Digitales Impfmanagement

Lieber IBM statt deutscher Mittelstand: Kritik am Digitalen Impfpass

Das vom Bundesgesundheitsministerium an IBM und weitere Partner vergebene digitale Impfmanagement steht weiter in der Diskussion. Zwar ist die umstrittene Blockchain-Technologie wohl vom Tisch – doch andere Kritikpunkte bleiben. Dabei hat ein deutscher Mittelständler schon seit 2016 eine passende Lösung in Betrieb.

Wer eine Schutzimpfung gegen COVID 19 erhalten hat, für den wird es zunehmend wichtiger, diesen Impfstatus nachzuweisen. Künftig soll dies per App möglich sein. Dazu ist geplant, den Impfnachweis als QR-Code (also codiertes Pixelmuster) unter anderem in die bestehende Corona-Warn-App einzubauen.

Für die Umsetzung dieses IT-Projekts hat das Bundesministerium für Gesundheit eine sogenannte Dringlichkeitsvergabe vorgenommen. Dieses verkürzte Ausschreibungsverfahren führte dazu, dass das Ministerium ein Konsortium aus IBM, dem Kölner Start-up Ubirch, dem Systemhaus Bechtle und der „IT-Genossenschaft“ Govdigital beauftragte.

Die ersten Eckpunkte, die diese Gruppe zu ihrer Lösung veröffentlichte, stießen auf viel Kritik von Sicherheitsexperten. Im Zentrum stand dabei der geplante Einsatz der sogenannten Blockchain-Technologie. Dieses Verfahren ist schon seit längerem ein Hype-Thema in der IT-Welt, weil es Transaktionen fälschungssicher und lokal verteilt im Internet abspeichert. Das Konzept sah zunächst vor, die zum Nachweis einer Impfung generierten QR-Codes auf insgesamt fünf miteinander verkettete Blockchains zu verteilen.

Kritik vom Chaos Computer Club

Zu den Kritikern zählte etwa der Sicherheitsexperte Andreas Bogk vom Chaos Computer Club. Er vermutete, dass das Konsortium um IBM und Ubirch mit dieser Technologie-Wahl besonders modern wirken wollte. Dabei sei der Einsatz des Verfahrens gerade für Informationen über sensible Patientendaten fragwürdig – auch wenn in der Blockchain nicht die Impfdaten selbst, sondern nur Prüfinformationen gespeichert werden sollten. Doch das Funktionsprinzip der Blockchain basiere gerade darauf, dass die Informationen öffentlich für jeden Interessierten einsehbar seien.

Angesichts der zunehmenden Kritik an diesem Baustein ihres Konzepts teilte Projektpartner Ubirch via Twitter mit, dass man bis auf Weiteres Abstand vom Einsatz der Blockchain-Technologie nehmen werde. Außerdem plant das Konsortium nach Fertigstellung seiner Lösung, den sogenannten Quellcode als „Open Source“ zu veröffentlichen. Dies soll eine Überprüfung der Software durch unabhängige Experten ermöglichen.

Doch auch mit diesen Reaktionen und Veränderungen sind längt nicht alle Kritikpunkte an der vom Gesundheitsministerium beauftragten Lösung entkräftet. So sieht Experte Bogk immer noch das Risiko, dass sich Bewegungsprofile der überprüften Impflinge erstellen ließen: Da für jede Prüfung ein Zugriff auf die zentral gespeicherten Prüfzertifikate erfolgen müsse, ließen sich diese protokollieren und auswerten. Einen solchen Missbrauch wolle niemand IBM und Co oder der Bundesregierung unterstellen. Doch ein überzeugendes Sicherheitskonzept müsse solche Möglichkeiten bereits durch seine Architektur unterbinden.

Es gäbe auch Alternativen

Alternativen hätte es durchaus gegeben, wie Dr. Hans-Jürgen Schrörs betont. Der Allgemeinmediziner ist Geschäftsführer der Gesellschaft zur Förderung der Impfmedizin, GZIM. „Wir glauben, dass für den sensiblen digitalen Impfnachweis eine konsequent dezentrale Lösung besser geeignet ist. Genau diesen Ansatz nutzt die von uns bereits fertig entwickelte und seit 2016 in deutschen Arztpraxen eingesetzte Lösung ImpfPassDE.“ Diese Lösung werde von nahezu jeder Praxissoftware unterstützt, die niedergelassene Ärzte in Deutschland nutzen. Ärzte und Praxishelfer können dabei die Impfdaten per Mausklick übertragen, was bei manuellen Einträgen oder „Copy und Paste“ vorkommende Flüchtigkeitsfehler verhindert – gerade wenn hunderte Impfungen am Tag verwaltet werden sollen.

