das

0:52:57.645,0:53:02.925
die sind die auch am ehesten begreifbar [br]sind und auch vorstell sind. Das System

0:53:02.925,0:53:08.645
hat weitere Mängel die betreffen weitere [br]sicherheitsannahmen organisatorisch und

0:53:08.645,0:53:13.365
auf der Ebene unter den also mit [br]entsprechend privilegierten Positionen

0:53:13.365,0:53:15.725
und das was wir gemacht haben ist auch [br]längst nicht vollständig also wir haben

0:53:15.725,0:53:18.005
keine vollständige Sicherheitsanalyse [br]gemacht sondern wir haben das angeschaut

0:53:18.005,0:53:22.165
was un irgendwie untergekommen ist als [br]erstes. Das heißt da ist durchaus der

0:53:22.165,0:53:26.305
Bedarf da das weiterzuführen diese [br]Arbeit.

0:53:26.305,0:53:34.845
Signal Engel: Ja was soll man sich unter [br]transparenter Kommunikation der Risiken

0:53:34.845,0:53:39.205
für Betroffene vorstellen weil für Leien [br]ist ja relativ schwer zu erklären was die

0:53:39.205,0:53:43.685
Risikofaktoren für die EPA sind. [br]Tschirsich: Also wir können sagen wie man sich es

0:53:43.685,0:53:47.405
nicht vorstellt und das so wie es [br]gelaufen ist und zwar zu sagen von der

0:53:47.405,0:53:52.525
Sicherheit her besonders sicher die EPA [br]ist die sicherste die wir haben in Europa

0:53:52.525,0:53:58.205
Gutachten bestätigt ist sicher sicher [br]sicher sicher nein das nicht sondern so

0:53:58.205,0:54:01.685
begreifbar machen dass es [br]unterschiedliche Risikoprofile gibt und

0:54:01.685,0:54:05.565
das für manche Menschen geeigneter ist [br]und für andere weniger und wir haben das

0:54:05.565,0:54:09.445
versucht heute greifbar zu machen auf ein [br]Foli den wir sagen okay Aufwand den

0:54:09.445,0:54:13.765
angreif einsetzen muss und dann der [br]Schaden der daraus entsteht also z.B in

0:54:13.765,0:54:18.005
Stunden angegeben es gibt da sicher [br]Bedarf darüber nachzudenken und da ein

0:54:18.005,0:54:22.485
etwas zu finden was für die Betroffenen [br]gut greifbar ist wir würden uns wünschen

0:54:22.485,0:54:25.645
dass man das versucht und eben nicht sagt [br]ist sicher verlasst euch drauf und dann

0:54:25.645,0:54:30.565
ist wieder nicht sicher das führt nicht [br]zum Ziel.

0:54:30.565,0:54:39.685
Mik 4: ja hallo vielen Dank für den Talk. [br]Ich habe eine Frage zu einem Ding das ihr

0:54:39.685,0:54:45.605
vorhin angeschnitten habt und zwar wenn [br]ich Daten in meiner Akte stehen habe die

0:54:45.605,0:54:53.525
ich nicht jedem Arzt und erst recht nicht [br]jeder Person in der Welt geben möchte wie

0:54:53.525,0:54:59.565
kann ich dafür sorgen oder gibt es da [br]Mechanismen dass ich solche verschleiern

0:54:59.565,0:55:05.445
kann oder mit besonderen [br]Sicherheitsmerkmalen praktisch belegen

0:55:05.445,0:55:09.245
kann.[br]Kastl: Ja jetzt kommt das Thema mit dem nicht

0:55:09.245,0:55:13.605
so freien granuralen [br]berichtigungsmanagement. Also EPA Zugriff

0:55:13.605,0:55:17.845
heißt erstmal Zugriff oder nicht Zugriff [br]du kannst in de elektronischen Patienten

0:55:17.845,0:55:23.685
Akte 3.0 für dich selbst Dokumente so [br]verschatten damit du nur damit du nur sie

0:55:23.685,0:55:27.685
nur selbst einsehen kannst das geht aber [br]du kannst jetzt z.B nicht sagen für ein

0:55:27.685,0:55:32.205
Dokument das darf z.B jetzt nur meine [br]Zahnärztin sehen und das andere Dokument

0:55:32.205,0:55:38.165
darf noch mein mein Immunologe sehen oder [br]sonstige Dinge sondern es gibt Zugriff

0:55:38.165,0:55:42.445
oder nicht Zugriff das ist auch etwas was [br]z.B die aktuelle BFD auch immer wieder

0:55:42.445,0:55:49.685
kritisiert immer wieder mal aber ja gut [br]und das ist das aktuell in dem

0:55:49.685,0:55:55.285
zugangsberechtigungsmanagement wirklich [br]vielleicht noch nicht der Use Case den du

0:55:55.285,0:55:59.205
bräuchtest um alle Szenarien abzubilden. [br]Tschirsich: Genau also auf Betreiben von Herrn

0:55:59.205,0:56:03.405
Kelber unseren BfDI insbesondere wurde in [br]feingranulares Berechtigungsmanagement

0:56:03.405,0:56:07.718
eingeführt in die EPA 2 und mit der EPA 3 [br]ist wieder ausgebaut.

