Ein aktueller Fall wirft Fragen zur Sicherheit des Widerspruchsverfahrens für die elektronische Patientenakte (ePA) auf. Ein Whistleblower deckte auf, dass ein Widerspruch bei einer Krankenkasse ohne Identitätsprüfung möglich gewesen sein soll. Die Krankenkasse Barmer und das Bundesgesundheitsministerium (BMG) wiesen die Vorwürfe zurück und betonten ihre Sicherheitsvorkehrungen.
Sicherheitslücke bei ePA-Widerspruch entdeckt
Nach Angaben eines Whistleblowers, der als Dienstleister im Krankenkassenbereich tätig ist, ließ sich ein Widerspruch gegen die elektronische Patientenakte (ePA) bei der Krankenkasse Barmer einlegen, ohne dass die Identität der widersprechenden Person überprüft wurde. Im April dieses Jahres reichte der Whistleblower im Namen einer eingeweihten Versicherten einen Widerspruch ein – lediglich mit Name, Adresse und einer frei erfundenen Unterschrift. Er berichtete dem „Handelsblatt“ (Dienstagsausgabe): „Die Kassen haben offensichtlich keinerlei Identitätsdaten, um sicherzustellen, dass ein Widerspruch tatsächlich von der versicherten Person stammt.“ Kurz nach Einreichen des Widerspruchs erhielt die Versicherte per E-Mail die Bestätigung über die Löschung ihrer ePA.
Krankenkasse weist Kritik zurück
Die Krankenkasse Barmer wies die Kritik des Whistleblowers zurück. Ein Widerspruch sei nach Angaben der Kasse nicht ohne Mitwirkung der Betroffenen möglich. Die Barmer verwies nach Bericht des „Handelsblatts“ auf das hierfür vorgesehene Formular, das ein Feld für die Krankenversichertennummer enthält. Allerdings ist laut dem Formular die Angabe der Krankenversichertennummer nur für Mitversicherte verpflichtend.
Stellungnahme des Bundesgesundheitsministeriums
Das Bundesgesundheitsministerium (BMG) erklärte auf Anfrage, man könne keine Einzelfälle kommentieren. Ein Sprecher des Ministeriums betonte gegenüber dem „Handelsblatt“: „Die Krankenversicherungen sind gehalten, die Widerspruchslösung einfach, aber manipulationssicher umzusetzen.“ Weiter stellte der Sprecher klar, beim beschriebenen Vorgang handele es sich nicht um eine technische Schwachstelle der ePA, sondern um einen Fall von Urkundenfälschung.
