Quellen-Tabelle

Seit dem 15. Januar 2025 gilt nach § 342 Abs. 1 SGB V ein Opt-out-Modell: Versicherten wird eine ePA automatisch eingerichtet, wenn sie nicht innerhalb von sechs Wochen nach Information widersprechen. Die bundesweite Einführung erfolgte am 29. April 2025. Grundlage sind SGB V, das Digital-Gesetz (DigiG) und das Gesundheitsdatennutzungsgesetz (GDNG) — letzteres regelt insbesondere die Nutzung von Gesundheitsdaten für Forschung.

Zentraler Systemwechsel: Bis Januar 2025 mussten Versicherte aktiv zustimmen (Opt-in), seither gilt automatische Einrichtung mit Widerspruchsmöglichkeit (Opt-out) — ein Muster, das strukturell dem bei anderen Blackstone-Dossiers dokumentierten "Standard verschiebt sich zu mehr Datenerfassung" ähnelt. Wichtig: Sechs Wochen Widerspruchsfrist ist eine kurze Zeitspanne, in der viele Menschen die Information möglicherweise übersehen könnten.

Die Umstellung auf ein Opt-out-Modell ab 2025 bedeutet, dass Patienten aktiv widersprechen müssen, wenn sie keine ePA wünschen — dies könnte laut CCC-Kritik zu unbeabsichtigter Teilnahme führen. Der CCC deckte auf seinem Jahreskongress zusätzlich weitere Sicherheitslücken auf.

Der CCC hat bei diesem Thema nicht nur eine politische Position, sondern auch tatsächlich technische Sicherheitslücken im System selbst gefunden — das ist eine stärkere Kritik-Kategorie als reine Verfahrenskritik (Opt-out vs. Opt-in), da sie auf konkrete technische Mängel verweist. Für ein vollständiges C5-Dossier sollte in einem künftigen Batch der genaue Inhalt der CCC-Sicherheitslücken-Präsentation vom 39C3 nachrecherchiert werden.

E-Rezept-Verordnungen stiegen von rund 18 Millionen (Ende 2023) auf über 540 Millionen (2024) und über 340 Millionen allein bis Ende Juli 2025 — ein "Durchbruch". Trotzdem greifen weiterhin rund 50% der Praxen parallel zur analogen Alternative, u.a. weil das E-Rezept in Haus- und Heimversorgung bisher nicht nutzbar ist. Ziel des Gesundheitsministeriums: 80% ePA-Nutzung bis 2026.

Wichtige, differenzierte Erfolgsmessung: Das E-Rezept (ein verwandtes, aber separates System zur ePA) zeigt enormes Wachstum, aber selbst dort nutzt noch die Hälfte der Praxen parallel die alte Papierform — ein Hinweis darauf, dass Digitalisierungsprojekte im deutschen Gesundheitswesen trotz beeindruckender Wachstumszahlen oft holprig in der Praxis verlaufen. Das 80%-Ziel für die ePA bis 2026 ist ambitioniert — ob es erreicht wird, wäre ein guter Punkt für die Radar-Pflege.

Langfristig sollen sämtliche Gesundheitsinformationen aller rund 74 Millionen gesetzlich Versicherten in der ePA zusammenfließen. Kastl und Tschirsich fordern drei Dinge für vertrauenswürdige digitale Infrastruktur: unabhängige externe Sicherheitsbewertung, offene und transparente Risikokommunikation, und die ePA als offenen Entwicklungsprozess über ihren gesamten Lebenszyklus zu verstehen. Ihr Fazit: "Ein großes Stück dieses Vertrauens ist heute verloren gegangen."

Wichtigste Ergänzung zum offenen Punkt aus Batch 83: Die Kritik ist nicht nur "es gibt Lücken", sondern ein grundsätzlicher Vorwurf am Entwicklungsprozess selbst — zu wenig externe Prüfung, zu wenig Transparenz. Diese drei Forderungen (externe Prüfung, Transparenz, offener Prozess) sind eine gute, konstruktive Handlungsvorlage für Blackstones eigene "Gegenmaßnahmen"-Sektion im Dossier.