Zudem berücksichtigt das Sicherheitskonzept von ImpfPassDE genau die Kritikpunkte an zentralistischen Lösungen. Denn zur Zertifizierung der ausgestellten Impfnachweise setzt sie auf die Konnektoren der in den Praxen vorhandenen Telematik-Infrastruktur. Digitale Zertifikate erlauben allen dafür berechtigten Stellen – vom Friseurbetrieb bis zur Fluggesellschaft –, die Echtheit und Unverfälschtheit der im QR-Code gespeicherten Angaben zu überprüfen. Und nur im Pixelcode sind die sensiblen Informationen gespeichert – Name, Geburtsdatum, Geschlecht, Datum der Impfung und verabreichter Impfstoff.

Mit einfachen Maßnahmen die Sicherheit erhöhen

„Die Sicherheit ließe sich mit einfachen Maßnahmen weiter steigern, die in unserem Konzept schon mit eingeplant sind“, erklärt Dr. Hans-Jürgen Schrörs. So könne der Impfling über die App die Berechtigung zur Kontrolle selbst steuern und dabei zeitlich begrenzen. Die Prüfung wäre dann zum Beispiel für 10 Minuten ab Betreten eines Ladens möglich und würde danach wieder gesperrt. Dies verhindere missbräuchliche Zugriffe.

Da die GZIM somit eine bereits einsatzfertige Lösung längst vorliegen hatte, stellte sie diese nach Bekanntwerden der Ausschreibung dem Gesundheitsministerium vor. Doch zum Zug kam das Unternehmen nicht. GZIM-Geschäftsführer Dr. Schrörs: „Das vom Bundesgesundheitsministerium gewählte Ausschreibungs- und Vergabeverfahren war an Mindestanforderungen gebunden, die kleine und mittlere Unternehmen praktisch nicht erfüllen können.“ Die Konsequenz: Statt auf Innovation aus dem deutschen Mittelstand zu setzen, entschied sich das Ministerium für eine vermeintlich sichere Lösung rund um den internationalen IT-Giganten IBM.

BGM begründet seinen Entschluss mit dem Zeitdruck

Das BGM verteidigt seine Entscheidung: Das gewählte Ausschreibungsverfahren seit „vor dem Hintergrund der außerordentlichen Dringlichkeit der Beschaffung“ gewählt worden. Dabei hätte eine Berücksichtigung von mehr Unternehmen zu „einer nicht hinnehmbaren Verzögerung“ geführt. Zu den Sicherheitsbedenken verweist das Spahn-Ministerium darauf, dass auch das BSI (Bundesamt für Sicherheit in der Informationstechnik) mit eingebunden wurde.

Das Konzept der GZIM setze auf Standards, die ab 2022 ohnehin in die elektronische Patientenakte einfließen sollen, entgegnet der GZIM-Geschäftsführer Dr. Schrörs. „Wir hätten uns gefreut, wenn sich das Ministerium unsere einsatzfähige Lösung genauer angeschaut hätte.“ Schließlich wolle man über 20 Jahre Erfahrung mit elektronischem Impfmanagement in der aktuellen Situation gerne einbringen. „Aber wir haben die Hoffnung noch nicht aufgegeben.“ Deshalb informiere sein Unternehmen das Ministerium auch weiterhin fortlaufend über den Entwicklungs- und Pilotierungsstand.

Prominenter Impfling mit GZIM-Nachweis
Zu den Impflingen, die einen Impfnachweis auf Basis von ImpfPassDE erhalten haben, zählt seit 24.04. auch der Thüringer Ministerpräsident Bodo Ramelow. Geimpft wurde er in der Praxis von Dr. Ulf Zitterbart, Präsident des Thüringer Hausärzteverbandes – in der besuchten Gemeinschaftspraxis in Kranichfeld ist die GZIM-Lösung bereits im Einsatz.

Autor: Wolfgang Dumke

 

Anzeige

Digitale Praxis-Services: Entdecken Sie die Doctolib Webinare und schauen alle Inhalte jetzt kostenlos

Die Digitalisierung hält in immer mehr Bereichen Einzug. So ist es keine Überraschung, dass sie mittlerweile auch in Gesundheitseinrichtungen viele Anwendungsmöglichkeiten findet. Spätestens die C... Mehr
Author's imageIlias TsimpoulisManaging Director bei Doctolib

Weitere Artikel zum Thema:

Umfrage

Patientendaten: Lieber in der digitalen Wolke als analog verstreut?


Telemedizin

Mehrheit der Deutschen schenkt Ärzten online keinen Glauben


Datapuls-Umfrage 2021

Darauf achten Patienten heute bei der Arztsuche


Digitalisierung

Der steinige Weg zum elektronischen Arztausweis


Digitalisierung stellt auch Patienten vor Probleme

Umfrage zur digitalen Gesundheitskompetenz: Jeder Zweite hat Probleme