Mainz · Die Softwarefirma müsse die Datenschutzlücken schließen, forderte Gesundheitsminister Clemens Hoch. Warum der SPD-Politiker außerdem die zwielichtige Rolle einer Mitarbeiterin des Trierer Gesundheitsamts kritisierte.
Eigentlich war das Projekt als eine Lehre aus der Corona-Pandemie gedacht. Die rheinland-pfälzischen Gesundheitsämter sollen künftig einheitlicher und digitaler arbeiten können. Doch seit Wochen steht die dafür verwendete Software in der Kritik.
Wie unsicher besonders schützenswerte Gesundheitsdaten der Bürger waren - diese Frage beschäftigt inzwischen auch die rheinland-pfälzische Landespolitik. Es geht dabei etwa um meldepflichtige Infektionen, Dienstunfähigkeitsuntersuchungen von Beamten oder chronisch-psychische Krankheiten. Diese Daten hätten innerhalb der Ämter in die falschen Hände geraten können. Gesundheitsminister Clemens Hoch (SPD) hat am Mittwoch Probleme mit der Software eingeräumt.
Minister Hoch: Firma soll Datenschutzlücken schließen
Es seien einige Schwächen im Grundprodukt der Software aufgefallen, sagte er in Mainz vor dem Gesundheitsausschuss. Und er sei froh, dass es aufgefallen sei. Jetzt habe die Firma den Auftrag, diese Datenschutzlücken zu schließen, so der SPD-Politiker. Die Software kommt bereits seit vielen Jahren in den kommunalen Gesundheitsämtern zum Einsatz. Im Zuge der Digitalisierung sollen aber alle auf den selben Stand gebracht werden. Den Zuschlag dafür erhielt die in Kaiserslautern ansässige Firma Mikroprojekt GmbH durch das Landesgesundheitsministerium.
Weil die Sicherheitslücken laut Minister Hoch noch nicht endgültig geschlossen sind, bedeutet das im Umkehrschluss: In Gesundheitsämtern kommt weiterhin eine Software zum Einsatz, die Probleme mit dem Datenschutz hat. Was das bedeuten könnte, hatte kürzlich der Landesdatenschutzbeauftragte, Dieter Kugelmann, gegenüber unserer Zeitung erklärt. "Uns liegen Hinweise vor, dass die Tür für eine missbräuchliche Nutzung der Daten offen stand." Mitarbeiter im Gesundheitsamt konnten demnach sensible Daten von Personen einsehen, obwohl sie dazu keine Berechtigung hatten. Theoretisch hätte jeder mit Zugang zur Software überprüfen können, ob sein Nachbar psychisch krank ist – sofern dazu Daten im Amt vorlagen.
Software-Firma streitet Probleme ab
Der Software-Entwickler Mikroprojekt aus Kaiserslautern streitet solche Sicherheitslücken auf Anfrage ab. Aus Sicht der Firma liegt es an den jeweiligen Gesundheitsämtern die Zugriffsrechte auf Daten entsprechend einzustellen. "Datenschutz innerhalb der Software hat für uns einen großen Stellenwert und wir haben konkrete Maßnahmen dafür umgesetzt", sagte Geschäftsführer Norbert Geib dem Trierischen Volksfreund.
Ein weiteres Problem ist allerdings noch ungelöst. Ob es zu einem Daten-Missbrauch gekommen ist, wird niemand je herausfinden können. "Es gibt bisher bei der Software keine ausdrückliche Protokollierung, wer wann auf welche Daten zugreift", kritisierte Datenschützer Kugelmann kürzlich. Auch dieses Problem habe man bei der Firma angemahnt, sagte Hoch am Mittwoch. Nach der Vereinheitlichung der Software müsse lückenlos protokolliert sein, wer auf welche Daten zugreife.
Keine Daten an Hacker gelangt
Sowohl Hoch als auch Kugelmann betonten allerdings, dass sensible Gesundheitsdaten nicht nach außen - etwa an Hacker - gelangt sein. Zumindest nicht soweit ihnen bekannt sei. Vor knapp einem Jahr hatte es aber tatsächlich einen Vorfall gegeben, bei dem die Daten nicht nur intern gefährdet waren.
Damals – im Mai 2023 - hatte die IT-Abteilung des Trierer Gesundheitsamtes Daten an einen Dienstleister des Landes übermittelt. Die Datenbank enthielt Kontaktdaten sowie sensible Gesundheitsdaten. Die Kreisverwaltung bestritt damals auf Nachfrage des Trierischen Volksfreunds, dass man dadurch auf Einzelerkrankungen Betroffener habe schließen können. Der Dienstleister habe dem Kreis bestätigt, dass die Daten nicht weitergegeben und gelöscht worden seien.
Kritik am Trierer Gesundheitsamt
Das Trierer Gesundheitsamt war indes am Mittwoch auch Thema im Ausschuss. Minister Hoch kritisierte die Rolle einer Trierer Mitarbeiterin. Sie arbeitete nicht nur im Gesundheitsamt, sondern zugleich auch als Beraterin der Software-Firma und war zudem in einer landesweiten Projektgruppe zum Thema aktiv. Rein technisch war das erlaubt - sie hatte ihre Nebentätigkeit angezeigt. Allerdings blieb ein fader Beigeschmack. "Ich hätte mir an dieser Stelle schon gewünscht, dass die Problematik früher erkannt wird", sagte Hoch. Das mache man im 21. Jahrhundert nicht mehr. Inzwischen sei die Mitarbeiterin nicht mehr in der Projektgruppe aktiv.