Die elektronische Patientenakte (ePA) soll das Gesundheitswesen digital revolutionieren. Doch mit dem bundesweiten Rollout seit April 2025 wachsen auch die Sorgen um Datenschutz, Kontrolle und Sicherheit sensibler Gesundheitsdaten. Wie groß ist das tatsächliche Risiko – und welche Rechte haben Patientinnen und Patienten wirklich?
Was ist die elektronische Patientenakte – und wie funktioniert sie?
Die elektronische Patientenakte ist ein digitales Gesundheitsdokument, das von den gesetzlichen Krankenkassen bereitgestellt wird. Sie speichert relevante medizinische Informationen wie Arztbriefe, Befunde, Röntgenbilder oder Medikationspläne zentral und soll langfristig allen Beteiligten im Gesundheitswesen den Zugriff erleichtern.
Technisch gesehen basiert die ePA auf der sogenannten Telematikinfrastruktur, einem geschlossenen Netz speziell für medizinische Anwendungen. Die Verwaltung übernehmen zugelassene Dienstleister im Auftrag der Krankenkassen – zentral gesteuert durch die gematik GmbH.
Bin ich verpflichtet, eine ePA zu nutzen – und wie kann ich widersprechen?
Seit Januar 2025 gilt für gesetzlich Versicherte das Opt-out-Prinzip: Die ePA wird automatisch erstellt, sofern kein aktiver Widerspruch erfolgt. Patientinnen und Patienten können jedoch jederzeit widersprechen – digital, postalisch oder über die ePA-App ihrer Krankenkasse. Die Akte wird in diesem Fall gelöscht, ein späteres Neuanlegen ist möglich.
Potenziale: Warum die ePA mehr als nur ein digitaler Speicher ist
Die Vorteile der ePA liegen auf der Hand: Schnellere Diagnoseprozesse, weniger Doppeluntersuchungen und eine bessere Koordination zwischen Hausarzt, Fachärzten, Apotheken und Kliniken. Insbesondere in Notfällen kann der direkte Zugriff auf Medikationspläne oder frühere Befunde Leben retten.
Verbesserte Medikationssicherheit
Schätzungen zufolge könnten durch die flächendeckende Nutzung der ePA bis zu 50 Prozent aller arzneimittelbedingten Notfälle vermieden werden – das wären über 500.000 Fälle pro Jahr. Die automatische Erkennung von Wechselwirkungen und Allergien ist dabei ein zentraler Vorteil.
Forschung durch Datenspende?
Ein weiterer Nutzen liegt in der Möglichkeit, pseudonymisierte ePA-Daten für medizinische Forschung zu verwenden. Rund die Hälfte der Versicherten ist laut Umfragen bereit, ihre Gesundheitsdaten freiwillig zu spenden – etwa für Studien zur Früherkennung von Krebs oder chronischen Erkrankungen. Wichtig: Der Forschungseinsatz ist nur mit ausdrücklicher Zustimmung möglich, und Patientinnen können der Datennutzung jederzeit widersprechen.
Aber wie sicher sind meine Gesundheitsdaten wirklich?
Diese Frage treibt viele Menschen um – zu Recht. Denn mit der zentralen Speicherung sensibler Daten steigen auch die Risiken. Die Gesundheitsdaten gelten heute als wertvoller als Kreditkarteninformationen – und stehen daher besonders im Fokus von Cyberkriminellen.
Wie sicher sind meine Daten in der ePA – besteht Virenschutz?
Technisch gesehen sind die Daten verschlüsselt und dürfen nur in zugelassenen Formaten (z. B. PDF) gespeichert werden. Das verhindert die Verbreitung von Viren und Schadsoftware über die Plattform. Doch die eigentliche Gefahr liegt nicht im klassischen Virenangriff, sondern im Zugriff durch unautorisierte Dritte – etwa durch Phishing, Social Engineering oder Sicherheitslücken im System.
Konkrete Schwachstellen in der Systemarchitektur
Ein Gutachten des Fraunhofer-Instituts identifizierte im Jahr 2024 insgesamt 21 Schwachstellen im System – davon vier als hochkritisch. Unter anderem wurde bemängelt, dass es keine adäquate Rollentrennung bei Zugriffsrechten gebe und dass an Feiertagen Sicherheitsprobleme mit bis zu 72 Stunden Verzögerung bearbeitet würden.
Beispielhafte Schwachstelle: Zugriff durch „Ersatzbescheinigung“
Im Mai 2025 konnte der Chaos Computer Club (CCC) demonstrieren, wie sich mit gefälschten Zugangsdaten eine Schutzfunktion umgehen ließ. Zwar wurden keine konkreten Daten entwendet, doch der Vorfall zeigte die Verletzlichkeit des Systems – trotz sofortiger Reaktion der Betreiber.
Wer haftet, wenn Gesundheitsdaten aus der ePA geleakt werden?
Eine der heikelsten Fragen bleibt bislang unbeantwortet: Wer trägt die Verantwortung im Fall eines Datenlecks? Die Zuständigkeiten zwischen Krankenkasse, IT-Dienstleistern und gematik sind komplex – eine eindeutige Regelung fehlt. Juristen warnen bereits: Ohne klare Haftungsverteilung könnten Patienten im Ernstfall auf sich allein gestellt bleiben.
