Wenn Menschen krank sind, brauchen sie Hilfe. Ärzte schreiben dann auf, was sie über die Krankheit wissen. Diese Informationen stehen zum Beispiel im Arztbrief oder im Befund. Manche Menschen (Gesetzlich Versicherte) bekommen eine elektronische Patientenakte. Das ist eine digitale Sammlung solcher Informationen. Darin steht, wann man beim Arzt war, welche Medikamente man nimmt oder welche Krankheit man hat. Solche Daten sind sehr persönlich. Sie müssen besonders gut geschützt werden. Niemand außer den behandelnden Ärzten, der Apotheke oder der Krankenkasse darf sie ohne Erlaubnis sehen. Genau darum gibt es Regeln für diese elektronische Akte. Diese Regeln sind sehr streng. Denn was in der Akte steht, ist oft sehr privat.
Manche Menschen denken jetzt vielleicht: Was ist, wenn ein Dokument in der Akte einen Virus hat? Was ist, wenn eine Datei gefährlich ist? Könnte man sie nicht einfach bei einem Dienst im Internet hochladen, der sie auf Viren prüft? Es gibt solche Dienste. Einer heißt VirusTotal. Viele benutzen ihn. Aber dieser Dienst ist nicht dafür gedacht, dass man damit vertrauliche oder geheime Daten überprüft. Trotzdem kommen manche auf die Idee, man könnte ihn auch für Daten aus der elektronischen Patientenakte verwenden. Das ist gefährlich. Und es ist ein sehr großer Fehler.
VirusTotal ist ein Dienst, der zur Firma Google gehört. Man kann dort Dateien oder sogenannte Hashes hochladen. Ein Hash ist wie ein digitaler Fingerabdruck einer Datei. Wenn man eine Datei oder den Hash hochlädt, wird sie von vielen verschiedenen Programmen auf Viren geprüft. Das klingt erst einmal nützlich. Doch was viele nicht wissen: Alles, was man zu VirusTotal hochlädt, bleibt dort gespeichert. Und es wird mit anderen Menschen und Firmen geteilt. Sogar mit sehr vielen. Dazu gehören Sicherheitsfirmen, Antiviren-Hersteller und Forscher. Manche bekommen Zugriff auf diese hochgeladenen Dateien. Und manchmal sind die Dateien sogar öffentlich auffindbar. Das bedeutet: Wer sie einmal hochgeladen hat, hat keine Kontrolle mehr darüber. Jeder, der sich damit auskennt, kann sie unter Umständen sehen.
Nun sagen manche: Aber ich lade doch nicht die ganze Datei hoch, sondern nur den Hash. Doch auch das kann gefährlich sein. Denn ein Hash lässt sich bestimmten Inhalten zuordnen. Wenn jemand die Datei kennt, kann er den Hash wiedererkennen. Er weiß dann, dass es genau diese Datei war. Besonders bei sehr persönlichen Dokumenten wie einem Arztbericht ist das ein großes Problem. Dann reicht schon der Hash, um Rückschlüsse auf den Inhalt zu ziehen. Und damit ist auch der Hash ein Hinweis auf deine Gesundheit. In der Sprache der Datenschutz-Regeln sagt man: Der Hash ist dann ein personenbezogenes Datum. Das bedeutet: Es gehört zu einem bestimmten Menschen. Und das darf man nicht einfach an andere weitergeben.
Die Datenschutz-Regeln in Europa heißen DSGVO. Das ist die Abkürzung für die Datenschutz-Grundverordnung. Dort steht, wie mit persönlichen Daten umgegangen werden muss. Besonders strenge Regeln gelten für Gesundheitsdaten. Sie dürfen nur verarbeitet werden, wenn die betroffene Person eindeutig zustimmt. Oder wenn es eine gesetzliche Grundlage gibt. Beides trifft auf das Hochladen zu VirusTotal nicht zu. Kein Patient wird gefragt, bevor jemand seinen Arztbrief bei VirusTotal prüft. Und es gibt auch kein Gesetz, das das erlaubt. Im Gegenteil: Das Gesetz verbietet sogar, solche Daten einfach in andere Länder zu schicken.
