Tim Pritlove: Guten Morgen, Linus.
Linus Neumann: Guten Morgen, Tim.
Tim Pritlove: Du, der Verfassungsschutz hat herausgefunden, dass die AfD gesichert rechtsextremistisch ist.
Linus Neumann: Die finden alles raus. Alles finden die raus. Musik Musik Musik.
Tim Pritlove: Logbuch Netzpolitik Nummer 522 vom 3. Mai 2025.
Tim Pritlove: Tag der Arbeit haben wir hinter uns gebracht. Endlich kann man sich mal wieder
Tim Pritlove: ein bisschen ausruhen. Sicherlich auch.
Linus Neumann: Ja, war ein harter, schwerer Tag. Sehr viel gearbeitet.
Tim Pritlove: Hast du?
Linus Neumann: Mehrere Milliardäre zum Mars geschossen.
Tim Pritlove: Oh, wirklich?
Linus Neumann: Ja, hatte ich ja angekündigt. angekündigt, erster Mal Grunewald,
Linus Neumann: ein wirklich sehr unterhaltsamer Tag mit einer wunderschönen Fahrradtour kann
Linus Neumann: ich sehr empfehlen und ich muss leider darauf hinweisen, ich habe es in der letzten Sendung,
Linus Neumann: angekündigt, ich wurde auch noch gebeten darauf hinzuweisen,
Linus Neumann: dass man Mai Gruni auch unterstützen kann, weil jetzt also Milliardäre zum Marsch
Linus Neumann: schießen, das ist teurer.
Linus Neumann: Das ist teurer, das kostet und da brauchen die ein bisschen Geld.
Linus Neumann: Die hatten nämlich unter anderem noch irgendwie Gerichtsverfahren geführt,
Linus Neumann: dass man in Grunewald, jetzt überlegt mal, wie weit die gegangen sind,
Linus Neumann: die Grünflächen betreten durfte.
Linus Neumann: Also es war quasi beyond revolution.
Linus Neumann: Letztes Jahr waren die Grünflächen am Johannaplatz mit so Hamburger Gitterne
Linus Neumann: abgesperrt, weil nachher tritt da jemand drauf, auf so eine Wiese.
Linus Neumann: Das kann man natürlich in Grunewald nicht machen.
Tim Pritlove: Nee, dann wäre der nicht mehr so grun.
Linus Neumann: Genau. Dann wurde dieses Mal, durfte man dann dort sitzen und die Hamburger
Linus Neumann: Gitter standen irgendwo anders, damit man da seine Fahrräder anschließen konnte.
Linus Neumann: Mit so schönen Sachen muss man sich dann da auseinandersetzen.
Linus Neumann: Aber es ist tatsächlich eine Rakete gestartet, mehrere Raketen. Das war alles sehr nett.
Tim Pritlove: So in Form von Silvesterraketen oder noch größer?
Linus Neumann: Nee, es gab eine, also erstens gibt es Helium-Ballons in Raketenform.
Linus Neumann: Die sind dann also gestartet und es gab eine richtige, die My Ass, ja,
Linus Neumann: die ist also auch tatsächlich aus so einem LKW dann gestartet mit viel Nebel
Linus Neumann: und Rauch und ist sie dann so hochgewandert entlang der Startlinie zum Mars.
Tim Pritlove: Auch mit Helium?
Linus Neumann: Nee, mit einem Seil.
Tim Pritlove: Ah, sehr gut.
Linus Neumann: Zu einem Kran, der da stand.
Tim Pritlove: Gut, ich finde es ja immer ein bisschen unangemessen, Helium für solche Sachen zu verwenden.
Linus Neumann: Stimmt, man sollte eigentlich alles für seine Stimme nehmen.
Linus Neumann: Heliumvergeudung.
Tim Pritlove: Ja, wir haben uns hier zusammengefunden, um mal ein Thema aufzugreifen,
Tim Pritlove: was sich mal wieder aufdrängt.
Tim Pritlove: Allein schon, weil wir jetzt ja wieder neue Bundesregierungen und neue Vorhaben
Tim Pritlove: haben. Und dazu begrüßen wir erstmal hier unsere Gästin, nämlich Bianca Kastel. Hallo Bianca.
Bianca Kastl: Hallo.
Tim Pritlove: Herzlich willkommen bei Logbuch Netzpolitik. Ja,
Tim Pritlove: wir haben dich hier gerade mal abgegriffen, weil du ja mit diesem Thema der
Tim Pritlove: elektronischen Patientenakte ein bisschen verheiratet bist.
Tim Pritlove: Kann man das so feststellen?
Bianca Kastl: Ja, so eine Zwangsehe, glaube ich eher. Also, verheiratet ist relativ.
Tim Pritlove: So ist das nun mal im netzpolitischen Bereich.
Tim Pritlove: Aber wir hatten dich hier schon öfter mal referenziert. Insofern sehr schön,
Tim Pritlove: dass wir dich jetzt auch dabei haben.
Tim Pritlove: Ja, weiß nicht, vielleicht kannst du ja mal so ein bisschen erzählen,
Tim Pritlove: was du eigentlich so treibst normalerweise und dich zu diesem Thema gebracht hat.
Bianca Kastl: Ja, also hi, mein Name ist Bianca. Ich bin eigentlich Softwareentwicklerin oder
Bianca Kastl: Softwareprojektleiterin, versuche tatsächlich Software für die Verwaltung zu
Bianca Kastl: schreiben in meinem normalen Leben.
Bianca Kastl: Ich bin natürlich als Bürgerin auch betroffen von Digitalprojekten um mich herum.
Bianca Kastl: Es führt dann dazu, dass ich natürlich digitalpolitisch auch durchaus aktiv
Bianca Kastl: bin, versuche auch immer die zivilgesellschaftliche Perspektive in Sachen auch
Bianca Kastl: politisch einzubringen. Man fragt mich ab und zu auch in irgendwelchen Gesetzentwürfen,
Bianca Kastl: auch zum Thema Gesundheitsdigitalisierung.
Bianca Kastl: Und wenn ich dann sonst nochmal flustlos werden will, habe ich noch eine Kunde
Bianca Kastl: bei Netzpolitik.org namens Digitalisierung, wo es um die schlechten Wirkungen
Bianca Kastl: von Digitalisierung geht oder von schlechter Digitalisierung.
Bianca Kastl: Ja, das, was ich so tue.
Tim Pritlove: Welche Verwaltung beglückst du normalerweise mit deinem Code?
Bianca Kastl: Ähm, tatsächlich die Stadt Frankfurt, aber das ist immer, das Hicken und beruflich
Bianca Kastl: anständig arbeiten passt ja normalerweise nicht zusammen. Und da sage ich es immer ganz dezent.
Tim Pritlove: Okay.
Linus Neumann: Themen, mit denen du dich in der Vergangenheit auseinandergesetzt hast,
Linus Neumann: ist schon wirklich in der Regel
Linus Neumann: so ein bisschen, also Gesundheit und Verwaltung ist schon so das Thema.
Linus Neumann: Ich weiß, wir haben zu der Corona-Warn-App, nee, gar nicht,
Linus Neumann: es war gar nicht unbedingt Corona-Warn-App, sondern eher so dieses Contact-Tracing-Luca
Linus Neumann: und so, da waren wir beide auch mal zusammen im Bundestag, meine ich, war das, ne?
Linus Neumann: Da warst du, also auf jeden Fall in der ganzen Luca-Geschichte und Contact-Tracing-Geschichte
Linus Neumann: aktiv. Dann habt ihr ja noch dieses In-Öck, ne?
Linus Neumann: Was ist das?
Bianca Kastl: Genau, also der INÖG ist eine zivilgesellschaftliche Organisation,
Bianca Kastl: das ist ja auch gemeinnützig jetzt offiziell, die sich darum kümmert,
Bianca Kastl: im Schwerpunkt Public Health, Gesundheitsämter und Digitalisierung zu unterstützen.
Bianca Kastl: Und wir sind quasi so ein Kind der Pandemie, die gesagt haben,
Bianca Kastl: naja, da muss man was tun, wir sind der Digitalisierung, speziell auch der Gesundheitsämter,
Bianca Kastl: haben dann festgestellt, naja, Pandemie ist jetzt offiziell vorbei,
Bianca Kastl: aber das Digitalproblem ist immer noch vorhanden.
Bianca Kastl: Und dann versuchen wir eben im Bereich sowohl Gesundheit als auch Verwaltungs,
Bianca Kastl: Digitalisierung, kritisch, konstruktiv Menschen auch zu sagen,
Bianca Kastl: wie es vielleicht auch besser geht.
Bianca Kastl: Und ja, das ist was der INÖK tut. INÖK heißt was? Innovationsverbund Öffentliche Gesundheit.
Tim Pritlove: Ah.
Bianca Kastl: Und ja, ab und zu werden wir dann irgendwie auch zu irgendwelchen Sachverständigen-Anhörungen
Bianca Kastl: eingeladen, auch zum Thema Gesundheitsdatennutzungsgesetz.
Bianca Kastl: Sich auch sachverständlich beim Online-Zugangsgesetz, also die ganzen tollen
Bianca Kastl: Gesetzsthemen, die manchmal auch schon Dinge verbauen, weil man irgendwas ins
Bianca Kastl: Gesetz schaltet, was komplett unsinnig ist.
Linus Neumann: Sehr schön und außerdem machst du dann noch die elektronische Patientenakte kaputt, das ist ja toll.
Linus Neumann: Was fällt dir ein? Das schafft der Inöcke sich aber natürlich auch selber seine.
Linus Neumann: Jeder Verband sucht sich ja seine seiner Arbeit selbst.
Linus Neumann: Vielleicht fangen wir mal vorne an. Und ich dachte, wir fangen einfach letzten Dezember an.
Linus Neumann: Und dann meintest du aber, nee, nee, lass mal 2005 anfangen.
Bianca Kastl: Ja, also ich glaube, wir müssen bei dem Thema Gesundheitsdigitalisierung erst
Bianca Kastl: mal darauf hinweisen, dass das, was wir zeigen, einfach der Zustand ist.
Bianca Kastl: Man muss den, glaube ich, nur
Bianca Kastl: anders beleuchten. Das heißt, wir machen uns nichts kaputt. Das ist so.
Bianca Kastl: Schon mal wichtig festzuhalten. Was, glaube ich, bei diesem ganzen Gesundheitsdigitalisierungskomplex
Bianca Kastl: wichtig ist, ist, dass man irgendwann mal nach einem Medikamentenskandal eingesehen
Bianca Kastl: hat, man sollte das Ganze mal digitalisieren, Medikamentensicherheit und sonstige Dinge.
Bianca Kastl: Es gab dann Gesetzentwürfe, die aus dem Jahr 2003 stammen und im Jahr 2005 wurde
Bianca Kastl: dann tatsächlich unter Ulla Schmidt mal präsentiert, so das ist ein Konzept
Bianca Kastl: für die ersten Bausteine von dieser ominösen Telematik- Infrastruktur.
Bianca Kastl: Da geht es dann um elektronische Gesundheitskarten und auf dieser elektrischen
Bianca Kastl: Gesundheitskarte sollen dann irgendwelche,
Bianca Kastl: Rezepte und andere Anwendungen laufen und man hat damals halt schon 2003 ins
Bianca Kastl: Gesetz geschrieben, ja wir machen jetzt eine Patientenakte.
Bianca Kastl: Die war damals noch nicht so ausformuliert und dann geht es halt so weiter über
Bianca Kastl: die Jahre, Jahrzehnte mit der Digitalisierung des Gesundheitswesens.
Bianca Kastl: Zwischendrin passieren.
Bianca Kastl: Wenige Dinge, zumindest aus Sicht von Patientinnen und jetzt unter Karl Lauterbach
Bianca Kastl: tatsächlich ist da auch noch mehr Druck drin, weil Karl Lauterbach auch unter
Bianca Kastl: Ulla Schmidt quasi so ein bisschen beratend tätig war in dem Digitalthema.
Bianca Kastl: Jetzt auch, glaube ich, so ein bisschen den für sich den Moment gesehen hat,
Bianca Kastl: auch das nochmal zu vollenden in gewisser Weise, so nach mehr als 20 Jahren.
Bianca Kastl: Ja, und dann...
Linus Neumann: Nach 20 Jahren war so eine Gelegenheit, was zu vollenden.
Tim Pritlove: Ganz kühner Plan.
Linus Neumann: Da greife ich doch jetzt mal. Ist doch jetzt der Moment gekommen.
Tim Pritlove: Lass uns das doch einfach mal fertig machen.
Bianca Kastl: Ja, genau. Also man muss auch sagen, dass unter Karl Laderbach relativ viel vorwärts geht.
Bianca Kastl: Ob das jetzt von der Umsetzung gut, das ist eine andere Sache,
Bianca Kastl: aber er hat schon das Ansinnen gehabt, kann man jetzt sagen,
Bianca Kastl: weil er hat es in den letzten Tagen quasi angehen, das irgendwie vorwärts zu bringen.
Bianca Kastl: Aber halt vielleicht die Geschwindigkeit auch das Problem, die dazu geführt
Bianca Kastl: hat, dass das, was passiert ist, passiert ist.
Bianca Kastl: Und jetzt mal ein Hinblick auf die EPA im Vorgriff.
Bianca Kastl: Die Frage ist immer, fängt man beim Jahr 0 an?
Bianca Kastl: Nee, fängt eigentlich beim Thema E-Rezept an, weil das auch die Grundlage ist
Bianca Kastl: für das, was eigentlich dann jetzt auch kaputt gegangen ist.
Linus Neumann: Das E-Rezept gibt es seit zwei Jahren ungefähr, würde ich, oder sogar noch länger?
Bianca Kastl: Genau, das Edizep gibt es eigentlich geplant schon länger, aber die Einführung hat sich verzögert.
Bianca Kastl: Das Edizep gibt es jetzt eigentlich seit Anfang, seit zwei Jahren mehr weniger im Jahr.
Bianca Kastl: Steigenden Rollout ist jetzt aber tatsächlich seit Anfang des letzten Jahres verbindlich.
Bianca Kastl: Das heißt, es gibt quasi nur noch E-Rezepte. Das läuft auch relativ okay.
Bianca Kastl: Es gibt immer noch so diese Vollweglösung mit diesen rosa Zetteln und so.
Bianca Kastl: Aber das läuft erstmal grundsätzlich als Konzept.
Linus Neumann: Also jetzt gucken wir mal auf die technische Seite.
Linus Neumann: Also was sind die Eigenschaften eines Rezeptes, die man irgendwie digital abbilden muss?
Linus Neumann: Sollte von berechtigten und qualifizierten Personen ausgestellt werden?
Linus Neumann: Sollte an eine Person gebunden sein, die Empfängerin des Rezeptes?
Linus Neumann: Sollte entsprechend ungültig werden in dem Moment, wo es eingelöst wurde?
Linus Neumann: Natürlich schwer zu fälschen, eigentlich alles verhältnismäßig simpel,
Linus Neumann: kryptografisch abbildbare Dinge,
Linus Neumann: dann sollte das irgendwie, da müsste man noch irgendwie gucken,
Linus Neumann: wer so ein Rezept quasi einlösen und damit auch invalidieren kann.