Der damalige Bundesdatenschutzbeauftragte Ulrich Kelber äußerte sich zu den herabgestuften Sicherheitsstandards beim Zugriff auf die "ePA für alle": "Das wird sich noch als Fehler in der Vertrauensbildung herausstellen."

Sehr wichtiger Fund: Nicht nur der CCC, sondern die damals amtierende deutsche Bundesdatenschutzbehörde selbst kritisierte offiziell, dass die Sicherheitsstandards beim ePA-Zugriff abgesenkt wurden — eine Warnung, die sich im April 2025 laut späteren Quellen (Batch 83, 39C3-Bericht) teilweise bewahrheitete. Das ist ein Muster, das der Datenbank bereits mehrfach begegnet ist (vgl. NRW-Landesdatenschutzbeauftragte bei D3, BKA-Präsident bei A1): Amtliche Vorwarnungen, die sich später als berechtigt erweisen.

"Ende April 2025 wurde die ePA für alle dann auch wirklich für alle deutschlandweit bereitgestellt — allerdings traten am gleichen Tag die scheinbar sicher gelösten Sicherheitslücken im Zugangsmanagement wieder zu Tage und wurden alsbald wieder nur provisorisch abgedichtet."

Sehr konkreter zeitlicher Beleg: Am Tag des bundesweiten Starts selbst (nicht Wochen später) traten dieselben Sicherheitslücken erneut auf, die bereits ein Jahr zuvor (38C3) demonstriert worden waren — und wurden nur "provisorisch" behoben. Das ist ein außergewöhnlich präziser, terminlich verifizierbarer Beleg für unzureichende Nachbesserung zwischen den beiden Kongressen.

Die Angriffsvarianten sind laut Tschirsich mindestens seit 2012 bekannt. Das komplette Prozedere war mit einem Aufwand von etwa einer Stunde verbunden und ermöglichte je nach Art der Identität Zugriff auf eine einzelne ePA oder auf alle Akten einer Praxis. Wichtige methodische Selbstkritik der Forscher: "Wir haben lediglich Dinge geprüft, die uns als Erstes untergekommen sind" — keine umfassende Sicherheitsanalyse, und alle Szenarien aus der Außentäterperspektive (Innentäter-Szenarien wären zusätzlich denkbar).

Zwei sehr wichtige Präzisierungen für Blackstones Sorgfaltspflicht: Erstens sind die grundlegenden Schwachstellen-Kategorien seit 13 Jahren bekannt (2012) — das ist kein neues, sondern ein chronisches, nie vollständig gelöstes Problem. Zweitens — und das ist besonders wichtig — betonen die Forscher selbst ausdrücklich, dass sie KEINE umfassende Sicherheitsanalyse durchgeführt haben, sondern nur naheliegende Probleme prüften. Das bedeutet: Die tatsächliche Angriffsfläche könnte größer sein als bekannt — aber Blackstone sollte diese Unsicherheit auch nicht überzeichnen, sondern die eigene Zurückhaltung der Forscher genauso übernehmen.

Die Gematik (Betreiberorganisation der Telematikinfrastruktur) dankt dem CCC ausdrücklich für den Hinweis, hält das vom Hackerclub skizzierte Angriffsszenario aber für unrealistisch.

Wichtig für Ausgewogenheit: Die zuständige Betreiberorganisation widerspricht der CCC-Einschätzung nicht komplett feindselig (sie bedankt sich sogar für den Hinweis), stuft das konkrete Szenario aber als praktisch unrealistisch ein. Diese Position sollte im Blackstone-Dossier neben der CCC-Kritik stehen — auch wenn die spätere Wiederkehr derselben Lücken beim bundesweiten Start (siehe oben) die Gematik-Einschätzung nachträglich infrage stellt.

Proton Drive verschlüsselt Ende-zu-Ende (Zero-Knowledge), hostet in der Schweiz außerhalb EU/US-Jurisdiktion.

