Gesundheitsminister Lauterbach hatte zur Einführung der elektronischen Patientenakte versichert, dass diese sicher sei. Nun ist es Hackern offenbar gelungen, auch die verbesserten Schutzvorkehrungen auszuhebeln.
Ja, ist es. Weil du das Politikum und die furchtbaren und inkompetenten Akteure noch nicht kennengelernt hast, die solche Projekte kontinuierlich zugrunde richten und dafür beneide ich dich.
Wahr, ich agiere auch meist alleine, mit wenig bis keiner Kommunikation. Kann keine APIs falsch authentifizieren wenn ich sie nach meinen eigenen Ansprüchen entwickle lül
Ich seh einige Probleme, vor allem da Sicherheit (Security) und Bedienbarkeit leider stark im Konflikt stehen.
Als relativer Laie würde ich als Design einen Hardware-Schlüssel in alle Krankenkarten packen, mit dem die jeweilige EPA verschlüsselt ist. Zugriff auf die verschlüsselte EPA erhalten Arztpraxen überhaupt erst durch das existierende Verifizierungsgedöns mit dem auch Abrechnungen gemacht werden.
Problem hierbei ist, dass ein Programmierer aber keine Hardware-Entscheidungen treffen kann. Wenn also die Grundbedingungen Schrott sind, kann man höchstens so viel Schaden begrenzen. Wenn also im Ausschreiben vom Bund drinsteht, dass haufenweise Akteure leicht massenhaft Zugriff haben sollen (privatwirtschaftliche Forschung und so) kannst du nicht viel machen.
Funktioniert dann im Notfall auch nicht ohne die Karte? Wenn ich ohne Versichertenkarte im Autounfall lande wäre es ja trotzdem schön, wenn man meine Medikamente und Allergien kennt.
Da muss dann ein gutes Audit System für spontane Zugriffe her, aber möglich müssen sie sein.
Naja, völlig naiv gedacht sollte Notfall Zugang möglich sein. Entweder zugänglich für jedes medizinische Personal, wird dann groß mit Zeitstempel in der Akte vermerkt und der/die Betroffene wird nochmals separat informiert, oder per extra Zugang den Leute im Rettungsdienst und Notaufnahme bekommen.
Jeder angehende Coder würde das (evtl. mit ein bisschen Mentorship) besser lösen können. Da kommen dann irgendwelche Buden, die bei Ausschreibungen besonders wenig geboten haben und dann setzt Günni der in den Neunzigern mal bisschen was mit Visual Basic gemacht hat, das Projekt dann um. Schlimm genug, doch dazu kommt noch, dass der CCC immer noch als ernstzunehmende Institution von der Politik unterschätzt und oft sogar Hilfe ausgeschlagen wird, während das BSI eine Luftnummer nach der anderen produziert (erinnert sich noch jemand an das IT-Sicherheitskennzeichen, das sich Hersteller basically selbst ausstellen können?).
Wie soll es unter solchen Voraussetzungen auch besser werden? Digitalisierungskompetenz in Deutschland, das schließt sich einfach aus. Naja, mein Job ist wenigstens sicher…
Ja, definitiv. Was du vermutlich nicht auf dem Schirm hast:
Das wird höchstwahrscheinlich nach Wasserfallmodell entwickelt, also bekommst du am Anfang ein Lastenheft mit Anforderungen, die völlig an der Realität vorbei gehen, und sollst dann irgendwas liefern, was in der Realität funktioniert.
Es gibt da mit Sicherheit unzählige Legacy-Systeme, die angebunden werden wollen. Das ist unfassbar viel Arbeit und bringt weitere komplexe Anforderungen ein.
Weil es so viel Arbeit ist, erfordert es ein Team von Entwickler*innen. Das bringt viel Komplexität und Fehlerpotential bei der Kommunikation ein. Insbesondere ist das System nicht mehr von einer Person überschaubar. Ob gewisse Sicherheitsprobleme mitigiert sind, kann man dann oftmals nur noch empirisch herausfinden, d.h. mit 'nem Pentest dagegen klopfen (was ja der CCC auch macht).
