Sensible Patienten-daten gehen zu Amazon
Eine neue Software soll im Kampf gegen Corona helfen. Experten zeigen sich über Datenschutz besorgt
Berlin. Im Kampf gegen die Pandemie will die Regierung stärker auf digitales Krisenmanagement setzen. Das neue digitale Symptom-tagebuch der Münchner Firma Climedo macht möglich, dass Menschen in Corona-quarantäne den Ämtern mit ein paar Klicks – auf dem Handy oder am Computer – mitteilen können, ob sie Fieber haben oder Kopfschmerzen. Das soll den Mitarbeitenden der Ämter ersparen, jeden Tag mühsam zum Telefon zu greifen, um die Symptome von Coronainfizierten und deren Kontaktpersonen abzufragen.
Doch am Datenschutz von Climedo regt sich Kritik. It-experten merken an, dass sensible Daten auf Servern des Us-konzerns Amazon Web Services (AWS) gespeichert werden – und damit unklar sei, was mit ihnen passiere. Die Netzlink Informationstechnik Gmbh ist offiziell mit der Prüfung der Software beauftragt. Sie kommt in einem internen Papier, das unserer Redaktion vorliegt, zu einem vernichtenden Urteil: „Stand jetzt kann der Einsatz von Climedo im Rahmen des Sormas-x-projekts für die Verarbeitung von Gesundheitsdaten nicht empfohlen werden. Für die Gesundheitsämter, die Climedo jetzt schon einsetzen, sollte die Schnittstelle zu Climedo vorläufig deaktiviert werden.“Die Analyse ist von Anfang Februar. Bisher gibt es bei Netzlink keine Kenntnisse, dass sich die Speicherpraxis verändert hat. In dem Papier heißt es, eine Datenspeicherung auf Servern von Amazon sei „aus Sicht des Datenschutzes nicht tragbar“.
Auch Christian Dörr, It-fachmann beim Hasso-plattner-institut, sieht darin ein Problem. „Jede Firma, die etwa Amazon oder Google als Speicheranbieter nutzt, legt damit seine Daten auf einem fremden Rechner ab, der irgendwo in der Welt steht“, sagt Dörr. Er warnt deutsche Firmen davor, ihre Daten nicht auf eigenen Rechnern lokal zu verschlüsseln, bevor die Informationen an Amazon-server abfließen. Und genau das geschieht laut Netzlink im Fall von Climedo nicht.
Ministerium spricht trotz der Kritik von „hoher Akzeptanz“
Die Experten kritisieren, dass für die Verschlüsselung der medizinischen Daten ausschließlich Dienste von Amazon selbst eingesetzt würden. „Mit anderen Worten, die Kontrolle über die Pseudonymisierung und die Verschlüsselung liegt bei Aws/amazon. Dies genügt nicht den Anforderungen, die an eine datenschutzkonforme Pseudonymisierung und Verschlüsselung von Gesundheitsdaten zu stellen sind“, urteilen die Fachleute in dem Papier. Und sie sehen eine noch größere Gefahr: Durch die Nutzung weiterer Dienste wie Amazon und Facebook könnte über den Einsatz von Cookies nicht mehr ausgeschlossen werden, dass Patienten identifizierbar sind.
Die Firma Climedo selbst möchte sich auf die Nachfragen unserer Redaktion nicht äußern und verweist auf das Bundesgesundheitsministerium. Eine Sprecherin des Gesundheitsministeriums bestätigt, dass Climedo Server von Amazon verwende, „um bestimmte Funktionalitäten des Symptom-tagebuchs zu ergänzen“. Das Ministerium hebt hervor, die notwendigen Daten würden pseudonymisiert und verschlüsselt verarbeitet. Climedo übernehme zudem die Verschlüsselung. „Identifizierende Daten werden ausschließlich in den Rechenzentren des ITZBUND gespeichert.“ITZBUND steht für „Informationstechnik-zentrum Bund“, es ist im Prinzip der Speicherplatz des deutschen Staates. Dutzende Behörden wie etwa das Bundesamt für Migration und Flüchtlinge, das Bamf, nutzen die Dienste des ITZBUND. Das gewährleiste eine „hohe Akzeptanz“der Software. Eingeführt haben die bisher allerdings erst einige Dutzend der rund 400 Gesundheitsämter in Deutschland.
Für deutsche Firmen fehlen europäische Alternativen zu Amazon, Google oder Microsoft. „Europa und Deutschland haben den Aufbau von eigenen Clouds, die so einfach zu verwenden und günstig wie die der Us-unternehmen sind, verschlafen“, sagt It-experte Dörr. „Die Abhängigkeit zu den Usunternehmen ist groß.“
Auch der Bundesdatenschutzbeauftragte habe beim Symptom-tagebuch schon im Frühsommer „auf die allgemeine Problematik zu Amazon Web Services hingewiesen“. Derzeit prüft das Datenschutzamt neue Unterlagen, die das Gesundheitsministerium zur Software von Climedo nachgereicht hat. Die Datenschützer des Bundes ergänzen jedoch: „Die Zuständigkeit für den datenschutzkonformen Betrieb der Anwendung liegt bei den jeweiligen Landesbeauftragten für den Datenschutz.“Am Ende der Kette müssen sich It-spezialisten in kleinen Länderbehörden mit dem Datengiganten Amazon befassen.