Linus Neumann: Also die Ausgebestätten müssen entweder auf der Gesundheitskarte sagen,
Linus Neumann: knapp ist, haben wir jetzt erfüllt dieses Rezept oder im Zweifelsfall macht
Linus Neumann: man sowas natürlich dann heute mit einer Cloud wahrscheinlich.
Linus Neumann: Dann kommen Datenschutzfragen dazu.
Bianca Kastl: Ja, ja, es ging damals schon das Problem eigentlich los.
Bianca Kastl: Das E-Rezept hat ein Zugriffssystem, was mehr oder weniger Tokens in den Cloud
Bianca Kastl: abgelegte Rezepte zugreifen lassen.
Bianca Kastl: Der Zugriff auf ein E-Rezept geht wahlweise über die Gesundheitskarte.
Bianca Kastl: Das heißt, man kann über seine Gesundheitskarte oder das Steckende Gesundheitskarte
Bianca Kastl: die für diese Gesundheitskarte offenen Rezepte einsehen.
Bianca Kastl: Oder man kann zum Beispiel QR-Codes Menschen in die Hand geben,
Bianca Kastl: wo man auch diesen Zugangscode mehr weniger zu diesem, genau diesem Rezept hat.
Bianca Kastl: Also beim E-Rezept ist es auch nachvollziehbar, dass man dann verschiedene Zugangswege
Bianca Kastl: braucht, weil es geht um Niedrigschwelligkeit.
Bianca Kastl: Da geht es auch darum, dass man irgendwie für andere Personen in die Apotheke
Bianca Kastl: gehen kann und ein Medikament abholen kann.
Bianca Kastl: Und dann hat man das mehr oder weniger versucht, möglichst niedrigschwellig zu machen.
Bianca Kastl: Das heißt, Stecken von dieser Gesundheitskarte reicht, um die offenen Rezepte
Bianca Kastl: einer Person einzusehen.
Bianca Kastl: Das führt uns jetzt dann nachher noch zu dem Problem bei der EPA,
Bianca Kastl: weil man hat eigentlich das Konzept von dieser Zugangsberechtigung aus dem E-Rezept
Bianca Kastl: kopiert und gesagt, super, haben die Leute schon, kennen sie?
Bianca Kastl: Und damit geht die Misere dann so langsam los.
Linus Neumann: Weil dieser Zugriff, dieser Zugangsschutz nicht für besonders kritische Daten
Linus Neumann: akzeptabel ist. Okay, weil das greifen wir jetzt.
Bianca Kastl: Greifen da ein bisschen vor. Ich glaube, die Schwierigkeit dahinter ist,
Bianca Kastl: man hatte eigentlich im guten Sinne gedacht, naja, wir nehmen etabliertes Verfahren,
Bianca Kastl: sparen wir irgendwie Geld.
Bianca Kastl: Hat das damals aber mit E-Rezept aufgebaut, was einfach ein ganz anderer Use
Bianca Kastl: Case ist. wenn ein Rezept verloren geht, ist es auch sensibel,
Bianca Kastl: aber das ist halt in dem Moment, im Zugriff ist, sind nur die offenen Rezepte,
Bianca Kastl: wenn ich einen Zugang dazu kriege.
Bianca Kastl: Und das gleiche Konzept, aber jetzt quasi eins zu eins auf eine EPA auszurollen,
Bianca Kastl: kann halt dann ziemlich ins Auge gehen.
Bianca Kastl: Und da sind wir jetzt, glaube ich, bei der Historie von dem,
Bianca Kastl: was in den letzten Tagen nochmal wieder passiert ist, wie da eigentlich die
Bianca Kastl: Historie bei der elektronischen Patientenakte war.
Bianca Kastl: Und da muss man dann jetzt eigentlich wieder auch schon ab dem Moment anfangen,
Bianca Kastl: wo Uli Kälber schon beim E-Rezept sagte, ja, also der Zugriffsschutz irgendwie,
Bianca Kastl: das müssen schon irgendwie signierte Daten sein.
Linus Neumann: Uli Kälber, der damalige Bundesdatenschutzbeauftragte.
Bianca Kastl: Der damals schon sagte, wenn diesen Zugang zu diesen E-Rezepten,
Bianca Kastl: da muss schon irgendwie auch kryptografisch nachgewiesen werden, dass die Karte steckt.
Bianca Kastl: Das hat man damals irgendwie wegdiskutiert und irgendwie gesagt,
Bianca Kastl: naja, okay, das passt für den Fall, das Risiko ist akzeptabel,
Bianca Kastl: weil es tatsächlich in dem Fall nur möglich ist durch,
Bianca Kastl: Zugriff auf eine Karte halt zu gucken, was sind die offenen Rezepte. Das ist,
Bianca Kastl: Vielleicht ein vertretbarer Schaden. Was mit der EPA dann passiert, ist ein anderes Thema.
Linus Neumann: Das müssen wir, glaube ich, einmal nochmal in Ruhe erklären.
Linus Neumann: Du hast gerade gesagt, ein kryptografischer Nachweis, hat Uli Kelber gesagt,
Linus Neumann: es war auch richtig, dass er das gesagt hat, dass die Karte steckt.
Linus Neumann: Wie ist es denn implementiert, das Rezept? Also welche Daten schickt die Apotheke
Linus Neumann: an, die TI, also die Cloud letztendlich, um zu sagen, gib mal bitte offene Rezepte?
Bianca Kastl: Also beim E-Rezept ist es so, es gibt Altdienste in der Telematik-Infrastruktur,
Bianca Kastl: einen versicherten Stammdatendienst.
Bianca Kastl: Dieser versicherten Stammdatendienst löst eine ganze Kette aus an Dingen,
Bianca Kastl: die notwendig sind, um erstmal von dieser Karte dann eigentlich zu der jeweiligen Anwendung zu kommen.
Bianca Kastl: Also wenn ich diese Karte stecke, dann ist es meistens immer auch so,
Bianca Kastl: dass überprüft wird, ist die Person überhaupt jetzt gültig versichert,
Bianca Kastl: hat die Kasse für diese Person irgendwelche Updates vielleicht noch.
Bianca Kastl: Das heißt, es geht erst über den Stammdatendienst. Der Stammdatendienst schickt
Bianca Kastl: quasi dann zu dieser Karte zurück, ne, es gibt keine Updates.
Bianca Kastl: Man kann dann, so ist es ursprünglich auch beim E-Rezept implementiert gewesen,
Bianca Kastl: hat es verändert dann, aber da kommen wir gleich dazu, warum man es verändert hat.
Bianca Kastl: Man schickt dann quasi, nachdem man feststellt, man hat kein Update für diese
Bianca Kastl: Karte, an einen zweiten Dienst, den Update-Flag-Service mehr oder weniger,
Bianca Kastl: die Kartennummer sagt dann ja, zu dieser Kartennummer hätte ich gerne Zugangstoken.
Bianca Kastl: Das heißt, wenn man jetzt,
Bianca Kastl: böswillig einfach nur diesen Dienst sagt zu dieser Kartennummer,
Bianca Kastl: hätte ich gerne einen Token, kriege ich einen Token dazu.
Bianca Kastl: Das war beim E-Rezept schon so. Das heißt, man kann aus dieser ganzen Kette von,
Bianca Kastl: Berechtigungserlangung einfach nur den Dienst ansprechen und sagen,
Bianca Kastl: ich hätte gerne eine ganz bestimmte Karte hinzugucken.
Linus Neumann: Und das war's?
Bianca Kastl: Das war schon beim E-Rezept schon so kaputt. man hat ja quasi den gleichen Zugangsweg
Bianca Kastl: genommen und jetzt setzt man darauf die Anwendung der elektronischen Patientenakte.
Linus Neumann: Und dann wird es nur schlimmer, also ich brauche nur die Kartennummer.
Bianca Kastl: Genau, das war schon mal ihr Rezept so.
Linus Neumann: Und die steht erstens auf der Karte drauf, zweitens,
Linus Neumann: Ist die seriell? Das heißt, wenn ich eine Kartennummer habe,
Linus Neumann: kann ich Plus 1 und Minus 1 nehmen und habe wieder Kartennummern.
Bianca Kastl: Genau, also die sogenannte ICSSN ist eine Nummer, die generiert sich aus der jeweiligen Kasse.
Bianca Kastl: Die Kassennummern sind bekannt. Das sind die ersten zehn Ziffern.
Bianca Kastl: Dann gibt es halt die nächsten zehn Ziffern. Die sind dann aufsteigende Nummern.
Bianca Kastl: Jetzt kann man hochrechnen, wie viele Gesundheitskarten wir in dem ganzen Gesundheitssystem
Bianca Kastl: schon ausgegeben haben. Das sind mehrere Generationen. Wir sind bei Generation 2.1.
Bianca Kastl: Die mit NFC ausgestattet ist und dann kann man hoch hin, die Gesundheitskarte
Bianca Kastl: gilt irgendwie fünf Jahre, das heißt, die wird alle fünf Jahre durchrotiert,
Bianca Kastl: dann weißt du, wie der Nummerraum ist und weißt du wie die Karten bei bestimmten Krankenkassen,
Bianca Kastl: mit den Nummern aussehen würden.
Linus Neumann: Das ist übrigens ICCSN, Integrated Circuit Card Serial Number, also serielle Nummer.
Linus Neumann: Okay, also wenn ich alle E-Rezepte haben will, rede ich mit dem einen Service,
Linus Neumann: geh einfach die ganze Zeit Karten, geh einfach Kartennummernraum durch,
Linus Neumann: hab nicht so viele Kassen, wie die ersten 10 Ziffern sind, also es ist ein relativ
Linus Neumann: einfach abbildbarer Raum, durch den ich iterieren kann.
Tim Pritlove: Wenn du sagst, ich, also wo findet dieser Zugriff denn statt?
Tim Pritlove: Ist das etwas, was jetzt nur in einer Praxis stattfinden kann oder von überall im Internet?
Tim Pritlove: Also was für Zugänge zu dieser Infrastruktur gibt es denn überhaupt?
Bianca Kastl: Ja, also ich glaube, wir sind ins Detail gegangen, es hängt drum herum schon noch einiges mehr.
Bianca Kastl: Die ganze Telematik-Infrastruktur als solches, die besteht aus mehreren Komponenten.
Bianca Kastl: Das ist noch Technik von vor ein paar Jahrzehnten, aber die hält sich halt im Gesundheitswesen.
Bianca Kastl: Um in diese Telematik-Infrastruktur zu kommen, braucht man mehrere technische Geräte.
Bianca Kastl: Zum Beispiel einen Connector. Der Connector ist eine Art Internet-Router für
Bianca Kastl: ein VPN-Zugangsnetz, der in den Praxen installiert ist.
Bianca Kastl: Den kann man sich entsprechend mit Berechtigung kaufen.
Bianca Kastl: Und was man dann auch braucht, sind mehrere kryptografische Komponenten,
Bianca Kastl: um diesen Zugang aufzubauen.
Bianca Kastl: Man braucht einerseits für die jeweiligen Personen,
Bianca Kastl: quasi Berufsnachweise, Heilberufsausweise. Das heißt,
Bianca Kastl: da kriegt man irgendwie bei seiner Ärztekammer oder irgendwelchen anderen Ständevertretungen
Bianca Kastl: einen Nachweis, dass man jetzt zum Beispiel Arzt ist oder irgendwie Zahnarzt oder keine Ahnung.
Bianca Kastl: Da gibt es einen Heilberufsausweis, das ist quasi eine Chipkarte,
Bianca Kastl: mit der ich nachweisen kann, hallo, ich bin Arzt.
Bianca Kastl: Dann gibt es einen Praxisausweis, das ist also für die Organisation,
Bianca Kastl: mit der man nachweisen kann, sogenannte SMCB, mit der man nachweisen kann,
Bianca Kastl: ja hallo ich bin in der Praxis.
Tim Pritlove: Was ist das SMCB?
Bianca Kastl: Ich gucke schnell ins Blassar. Genau.
Linus Neumann: Ich wusste das mal.
Tim Pritlove: Entschuldigung, wenn du es erwähnst, dann musst du fragen. Ja,
Tim Pritlove: aber es gibt sozusagen einfach einen Nachweis, was man ist. Man ist ein lizenzierter Ort sozusagen.
Bianca Kastl: Genau. Wichtig ist das SMCB in diesem Konzept vor allem deswegen,
Bianca Kastl: weil man das Konzept ein bisschen runtergedampft hat auf,
Bianca Kastl: naja es reicht ja, wenn wir nachweisen, dass da jemand aus einer Apotheke auf
Bianca Kastl: zum Beispiel E-Rezepte zugreifen will oder dass jemand aus einer Praxis E-Rezepte ausstellen will.
Bianca Kastl: Man kann die nur mit einem Heilberufsausweis signieren. Das heißt,
Bianca Kastl: das muss ein Arzt signieren.
Bianca Kastl: Aber das Einlösen von E-Rezepten zum Beispiel ist halt so gedacht gewesen,
Bianca Kastl: naja gut, es ist wichtig, dass halt irgendwie alle in der Apotheke damit hantieren können.
Bianca Kastl: Deswegen reicht es zum Beispiel, da die SMCB zu haben.
Linus Neumann: Security Module Card Type B. Also letztendlich, es ist eine SIM-Karte.
Tim Pritlove: Ja, okay.
Bianca Kastl: Das fragt mich nicht, was A und B in dem Fall ist. Das ist vollkommen egal.
Bianca Kastl: Irgendjemand hat es mal angefangen durchzunummerieren.
Bianca Kastl: Also die Abkürzung ist auch nicht so wirklich sprechend.
Tim Pritlove: Das ist wieder so ein Begriff mit der Letzte, der es wusste,
Tim Pritlove: ist vor zehn Monaten gekündigt worden. Wir nutzen das einfach.
Bianca Kastl: Ja, gut. Aber bauen wir mal kurz die Kette auf von Dingen, die wir brauchen.
Bianca Kastl: Also wir haben erstmal kryptografisch nachgewiesen, identitätsmäßig genutzt.
Bianca Kastl: Da gibt es einen Arzt zum Beispiel oder eine Ärztin. Dann haben wir die berechtigte
Bianca Kastl: Organisation, die Leistungserbringerinstitution, wie es in der Telematik-Sprech heißt.
Bianca Kastl: Dann haben wir einen Connector, dann haben wir in diesem Connector auch noch
Bianca Kastl: eine entsprechende Kryptokarte drin, damit dieser Connector auch Dinge entschlüsseln,
Bianca Kastl: verschlüsseln kann. Und dann haben wir noch entsprechend ein Kartenlesegerät.
Bianca Kastl: In diesem Kartenlesegerät stecke ich als Patientin dann meine Gesundheitskarte,
Bianca Kastl: um dort entsprechend auch kryptografische Informationen auszutauschen.
Bianca Kastl: Und auch dieses Kartenlesegerät hat nochmal eine Kryptokarte SMCKT für Dinge.
Bianca Kastl: Also ihr versteht, es gibt viel kryptografisches Material auf Karten,
Bianca Kastl: was eigentlich gut abgehangen und viele Funktionen hat.
