ePA unter Druck: Kritische Client-Lücken und BfDI-Mahnung zur Aufklärungspflicht ab Oktober
Zwei ePA-Meldungen zeigen gleichzeitig technischen und rechtlichen Handlungsbedarf für Praxen: geschlossene Sicherheitslücken in Client-Implementierungen und die BfDI-Forderung nach besserer Patientenaufklärung vor dem Forschungsdaten-Export ab Oktober.
Mit KI-Unterstützung erstellt · redaktionell geprüft und verantwortet von Steven Breuer.
Die elektronische Patientenakte gehört inzwischen zum Praxisalltag – und zwei aktuelle Entwicklungen zeigen, dass die technische und die rechtliche Seite der ePA gleichermaßen Aufmerksamkeit verlangen. Zum einen wurden kritische Sicherheitslücken in mehreren ePA-Client-Implementierungen geschlossen, zum anderen mahnt die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) rechtzeitig vor dem Start der Datenausleitung im Oktober bessere Aufklärung der Versicherten an. Für Praxen, die die ePA aktiv nutzen, ergeben sich daraus zwei konkrete Prüfaufgaben.
Die Sicherheitslücken: VAU-Kanal betroffen, aber begrenzter Kreis
Sicherheitsforscher von Machine Spirits haben im Frühjahr 2026 in drei unabhängig voneinander entwickelten Open-Source-Implementierungen für die ePA-Anbindung – dem ePA3-Service von fbeta, Ovivas epa4all-Client sowie epa4all von Med United – Schwachstellen im sogenannten VAU-Kanal gefunden. Die VAU (vertrauenswürdige Ausführungsumgebung) ist eine zusätzliche kryptografische Schicht, die Gesundheitsdaten zwischen ePA-Client und Aktensystem auch dann noch schützen soll, wenn die äußere TLS-Verschlüsselung bereits an einem Proxy oder Load Balancer endet. Genau an dieser Stelle wurden die Implementierungen lückenhaft: unvollständige Prüfungen der Serveridentität, Probleme bei kryptografischen Zählern und in einem Fall sogar deaktivierte TLS-Zertifikatsprüfungen, wie heise online im Gespräch mit dem Sicherheitsforscher Dr. Simon Weber berichtet.
Wichtig für die Einordnung: Ein Angreifer hätte auf dem relevanten Netzwerkpfad sitzen oder Zugriff auf eine entsprechende Infrastrukturkomponente haben müssen – ein Angriff „aus dem offenen Internet“ auf beliebige Patientendaten war damit nicht ohne Weiteres möglich. Zudem war der Kreis potenziell Betroffener nach Angaben der Hersteller klein: fbeta zählte nur einen produktiven DiGA-Kunden mit seltenen ePA-Exporten, Med United verweist auf wenige Supportkunden außerhalb des DiGA-Bereichs, und Oviva hatte die Verbindungsstrecken ohnehin zusätzlich über TLS und VPN-Tunnel abgesichert. Hinweise auf eine tatsächliche Ausnutzung liegen nicht vor. Alle gemeldeten Lücken sind inzwischen behoben.
Bemerkenswert ist ein Detail am Rande: Die Gematik weist darauf hin, dass ihre Referenzbibliothek lib-vau/lib-vau-csharp ausschließlich für Testzwecke gedacht und explizit als nicht produktionstauglich gekennzeichnet war – inklusive Dokumentationshinweis, dass Zertifikate dort nicht geprüft werden. Dass sich mehrere unabhängige Hersteller dennoch an ähnlichen Stellen vertan haben, wirft eine grundsätzliche Frage auf: Wie robust ist ein Ökosystem, in dem Beispielcode faktisch produktiv landet?
Was das für Ihre Praxis bedeutet: Prüfen Sie bei Ihrem ePA-Client-Anbieter aktiv nach, ob und wann das Sicherheitsupdate eingespielt wurde, und lassen Sie sich das schriftlich bestätigen – etwa im Rahmen der ohnehin erforderlichen Dokumentation zur IT-Sicherheit nach § 75c SGB V. Wenden Sie sich bei Unklarheit direkt an Ihren PVS- oder Konnektor-Hersteller, insbesondere wenn Sie über Drittanbieter-Module auf die ePA zugreifen.
BfDI: Aufklärungspflicht vor dem Oktober-Start der Datenausleitung
Parallel dazu erinnert die BfDI, Prof. Louisa Specht-Riemenschneider, daran, dass ab Oktober 2026 erstmals Daten aus der ePA – zunächst aus der elektronischen Medikationsliste – pseudonymisiert für Forschungszwecke ausgeleitet werden. Versicherte, die das nicht wollen, müssen aktiv widersprechen. Wie heise online berichtet, fordert die BfDI deshalb erneut eine verständlichere Information der Versicherten über Rechte, Datenflüsse und Widerspruchsmöglichkeiten – eine Forderung, die bereits vor dem Start der Opt-out-ePA erhoben wurde und seither wiederholt aktuell ist.
Die Zahlen der BfDI zeigen ein ambivalentes Bild: Die grundsätzliche Akzeptanz der ePA ist hoch, die Bereitschaft, Gesundheitsdaten für Forschung freizugeben, ebenfalls – vorausgesetzt, Versicherte behalten selbstbestimmte Kontrolle darüber, wer worauf zugreift. Gleichzeitig bestehen laut BfDI deutliche Wissensdefizite: Die ePA ist zwar nahezu jedem dem Namen nach bekannt, über zentrale Funktionen und Zugriffsrechte wissen aber viele Versicherte nicht ausreichend Bescheid. Wer widerspricht, nennt überwiegend Datenschutz- und Sicherheitsbedenken als Grund.
Was das für Ihre Praxis bedeutet: Auch wenn die Informationspflicht in erster Linie bei den Krankenkassen liegt, werden Patientinnen und Patienten erfahrungsgemäß in der Sprechstunde nachfragen – gerade wenn Medienberichte rund um den Oktober-Start zunehmen. Es lohnt sich, in der Praxis eine kurze, verständliche Sprachregelung parat zu haben: Was wird ab Oktober ausgeleitet, wie funktioniert der Widerspruch, und wo finden Patientinnen und Patienten verlässliche Informationen. Das entlastet das Praxisteam und schafft Vertrauen – gerade weil laut BfDI Kontrolle über die eigenen Daten die Bereitschaft zur Datenfreigabe eher erhöht als verringert.
Fazit
Beide Meldungen zeigen: Die ePA ist technisch und rechtlich kein abgeschlossenes Projekt, sondern ein sich weiterentwickelndes System, das laufende Prüfung verlangt. Sicherheitslücken werden gefunden und geschlossen – das ist zunächst ein Zeichen funktionierender Responsible-Disclosure-Prozesse, entbindet Praxen aber nicht davon, Updates aktiv nachzuhalten. Und die Datenschutzdebatte um die Oktober-Ausleitung wird nicht verschwinden, solange Aufklärung und Nutzerführung hinter der technischen Weiterentwicklung der ePA zurückbleiben. Praxen, die beides im Blick behalten, sind für die kommenden Monate besser vorbereitet als jene, die die ePA als abgeschlossenes Kapitel betrachten.