VirusTotal ist ein Dienst aus den USA. Das bedeutet: Die Daten gehen beim Hochladen in ein anderes Land. Und in diesem Land gelten andere Gesetze. Dort dürfen Behörden oft auf solche Daten zugreifen. Das hat schon der Europäische Gerichtshof gesagt. Er hat entschieden, dass Daten in die USA nur noch unter sehr strengen Bedingungen geschickt werden dürfen. Denn dort gibt es keinen Schutz wie in Europa. Das nennt man einen Drittlandtransfer. Und genau so ein Transfer passiert, wenn man Daten bei VirusTotal hochlädt.
Auch die Regeln für die elektronische Patientenakte sagen ganz klar: Solche Daten müssen geschützt bleiben. Die Akte darf nur innerhalb eines sicheren Netzwerks bearbeitet werden. Dieses Netzwerk heißt Telematikinfrastruktur. Es ist extra dafür gemacht worden, dass niemand unberechtigt mitliest. Nur Menschen mit bestimmten Karten und Berechtigungen dürfen darauf zugreifen. Wenn jemand Daten aus der Akte herausnimmt und in ein öffentliches System lädt, verlässt er dieses sichere Netzwerk. Das ist verboten. Und es ist ein Verstoß gegen die Regeln, die für Ärzte, Kliniken und Kassen gelten. Es gibt auch kein Gesetz, das erlaubt, diese Daten zur Prüfung an einen US-Dienst zu schicken. Und es gibt auch keinen technischen Grund, das zu tun. Denn in der Akte dürfen sowieso nur Dateien gespeichert werden, die nicht gefährlich sein können. Das sind zum Beispiel PDF-Dateien in einem sicheren Format. Andere Dateien, die Viren enthalten könnten, dürfen dort gar nicht rein.
Wer trotzdem Daten aus der ePA an VirusTotal gibt, begeht einen schweren Fehler. Er verletzt die Rechte der Patienten. Er gibt ihre Gesundheitsdaten an einen Ort, der nicht sicher ist. Er riskiert, dass fremde Menschen später wissen, was ein Patient für eine Krankheit hat. Und er verstößt gegen das Gesetz. Für die Patienten ist das ein riesiges Problem. Sie verlieren das Vertrauen in das System. Sie haben Angst, dass ihre Daten nicht mehr geheim bleiben. Für die Ärzte und Kliniken kann das Geldstrafen geben. Und auch der gute Ruf kann verloren gehen.
Manchmal meinen Leute es nicht böse. Sie wollen nur sicherstellen, dass keine gefährlichen Dateien in Umlauf sind. Aber dann müssen sie andere Wege finden. Wege, die sicher sind und erlaubt. Man kann zum Beispiel einen Virenscanner benutzen, der auf dem eigenen Computer läuft. Der sendet die Daten nicht ins Internet. Oder man achtet darauf, dass man nur erlaubte Dateitypen benutzt. Die ePA ist so gebaut, dass sie sicher ist. Aber sie bleibt nur dann sicher, wenn sich alle an die Regeln halten.
Die Idee, Dokumente aus der ePA bei VirusTotal zu scannen, ist nicht nur falsch. Sie ist auch gefährlich. Denn sie öffnet die Tür für Datenlecks. Für Missbrauch. Für Vertrauensverluste. Und für rechtliche Probleme. Wer solche Daten prüft, muss wissen, was er tut. Und er muss wissen, wo die Grenze ist. Die Grenze ist ganz klar: Gesundheitsdaten gehören nicht in fremde Hände. Sie gehören nicht ins Internet. Sie gehören nicht in US-Rechenzentren. Sie gehören in sichere Hände. Nur dort sind sie richtig. Wer das nicht versteht, hat in einem System wie der elektronischen Patientenakte nichts verloren. Denn dort geht es nicht um Technik. Es geht um Menschen. Um ihre Gesundheit. Und um ihr Recht auf Schutz.