Bianca Kastl: Und das brauche ich erstmal so als Grundlage, um mit der Telematik zu interagieren
Bianca Kastl: und dann kann ich in der Telematik-Infrastruktur entsprechende Web-Services nutzen, um Dinge zu tun.
Bianca Kastl: So, und jetzt kommen wir vielleicht so ein bisschen zu dem, was jetzt eigentlich
Bianca Kastl: das Problem ist, was wir auf dem Kongress gezeigt haben.
Bianca Kastl: Also der Martin Schiersig und ich haben ja auf dem Kongress quasi so eine ganze
Bianca Kastl: Reihe von Dingen gezeigt, wo man mit dieser Telematik interagieren kann,
Bianca Kastl: um sich dann ein bisschen langsam Richtung elektronische Patientenakte durchzuringen.
Bianca Kastl: Man muss wissen, dass diese SMCBs, also diese Praxisausweise,
Bianca Kastl: naja, die kann man sich natürlich versuchen irgendwie zu erschleichen.
Bianca Kastl: Das Einfachste ist da zum Beispiel irgendwelche Portale von,
Bianca Kastl: ja, Ärztekammern mal sich anzugucken und dann gibt es halt so Dinge wie SQL-Injections,
Bianca Kastl: man kann irgendwie die Datenbanken manipulieren.
Bianca Kastl: Also ja, SQL Injection gibt es halt immer noch in dem Konzept,
Bianca Kastl: weil die ganze Technik ist halt auch irgendwie 20 Jahre teilweise.
Linus Neumann: Wie hat denn die SQL Injection so lange überlebt?
Bianca Kastl: Ich glaube, das Portal hat so lange überlebt. Also genau, also ich habe das
Bianca Kastl: Ziel eigentlich, brauche ich in dem Zugang zu das Konzept, ich brauche einen Praxisausweis.
Bianca Kastl: Weil das ist das, was ich brauche und damit kann ich anfangen,
Bianca Kastl: in diesem System zu interagieren.
Bianca Kastl: Also gucke ich, ob ich bei der Ärztekammer SQL Injections finde. Ja, gibt's.
Bianca Kastl: Den Weg haben wir jetzt nicht gewählt, weil Hackerparagraph und so, naja.
Linus Neumann: Aber demonstriert wurde das ja auch schon vor Jahren von Martin mit dem Arztausweis
Linus Neumann: an die Käsetheke und dass es jetzt, sag ich mal, nicht so schwierig ist,
Linus Neumann: sich so einen zu bestellen.
Bianca Kastl: Ja, es ist halt ein klassisches Social Engineering Problem.
Bianca Kastl: Man hat das erstmal so gutmöglich abgesichert. Hallo, ich bin Arzt,
Bianca Kastl: lassen Sie mich durch. Ich brauche jetzt hier eine Karte.
Bianca Kastl: Dann hat man irgendwann mal festgestellt, ja doch irgendwie doof, wie wir das machen.
Bianca Kastl: Dann hat man irgendwie Identifikationen eingebaut und hat noch irgendwie Postident
Bianca Kastl: gemacht, um die Dinge zuzustellen.
Bianca Kastl: Aber de facto ist es so, dass wahrscheinlich irgendwo irgendwelche Sachen durchgerutscht
Bianca Kastl: sind, weil wir sprechen von mehr als 100.000 Leistungsbringerinstitutionen, die es gibt.
Bianca Kastl: Das heißt, dass die alle hundertprozentig korrekt ausgegeben und immer sicher
Bianca Kastl: verwahrt werden, schwierig.
Linus Neumann: Das mit den mehr als 100.000 wissen wir vor allem auch sehr genau aus dem Detrust-Datenleck,
Linus Neumann: wo jeder einzelne Antrag für eine solche Karte zugreifbar war.
Linus Neumann: Durch eine, ich glaube, das war eine Insecure Direct Object Reference.
Linus Neumann: Also das ist da auch schon einmal rausgefallen, alles an Daten.
Linus Neumann: Ich glaube 100, weiß nicht, 100 noch was, 1000 waren es auf jeden Fall.
Linus Neumann: Gut, aber ich würde das jetzt mal so ein bisschen überspringen,
Linus Neumann: weil eigentlich mit dieser Zahl 100.000 ist ja schon klar, da wird es potenziell auch,
Linus Neumann: einen einen oder anderen nicht ganz so ethischen Endpunkt geben.
Linus Neumann: Seien es jetzt vielleicht zwei, drei Ärztinnen oder Ärzte, die da eventuell
Linus Neumann: mal über ihre Befugnisse hinausgehen oder auch deren Mitarbeiterinnen,
Linus Neumann: die sie ja da sitzen haben.
Linus Neumann: Also wir haben hier, selbst wenn man davon ausgeht, dass es nur diese hunderttausende
Linus Neumann: berechtigten Karten gibt, muss man in denen ja mit dem kompletten Spektrum an
Linus Neumann: Gut- und Bösartigkeit rechnen.
Linus Neumann: Und selbst wenn man das nicht tun würde, entschuldigt das ja nicht Security-architektonische Schwächen.
Linus Neumann: Wir haben also einen Connector, wir haben so eine Karte, es wurde gezeigt, die kann man bekommen.
Linus Neumann: So, jetzt wäre ja der nächste Schutz, der zu sichern wäre, dass ich Rezepte
Linus Neumann: nur für Patientinnen ausstelle, die bei mir waren,
Linus Neumann: oder Rezepte auch nur von Patientinnen einsehe, die bei mir sind.
Bianca Kastl: Ja, theoretisch.
Linus Neumann: Und das ist ja, wenn ich das, ich fasse das so ein bisschen zusammen,
Linus Neumann: weil alles was wir jetzt, da werden wir vielleicht auch die ein oder andere
Linus Neumann: Hörerin unterwegs kurz verloren haben,
Linus Neumann: das Wichtige ist immer, wenn SMC, von SMCKT und SMCB die Rede ist,
Linus Neumann: ist immer eine kleine goldene SIM-Karte, wie eine SIM-Karte aussehendes Kärtchen gemeint,
Linus Neumann: auf dem sich kryptografisches Schlüsselmaterial befindet, mit dessen Hilfe ein
Linus Neumann: Nachweis zu erbringen ist,
Linus Neumann: dass diese Karte zu einem bestimmten Zeitpunkt tatsächlich vorhanden war.
Linus Neumann: Und wie das funktioniert, ich mach das mal ganz kurz high level,
Linus Neumann: dann gehen wir wieder in die Details, ist die Karte, diese Karten werden gebaut,
Linus Neumann: um kryptografische Schlüssel aufzubewahren, anwenden zu können, aber nie zu verraten.
Linus Neumann: Und das ist wirklich eine sehr tolle Erfindung, die, ich glaube die erste breite
Linus Neumann: Anwendung solcher Karten waren SIM-Karten für Mobiltelefone.
Linus Neumann: Man könnte auch sagen, Telefonkarten, die verteilt wurden, die waren,
Linus Neumann: glaube ich, noch ein bisschen, also da kann man noch nicht von diesem Stand
Linus Neumann: sprechen, aber auch die hatten das Schutzziel, ähm,
Linus Neumann: eine Aussage treffen zu können, einseitig programmierbar zu sein und da quasi
Linus Neumann: auch Werte drauf speichern zu können.
Linus Neumann: Das heißt, in den 90er Jahren hat die Deutsche Post, wahrscheinlich noch damals,
Linus Neumann: oder hieß sie da schon Telekom, Telekom wahrscheinlich, damit Pfennigsbeträge geschützt.
Linus Neumann: Also nur um das mal ins Verhältnis zu setzen.
Linus Neumann: Und dann Ende der 90er Jahre mit Mobilfunk wurden dann damit eben,
Linus Neumann: ja sagen wir mal Beträge im Bereich der Hunderte und Tausende, D-Mark geschützt,
Linus Neumann: und vor allem der Grund, dass wir auch heute noch SIM-Karten haben,
Linus Neumann: ist ja damit pro Vertrag, der bezahlt wird, auch nur eine Person telefoniert.
Linus Neumann: Das ist also, das schützen sich die Mobilfunknetze vor uns, damit wir nicht
Linus Neumann: einfach nur einen Tarif haben und alle darüber telefonieren.
Linus Neumann: Und also diese Karten werden dadurch nicht kopierbar.
Linus Neumann: Jetzt will ich noch ganz kurz erklären, wie die Karte denn den Nachweis erbringt,
Linus Neumann: dass sie zu einem gegebenen Zeitpunkt da ist, das ist nämlich auch ein sehr einfaches Prinzip,
Linus Neumann: die ferne Instanz, in dem Fall die TI, wenn sie es machen würde,
Linus Neumann: würde sagen, ach guck mal, du willst also die Gesundheitskarte von der Bianca
Linus Neumann: sein, ich gebe dir meine Zufallszahl,
Linus Neumann: sei doch mal so gut, insignier mir die bitte.
Linus Neumann: Und dann sagt die Karte, naja klar, ich signiere diese Zufallszahl jetzt mal
Linus Neumann: hier mit meinem Schlüssel.
Linus Neumann: Und dann könnte die TI sagen.
Linus Neumann: Zappalott, das passt zu dem öffentlichen Schlüssel, den ich bei mir hinterlegt
Linus Neumann: habe. Diese Karte ist da.
Linus Neumann: Das sehe ich jetzt ein. Und würde nun ich oder der Martin oder der Tim,
Linus Neumann: der ist ja auch böse, diese Kommunikation von der Bianca abhören,
Linus Neumann: dann hätten wir zwar die Antwort, aber beim nächsten Mal werden wir nach einer
Linus Neumann: anderen Zufallstage gefragt.
Linus Neumann: Das heißt, wir können diesen Beweis nicht mehr erbringen. Und das ist quasi
Linus Neumann: für alles, was SMCB ist, SMCKT, das zugrunde liegende Prinzip.
Linus Neumann: Und ich bin, ich muss wirklich sagen, ja, ich habe ja so eine Gesundheitskarte.
Linus Neumann: Ich habe den Chip da drauf gesehen und dachte, dann werden die den wohl verwenden.
Linus Neumann: Also ich meine, wenn die jetzt so einen riesen Aufriss gemacht haben,
Linus Neumann: mir diese Karte zu schicken, da war schon immer so ein Chip drauf,
Linus Neumann: jetzt ist da noch ein Foto drauf.
Linus Neumann: Und dann kommt ihr auf einmal daher und sagt, du benutzt den Chip nicht.
Bianca Kastl: Ja, also man muss dazu sagen, diese Gesundheitskarte hat zwei Datensätze.
Bianca Kastl: Es gibt den guten signierten und es gibt den nochmal unsignierten,
Bianca Kastl: mehr weniger mit den Basisinformationen.
Bianca Kastl: Und aus irgendeinem der IT-Welt nicht ganz nachvollziehbaren Grund hat man beim
Bianca Kastl: E-Rezept damals einfach nur diese Basisinformation abgegriffen.
Bianca Kastl: Hat gesagt, naja, gut, ich muss ja noch wissen, dass die Karte sowieso,
Bianca Kastl: ich kann die Karte eh weitergeben.
Bianca Kastl: Ich möchte irgendwie, dass für andere Leute irgendwie Rezepte eingelöst werden.
Bianca Kastl: Zum Beispiel, ich gebe irgendwie, keine Ahnung, die Oma gibt dem Kind die Gesundheitskarte,
Bianca Kastl: damit das Kind irgendwie in die Apotheke laufen kann, die Gesundheitskarte und
Bianca Kastl: so weiter und so fort. Das Szenarien
Bianca Kastl: sind ja aus der praktischen Anwendung vielleicht nachvollziehbar.
Bianca Kastl: Jetzt ist es aber so, man hat dann quasi nur diesen unsignierten Datensatz ausgewertet.
Bianca Kastl: Und mit diesem unsignierten Datensatz, hallo, ich bin die Karte sowieso nummerös,
Bianca Kastl: ich hätte dafür gerne Zugang zu den entsprechenden Rezepten,
Bianca Kastl: hat man das im E-Rezept so implementiert.
Bianca Kastl: Mit eben dieser Kette, dass man, wenn man sich diesen, quasi den API-Call rauszieht,
Bianca Kastl: der sagt, naja, ich hätte gerne,
Bianca Kastl: lieber Update-Flex-Service, ich hätte gerne hier zu dieser Karte nochmal einen
Bianca Kastl: Zugang, dann ist man relativ schnell halt einfach direkt bei dem Zugang, wenn man sagt,
Bianca Kastl: ich bin irgendeine beliebige Karte, nehme einfach nur die Nummer davon und ich
Bianca Kastl: hätte zudem gerne den Zugang.
Bianca Kastl: Beim E-Rezept ist es noch nicht so schlimm, weil, naja, im Zweifel kann man eben zu,
Bianca Kastl: Kartennummern offene Rezepte einsehen, die sind aber halt nur eine gewisse Zeit
Bianca Kastl: offen, weil die laufen erstens mal nach 30 Tagen ab und wenn die eingelöst sind,
Bianca Kastl: kann man die nicht mehr einsehen.
Linus Neumann: Und da ergibt sich keine Krankenhistorie, keine Gesundheitshistorie raus,
Linus Neumann: weil ich immer nur aktuell gültige Rezepte sehen würde.
Bianca Kastl: Nur offene Rezepte tatsächlich. Also das ist der Trade-off, den man damals,
Bianca Kastl: glaube ich, gemacht hat, den man vielleicht noch nachvollziehen kann,
Bianca Kastl: weil natürlich ist es so ein Thema, dass es auch sensible Informationen sind,
Bianca Kastl: was in den Rezepten drin ist.
Bianca Kastl: Sind halt Rezepte mit entsprechenden Diagnosen, auch kodierbar mehr oder weniger.
Bianca Kastl: Aber man hat damals gesagt, wir nehmen das schnelle Verfahren,
Bianca Kastl: signieren dauert ein bisschen, braucht einen Sekundenbruchteil,
Bianca Kastl: wir müssen jetzt noch konnektoren irgendwie vielleicht anpassen,
Bianca Kastl: wenn die weitere Verfahren irgendwie haben und irgendwie die Kartenlesegeräte
Bianca Kastl: brauchen, andere Software.
Bianca Kastl: Also hat man damals irgendwie die billige Variante genommen und hat gesagt,
Bianca Kastl: wir nehmen einfach nur unsignierten Daten.
Linus Neumann: Würde, also befindet sich in der Antwort der Name der Patientin?
Bianca Kastl: Wenn man über den Stammdatendienst geht, ja, klar. Wenn man jetzt direkt über
Bianca Kastl: den Update-Flag-Service geht, erstmal nicht.
Linus Neumann: Also es wäre, man könnte ja argumentieren, dass dieser Trade-off beim Rezept,
Linus Neumann: also ich finde den auch nicht gut,
Linus Neumann: wäre schon irgendwie so ein Pinschutz auf die Karte oder irgendwas noch,
Linus Neumann: wäre schon ganz sinnvoll gewesen.
Linus Neumann: Ich weiß auch nicht, ob jetzt der Enkel unbedingt verschreibungspflichtige Medikamente
Linus Neumann: für Oma holen muss oder ob die nicht die zwei Euro für den Apotheken liefern,
Linus Neumann: meistens ja sogar kostenlos, aber okay.