Fehlende Granularität und Kontrolle: Wer sieht was?
Ein weiterer Kritikpunkt betrifft die Zugriffskontrolle. Derzeit erhalten Ärzte mit einer einmaligen Freigabe durch den Patienten oft Zugriff auf die gesamte Akte – nicht nur auf bestimmte Dokumente. Zwar soll eine feinere Steuerung („granularer Zugriff“) künftig möglich sein, aktuell fehlt sie noch in der Praxis.
Kann ich einzelne Dokumente oder Ärzte vom ePA-Zugriff ausschließen?
Im Prinzip ja. Über die App oder den Kundenservice der Krankenkasse können einzelne Ärzte ausgeschlossen und Dokumente verborgen oder gelöscht werden. Derzeit gelten standardisierte Fristen: Ärzte erhalten für 90 Tage Zugriff, Apotheken für drei Tage. Eine selektive, dokumentenbasierte Freigabe ist geplant, aber technisch noch nicht flächendeckend umgesetzt.
Datenschutz in der Praxis: Realität trifft Anspruch
Auf dem Papier ist die ePA datenschutzkonform – in der Realität berichten Patienten jedoch von Lücken. In Foren wird berichtet, wie leicht ärztliche Befunde telefonisch oder per Fax ohne eindeutige Identifikation zugänglich gemacht werden. Ein Nutzer schreibt: „Ich nenne Namen, Geburtsdatum und das Krankenhaus – und der Befund wird gefaxt. Datenschutz? Nicht vorhanden.“
Patientensicht: Die Angst vor Kontrollverlust
Viele Nutzerinnen und Nutzer fühlen sich nicht ausreichend informiert. In Umfragen geben mehr als 50 Prozent an, Bedenken beim Datenschutz zu haben. Ein Reddit-Nutzer, der sich als Jurist ausweist, schreibt: „Ich rate dringend dazu, selbst aktiv zu widersprechen, wenn man keine vollständige Kontrolle hat.“
Opt-out: Zwischen Pflichtgefühl und Protest
Die Kritik richtet sich nicht nur gegen die Technik, sondern auch gegen das Opt-out-Verfahren. Zahlreiche Initiativen wie „Bündnis Widerspruch ePA“ rufen zum bewussten Widerspruch auf. Besonders scharf wird kritisiert, dass Betroffene aktiv handeln müssen, um ihre Daten nicht speichern zu lassen.
Internationale Perspektiven: Was machen andere Länder besser?
Ein Blick über die Grenzen zeigt: Andere Länder sind weiter. Österreich nutzt mit „ELGA“ ein funktionierendes Opt-out-System seit 2013 – inklusive dokumentengenauer Freigaben. In der Schweiz gibt es gleich fünf Möglichkeiten, Zugriffsrechte einzuschränken. Deutschland dagegen belegt in internationalen Studien regelmäßig hintere Plätze beim Thema digitale Gesundheitsversorgung.
Wie sieht es mit der Forschung in anderen Ländern aus?
In vielen Ländern wird die ePA aktiv für medizinische Studien genutzt – mit klaren Regeln und Opt-in-Prinzipien. Das Vertrauen der Bevölkerung ist dort deutlich höher, auch weil Transparenz und Nutzerkontrolle im Vordergrund stehen.
Zusätzliche Risiken: Angriffe auf Kliniken & Infrastruktur
Krankenhäuser in Deutschland sind zunehmend Ziel von Hackerangriffen – 132 Vorfälle in den letzten zwei Jahren. Experten warnen, dass viele Kliniken nicht ausreichend abgesichert sind. Da diese direkt mit der ePA verbunden sind, stellen sie ein zusätzliches Einfallstor für potenzielle Angreifer dar.
Was Patienten jetzt tun können
- Bei der Krankenkasse aktiv nachfragen, ob eine ePA eingerichtet wurde.
- Widerspruch schriftlich oder online erklären, falls keine Nutzung gewünscht ist.
- Nur vertrauenswürdigen Ärzten Zugriff gewähren und diesen ggf. befristen.
- Datenspende gezielt steuern und Forschungseinsatz ablehnen, wenn gewünscht.
- Regelmäßig Einblick in die Zugriffshistorie der ePA nehmen.
Digitale Gesundheitsdaten zwischen Chance und Risiko
Die elektronische Patientenakte ist ein Meilenstein der Digitalisierung im Gesundheitswesen – mit gewaltigem Potenzial, aber ebenso großen Herausforderungen. Sie kann Leben retten, Forschung ermöglichen und Prozesse effizienter gestalten. Gleichzeitig verlangt sie ein Höchstmaß an Verantwortung – von Entwicklern, Kassen, Ärzt:innen und Patient:innen gleichermaßen.
Ob die ePA ein Erfolg wird, entscheidet sich nicht nur an ihrer technischen Sicherheit, sondern vor allem an der Frage: Wird die Kontrolle über die eigenen Gesundheitsdaten in der Hand der Menschen bleiben? Denn nur mit Vertrauen und Transparenz wird die Digitalisierung zu einem echten Fortschritt.
