Daten klauen leicht gemacht

PATIENTENDATEN Unbefugte können sich Online-Zugang verschaffen

BERLIN taz | Mit nur wenigen Informationen können Unbefugte persönliche Behandlungsdaten auf Websites von Krankenkassen einsehen. Das ist das Ergebnis eines Tests der Rheinischen Post. Es genügt die Kenntnis von Name, Versicherungsnummer und Geburtsdatum. Vorteil für Betrüger: Bei der neuen Gesundheitskarte gilt die Versichertennummer lebenslang. Nach einem Diebstahl lassen sich die Kartendaten also auch später noch missbrauchen.

Für den Test wurde eine Versuchsperson mit Name und Versicherungsnummer eines Redakteurs ausgestattet. Sie suchte sich das zugehörige Geburtsdatum im Internet und änderte telefonisch bei der Kasse die Adresse des Versicherungsnehmers. Auf diesem Weg lässt sich ein Sicherheitsmechanismus aushebeln, den mehrere Kassen benutzen: Um den Onlinezugriff zu aktivieren, schickt die Krankenkasse einen Freischaltcode per Post. Ist die Adresse erst einmal geändert, landet der Code allerdings beim Betrüger. Mit dem Zugriff lassen sich dann etwa Operationen, Krankenhausbesuche, Routineuntersuchungen einsehen. Und die Krankenkasse – im Testfall die Barmer GEK – schickte auch gleich eine neue Versicherungskarte an die vermeintlich neue Adresse. Das birgt weiteres Missbrauchspotenzial.

Die Krankenkasse kündigte als Reaktion darauf ein zusätzliches Sicherheitsseminar für ihre Kundenberater an. Darüber hinaus prüft sie laut Sprecher Athanasios Drougias die Einrichtung zusätzlicher Hürden vor dem Zugang zu den persönlichen Daten auf der Website, etwa die Einführung eines weiteren Passworts. Abgesehen davon hätten aber auch die Versicherten eine Sorgfaltspflicht.

„Das ist ein Scheunentor, das regelrecht dazu einlädt, sich an den Daten zu bedienen“, kritisiert Netzaktivist Padeluun vom Verein Digitalcourage. Er fordert, den Onlinezugriff auf die Daten auszusetzen, solange es kein „hinreichend sicheres“ System gebe. Das könne etwa ein sogenanntes Opt-in-Verfahren sein, bei dem Versicherte mit Brief und Unterschrift die Teilnahme bestätigen und gleichzeitig über mögliche Risiken aufgeklärt werden. SVENJA BERGT