Tim Pritlove: Naja, du musst halt, also man muss dazu sagen, da kann es halt auch mal um Leben und Tod gehen, so.
Tim Pritlove: Also da so eine niedrigschwelligere Lösung, also das willst du dann halt auch nicht lieben.
Tim Pritlove: Ja, Oma verstorben, weil Apotheke konnte nicht wichtige Medikamente mal eben ausgeben.
Tim Pritlove: Also das ist ein Konfliktbereich und man kann es halt immer auch übertreiben.
Tim Pritlove: Wir wissen ja auch, wenn man es alles sicher machen will, dann wird es halt
Tim Pritlove: auch schnell so kompliziert und klar, wenn man mit so einer elektronischen Logik
Tim Pritlove: da rangeht, dann macht das irgendwie alles Sinn, aber es muss ja auch im Real World funktionieren.
Linus Neumann: Okay, ja, lassen wir gelten.
Bianca Kastl: Also da kann man ein bisschen drüber nachdenken, warum das für das E-Rezept
Bianca Kastl: vielleicht ein wirkliches Vorgehen ist, das irgendwie so zu machen.
Bianca Kastl: Jetzt ist aber der Witz bei der Sache natürlich das, was mit der E-Pardon jetzt
Bianca Kastl: passiert ist, weil das ist der gleiche Zugangsmechanismus.
Bianca Kastl: Es ist jetzt nicht so, dass wir mit Gematik, also der zuständigen Digitalagentur
Bianca Kastl: für Digitalisierung des Gesundheitswesens, darüber schon mal gesprochen hätten,
Bianca Kastl: dass das ein Problem ist mit dem E-Rezept-Dienstweg auf die Daten zuzugreifen.
Bianca Kastl: Der Martin Schirsich hat im August der Gematik gesagt, hier Problem,
Bianca Kastl: wenn man diesen Weg so und so geht und dann diesen OP-Call über den Update-Flex-Service
Bianca Kastl: durchgeht, kriegen Zugangstoken auf alle E-Pass, wenn ich die Nummer von der Karte habe.
Bianca Kastl: Das haben wir der Gematik gemeldet im August letzten Jahres.
Linus Neumann: Und also,
Linus Neumann: was ich da wirklich, wir haben uns auch in früheren Sendungen schon darüber
Linus Neumann: aufgeregt, aber das ist also ernsthaft,
Linus Neumann: Habt ihr denen das gemeldet und die haben gesagt, krass, dass ihr das jetzt
Linus Neumann: sagt, da muss doch irgendwo ein Mensch im Raum gewesen sein,
Linus Neumann: der da auch mal durchdacht hat.
Bianca Kastl: Ich glaube, das war mehr oder weniger schon Leuten bekannt, die,
Bianca Kastl: ich meine, Menschen arbeiten in diesem Feld, arbeiten da seit ein paar Jahren, auch in der Industrie,
Bianca Kastl: implementieren sowas und die merken ja auch, was es gibt an verschiedenen Varianten,
Bianca Kastl: denken sich, ob das so eine gute Idee ist, keine Ahnung, aber ja,
Bianca Kastl: da wickelt man halt vor sich irgendwie hin. Das ist so das Thema.
Linus Neumann: Um mal Karl Lauterbach zu zitieren, der wird nicht müde zu betonen,
Linus Neumann: das ist auch richtig, was er sagt, dass diese EPA für alle oder die TI das größte
Linus Neumann: Digitalisierungsprojekt der Bundesrepublik ist.
Linus Neumann: Es gibt nichts Vergleichbares, weder in Datenmenge noch in Bedeutung,
Linus Neumann: aber damit auch erst recht nicht im Sinne der Kritikalität, weil aktuell,
Linus Neumann: gut, was ist da jetzt schon drin in so einer EPA, aber was sich da an Daten
Linus Neumann: über die Laufzeit so eines typischen Menschen rein akkumulieren wird,
Linus Neumann: das wird eine riesige Anlage.
Linus Neumann: Ja, und wie, da muss doch, müssen doch Menschen, die dafür verantwortlich sind,
Linus Neumann: die so etwas schreiben, die sagen, wir bauen, wir wissen auch,
Linus Neumann: dass wir hier etwas bauen, auch von den Anwenderinnen,
Linus Neumann: also erstens hunderttausende Endpunkte und dann Millionen,
Linus Neumann: zehn, also Größenordnungen von Millionen an Menschen, deren Daten in dem Ding sind.
Linus Neumann: Wie kann denn da irgendetwas anderes als das, also schon Stand der Technik wäre
Linus Neumann: mir da ja etwas, wo ich nervös wäre.
Bianca Kastl: Ja, eigentlich schon, aber das ist irgendwie seit Jahrzehnten ein Weg,
Bianca Kastl: wo man da eher so diesen, ja, ich will nicht sagen,
Bianca Kastl: phlegmatisch, glaube ich, trifft es ganz gut, in den Weg geht,
Bianca Kastl: wo man irgendwie so ein bisschen laissez-faire sagt, okay, es muss jetzt durchgehen,
Bianca Kastl: wir sind eh schon spät dran und wir setzen es dann um und Karl Lauterbach hat
Bianca Kastl: noch gesagt, wir müssen am 15. Januar fertig werden.
Linus Neumann: Der, so jetzt meldet ihr das im August, das ist immerhin vier Monate vor eurer,
Linus Neumann: ungefähr vier Monate vor eurer Congress-Präsentation ich glaube zu der Zeit
Linus Neumann: wahrscheinlich etwas später als August gab es ja dann noch dieses,
Linus Neumann: Fraunhofer-Gutachten, wo ich ja auch wirklich mich stundenlang drüber amüsiert
Linus Neumann: habe und ich werde dich nicht müde zu betonen die haben diese Dokumentation
Linus Neumann: in ein LLM gefüttert, weil kein Mensch, also weil die das mit,
Linus Neumann: Fraunhofer-Mentalkapazität gesagt haben, das können wir, das versteht keine
Linus Neumann: Saut, das analysieren wir mit einer KI, das kann keine, das machen wir nicht,
Linus Neumann: das können wir unseren Hiwis hier nicht zumuten. So viel Papier.
Linus Neumann: Was ist, also das spricht ja schon auch Bände über dieses Projekt als solches.
Linus Neumann: Wenn, ein Sicherheitskonzept für beispielsweise Mobilfunknetze oder so,
Linus Neumann: wo ja auch eine Reihe von Angriffen, das ist, das kann zumindest noch ein Mensch lesen.
Linus Neumann: Also auch nicht angenehm, aber zumindest nach Kenfer Konventionen noch zum Mut
Linus Neumann: war, ohne dafür ein LLM heranschaffen zu müssen.
Linus Neumann: Haben die diese Probleme in ihrer Analyse gefunden?
Bianca Kastl: Also die Analyse, die die Fraunhofer-Leute gefahren hat, hatte ja so einen gewissen Scope auch.
Bianca Kastl: Der war auch einschränkend, sowas wie, ja, Begebungsorganisationen,
Bianca Kastl: die uns angreifen, sind nicht im Scope. Dann denkt man sich, okay.
Linus Neumann: Mach mal Pen-Test, aber ohne Schwachstellen.
Tim Pritlove: Was ist, wenn du uns der Kollege aus dem nächsten Büro aus angreifst?
Bianca Kastl: Also die haben auch absurde Sachen gefunden, wie sowas wie, also nachvollziehbar,
Bianca Kastl: aber so Sachen wie, naja gut, wenn am Wochenende eine Schadensmeldung kommt,
Bianca Kastl: dann habt ihr mit einer Reaktionszeit von so und so viel Stunden.
Linus Neumann: Das war das Kritischste, ja.
Bianca Kastl: Dann müsst ihr irgendwie die Reaktionszeiten hochfahren, weil es ist dann so ein Problem.
Bianca Kastl: Also die haben irgendwie so organisatorische Themen gefunden,
Bianca Kastl: die haben auch so ein bisschen,
Bianca Kastl: ja auch ein paar Innentäter-Szenarien irgendwie formuliert, aber am Ende war
Bianca Kastl: halt so der Konsens so ein bisschen, ja schon ganz okay so ungefähr zwischen
Bianca Kastl: den Zeilen, weil es war halt auch so beauftragt, man hat gesagt,
Bianca Kastl: ja guck mal, das bitte nicht so in den Scope nehmen und so weiter.
Bianca Kastl: Und dann stellt sich halt die Gematik hin und sagt, ja ist sicher,
Bianca Kastl: das Sicherheitskonzept von dem Fraunhofer U hat gesagt, sicher.
Bianca Kastl: Also hat schon noch Mängel gefunden, aber die sind jetzt irgendwie alle nicht so schlimm.
Linus Neumann: Wir müssen kurz den Begriff Scope, also Untersuchungsbereich,
Linus Neumann: Untersuchungsumfang oder durch die Scope-Definition kann man sehr schön die
Linus Neumann: Ergebnisse von Sicherheitsüberprüfungen gestalten.
Bianca Kastl: Ja, genau. Ja, also das Fraunhofer-Vergutachten, ja, wie gesagt,
Bianca Kastl: Scope ist seltsam, von daher würde ich da jetzt nicht so viel drauf geben.
Bianca Kastl: Ich glaube, das Spannende ist eher so das, was nach dem Hinweis im August auf,
Bianca Kastl: dass es diese Zugangserlangungsmöglichkeit über den Update-Flex-Service gibt, der…,
Bianca Kastl: Was dann passiert ist. Also August, dann weist man irgendwie nochmal intensiver
Bianca Kastl: drauf hin, spricht auch mit ein paar Organisationen drüber, die da noch beteiligt
Bianca Kastl: sind und sagt, das ist ein Problem.
Bianca Kastl: Und dann hat die Gematik eine Risikobewertung gemacht und gesagt,
Bianca Kastl: naja, okay, das Problem ist vorhanden. Das Problem hat den Impact aller Akten.
Bianca Kastl: Aber jetzt kommt das, was die Gematik damals gesagt hat. Naja,
Bianca Kastl: wir sind ja die Zugangsmittel zur Telematikinfrastruktur, sind ja sicher,
Bianca Kastl: alles sicher ausgegeben.
Bianca Kastl: Und damit ist ja dieser Schaden dadurch mitigiert, der möglicherweise eintritt,
Bianca Kastl: weil wir ja alle Zugangswege, wir sprechen von mehr als 100.000,
Bianca Kastl: sicher ausgegeben haben und die ja niemals irgendwie missbraucht werden.
Linus Neumann: Das ist das klassische Konzept des Worldgarden.
Linus Neumann: Es gibt so ein paar Dinge, die man in der IT-Security tunlichst vermeidet.
Linus Neumann: Das eine ist Security by Obscurity und das andere ist ein Worldgarden.
Linus Neumann: Ja, beziehungsweise, sagen wir mal so, man vermeidet sie vielleicht auch absichtlich
Linus Neumann: nicht, um sich eine langfristige Beschäftigung und Einnahmequelle zu schaffen.
Linus Neumann: Ja, wo man weiß, ach guck mal, lass uns mal einen World Garden machen,
Linus Neumann: dann kommen wir von dem Projekt nicht mehr runter.
Linus Neumann: Ja, dann können wir das hier dauerhaft betreiben.
Linus Neumann: Erinnert mich zum Beispiel auch an die ganzen SS7 Probleme
Linus Neumann: die jetzt auch die im Mobilfunkbereich die Menschheit
Linus Neumann: nun auch seit über 20 Jahren erfreuen und Berater und Produkte also ein Gift
Linus Neumann: that keeps on giving das ist Walt Garden und für die eine nicht akzeptable Entschuldigung
Linus Neumann: oder eine nicht akzeptable Begründung an dieser Stelle würde ich sagen.
Bianca Kastl: Ja genau, also wir waren im August, das war sicher, weil da Volt gaben und dann
Bianca Kastl: hat man da erstmal so weiter gewirkelt.
Bianca Kastl: Jetzt gab es sich so, dass Martin und ich dann diesen Talk eingereicht haben
Bianca Kastl: für den Kongress und wir dann so dachten, okay jetzt haben wir halt diese VSDM,
Bianca Kastl: Abdeck-Flex-Service-Nummer,
Bianca Kastl: um auf alle Akten zuzugreifen.
Bianca Kastl: Und die Gematik sagt, jo, ist er sicher, weil ja alle Praxisausweise sicher ausgegeben werden.
Bianca Kastl: Also in dem Moment ist es nur wichtig, dass ich einen Praxisausweis habe und
Bianca Kastl: ich muss mich nicht irgendwie als Arzt ausweisen.
Bianca Kastl: Jo, das scheint anscheinend bei der Gematik nicht irgendwie zum Umdenken zu führen.
Bianca Kastl: Die Gematik wusste, dass es auf dem Kongress präsentiert werden wird.
Bianca Kastl: Das heißt, sie hatte Zeit zu reagieren, auch auf den öffentlichen Impact, hat nichts getan.
Bianca Kastl: Ja, und dann waren wir irgendwann so im November und dann meinte Martin so,
Bianca Kastl: ja gut, Vortrag wird wahrscheinlich was.
Linus Neumann: Wurde angenommen.
Bianca Kastl: Jetzt wäre es vielleicht doch ganz clever, wenn wir irgendwie wahlweise das
Bianca Kastl: noch ein bisschen anbieten.
Bianca Kastl: Vollender da demonstrieren könnten. Jetzt gucken wir mal, ob wir noch irgendwie,
Bianca Kastl: eine SMCW bekommen, um auch der Gematik zu demonstrieren.
Bianca Kastl: Übrigens, das Szenario, was ihr da so geschrieben habt, ist sicher,
Bianca Kastl: weil Worldgarden ist es nicht, weil übrigens hier ist ein Worldgarden ist offen.
Linus Neumann: Ja, wir gehen mal in eurem Worldgarden eine Blume pflücken.
Tim Pritlove: Also wenn ihr Worldgarden sagt, meint ihr damit, dass diese gesamte Infrastruktur
Tim Pritlove: so in sich abgeschlossen ist und eigentlich nicht am Internet direkt teilnimmt?
Linus Neumann: Ja, also die Annahme, dass es da keine böswilligen Akteurinnen geben kann.
Tim Pritlove: Weil hier kommt ja keiner rein.
Linus Neumann: Die haben ja alle Schutz durch hippokratischen Eid. Security bei Hippokrates.
Bianca Kastl: Ja, genau. Also wie geht man dann in die TI?
Bianca Kastl: Ja, klar, man kann jetzt irgendwie in die Praxis einbrechen,
Bianca Kastl: aber das ist jetzt auch nicht ein bisschen unethisch.
Bianca Kastl: Und dann ist die Frage schlicht und ergreifend, was gibt es denn sonst für Überschaffungswege?