Und naja, du hast wahrscheinlich auch noch nicht die Erfahrung gemacht, wie viel Arbeit es bedeutet, ein Service wirklich produktiv zu nehmen. Ich veranschlage mittlerweile pauschal zwei Jahre, egal wie groß das Team ist. Wobei man als Einzelperson oftmals gar nicht vorwärts kommt, weil sich das Umfeld (Anforderungen, aber auch Bibliotheksversionen und Co.) schneller ändern als man hinterherkommt.
Ist es überheblich bzw. extremst überschätzt von mir zu sagen, dass ich als 19 jährige junior dev das besser hinbekommen würde? Also durch und durch?
Du würdest als Junior Dev nichtmal den Mailverkehr mit den Krankenkassen alleine bewältigen können.
Ja, ist es. Weil du das Politikum und die furchtbaren und inkompetenten Akteure noch nicht kennengelernt hast, die solche Projekte kontinuierlich zugrunde richten und dafür beneide ich dich.
Wahr, ich agiere auch meist alleine, mit wenig bis keiner Kommunikation. Kann keine APIs falsch authentifizieren wenn ich sie nach meinen eigenen Ansprüchen entwickle lül
Ich seh einige Probleme, vor allem da Sicherheit (Security) und Bedienbarkeit leider stark im Konflikt stehen.
Als relativer Laie würde ich als Design einen Hardware-Schlüssel in alle Krankenkarten packen, mit dem die jeweilige EPA verschlüsselt ist. Zugriff auf die verschlüsselte EPA erhalten Arztpraxen überhaupt erst durch das existierende Verifizierungsgedöns mit dem auch Abrechnungen gemacht werden.
Problem hierbei ist, dass ein Programmierer aber keine Hardware-Entscheidungen treffen kann. Wenn also die Grundbedingungen Schrott sind, kann man höchstens so viel Schaden begrenzen. Wenn also im Ausschreiben vom Bund drinsteht, dass haufenweise Akteure leicht massenhaft Zugriff haben sollen (privatwirtschaftliche Forschung und so) kannst du nicht viel machen.
Funktioniert dann im Notfall auch nicht ohne die Karte? Wenn ich ohne Versichertenkarte im Autounfall lande wäre es ja trotzdem schön, wenn man meine Medikamente und Allergien kennt. Da muss dann ein gutes Audit System für spontane Zugriffe her, aber möglich müssen sie sein.
Naja, völlig naiv gedacht sollte Notfall Zugang möglich sein. Entweder zugänglich für jedes medizinische Personal, wird dann groß mit Zeitstempel in der Akte vermerkt und der/die Betroffene wird nochmals separat informiert, oder per extra Zugang den Leute im Rettungsdienst und Notaufnahme bekommen.
Jeder angehende Coder würde das (evtl. mit ein bisschen Mentorship) besser lösen können. Da kommen dann irgendwelche Buden, die bei Ausschreibungen besonders wenig geboten haben und dann setzt Günni der in den Neunzigern mal bisschen was mit Visual Basic gemacht hat, das Projekt dann um. Schlimm genug, doch dazu kommt noch, dass der CCC immer noch als ernstzunehmende Institution von der Politik unterschätzt und oft sogar Hilfe ausgeschlagen wird, während das BSI eine Luftnummer nach der anderen produziert (erinnert sich noch jemand an das IT-Sicherheitskennzeichen, das sich Hersteller basically selbst ausstellen können?).
Wie soll es unter solchen Voraussetzungen auch besser werden? Digitalisierungskompetenz in Deutschland, das schließt sich einfach aus. Naja, mein Job ist wenigstens sicher…
Ja, definitiv. Was du vermutlich nicht auf dem Schirm hast: