Gesundheitsdaten suchen ein Zuhause: Facebook, Vivy & Co.

Von Patient*innen seit langem erhofft, nun bald Wirklichkeit? Das Zeitalter, in dem man seine Befunde auf Papierausdrucken von Arzt zu Ärztin tragen musste, scheint nun bald ein Ende zu nehmen.

Auch, wenn die gesetzlich geforderte elektronische Patientenakte in der Telematik-Infrastruktur noch nicht Wirklichkeit ist, wagen es große Krankenkassen nun, ihren Versicherten zumindest eine elektronische Gesundheitsakte anzubieten. Prominentestes Beispiel: Vivy.

(Eine kurze Erklärung des Unterschieds zwischen elektronischer Patientenakte und elektronischer Gesundheitsakte gibt es hier im Blog.)

Kaum hatten die insgesamt 16 beteiligten Krankenkassen im September angefangen, die App ihren Versicherten anzubieten, da wurde sie auch schon von einem Shitstorm empfangen: Der unabhängige IT-Sicherheitsforscher Mike Kuketz hatte die Datenflüsse innerhalb der App unter die Lupe genommen und die Ergebnisse auf seinem Blog veröffentlicht.

Vivys Sicherheitslücken

Fazit der Untersuchung: Schon vor der ersten Interaktion mit dem Nutzer kontaktierte die App gleich mehrere Analyse- und Trackingdienste mit Sitz in den USA und schickte ihnen Nutzerdaten. In den USA ansässige Unternehmen unterliegen nicht der DSGVO, sondern können sich allenfalls freiwillig dem umstrittenen Privacy-Shield-Abkommen anschließen. Zudem erfolgte all dieses „Nach-Hause-Telefonieren“ schon zu einem Zeitpunkt, lange bevor der Nutzer die Möglichkeit hatte, die Datenschutzerklärung der App einzusehen und anzunehmen.

Damit nicht genug: Einen Monat später ergab eine Untersuchung der IT-Sicherheitsfirma modzero, veröffentlicht auf netzpolitik.org, dass Vivy nicht nur absichtlich Nutzerdaten an Trackingdienste weitergibt. Durch eine Sicherheitslücke könnten auch unabsichtlich Gesundheitsdaten Angreifern zugänglich werden. Diese Sicherheitslücke war zum Teil dadurch bedingt, dass die Daten durch eine PIN gesichert waren, bei der unbegrenzt viele Falscheingaben möglich waren – etwa so, als könnte man eine gestohlene EC-Karte in den Geldautomaten stecken und in aller Ruhe Zahlenkombinationen durchprobieren. So eine Art des Angriffs wird als Brute Force bezeichnet.

Das Vivy-Team relativierte zunächst die Schwere der Sicherheitslücke und veröffentlichte einen Bericht, demzufolge diese schnell behoben worden sei.

Im Auge des Shitstorms

Trotzdem: Dieser Beitrag soll nicht noch ein weiterer sein, in dem auf Vivy und den vermeintlichen oder tatsächlichen Versäumnissen des Unternehmens herumgehackt wird.

So dringend notwendig die Analysen der Sicherheitsforscher auch waren (nicht nur im Fall Vivy), und so sehr man sich eine prompte und ehrliche Reaktion des jeweiligen Unternehmens wünscht, muss man doch eins festhalten:

[socialpug_tweet tweet=“Allen Sicherheitsbedenken zum Trotz: @vivy_health ist ein unperfekter, aber wichtiger Schritt in die richtige Richtung. #digitalhealth #ehealth #privacy #infosec“ display_tweet=“Vivy ist ein unperfekter, aber wichtiger Schritt in die richtige Richtung.“]

Denn bisher fehlte dem Gesundheitswesen vor allem eins: Digitale Lösungen, die benutzerfreundlich sind – für Patient*innen und professionelle Anwender*innen.

Wenn nicht Vivy & Co., was dann?

Der Grund, beispielsweise, warum in Deutschlands Arztpraxen und Krankenhäusern immer noch gefaxt wird, was das Zeug hält, ist ja nicht die technische Überlegenheit des Faxes oder ausdrückliche Forschrittsverweigerung. Wenn es eine digitale Lösung gäbe, die eine einzige Anforderung erfüllen würde – mit geringster Einstiegshürde die Arbeitsabläufe einfacher zu machen – dann wäre das Fax schon längst den Weg von Scall und PalmPilot gegangen.

Stattdessen müssen wir uns immer noch von Google, Facebook und anderen Silicon-Valley-Konzernen vormachen lassen, was Benutzerfreundlichkeit und gute Usability bedeuten: Dass es nämlich für Nutzer*innen einfacher und angenehmer ist, einen Dienst zu benutzen, als ihn nicht zu benutzen. (Von welchem IT-System in Praxis und Krankenhaus kann man das zur Zeit behaupten? Meldungen gern in den Kommentaren zu diesem Beitrag.)

Google und Facebook haben es zu einer eigenen Kunstform erhoben, die Wünsche und Vorlieben der Nutzer*innen genauer zu kennen als diese selbst. Was daraus resultiert, sind Benutzerschnittstellen, die sich nach kurzer Zeit anfühlen, als wären sie ein Teil von uns selbst. Die meisten Smartphone-Besitzer kennen das „amputierte“ Gefühl, wenn sie ohne ihr Gerät das Haus verlassen.

Der nächste logische Schritt ist allerdings, diese Wünsche und Vorlieben willkürlich zu manipulieren – selbst oder durch Dritte.

So wurde 2014 bekannt, dass Facebook Experimente mit dem emotionalen Zustand seiner Nutzer*innen durchgeführt hatte – ohne deren Wissen, geschweige denn Einverständnis. Wenn man das mit der Tatsache zusammen betrachtet, dass Facebook gezielt Pharmafirmen als Anzeigenkunden anwirbt, ergeben sich gleich mehrere mögliche neue Einnahmequellen für Facebook, und nur wenige davon werden die besten Interessen der Nutzer*innen respektieren.

Der sogenannte Cambridge-Analytica-Skandal, in den Facebook im Frühjahr verwickelt war, ist schon fast wieder vergessen. Er sorgte aber vielleicht dafür, dass die zur gleichen Zeit erscheinende Meldung zu Facebooks Plänen, Daten aus Krankenhäusern abzugreifen, keine besondere Aufmerksamkeit bei uns erhielt.

Und wenn unethisches Verhalten mal wieder publik wird, darf man von Facebook auch nicht erwarten, Fehler einzugestehen und sich zurückzuziehen: Erst letzten Monat haben drei Nutzer*innen vor Gericht gegen Facebook verloren, die gegen die Sammlung ihrer Gesundheitsdaten geklagt hatten. Und zur gleichen Zeit zieht Facebook gegen ein Bußgeld von 500,000 britischen Pfund vor Gericht, das wegen des Cambridge-Analytica-Skandals verhängt wurde. Um diese Zahl ins rechte Licht zu rücken: 2017 hatte Facebook einen Umsatz von über 40 Milliarden USD (und auf den daraus resultierenden Gewinn hat es jahrelang fast keine Steuern gezahlt).

Vivy: Der erste Aufschlag

Natürlich entschuldigt es nicht die Sicherheitslücken von Vivy und anderen Gesundheitsapps, wenn man auf die noch viel größeren Gauner bei Facebook verweist.

Aber der wesentliche Unterschied zwischen Facebook und Vivy ist:

Vivy unterliegt dem europäischen Datenschutzrecht und vor allem den kulturellen Vorstellungen, die wir zum Thema Datenschutz und Privatsphäre haben. Facebook tritt beide mit Füßen und fühlt sich auch noch im Recht dabei.

Klar: Sowohl Facebook als auch Vivy wollen wachsen und Nutzer*innen gewinnen. Vivy muss aber damit rechnen, dass Datenschutz- und Sicherheitsprobleme eine Wachstumshürde sind. Für Facebook sind europäische Nutzer*innen mit ihrer Datenschutz-Sensibilität nur eine kleine Gruppe, von denen der Unternehmenserfolgt nicht kritisch abhängt.

Vivys Sicherheitsprobleme sind kein Grund, elektronische Gesundheitsakten abzulehnen. Wir in Europa müssen durch learning by doing herausfinden, welche Kompromisse in Sachen Datenschutz und Sicherheit wir akzeptieren können, um eine bessere Nutzererfahrung zu schaffen. Einer der Kritikpunkte im Fall Vivy war ja der Versand von Daten an einen zu Google gehörenden Trackingdienst – mit dem Ziel, die Benutzerfreundlichkeit durch die Analyse der Nutzerdaten zu verbessern.

[socialpug_tweet tweet=“Können wir in Europa es schaffen, benutzerfreundliche Apps zu entwickeln und dabei persönliche Daten zu schützen? #ehealth #digitalhealth #datenschutz #privacy #siliconvalley“ display_tweet=“Können wir es schaffen, benutzerfreundliche Apps zu entwickeln und dabei persönliche Daten zu schützen? „]

Diese Frage lässt sich nur beantworten, indem wir es immer wieder versuchen, statt die Idee von vornherein als unmöglich abzutun.

Das Motto der Macher*innen von Gesundheitsapps sollte daher sein:

[socialpug_tweet tweet=“Nach Datenschutzvorfällen: Aufstehen, Hose abklopfen, weitermachen. #ehealth #digitalhealth #infosec“ display_tweet=“Aufstehen, Hose abklopfen, weitermachen.“]