Bianca Kastl: Wir hatten das mit den SQL-Injections bei den Karten herausgegeben,
Bianca Kastl: ein paar Teilen, die Lieferzeiten bei diesen Dingen sind aber immer so lang
Bianca Kastl: und das ist immer so ein bisschen,
Bianca Kastl: wenn du dann irgendwie erst im November auf die Idee kommst,
Bianca Kastl: eine Karte dir zu besorgen, dann ist die vielleicht nicht zum Kongress da und
Bianca Kastl: dann ging Martin irgendwie mal einfach auf Internetrecherchen,
Bianca Kastl: guckte, was so irgendwie existiert in dem Bereich,
Bianca Kastl: und hat dann erstmal bei Kleinanzeigen nach Kartenlesegeräten gesucht über Kleinerzeigen.
Linus Neumann: Achso, das heißt ja nicht, ich werde immer Kleinerzeigen.
Bianca Kastl: Ja, genau, das heißt nur noch Kleinerzeigen. Und dann man muss dazu sagen.
Tim Pritlove: Kleinerzeigen ist so die Hintertür in dem Wallcard. So ein kleiner Hintereingang.
Bianca Kastl: Genau. Und dann, also genau, was sucht man da?
Bianca Kastl: Kartenlesigaräte. Diese Kartenlesigaräte haben verschiedene Kartenslots und
Bianca Kastl: diese Kartenslots sind halt normalerweise die Gesundheitskarte der Patientin, aber halt auch,
Bianca Kastl: Karte des Kartenlesegeräts selbst, also um sich als Kartenlesegerät auszuweisen,
Bianca Kastl: aber da hängen halt auch immer noch unter Umständen möglicherweise ein Halberufsausweis
Bianca Kastl: drin oder eben auch eine SMCB, also ein Praxisausweis.
Bianca Kastl: Ja, dann guckt man da halt bei kleinen Zeigen ein bisschen rum und guckt,
Bianca Kastl: wie viele, funktioniert das Gerät noch?
Bianca Kastl: Leute machen da meistens Bilder von, hier ist das Gerät, funktioniert noch,
Bianca Kastl: hier gibt es dann halt ein Foto vom Display und dann sieht man,
Bianca Kastl: naja, da sind irgendwie so und so viele Karten gesteckt.
Bianca Kastl: Dann kauft man sich halt mal ganz nett das, wo die ganzen Karten stecken und,
Bianca Kastl: guckt, ob man da vielleicht noch die Karten irgendwie dazu kriegt und dann war
Bianca Kastl: es halt immer so Szenarien wie keine Praxisauflösung oder Menschen,
Bianca Kastl: die halt einfach nicht wissen, was sie da verkaufen aber noch irgendwie,
Bianca Kastl: einen Schnapper machen wollen und ja, wenn man da noch lieb fragt dann geben
Bianca Kastl: Leute sogar noch Pins mit raus Was? Weil eigentlich ist diese.
Linus Neumann: Ich kann das ja nicht verwenden, Entschuldigung,
Linus Neumann: Du weißt, was passiert, wenn du eine schlechte Bewertung bei Kleinanzeigen kriegst, Tim.
Linus Neumann: Das ist der Spaß auch.
Linus Neumann: Dann bleibt der Keller für immer voll. Dann musst du den selber entrümpeln,
Linus Neumann: wenn einmal einen Stern bei Kleinanzeigen Top Security liegt gerade wieder.
Bianca Kastl: Ja, genau, also Karten-Niese-Gerät gefunden mit SMTB plus PIN und damit auch
Bianca Kastl: quasi den physikalischen Anker für, übrigens, hallo, wir sind eine TI,
Bianca Kastl: wir könnten jetzt den Weg durchtanzen.
Bianca Kastl: Martin hat dann halt auch noch ja ein Skript gebaut, um zumindest so einen Nachweis
Bianca Kastl: zu demonstrieren das einmal dann tatsächlich auch auf der,
Bianca Kastl: sogenannten Referenzumgebung evaluiert, dass da auch tatsächlich ein Nachweis zurückkommt und ja.
Linus Neumann: Die Referenzumgebung ist irgendwie so, hier könnt ihr mal testen,
Linus Neumann: sind keine echten Patientinnen-Daten drin, aber funktioniert alles.
Bianca Kastl: Das ist eine der Produktivumgebungen naheliegendste Umgebung, also der echten TI.
Bianca Kastl: Die Schwierigkeit ist halt zu dem Zeitpunkt gewesen, ich meine die EPA war zu
Bianca Kastl: dem Moment ja noch nicht live, sondern es ist quasi wirklich ein Auseinandernehmen
Bianca Kastl: der Einzelkomponenten und der Einzeldienste und an den Einzeldiensten zu zeigen,
Bianca Kastl: dass wenn man den Teil raus isoliert und rausschält,
Bianca Kastl: dass man genau dann eigentlich alles hat, um egal was dahinter nachkommen wird,
Bianca Kastl: einen Zugriff zur EPA zu kriegen.
Bianca Kastl: Und das waren dann quasi die zwei Dinge, die halt notwendig waren.
Bianca Kastl: EBay-Kleinanzeigen und einen Webservice aufrufen.
Bianca Kastl: Dieser Webservice eben, dieser Zugangsweg über, naja, ich schicke halt die Gesundheitskartennummer,
Bianca Kastl: an diesen Service und kriege dann Zugang dazu.
Bianca Kastl: Damit kann man halt sagen, ja, okay, Zugriff auf 70 Millionen Akten.
Bianca Kastl: Und das ist das, was so als schlimmste Lücke dann auf dem Kongress mehr oder weniger rauskam.
Bianca Kastl: Es gab halt noch andere Themen drumherum, wie, keine Ahnung,
Bianca Kastl: irgendwelche Praxissoftware, die irgendwie Standardpasswörter verwendet und andere Dinge.
Bianca Kastl: Aber das, wo man sich drauf gestürzt hat, war halt tatsächlich dieses,
Bianca Kastl: okay, ihr geht auf Kleinanzeigen und kriegt irgendwie Praxisausweise,
Bianca Kastl: ist irgendwie nicht so doof, sollte man den Leuten sagen, das ist eine Scheißidee,
Bianca Kastl: Awareness-Maßnahmen, ja.
Bianca Kastl: Und eben auch mal halt das technische Szenario von dem Zugangsweg über den sich
Bianca Kastl: versicherten Stammdatendienst, der einfach durch Angabe eines ganz bestimmten
Bianca Kastl: Calls mit einer Nummer mir den Zugang gibt.
Linus Neumann: Jetzt, also ich finde das mit dem Connector irgendwo herbekommen und Karten irgendwo herbekommen,
Linus Neumann: ist notwendig, um das zu demonstrieren, damit man auch Ende zu Ende sagen kann,
Linus Neumann: Eine böswillige Akteurin,
Linus Neumann: das ist absolut im Rahmen, wenn wir das sogar schon vor dem Launch dieser Karte
Linus Neumann: hinkriegen, also absolut richtig,
Linus Neumann: aber man darf nicht vergessen, hinter diesen 100.000 berechtigten oder 150.000
Linus Neumann: berechtigten Stellen verbergen sich ja dann auch wirklich immer nochmal oder
Linus Neumann: häufig nochmal mehrere Angestellte und es ist wirklich in keiner Form davon auszugehen,
Linus Neumann: dass da nicht irgendwo mal jemand Böses dabei ist. Das ist einfach ausgeschlossen.
Linus Neumann: Und so wie du das jetzt gerade schilderst, kann man ja ein Skript schreiben
Linus Neumann: und sagen, alles klar, ich rasiere jetzt einmal durch den gesamten Space und
Linus Neumann: dann habe ich alle Gesundheitsdaten aller Deutschen, brauche ich eine große
Linus Neumann: Festplatte, aktuell noch nicht so groß, aber irgendwann brauche ich eine richtig
Linus Neumann: große. Und dann funktioniert das.
Linus Neumann: Wir haben jetzt natürlich ein paar Sachen,
Linus Neumann: glaube ich noch vereinfacht ausgelassen, denn die Berechtigung für den Zugriff
Linus Neumann: auf die EPA ist auch zeitlich begrenzt auf ich dachte mal 16 sind 90 Tage.
Bianca Kastl: Also genau was kriegt man, wenn man diesen Zugriffstoken kriegt,
Bianca Kastl: also die Befugung, man bekommt für die jeweilige Organisation,
Bianca Kastl: also auf dem Praxisausweis liegen die Organisationen Und die wird in Gruppen einkategorisiert.
Bianca Kastl: Also das ist eine Arztpraxis, das ist eine Zahnarztpraxis, das ist eine Apotheke,
Bianca Kastl: das ist Arbeitsmedizin, dann gibt es noch ganz viele andere Gruppen.
Bianca Kastl: Das, was zum Beispiel noch securitymäßig spannend wird, es kommen zum Beispiel
Bianca Kastl: Pflegeeinrichtungen dazu, Rehaeinrichtungen, das sind jetzt alles nicht Einrichtungen,
Bianca Kastl: die für IT-Security-Fachexpertise bekannt sind, sondern die müssen halt damit arbeiten.
Bianca Kastl: Das heißt, die Attack-Service im Bereich von Leistungserbringern wird größer.
Bianca Kastl: Das heißt, das ist alles sicher ausgegeben und alle Endpunkte sicher.
Bianca Kastl: Das Narrativ passt nicht mehr.
Linus Neumann: Ich hätte jetzt mal, was glaubst du denn, was da am Ende so sich,
Linus Neumann: wie du gerade sagst, wenn die Angriffsfläche sich da verteilt,
Linus Neumann: was wäre deine Schätzung?
Linus Neumann: Ich hätte jetzt mal so gedacht, so eine Million Menschen am Ende?
Bianca Kastl: Also im Gesundheitswesen sind mehr als Millionen Menschen beschäftigt.
Bianca Kastl: Und man muss ja dann auch, also allein der Mikrokosmos eines Krankenhauses,
Bianca Kastl: wo in dieser Rechnung nur eine von dieser Leistungsumbringung ist,
Bianca Kastl: da hast du ja tausende Leute, die irgendwie dort beschäftigt sind.
Bianca Kastl: Und all die haben irgendwie unter Umständen Interaktion mit dem,
Bianca Kastl: was in der TI passiert. Also von daher, ab dem Moment kannst du...
Bianca Kastl: Kaum mehr überblicken, ob eine von, ja, ich glaube, Gesundheitswesen durchaus
Bianca Kastl: schon mehr als eine Million Menschen, die irgendwie indirekt oder direkt damit im Zugang sind.
Bianca Kastl: Plus eben halt auch noch sowas wie IT-Dienstleistern, die ja dann immer noch
Bianca Kastl: Dinge fernwarten und so weiter und so fort.
Bianca Kastl: Also die Kette geht sehr, sehr weit.
Linus Neumann: Und alle wären am Ende in der Lage, so ein Bash-Skript zähl mal bitte von der
Linus Neumann: Kartennummer an hoch, mach mal ein Request dahin, Request dahin, zack, Name.
Bianca Kastl: Ja.
Linus Neumann: Okay, so habt ihr jetzt gemeldet.
Bianca Kastl: Ja, haben gemeldet.
Linus Neumann: Passiert nichts?
Bianca Kastl: Genau, also das, was man bei so Sicherheitslücken oder Austausch auch mit Gematik
Bianca Kastl: immer merkt, ist, dass das theoretische Hinweisen auf Themen nicht immer so erfolgreich ist.
Bianca Kastl: Man sollte es zumindest auch soweit validiert und kurz vor der möglichen Kompromittierung
Bianca Kastl: haben, um zu sagen, jo, ist wirklich kaputt.
Bianca Kastl: Wir haben es sehr eindringlich evaluiert und demonstriert.
Bianca Kastl: Natürlich ethisch, aber zumindest soweit, dass man dann auch in den Massenangriff
Bianca Kastl: gehen könnte und dann funktioniert das auch.
Bianca Kastl: Und das, was halt auch das, naja, nicht so nachvollziehbare,
Bianca Kastl: aber dann doch, wenn man die Logik der Schadensbewertung dann immer auch bei
Bianca Kastl: der Gematik nachvollzieht, ist halt,
Bianca Kastl: eigentlich muss es immer erst brennen, bevor man sagt, oh ja, ist doch ein Risiko.
Bianca Kastl: Also, das ist immer, man muss das ja praktisch machen.
Linus Neumann: Das ist ja auch, also ich habe das häufig in Berichten,
Linus Neumann: wo ich mit meinen Kolleginnen und Kollegen spreche, wo auch immer so,
Linus Neumann: theoretisch wäre es möglich, eine Angreiferin könnte, wo ich auch immer auf
Linus Neumann: die, also formal sage, nein, nein, ein Angreifer kann.
Linus Neumann: Also ich kann Fußball spielen. Das heißt nicht, dass ich es mache, aber ich kann es.
Linus Neumann: Und genauso deswegen kann ein Angreifer das tun. Dann gibt es keinen Unterschied
Linus Neumann: zwischen theoretisch und praktisch.
Linus Neumann: Ich verstehe, dass das für die Wahrnehmung, für so eine öffentliche Wahrnehmung,
Linus Neumann: auch in dem ich mit Journalistinnen natürlich jetzt in letzter Zeit auch häufiger
Linus Neumann: mal darüber unterteile, ja theoretisch ist es möglich. Heißt ja nicht, dass es jemand macht.
Linus Neumann: Aber es geht. Heißt halt nicht, dass es theoretisch geht. Sondern da gibt es
Linus Neumann: bei Gehen, wenn etwas möglich ist, gibt es keinen Unterschied zwischen theoretisch und praktisch.
Tim Pritlove: Das bedeutet vor allem auch nicht, dass es da nicht passiert.
Linus Neumann: Richtig, Theorie, ja. Also eine sehr, okay, aber die haben ernsthaft,
Linus Neumann: also Menschen, denen wir mit diesem Risiko, mit diesem Digitalisierungsprojekt vertrauen,
Linus Neumann: die warten noch drauf, dass eine für jede Person inhaltlich sofort nachvollziehbare
Linus Neumann: theoretische Möglichkeit, Der muss sich auch noch praktisch manifestieren,
Linus Neumann: bevor sie sagen, also dann werden wir hier unruhig.
Bianca Kastl: Ich glaube, inzwischen reagieren sie auch schneller, wenn die gleichen Leute
Bianca Kastl: wiederkommen, die einen nachweisbaren Track-Record haben mit Dingen,
Bianca Kastl: die wirklich kaputt waren. Das haben wir jetzt gesehen.
Bianca Kastl: Aber es ist tatsächlich auch immer, glaube ich, schon hilfreich.
Bianca Kastl: Der Prozess ist nicht auf einer Ebene proaktiv, dass man sagen würde,
Bianca Kastl: ich greife alles ab und minimiere Risiken vorher, bevor sie entstehen,
Bianca Kastl: sondern es ist immer eher reaktiv.
Bianca Kastl: Wenn ein Risiko wirklich manifest ist, dann tue ich was.
Bianca Kastl: Das ist einfach in der Entstehung dieser ganzen Systeme ein Problem,
Bianca Kastl: weil da halt auch, wenn man merkt, man hat es irgendwo von dem,
Bianca Kastl: was man da spezifiziert hat, wirklich verkackt.
Bianca Kastl: Dann kriegst du es aber erst über Monate später raus, weil das heißt ja,
Bianca Kastl: ich muss die Spezifikation verändern.
Bianca Kastl: Irgendjemand, irgendwelche Dienstleister, meinetwegen IBM oder Bitmark Rice
Bianca Kastl: müssen dann in diesem EPA-System Dinge verändern.
