Mit dem neuen digitalen Nachweis PoPP können Praxen die elektronische Gesundheitskarte künftig auch über Standardkartenleser einlesen. Für deren sicheren Betrieb sind sie allerdings selbst verantwortlich, stellt die Gematik klar. Ein zusätzliches Haftungsrisiko indes sieht sie darin nicht.

©contrastwerkstatt/ stock.adobe.com Bislang kommt beim Einlesen der eGK zugelassene TI-Hardware zum Einsatz. Mit PoPP sollen künftig auch Standardkartenleser möglich sein – die Verantwortung für deren sicheren Betrieb liegt bei der Praxis.

Wenn Praxen künftig den digitalen Nachweis erbringen, dass ein Patient tatsächlich vor Ort ist – den sogenannten Proof of Patient Presence (PoPP) –, müssen sie dafür keine teuren TI-Spezialgeräte mehr nutzen. Künftig reichen auch handelsübliche Kartenleser. Die Verantwortung für den sicheren Betrieb dieser Geräte liegt allerdings bei den Praxen selbst, wie die Gematik auf änd-Nachfrage klarstellt.

Anlass der Anfrage waren Warnungen des Digital-Health-Fachmanns Philip Groth. Er sieht im Einsatz nicht separat zugelassener Standardkartenleser neue Sicherheitsrisiken und befürchtet für Ärzte ein „erhebliches Haftungsrisiko“. Die Gematik widerspricht dieser Einschätzung. Zwar liege die Verantwortung für den sicheren Betrieb der IT-Geräte beim Praxisinhaber. Einen neuen Haftungsübergang gebe es durch PoPP jedoch nicht.

E-Health-Kartenterminal verliert Schutzwall-Funktion

Der Grund für den Wechsel ist technischer Natur: Die bisherige Sicherheitsleistung von E-Health-Kartenterminal und Konnektor wird bei PoPP anders abgebildet. „Das E-Health-Kartenterminal verliert damit seine Bedeutung als technische Sicherheitsbarriere“, so die Gematik.

Alternativ können Praxen künftig etwa einfache USB-Kartenleser oder NFC-fähige Smartphones nutzen. Die Gematik stuft diese Standardgeräte künftig wie normale Praxis-IT ein – vergleichbar mit Arbeitsplatz-PCs, Druckern oder Webcams. Für sie gelten bei Auswahl und Betrieb allerdings dann auch dieselben allgemeinen Sorgfaltspflichten. Groth argumentiert hingegen, dass durch den Wegfall zugelassener Spezialhardware Verantwortung auf Ärzte und deren IT-Dienstleister abgewälzt werde.

Die Gematik verweist demgegenüber auf § 307 Abs. 1 Satz 1 SGB V: Danach seien Leistungserbringer ohnehin schon heute für die Datenverarbeitung mittels der von ihnen gewählten Komponenten verantwortlich. Da für Standardkartenleser schlicht dieselben Sorgfaltspflichten wie beim Kauf sonstiger Hardware gelten, ändere sich an der Rechtslage nichts.

Keine teuren Prüf- und Zulassungsverfahren

Verbindliche Vorgaben oder ein bürokratisches Zulassungsverfahren für die Standardleser plant die Gematik bewusst nicht. Solche Verfahren führten in der Regel zu „kostenintensiven Anpassungen durch die Hersteller und aufwendigen Prozessketten“.

Zudem dient der Kartenleser bei PoPP lediglich der Kontaktaufnahme mit der eGK zur Bestätigung der Anwesenheit. Der zusätzliche technische Schutz eines zertifizierten E-Health-Terminals sei dafür nicht zwingend erforderlich und unverhältnismäßig.

Empfehlungen statt Zwang

Statt starrer Regeln setzt die Gematik auf Orientierungshilfen. Gemeinsam mit Sicherheitsbehörden hat sie Kriterien zur Orientierung für Praxen und deren IT-Dienstleister erarbeitet. Empfohlen werden Geräte vertrauenswürdiger Hersteller, die ohne zusätzliche Treiber auskommen. Zudem verweist die Gematik auf die Empfehlungsliste des Bundesamtes für Sicherheit in der Informationstechnik (BSI) für eID-Kartenleser.