Produkttest, keine unabhängige Sicherheitsprüfung oder juristische Analyse der Schweizer Herausgabepflichten.

BVerwG untersagt PKV-Analyse von Abrechnungsdaten ohne Einwilligung für Vorsorgeprogramm-Auswahl.

Krankenversicherer dürfen nicht heimlich Diagnosen für Bonusprogramme auswerten.

Warnung vor Ausweitung polizeilicher DNA-Analyse; genetische Daten offenbaren auch Infos über Verwandte, nicht nachhaltig anonymisierbar.

DNA-Daten besonders heikel, betreffen auch Angehörige.

FDZ Gesundheit erschließt seit Oktober 2025 Abrechnungsdaten von ca. 73 Mio. gesetzlich Versicherten für Forschung.

Zentrale Forschungsdatenstelle für fast alle GKV-Versicherten. Widerspruchsmöglichkeit nicht im Detail erklärt.

Mehrere Online-Gentest-Anbieter verstoßen laut GeN gegen DSGVO/Gendiagnostikgesetz, Kundendaten teils an Pharmafirmen weiterverkauft.

Warnung vor kommerziellen DNA-Tests ohne ärztliche Beratung.

Microsoft stellt lokale Office-365-Installation ab 2029 ein, Wechsel zu anderen Anbietern faktisch ausgeschlossen.

Deutsche Behörden werden technisch immer stärker an Microsoft gebunden.

16 europäische Länder als 'hohes Risiko' bei US-Verteidigungs-Cloud-Abhängigkeit eingestuft, Österreich einziges Land mit Open-Source-Unabhängigkeit.

Kein realer Kill-Switch-Fall im Verteidigungsbereich belegt, nur strukturelles Risiko.

US-Hyperscaler kontrollieren ~70% des europäischen Cloud-Marktes, EU-Anbieter nur ~15%, neue Initiativen DNA/EURO-3C/CAIDA.

Trotz EU-Initiativen dominieren US-Konzerne weiterhin.

Schrems kritisiert Schwächung der DPF-Aufsichtsgremien in USA, bereitet mögliche 'Schrems III'-Klage vor.

Klage zum Zeitpunkt des Artikels erst angekündigt, nicht eingereicht.

Gesetzliche Krankenkassen bezuschussen Fitness-Tracker über Bonusprogramme im Austausch gegen Gesundheitsdaten wie Schrittzahl/BMI.

Speicherdauer/Weiterverwendung der Daten nicht belegt.

DiGA-Freischaltung per Aktivierungscode über Kassen-App, Krankenkasse erfährt Nutzungsstart.

Exakte Nutzerzahlen/Detaildaten-Rückfluss nicht belegt.

25 Angriffe auf Passwort-Recovery bei Bitwarden/LastPass/Dashlane/1Password gefunden, über 60 Mio. Nutzer betroffen.

Reale Ausnutzung nicht belegt, Hersteller haben Gegenmaßnahmen umgesetzt.

Lücke im Google-Wiederherstellungsformular ermöglichte Brute-Force-Ermittlung von Telefonnummern, geschlossen bis 06.06.2025.

Aktive Ausnutzung vor Meldung nicht belegt.

Privacy International/Mozilla: populäre Zyklus-Apps verkaufen Daten an Werbetreibende, Flo-Klage zu Google/Meta-Weitergabe 2016-2019.

Aktueller Rechtsstand der Flo-Klage nicht belegt.

Untersuchung von 8 Perioden-Apps: Device-Fingerprinting verbreitet, aber keine aktuelle Facebook-Datenweitergabe mehr wie 2019.

Verbesserung gegenüber 2019, aber Fingerprinting bleibt Problem.

Über 50 Mio. Nutzer weltweit, Menstruations-/Fertilitätsdaten als besondere Kategorie nach Art.9 DSGVO.

Marktgröße 103 Mrd. USD laut Forbes-Schätzung, nicht unabhängig geprüft.