0:56:07.718,0:56:13.365
Mik 4: ja noch kurz als Folge könnte das [br]ein Problem für transmenschen werden

0:56:13.365,0:56:19.045
deswegen die Frage genau vielen Dank.[br]Kastl: Das ist natürlich ein Problem für z.B

0:56:19.045,0:56:22.685
für transmchen auch für Menschen mit HIV [br]Diagnosen für Menschen mit sonstigen

0:56:22.685,0:56:26.085
Diagnosen Depression [br]Schwangerschaftsabbrüche es gibt im

0:56:26.085,0:56:29.805
Gesetz mus den Hinweis dass man auf [br]bestimmte Dinge hinweisen muss achtung

0:56:29.805,0:56:33.765
wir stellen das jetzt in deine EPA [br]möchtest du das? das ist aber praktisch

0:56:33.765,0:56:38.085
so umgesetzt dass in der Arztpraxis und [br]Umständen am Plakat hängt das drüber

0:56:38.085,0:56:42.125
informiert und dann war die [br]Informationspflicht erfüllt das ist

0:56:42.125,0:56:50.005
wirklich so und ja ihr merkt das Problem.[br]Herald: Danke vielmals auch für die gute

0:56:50.005,0:56:56.525
Erklärung.[br]Mikrofon sechs: Ja vielen Dank für den

0:56:56.525,0:57:00.245
Vortrag meine Frage schließt sich glaube [br]ich gut an die Vorfrage an nämlich kann

0:57:00.245,0:57:05.005
ich zumindest ein Schränken welche [br]Leistungserbringer Zugriff auf meine EPA

0:57:05.005,0:57:08.285
bekommen ich glaube eure eigene Folge hat [br]da bisschen drauf hingewiesen.

0:57:08.285,0:57:12.885
Tschirsich: Ja das geht also man kann [br]Leistungserbringer auf so eine denylist

0:57:12.885,0:57:16.085
setzen dazu müssen die Leistungserbringer [br]aber bekannt sein und ich muss sie suchen

0:57:16.085,0:57:21.445
über die App ja das heißt 1% haben [br]derzeit eine App die 99% die sie nicht

0:57:21.445,0:57:24.765
haben da soll es eine Möglichkeit geben [br]über eine ombutstelle bei der

0:57:24.765,0:57:31.165
Krankenkasse anzurufen aber vielleicht [br]schauen wir uns das an wenn es da ist

0:57:32.805,0:57:45.805
Mik 5: Vielen dank euch für eure Arbeit. [br]Wie Realistisch ist es das als Postbox

0:57:45.805,0:57:51.765
als Inbox zu nutzen. Ich ziehe mir das [br]Zeug da rein was ich tecker krieg von den

0:57:51.765,0:58:00.405
entsprechenden Institutionen Ärzten und [br]so weiter und löscht das das sofort raus

0:58:00.405,0:58:06.445
manuell oder vielleicht gibt's da API wo [br]ich mal Scripten kann, ist sowas Realist

0:58:06.445,0:58:10.045
realistisch?[br]Tschirsich: Also das das ging man kann in der EPA

0:58:10.045,0:58:13.125
Dokumente für sich selber runterladen und [br]dann auch aus der EPA löschen das geht

0:58:13.125,0:58:16.725
nur wenn man sie dann wieder in die [br]andere Richtung kommunizieren möchte die

0:58:16.725,0:58:21.605
Dokumente haben keine beispielsweise [br]Signatur durch ein Arztausweis sondern

0:58:21.605,0:58:24.045
sie werden allein dadurch authentisch [br]dass sie in ein bestimmten Fach in der

0:58:24.045,0:58:26.485
EPA einsortiert sind wen einmal [br]rausgeholt hat krieg ich n wieder rein

0:58:26.485,0:58:29.045
aus dem arztfach beispielsweise wenn ich [br]nicht selber Arzt bin das ist so ein

0:58:29.045,0:58:32.205
bisschen das Problem.[br]Kastl: Ja was auch nicht geht ist in dem

0:58:32.205,0:58:35.445
Kontext dass du bestimmte Funktionen die [br]z.B in der EPA 3 komm elektronische

0:58:35.445,0:58:39.845
Medikationsliste oder elektrische [br]medikationsplan später dass du das

0:58:39.845,0:58:45.245
natürlich nur benutzen kannst wenn es z.B [br]ein legitimes e-rezept ist was dort

0:58:45.245,0:58:47.725
eingestellt wurde.[br]Tschirsich: Und dann diese Medikationsliste

0:58:47.725,0:58:50.085
generiert genau und aus der [br]Medikationsliste kann man auch nicht

0:58:50.085,0:58:54.605
individuell löschen das heißt Dokumente [br]ja aber da wo es spannt wird semantische

0:58:54.605,0:58:57.325
Daten da muss ich alles oder gar nichts [br]nehmen ich kann da nicht einzelne Daten

0:58:57.325,0:59:00.485
nachdem ich sie empfangen habe dann [br]löschen das geht nicht.

0:59:00.485,0:59:05.565
Herald: ich danke auch wir sind am Ende [br]unserer Zeit angekommen es war wieder ein

0:59:05.565,0:59:07.355
hervorragender Vortrag mit einer sehr [br]sehr spannenden Fragerunde vielen vielen

0:59:07.355,0:59:15.652
Dank Bianca und Martin.

0:59:15.652,0:59:18.227
<i>Ausgiebige Applaus</i>

0:59:18.227,0:59:20.508
<i>38C3 Abschlussmusik</i>

0:59:20.508,0:59:28.005
Untertitel von vielen vielen Freiwilligen und dem[br]C3Subtitles Team erstellt. Mach mit und hilf uns!