Höhere Cybersicherheit darf ärztliche Schweigepflicht nicht gefährden

„Die verdeckten Abwehrmaßnahmen können auch Gesundheitsdaten von Versicherten betreffen, die von Vertragsärztinnen und -ärzten sowie Vertragspsychotherapeutinnen und -psychotherapeuten verarbeitet werden“, warnt die KBV in ihrer Stellungnahme zum Regierungsentwurf für ein „Gesetz zur Stärkung der Cybersicherheit“. Dabei handele es sich um Daten, die durch die Datenschutz-Grundverordnung und zusätzlich durch die ärztliche Schweigepflicht besonders geschützt würden.

Nach Einschätzung der KBV könnten Praxen relativ häufig von solchen Abwehrmaßnahmen betroffen sein. Denn Praxisverwaltungssysteme und die Telematikinfrastruktur seien regelmäßig Ziel von Schadsoftware, insbesondere Ransomware. Werde ein infiziertes Praxisverwaltungssystem zum Gegenstand einer solchen Maßnahme, könne faktisch der gesamte geschützte Datenbestand einer Praxis erfasst werden, nach Wortlaut des Gesetzentwurfs auch ohne Wissen des Betroffenen, heißt es in der Stellungnahme der KBV.

Das Hauptargument des Regierungsentwurfs, die Maßnahmen seien keine Überwachungsmaßnahmen, weil sie nicht der Erhebung von Inhaltsdaten, sondern allein der Gefahrenabwehr dienten, lässt die KBV so nicht gelten. Die Schutzbedürftigkeit der ärztlichen Schweigepflicht hänge nicht von der subjektiven Zielrichtung der Behörde ab, sondern davon, ob schweigepflichtgeschützte Daten tatsächlich zugänglich würden, argumentiert sie.

Vorschlag der KBV

Die KBV schlägt deshalb vor, den Schutz der Kommunikation von Berufsgeheimnisträgern nach Paragraf 62 des Bundeskriminalamtgesetzes auf die geplanten neuen Maßnahmen auszudehnen und im Bundespolizeigesetz eine vergleichbare Vorschrift zu schaffen. Dies würde dafür sorgen, dass die vertrauliche Kommunikation zwischen Ärzten, Psychotherapeuten und ihren Patienten auch bei Maßnahmen zur Cyberabwehr besonders geschützt bleibt.

Mit dem „Gesetz zur Stärkung der Cybersicherheit“ ist geplant, die Befugnisse von Bundespolizei und Bundeskriminalamt auszuweiten. Ziel ist es, einen Cyberangriff schneller erkennen, bewerten und abwehren zu können. Die Behörden sollen Datenverkehr umleiten und Daten aus kompromittierten IT-Systemen auslesen, löschen oder verändern dürfen, heißt es im Regierungsentwurf.