Bianca Kastl: Da hängt eine ganze Kette von Industrie dran, die das nochmal verändern muss.
Bianca Kastl: Von daher, ich kann das in den Zwängen, ich muss nicht sagen,
Bianca Kastl: nachvollziehen, nachvollziehen kann man sagen,
Bianca Kastl: dass man versucht das zu vermeiden, weil die Fehlerkorrektur halt nicht irgendwie,
Bianca Kastl: ich patch mal kurz in dem Repo irgendwas ist, sondern ich mache eine Änderung
Bianca Kastl: der Spezifikation, die dann dazu führt, dass mehrere Dienstleister mit ihren
Bianca Kastl: eigenen Prozessen nochmal Dinge verändern müssen.
Bianca Kastl: Aber dennoch ist es halt genug Zeit gewesen, angemessen darauf zu reagieren
Bianca Kastl: und man hat sich so ein bisschen halt nach hinten geschoben.
Bianca Kastl: Wahrscheinlich auch vor dem Hintergrund, naja, man möchte jetzt einem Karl Lauterbach
Bianca Kastl: nicht sagen, du übrigens.
Linus Neumann: Das wäre komplett ein Mist gemacht.
Bianca Kastl: Der 15. Januar wird ein bisschen schwierig.
Linus Neumann: Das wird knapp. Aber trotzdem haben sie ja dann, also ich denke auch,
Linus Neumann: wenn man sich überlegt, wie so ein Laden läuft.
Linus Neumann: Wir sollten vielleicht einmal noch ganz kurz erklären, die Gematik ist die Nationale
Linus Neumann: Agentur für Digitale Medizin, die die Spezifikation und dann auch den Betrieb
Linus Neumann: der Telematik-Infrastruktur verantwortet.
Linus Neumann: Und damit natürlich auch die dort geltenden technischen Standards,
Linus Neumann: Voraussetzungen und so weiter definiert. So, da finde ich sehr spannend, wem die gehört.
Linus Neumann: Wenn ich mich nicht täusche, ist das 50% Bundesministerium für Gesundheit und
Linus Neumann: dann irgendwie die ganzen Kassenärztlichen Vereinigungen und Krankenkassen oder so.
Linus Neumann: Das ist irgendwie der...
Linus Neumann: Diese Zusammensetzung der Gematik, oder?
Bianca Kastl: Ja, also man muss dazu sagen, dass die Gematik eigentlich, ich glaube inzwischen
Bianca Kastl: sind es 51 Prozent, das ist immer der feine Unterschied, dieses 1 Prozent,
Bianca Kastl: was tatsächlich auch diese Mehrheit dann auslöst.
Bianca Kastl: Es ist möglich, dass wenn es bestimmte Spezifikationen oder sonstige Dinge gibt,
Bianca Kastl: dass das BMG die durchdrückt, weil sie eben diese 51 Prozent haben.
Bianca Kastl: Das ist der aktuelle Stand und das führt eben aber auch dazu,
Bianca Kastl: dass man auch politisch Dinge durchdrücken kann. Und wenn jetzt jemand sagt,
Bianca Kastl: wir machen jetzt das und das so, auch wenn irgendwie die ganzen anderen Beteiligten
Bianca Kastl: dagegen sind, ist es politisch möglich, das durchzudrücken.
Bianca Kastl: Das ist auch tatsächlich passiert bei einem Verfahren namens CardLink.
Bianca Kastl: Das war, also das Verfahren ist dazu da, dass man E-Rezepte,
Bianca Kastl: jetzt wird es ein bisschen wild, mit einem Smartphone durch das Ablesen der
Bianca Kastl: Gesundheitskarte via NFC über den Konnektor der Apotheke dann Rezept einlösen kann.
Bianca Kastl: Sehr wildes Verfahren, aber naja, und das war natürlich auch ein bisschen kritisch
Bianca Kastl: gesehen, hat man aber von Seiten des BMGs durchgedrückt gehen jetzt nicht in
Bianca Kastl: die technischen Details, wird noch wilder, aber,
Bianca Kastl: einfach nur zu zeigen, das BMG kann auch Dinge durchdrücken und sagen,
Bianca Kastl: ja okay machen wir jetzt so.
Linus Neumann: Und davon haben Sie das haben Sie in diesem Fall dann gemacht und zwar haben
Linus Neumann: Sie gesagt, wir machen weitere Flickschusterei Naja.
Bianca Kastl: Wahrscheinlich. Also die Flickschusterei kommt ja auch immer in einem System zustande, wo man,
Bianca Kastl: politisch Dinge festsetzt, das muss da und da fertig werden und dann hat man
Bianca Kastl: halt nur beschränktes Budget und die Zeit läuft halt dann runter und wenn man
Bianca Kastl: sagt, muss fertig werden und das sind die Features und die Features könnt ihr nicht irgendwie,
Bianca Kastl: runterpräsieren, das muss alles auf einmal gehen,
Bianca Kastl: kommen da halt unter Umständen bestimmte Dinge zu kurz wie irgendwie sichere
Bianca Kastl: Entwicklungsprozesse oder auch Prozesse, die halt sagen, naja,
Bianca Kastl: es gibt eine Entscheidung, dass wir halt nicht live gehen, weil Security nicht eingehalten.
Bianca Kastl: Also mit dieser ganzen politischen Komponente, man möchte es jetzt an den Start
Bianca Kastl: bringen und Karl Lauterbach mit seiner Vorgeschichte, dass er halt unter Ulla
Bianca Kastl: Schmidt schon damals irgendwie jetzt und jetzt endlich an den Start gehen möchte,
Bianca Kastl: kommen da nicht die besten Security-Entscheidungen raus.
Tim Pritlove: So die BER-Methode, ne?
Tim Pritlove: Das ist ja im Prinzip auch politisch die ganze Zeit so, muss jetzt irgendwie
Tim Pritlove: fertig werden, aber oh und jetzt haben wir auf einmal andere Bedingungen,
Tim Pritlove: ja dann machen wir das jetzt irgendwie anders und dann widersprechen sich halt
Tim Pritlove: auch am Ende die ganzen Entscheidungen.
Tim Pritlove: Also BER ist ja letzten Endes auch an diesen ganzen Umplanungen mit gestorben.
Tim Pritlove: Was weiß ich, jetzt planten wir erstmal einen Großflughafen,
Tim Pritlove: alles ganz toll, alles luxuriös und dann kommt halt irgendeiner und sagt so,
Tim Pritlove: ja, aber die Billig-Airlines, die wollen gar nicht so ein teures Terminal haben,
Tim Pritlove: die würden dann woanders hingehen.
Tim Pritlove: Da müssen wir aber nochmal ein paar dazu planen und dann passt das dann halt
Tim Pritlove: auf einmal wieder nicht mit der Feuerwehr und so weiter und dann wollen sie
Tim Pritlove: eigentlich schon eröffnen so wenige Tage vorher und dann so ah ja, nee, doch nicht,
Tim Pritlove: dauert noch 10 Jahre im Prinzip ist das jetzt hier nochmal genau dasselbe Trainwreck.
Bianca Kastl: Also so ein bisschen wie Brandschutz, wir haben dann festgestellt der Brandschutz
Bianca Kastl: funktioniert nicht, aber wir können doch nicht live gehen so jetzt.
Tim Pritlove: Genau, also das ist vielleicht gar nicht so ein schlechtes Bild,
Tim Pritlove: was man so fürs Security, weil ich glaube immer, wenn man so von Computer Security
Tim Pritlove: redet, für uns ist das irgendwie so normal.
Tim Pritlove: Aber ich glaube so in der Öffentlichkeit ist es immer so schwierig.
Tim Pritlove: Aber wenn man das mal mit Brandschutz vergleicht, dann könnten die Leute da
Tim Pritlove: glaube ich schneller drauf einsteigen.
Linus Neumann: Absolut richtig. Und beim Brandschutz wird auch nicht verlangt,
Linus Neumann: dass du das jetzt anzündest, um es zu beweisen.
Linus Neumann: Das wäre halt...
Tim Pritlove: Ja, es könnte brennen.
Linus Neumann: Aber es würde doch keiner machen. Scheiße, irgendwas wird jetzt angezündet.
Linus Neumann: Das war eigentlich total schön.
Linus Neumann: Aber das könnte man vielleicht mal vom Brandschutz lernen heißt.
Tim Pritlove: Ja, genau.
Linus Neumann: Ja, aber das wäre naheliegend.
Tim Pritlove: Der CCC als digitale Feuerwehr.
Linus Neumann: Im August meldet ihr das, es passiert nichts, dann wird klar,
Linus Neumann: okay, ihr habt es theoretisch gemeldet, ihr habt es praktisch in der Zwischenzeit
Linus Neumann: dann auch mal nachgewiesen.
Linus Neumann: Ihr habt eingereicht, ein Einreichen wird angenommen, immer wird bekannt,
Linus Neumann: okay, scheiße, diese Leute, die da irgendwie uns letztens diese theoretische
Linus Neumann: E-Mail geschrieben haben, die präsentieren auf dem Kongress, was machen die denn da?
Linus Neumann: Raschelt, raschelt, ach ja, die zeigen, dass wir hier, und nochmal,
Linus Neumann: fundamentale, in meiner Wahrnehmung nicht zu entschuldigende,
Linus Neumann: architektonische Schwächen haben.
Linus Neumann: Ich frage, also ich verstehe wirklich nicht. Wirklich nicht.
Linus Neumann: Und ich weiß, dass,
Linus Neumann: Organisationen, insbesondere wenn sie den Staaten und Ministerien und so weiter
Linus Neumann: nah sind, sehr gut darin sind,
Linus Neumann: Verantwortungsdiffusion, hier von der nach da zu reichen und so,
Linus Neumann: Aber irgendein Kopf muss doch mal rollen, weil das ist doch,
Linus Neumann: also das ist so nicht vertretbar.
Linus Neumann: Da muss es eine verantwortliche Person geben, entweder sitzt sie im Ministerium
Linus Neumann: oder bei der Gematik, aber das geht so nicht.
Linus Neumann: Also das ist wirklich, das ist
Linus Neumann: für ein IT-Projekt dieser Größe nicht zu vertreten, was da passiert ist.
Bianca Kastl: Ja, also ich glaube die Verantwortung ist tatsächlich,
Bianca Kastl: ich will jetzt die Gemahlin nicht in Schutz nehmen, aber eher politisch zu sehen,
Bianca Kastl: weil man ganz klar sagt, das muss in der Zeit irgendwie erreichbar sein und
Bianca Kastl: das ist auch ein politisches, die besteht in der Digitalstrategie,
Bianca Kastl: wurde schon jetzt irgendwie Jahre
Bianca Kastl: vorher committed, man hat sich darauf committed und gesagt so und so.
Bianca Kastl: Und dann hast du halt unter Umständen die Entscheidung hältst du einen Termin
Bianca Kastl: und machst ein bisschen Security bei Obscurity und denkst, naja, ist nicht so schlimm.
Bianca Kastl: Oder du sagst den Leuten, nee, sorry, geht nicht, wir müssen irgendwie noch
Bianca Kastl: ein halbes Jahr nochmal komplett neu ansetzen.
Linus Neumann: Da würde ich aber anders, das würde ich anders sehen, warum wurde jemals ein
Linus Neumann: solcher Mist überhaupt vorgelegt?
Linus Neumann: Also ich kann verstehen, dass die Situation,
Linus Neumann: also im August heißt, habt ihr ja nicht ein Kind in den Brunnen geworfen,
Linus Neumann: sondern gesagt, guck mal, da ist ein Kind im Brunnen.
Linus Neumann: Und das ist ja jetzt nicht so, als hätte man zu dem Zeitpunkt jemand sagen können,
Linus Neumann: naja, also ich kann es verstehen, dass zu dem Zeitpunkt jemand sagt,
Linus Neumann: jetzt können wir es nicht mehr ändern.
Linus Neumann: Aber wer hat denn den Karren überhaupt bis dahin gefahren?
Linus Neumann: Und da müssen doch Menschen vorher,
Linus Neumann: die das Vertrauen des Bundesgesundheitsministeriums genossen haben,
Linus Neumann: das getan haben und die haben in meiner Wahrnehmung nicht verantwortungsbewusst,
Linus Neumann: nicht kompetent, nicht nach Stand der Technik agiert und.
Linus Neumann: Ich erwarte nun auch nicht unbedingt von den Menschen, und wir beide haben ja
Linus Neumann: auch mit denen interagiert, dass jetzt die Leute, die wir da in der Verantwortungsebene
Linus Neumann: kennen, dass die so ein Konzept durchverstehen.
Linus Neumann: Die müssen ja auch irgendwann sagen, na gut, wir haben jetzt hier so und so
Linus Neumann: viel 100 Millionen bezahlt,
Linus Neumann: wir haben so und so viele Expertinnen und Experten mit hohen Jahresgehältern
Linus Neumann: mit dieser Scheiße beschäftigt, die haben einen wunderbaren Scope so definiert,
Linus Neumann: dass das bei Fraunhofer durchgegangen ist,
Linus Neumann: so, irgendwann müssen wir doch mal sagen, geht jetzt.
Linus Neumann: Und dann kann ich auch verstehen, dass ein Ministerium sagt,
Linus Neumann: Moment mal, wer kommt da jetzt?
Linus Neumann: Chaos, die haben wieder Ach, Heike, wollen irgendwas sagen. Ja gut,
Linus Neumann: komm, das scheint mir ja eher theoretisch zu sein. Steht ja auch da,
Linus Neumann: theoretisch. Ach, scheiße, ist praktisch.
Linus Neumann: Ja, fuck, wie lange haben wir jetzt noch Zeit? Vier Monate.
Linus Neumann: Kacke. Na, könnt ihr da irgendwie noch ein bisschen was drüber,
Linus Neumann: könnt ihr da nochmal drüber lackieren?
Linus Neumann: Dann sagen die von der Geburt, klar können wir da drüber lackieren,
Linus Neumann: dann machen wir hier, dann machen wir hier nochmal Unterbodenschutz dran,
Linus Neumann: an die Roststelle. Das sieht keiner mehr.
Linus Neumann: Den Gebrauchtwagen kriegen wir verkauft. Da macht ihr mal keine Sorgen.
Linus Neumann: Das kann ich schon verstehen, dass auf den letzten Metern die Verantwortung politisch ist.
Linus Neumann: Aber wie viele Jahre haben die denn vorher daran gedoktert?
Bianca Kastl: Zu viele.
Linus Neumann: Da sehe ich die, also da wäre meine Wahrnehmung, dass da schon der Fehler passiert
Linus Neumann: ist und dass man da, dass da die Konsequenzen zu suchen wären.
Linus Neumann: Aber vielleicht einfach im Zweifelsfall schonen wir dann niemanden.
Bianca Kastl: Ja, ist immer gerecht.
Linus Neumann: Okay, was haben sie jetzt gemacht? Jetzt kommt, und ich weiß,
Linus Neumann: das war dann relativ, also wir waren ja auch vorher im Austausch,
Linus Neumann: wird jetzt nicht überraschen, dass wir über so etwas sprechen, aber,
Linus Neumann: Richtig nervös wurden die aber erst irgendwann so im Dezember.
Linus Neumann: Da kam dann auf einmal, ja, Herr Lauterbach, hätten Sie kurzfristig Zeit,
Linus Neumann: mal mit Herrn Lauterbach zu sprechen?
Linus Neumann: Und dann kam das, ja, wir werden das beheben und alles wird gelöst,
Linus Neumann: bevor das hier an den Start geht.
Linus Neumann: Wo jetzt natürlich du und ich haben ja durchaus ein bisschen Vorstellungen,
Linus Neumann: was das alles an Zeit und architektonisch und Testen und so weiter beansprucht,
Linus Neumann: wo schon klar war, das werdet ihr nicht in der Zeit lösen können.
Linus Neumann: Das hättet ihr ab August bis Januar, wäre enorm sportlich gewesen.
Linus Neumann: Aber wenn sich jetzt hier jemand, weiß nicht, im November Dezember meldet und
Linus Neumann: sagt, wir gucken uns das jetzt mal an, da bin ich mir ganz sicher,
Linus Neumann: dass wir das gelöst kriegen, da war ja schon klar, dass das nicht richtig gelöst
Linus Neumann: wird. Wie haben sie es denn gelöst?
Bianca Kastl: Gelöst haben sie es ja nicht.
Bianca Kastl: Wir nennen es mal den Versuch der Schadensbegrenzung.
Linus Neumann: Ja, genau.
Bianca Kastl: Das ist sehr schön. Also man hat festgestellt, okay, wir haben diesen versicherten
Bianca Kastl: Stammdaten-Dienst-Problematik mit diesen 70 Millionen Akten.
Bianca Kastl: Dann wurden Dinge eingeführt, wo ich mir dachte, wieso gibt es die jetzt erst
Bianca Kastl: und naja, warum nicht schon früher.
Bianca Kastl: Man hat erstmal festgestellt, naja, es ist vielleicht nicht so clever,
Bianca Kastl: wenn eine Institution 70 Millionen Akten aufrufen kann, weil das ist ja irgendwie
Bianca Kastl: praktisch gar nicht möglich, dass ein Krankenhaus plötzlich alle Akten in Deutschland im Zugriff hat.
Bianca Kastl: Also hat man gesagt, naja, Rate Limiting, also ich mache eine Mengenbegrenzung
Bianca Kastl: von neuen Befugungen, die ich einführen kann und ich glaube,
Bianca Kastl: das ist tatsächlich auch so das.
Bianca Kastl: Ja, nachweisbar wirksame, was gerade zu den Schaden begrenzt,
Bianca Kastl: den es vorher aber tatsächlich nicht als Begrenzung gab.
Bianca Kastl: Also ich kann auch ich mir nicht vorstellen zu sagen, ja, man hat sich da keine
Bianca Kastl: Gedanken drum gemacht, gesagt, ist alles sicher und deswegen braucht auch kein
Bianca Kastl: Rate-Limiting bei 100.000 leistungsübrigen Institutionen,
Bianca Kastl: die vielleicht nicht alle ganz integer sind,
Bianca Kastl: aber genau, Rate-Limiting funktioniert zumindest.
Bianca Kastl: Zumindest, wir können jetzt nicht mehr sagen, es sind 70 Millionen Akten,
Bianca Kastl: die wir im Zugriff haben, weil das Rate-Limiting da reinhaut und wir halt dann
Bianca Kastl: nur noch maximal 200.000 mal 300.000, also 600.000 Akten im schlimmsten Fall
Bianca Kastl: an einer Organisation hängen haben.
Bianca Kastl: Das ist das, was jetzt so der Maximum-Impact ist, weil in der Speck halt gesagt
Bianca Kastl: wurde, Krankenhaus maximal 200.000 Befugungen pro Monat, die Befugung hält drei Monate.
Bianca Kastl: Das ist das Schadenausmaß, was wir auf diesem Feld von so vielen Institutionen haben.
Bianca Kastl: So, und dann haben wir gesagt, naja, gut, diese Zugangserlangung,
Bianca Kastl: ja, das mit dieser Nummer, das ist vielleicht irgendwie, doch irgendwie doof,
Bianca Kastl: wenn man die hochzahlen kann.
Linus Neumann: Jetzt steht die aber auf den Karten drauf und wir haben ein paar Millionen davon
Linus Neumann: im Feld, also können wir das nicht mehr ändern.
Bianca Kastl: So, dann haben wir angefangen, naja, wir haben ja eine zweite Nummer,
Bianca Kastl: wir könnten ja noch die Krankenversicherungsnummer nehmen, aber die steht auch
Bianca Kastl: auf der Karte drauf, das ist ja doof.
Bianca Kastl: Also jetzt habe ich zwei Dinge, die da stehen auf der Karte drauf.
Bianca Kastl: Oder es gibt irgendwelche Leaks von irgendwelchen Dienstleistern.
Bianca Kastl: Bei Bitmark sind immer so Kartennummern mit ICSSN weggekommen.
Bianca Kastl: Das ist ja auch doof. Jetzt sind diese, wenn wir diesen Zugriffsschutz jetzt
Bianca Kastl: so bauen, dass wir neben der Kartennummer, die Krankenversicherungsnummer,
Bianca Kastl: neben, naja, das ist vielleicht auch Public Knowledge.
Bianca Kastl: Hm, was machen wir denn jetzt? Und dann kam jemand auf die Idee und meinte,
Bianca Kastl: naja, wir brauchen noch so eine Prüfsumme, eine Hashtag-Value.
Bianca Kastl: Weil da können wir jetzt noch einen Faktor einbauen, den kennt bestimmt niemand.
Bianca Kastl: Und er hat gesagt, naja, dann nehmen wir dann einen Teil der Straße,
Bianca Kastl: also den ersten Buchstaben der Straße, dann die Hausnummer.
Bianca Kastl: Den ersten Buchstaben nur der Straße? Ja.
Tim Pritlove: Komm, da gibt es mindestens 26 verschiedene.
Linus Neumann: 26, ja, und Hausnummern gehen auch schon mal locker in den dreistelligen Bereich.
Tim Pritlove: Ja.
Bianca Kastl: Ja, man musste irgendwie, keine Ahnung, beides sparen, warum auch immer.
Bianca Kastl: Genau, also man nimmt die Adresse, teilt die Adresse, herrscht die Adresse und
Bianca Kastl: man nimmt dann das Datum des Versicherungsbeginns.
Linus Neumann: Müsste man jetzt, okay, 26, dann sagen wir mal so vielleicht 999,
Linus Neumann: das wird sich aber auch im Bereich unter 100 bündeln und dann Versicherungsbeginn,
Linus Neumann: okay, kann bis zu 70 Jahre wahrscheinlich zurückliegen, aber.
Linus Neumann: Ja, okay, also wahrscheinlich auch ausreichend für um massenhaftes Brutforcing
Linus Neumann: auf jeden Fall nicht ökonomisch zu machen, aber für einen gezielten Zugriff
Linus Neumann: wäre er komplett überschaubar.
Bianca Kastl: Also man hat wirklich versucht, Massenangriffe zu verhindern,
Bianca Kastl: das war auch das, was so ein bisschen wirklich der Worst Case war im Bundesgesundheitsministerium.
Bianca Kastl: Das, was man nicht wollte, ist, man will keine Schlagzeile U70 Millionen Akten
Bianca Kastl: abgeflossen, sondern in zwei, drei, fünf weggehen, das ist noch toleriert,
Bianca Kastl: aber Massenangriffe will man nicht.
Bianca Kastl: Also dämpft man das ein.
Linus Neumann: Okay. Weitere Maßnahmen?
Bianca Kastl: Weitere Maßnahmen, es gab noch diese Awareness-Maßnahmen und so weiter.
Bianca Kastl: Also dieses Hashtag-Value ist...
Linus Neumann: Wenn du eine Awareness-Maßnahme hast, dann weißt du wirklich,
Linus Neumann: dass du ein unlösbares Problem hast.
Bianca Kastl: Also für die Testphase gab es dann tatsächlich auch noch,
Bianca Kastl: Die Testphase war ursprünglich so gedacht, am 15. Januar in drei Regionen,
Bianca Kastl: Franken, Hamburg und Teile NRWs, auf der Breite mit allen Institutionen online zu gehen.
Linus Neumann: Das wurde um einen Monat verschoben, meine ich, ne?
Bianca Kastl: Ne, die Testphase nicht. Aber man hat die Testphase radikal gekürzt,
Bianca Kastl: weil ursprünglich war es so,
Bianca Kastl: wenn du zum Beispiel in Franken in der Praxis hast, dann kannst du in Franken
Bianca Kastl: dort, weil du ja in Franken bist, kriegen alle da den Zugang zu diesem EPA, EPA,
Bianca Kastl: Rollout, Prilod, wie auch immer. Genau.
Bianca Kastl: Und das hat man erstmal sehr radikal zurückgekürzt auf, es sind nur noch 300
Bianca Kastl: händisch ausgewählte Institutionen.
Bianca Kastl: Da gab es dann irgendwo in bestimmten Regionen nur bestimmte Krankenhäuser.
Bianca Kastl: In Hamburg gab es dann nur bestimmte Ärztegruppen und in der anderen Region
Bianca Kastl: gab es dann nur die Apotheken oder so ungefähr.
Linus Neumann: Und die waren mit einer ACL oder mit einer Allowlist.
Bianca Kastl: Genau, es gab eine Allowlist und da waren 300 händisch ausgewählte Institutionen.
Bianca Kastl: Wahrscheinlich sind da noch Leute, ein paar sind da auch persönlich gefahren
Bianca Kastl: mit Pressetermin und jetzt geht es endlich los und so weiter.
Bianca Kastl: Und dann gab es diese 300 Institutionen, dann gab es eine Allowlist und alle
Bianca Kastl: anderen Konten hatten keinen Zugriff.
Bianca Kastl: Das heißt, um jetzt, während man hier noch diese Sachen hin und her fixen,
Bianca Kastl: schon teilweise gefixt hat, wäre es halt der Impact nur 300 Institutionen.
Bianca Kastl: Das heißt, du musst eigentlich schon sehr, sehr genau vorgehen.
Bianca Kastl: Die hat man, glaube ich, auch noch irgendwie validiert. Man hat sie quasi nochmal
Bianca Kastl: nachvalidiert, ob die auch wirklich diese Institutionen sind und so.
Bianca Kastl: Und mit 300 kann man das ja noch machen.
Bianca Kastl: Ja, und währenddessen hat man halt versucht, dieses Rate-Limiting auch zu sehen.
Bianca Kastl: Es dauert ja auch ein bisschen, Logging und so weiter, Monitoring hochzuziehen,
Bianca Kastl: Das lässt sich ja nicht von heute auf morgen einrichten, aber man hat glaube
Bianca Kastl: ich, wenn man so auf die Zulassungen guckt und die Veröffentlichung der ganzen
Bianca Kastl: Aktensysteme und der Apps der Krankenkassen so irgendwie zum 15.
Bianca Kastl: Januar glaube ich sogar auch diesen Zugriffsweg über diese Hashtag Value plus
Bianca Kastl: eben noch Krankenversicherungsnummer und KVNR irgendwie umgesetzt und ist dann
Bianca Kastl: in diesen Rollout gegangen in den Testregionen. Aber eben mit 300 Institutionen.
Linus Neumann: Das war in der Test, also in diesen Regionen waren auch diese Sicherheitsmaßnahmen schon drin.
Linus Neumann: Also auch der Hashtag-Value, das hatte ich so nicht verstanden.
Bianca Kastl: Das meines Wissens schon. Das Thema ist aber halt, es haben sich währenddessen
Bianca Kastl: halt noch andere Dinge irgendwie mit subsumiert.
Bianca Kastl: Also Rate-Limiting hat man glaube ich erst nachher eingebaut,
Bianca Kastl: weil das natürlich auch schwierig ist aufzusetzen.
Bianca Kastl: Aber dieses Hashtag-Value-Thema, um das halt auch tatsächlich nicht irgendwie
Bianca Kastl: in den Testregionen verschiedene Aktensystem-Versionen zu nutzen,
Bianca Kastl: weil man will ja aus den Testergebnissen auch rausfinden, ob das irgendwie funktioniert,
Bianca Kastl: hat man das schon relativ schnell auch irgendwie mit eingebaut.
Bianca Kastl: Ich glaube, da haben Menschen auch ihren Weihnachtsurlaub sehr verkürzt.
Bianca Kastl: Ja, Menschen von Krankenhassen meinten zu mir, naja, danke, wegen dir habe ich
Bianca Kastl: jetzt meinen Skiurlaub auch verkürzen müssen.
Linus Neumann: Das Gesundheitssystem dankt, dass du mich mit der Sprunggelenktrümmerfraktur,
Linus Neumann: obwohl die Sprunggelenke gehen beim Stiel nicht drauf. Aber die technische Lösung
Linus Neumann: muss man trotzdem einmal beurteilen.
Linus Neumann: Es wird jetzt weiteres Wissen vorausgesetzt.
Linus Neumann: Keiner dieser Wissensfaktoren, der hier mit dazu genommen wird,
Linus Neumann: betrifft überhaupt etwas sonderlich Geheimes.
Linus Neumann: Also es gibt ja einen Unterschied zwischen beispielsweise einem Namen oder einer Nummer,
Linus Neumann: einer Identifikationsnummer und einem Passwort, wo das nur die Patientin kennt
Linus Neumann: oder dass es in irgendeiner Weise überhaupt ein Datum, ein Wissensdatum ist,
Linus Neumann: das gefleckt ist als sensibel.
Linus Neumann: Das heißt, noch nicht einmal Passwortcharakter findet hier Anwendung.
Linus Neumann: Was so noch das Mindeste wäre und schon auch nicht ausreichend,
Linus Neumann: weil wir ja zum Beispiel für unser E-Mail schon sagen, ein Passwort ist nicht
Linus Neumann: ausreichend, man hätte gerne einen zweiten Faktor.
Linus Neumann: Aber wir haben hier noch nicht einmal
Linus Neumann: ein Passwort. Es müssen also mehrere Wissensfaktoren zusammenkommen.
Linus Neumann: Jeder Wissensfaktor, den ich dazu nehme, erschwert natürlich das Sammeln der Informationen.
Linus Neumann: Ich muss jetzt die Kartennummer und die Adresse und das Datum des Versicherungsbeginns
Linus Neumann: herausfinden zu einer Person und das erschwert es praktisch,
Linus Neumann: auf jeden Fall massenhaft das zu machen.
Linus Neumann: Aber wenn ich weiß, wo du wohnst und irgendwann mal Gelegenheit hatte,
Linus Neumann: eventuell deine Kartennummer zu sehen oder sich irgendwo doch etwas auftut,
Linus Neumann: wo ich zu einer Kartennummer einen Namen finde und sich am Ende mein Problem
Linus Neumann: reduziert auf deinen Versicherungsbeginn, das sind ja die Konstellationen,
Linus Neumann: die so etwas wieder kaputt machen.
Linus Neumann: Und deswegen ist so etwas auch, ich muss das nochmal betonen,
Linus Neumann: weil du so diplomatisch bist, fundamental ungeeignet zur Lösung des Problems.
Linus Neumann: Man könnte auch noch sagen, Name des ersten Haustiers, Grundschule,
Linus Neumann: Lieblingsfilm, das kann man alles machen, aber das sind alles noch nicht einmal Passwörter.
Linus Neumann: Und selbst Passwörter wären nicht ausreichend. Vor allem, weil jetzt in dieser
Linus Neumann: Kommunikation auch immer gesagt, man braucht jetzt einen weiteren Faktor.
Linus Neumann: Nein, braucht man nicht.
Linus Neumann: Es ist immer noch eine Ein-Faktor-Authentifizierung, nämlich Wissen. Man braucht ein Wissen.
Linus Neumann: Dieses Wissen speist sich aus unterschiedlichen Domänen, aber am Ende ist es
Linus Neumann: alles ein Faktor, nämlich Wissen über Versicherungsbeginn und so weiter.
Linus Neumann: Das kann man alles auf einem Blatt Papier schreiben und deswegen ist es auch
Linus Neumann: nur ein Faktor, ein Wissensfaktor.
Linus Neumann: Ein Haben-Faktor wäre geeignet. Was könnte man dann nehmen? Ha,
Linus Neumann: vielleicht den Chip auf der Karte.
Linus Neumann: Aber nee, lassen wir das.
Tim Pritlove: Zu kompliziert.
Linus Neumann: Zu kompliziert.
Tim Pritlove: Seit 30 Jahren auf dem Markt.
Linus Neumann: Ja, wer weiß, was die sich da wieder einfallen lassen, diese Hacker.
Linus Neumann: Also da muss man auch aufpassen.
Linus Neumann: Also Gold, es ist nicht alles Gold, was glänzt.
Linus Neumann: Also nee, das macht man nicht. und einen Seinfaktor Biometrie hätte man noch nehmen können.
Linus Neumann: Okay, auch das fällt hier, glaube ich, aus.
Linus Neumann: Aber ich glaube, zu sagen, das ist,
Linus Neumann: Wieder nicht so, wie es einem IT-Security-Prinzipien lehren würde.
Linus Neumann: Du sagst, du verrätst einmal aus Versehen den Beginn deiner Versicherung und jemand kann quasi,
Linus Neumann: brauchen wir die Karten nochmal, aber es ist ein lösbares Problem.
Linus Neumann: Und das sieht man, das ist so ein Hütchenspiel.
Linus Neumann: Es ist und bleibt ein lösbares Problem, während hier ist ein Chip auf der Karte,
Linus Neumann: du brauchst einen Pin, du musst wieder reinstecken und einen Pin eingeben.
Linus Neumann: Das ist ein nicht mehr lösbares Problem, solange es nicht diese Karte gibt.
Linus Neumann: Und damit, die Karte kann invalidiert werden, wenn ich die verliere,
Linus Neumann: das heißt, hier werden Zugriffe unmöglich gemacht und nicht,
Linus Neumann: also ganz schön schwierig, den Aufwand muss ja erstmal jemand betreiben und
Linus Neumann: dann machst du am Ende Martin und du irgendwie in eurer Freizeit.
Linus Neumann: Jetzt habt ihr aber dieses neue System ging dann in der Breite an den Start.
Bianca Kastl: Ja, genau. Also 15 Ländler Modellregionen haben da Dinge nicht funktioniert, wie zu erwarten war,
Bianca Kastl: weil die ganzen Softwarehersteller von diesen ganzen Praxiserwaltungssystemen,
Bianca Kastl: die sie in Modulien nicht fertig hatten und mit 300 Institutionen,
Bianca Kastl: naja, da hatten wir jetzt auch nicht so viele Erkenntnisse.
Bianca Kastl: Man hat ja dann politisch den offiziellen Launch immer weiter nach hinten geschoben,
Bianca Kastl: war dann irgendwann mal beim 29.
Bianca Kastl: April und auch mit so einem phasenweisen Rollout, weil man dann sagte,
Bianca Kastl: naja, okay, nicht sofort für alle verpflichtend als Leistungserbringungsinstitution
Bianca Kastl: oder medizinische Einrichtungen, sondern wir machen das erst im Oktober,
Bianca Kastl: weil bis dahin läuft das vielleicht erstmal stabil. So.
Bianca Kastl: Und jetzt ist es halt so, dass am 29.
Bianca Kastl: Es so war, dass es diese Hashtag-Value gab.
Linus Neumann: Mhm. Und 29.
Bianca Kastl: April.
Linus Neumann: April, genau.
Bianca Kastl: Also, 29. April, diese Woche, ja, diese Woche, genau.
Bianca Kastl: Und, so lange ist es ja, nee, naja.
Bianca Kastl: Es fühlt sich an, als wäre es ein.
Linus Neumann: It's Wednesday.
Bianca Kastl: Ja, es war eine wilde Woche. Nein, also, Historie dahinter ist,
Bianca Kastl: Hashtag Value, okay, was brauche ich? Ich brauche Wissensfaktoren.
Bianca Kastl: Jetzt ist die Frage, gibt es irgendwo in diesem System der Telematik-Infrastruktur
Bianca Kastl: vielleicht einen Bereich, wo es diese Wissensfaktoren gibt, stellt sich heraus, ja, den gibt es.
Bianca Kastl: Denn es gibt nämlich aus fachlich nachvollziehbaren Gründen für Leistungserbringungsinstitutionen
Bianca Kastl: die Möglichkeit, dass man sagt, ja, ich habe ja jemanden,
Bianca Kastl: die Person hatte ihre Krankenkassenkarte nicht dabei, ich möchte die jetzt aber
Bianca Kastl: gerne abrechnen, ist die bei euch versichert?
Bianca Kastl: Deswegen gibt es die sogenannte elektronische Ersatzbescheinigung.
Bianca Kastl: Die Personische Ersatzbescheinigung.
Bianca Kastl: Gibt Menschen die Möglichkeit zu sagen, ich habe gerade meine Krankenkassenkarte
Bianca Kastl: verloren oder keine Ahnung oder irgendwas, gerade Notfall, ich musste irgendwie abrechnen.
Bianca Kastl: Ist die Person überhaupt irgendwo versichert? Ja. Also gibt es da zwei verschiedene
Bianca Kastl: Aufrufe. Man kann einerseits bei einer Person bestimmten persönlichen Informationen,
Bianca Kastl: Name und irgendwie Adresse oder Eingrenzen herausfinden, wo die versichert ist.
Bianca Kastl: Und dann kann man mit einer KVNR, also einer Krankenversicherungsnummer,
Bianca Kastl: an die entsprechend richtige Krankenkasse sagen, übrigens, hier ist eine Person
Bianca Kastl: mit dieser Nummer von euch bei mir.
Bianca Kastl: Ich brauche doch mal einen Nachweis, dass die bei euch versichert ist.
Bianca Kastl: Und dann schickst du an diese Krankenkasse diese Informationen und dann kommt...
Linus Neumann: Ja, ist bei uns seit dann und dann versichert.
Bianca Kastl: Da wird es ein bisschen obskur, weil die Telematik-Infrastruktur ein bisschen obskur ist.
Bianca Kastl: Also man schickt über einen Webservice diese Anfragen, bekommt dann eine sogenannte
Bianca Kastl: KIM-Nachricht, also eine verschlüsselte E-Mail in diese ganzen Telematik-E-Mail-Logik.
Bianca Kastl: Also das ist eigentlich nur ein normales S-Malm. Und da hängt ein XML-File dran.
Bianca Kastl: Und in diesem XML-File stehen total tolle Sachen drin, wie die Adresse der Person
Bianca Kastl: und eben auch das Datum des Versicherungsbeginns.
Linus Neumann: Deswegen hat man sich in der IT vor ein paar Jahren, Jahrzehnten verzeihung,
Linus Neumann: das Konzept Passwort ausgedacht, um zu sagen, das hier ist etwas...
Linus Neumann: Uffpasse, nicht verraten. Wir werden sie nie auch am Telefon nicht danach fragen.
Linus Neumann: Wir speichern einen Hash davon.
Linus Neumann: Das ist etwas, das ist Passwort. Geheim.
Linus Neumann: Wenn man natürlich nicht geheime Daten nimmt, dann passiert nämlich genau sowas.
Linus Neumann: Vor allem, wenn man ein System gebaut hat, das so groß und so komplex ist,
Linus Neumann: dass eine Fraunhofer eine KI damit trainiert, statt sich das selber durchzulesen.
Linus Neumann: Dann sowas kommt von sowas.
Linus Neumann: Also habt ihr jetzt eine EEB angefragt, hattet dann wieder alle Daten und konntet
Linus Neumann: wieder drauf zugreifen.
Bianca Kastl: Genau, und dann sind wir wieder bei dem, wir bauen uns wieder theoretisch zusammen,
Bianca Kastl: dass das irgendwie funktioniert, daraus eine Zugangsberechtigung sich zu erzeugen.
Bianca Kastl: Ja, hier ist der Weg, um diese Daten zu kriegen.
Tim Pritlove: Gut, also das System spuckt selber auf Anfrage die Daten raus,
Tim Pritlove: die man braucht, um so zu tun, als wäre man irgendein anderer Patient.
Bianca Kastl: Ja, genau.
Tim Pritlove: Sorry, ich habe das Passwort nicht, kannst du mir das mal kurz sagen. Ja, hier.
Bianca Kastl: Ja, das ist es eigentlich. Ja, genau.
Bianca Kastl: Und ja, das war dann wieder das, was jetzt in dieser Woche passiert ist.
Bianca Kastl: Wir waren natürlich da auch wieder verantwortungsbewusst, muss auch sagen,
Bianca Kastl: hat uns der Christoph Sauriö noch mal gut geholfen, der auch in dem Thema Telematik-Infrastruktur
Bianca Kastl: lange mit beschäftigt ist, schon viel mit diesem KIM-System gemacht hat,
Bianca Kastl: Dinge auch auf dem Kongress präsentiert hat.
Bianca Kastl: Und wir brauchten halt jemanden, der gerade geeigneten Zugang hatte,
Bianca Kastl: um zu demonstrieren, dass dort wirklich auch die Daten zurückkommen, die wir brauchen.
Bianca Kastl: Also das Ganze natürlich auch nochmal evaluiert, auch mit verschiedenen Krankenkassen
Bianca Kastl: festgestellt, dass die Krankenkassen andere lustige Implementierungen haben von dem Verfahren.
Bianca Kastl: Dass bei bestimmten Konnektoren man Dinge groß oder klein schreiben muss und
Bianca Kastl: dass die Implementierungen zwar nach Spezifikationen so und so funktionieren,
Bianca Kastl: aber dass die natürlich alle in der Praxis komplett unterschiedlich sind und wie halt immer so ist.
Bianca Kastl: Auf jeden Fall mehrere Krankenkassen, mehrere Anfragen, mehrere erfolgreiche
Bianca Kastl: Rückgaben von den benötigten Hashtag-Value-Informationen.
Bianca Kastl: Das Ganze auch nochmal demonstriert mit dem Spiegel zusammen, eine beliebige.
Bianca Kastl: Krankenversicherungsnummer genommen und sagen, übrigens wohnst du da und bist
Bianca Kastl: du seit dann bei der Krankenkasse? Oh ja, wie ist der denn das?
Bianca Kastl: Ach ja, wir haben da sowas gefunden.
Bianca Kastl: Und damit war es dann auch plausibel und bestätigt, dass das ein Problem ist.
Bianca Kastl: Ja, und dann sind wir wieder bei dem Thema Hallo liebes PSI,
Bianca Kastl: haben da so eine Meldung?
Bianca Kastl: Ja, und dann muss man sagen, ist schon schnell was passiert in der Reaktion.
Bianca Kastl: Also die Zertmeldung war am 29.
Bianca Kastl: Abends und dann ist über den Tag, den nächsten Tag innerhalb von weniger als
Bianca Kastl: 24 Stunden sind diese Endpunkte komplett abgeschaltet worden.
Linus Neumann: Aber es ist auch, also...
Linus Neumann: Genau, das ist das, was als Sofortmaßnahme passieren musste, ja,
Linus Neumann: weil jetzt hast du etwas zum Geheimwert oder zum Authentifizierungswert gemacht,
Linus Neumann: was du an anderer Stelle bereitwillig leakst,
Linus Neumann: also schaltest du dieses Leak ab, aber bei der Komplexität dieses Systems ist
Linus Neumann: ja nicht ausgeschlossen, dass das an anderer Stelle auch nochmal irgendwo rausflattert,
Linus Neumann: ja, also das, oder wahrscheinlich kann ich da anrufen und sagen,
Linus Neumann: ich stehe hier gerade an einer Dönerbude, der will irgendwie wissen,
Linus Neumann: die wissen wir nicht an, Versicherung.
Linus Neumann: Also es ist, es funktioniert halt nicht.
Linus Neumann: Also selbst ein Passwort wäre nicht genug, das sind noch nicht einmal welche und es ist,
Linus Neumann: werde nicht müde zu betonen, ich würde nicht ausschließen, dass es ähnliche,
Linus Neumann: ähnlich gelagerte Probleme weiterhin gibt und auch genau deswegen macht man sowas ja auch nicht so.
Linus Neumann: Werden Sie es denn irgendwann einmal richtig machen?
Bianca Kastl: Also die Grundsicherheitsarchitektur, die wir haben mit der elektronischen Patientenakte,
Bianca Kastl: ist ja eine, die ganz bewusst von einer Indoor-Ende-zu-Ende-Verschlüsseln-Akte wegging zu,
Bianca Kastl: wir machen jetzt Confidential Computing und Clouds-Verschlüsseln und sowas.
Bianca Kastl: Das heißt, inhärent ist in dieser Architektur, unabhängig davon,
Bianca Kastl: ob man etwas richtig macht, man kann es immer noch falsch implementieren und
Bianca Kastl: irgendwelche Fehler einbauen, ist der Impact von diesen Fehlern,
Bianca Kastl: die passieren, einfach immer immens.
Bianca Kastl: Der ist immer im Millionenbereich, wenn irgendwas da nicht richtig funktioniert,
Bianca Kastl: unabhängig davon, ob man es jetzt richtig macht.
Bianca Kastl: Das ist das, was man dazu sagen muss, diese eigentlich unsere gemeinsame öffentliche
Bianca Kastl: Infrastruktur, digitale Art,
Bianca Kastl: ist so gebaut, dass sie extreme Risiken erzeugt. Das war vorher besser.
Bianca Kastl: Obwohl die E-Parte halt nicht wirklich genutzt war, der war aber des Schadensausnahms geringer.
Bianca Kastl: Zu dem spezifischen Thema des Zugangs. Gibt es tatsächlich eine Lösung,
Bianca Kastl: die in der Spezifikation sinnvoll ist?
Bianca Kastl: Proof of Patient Presence heißt das System. Das heißt, dann kann man auch wirklich
Bianca Kastl: nachweisen, dass diese Person da irgendwie bei mir ist irgendwie.
Bianca Kastl: Also da fängt man dann an, irgendwie auch von der Krankenversicherungskarte den Chip zu benutzen.
Bianca Kastl: Aber es gibt halt dann auch modernere Methoden, um zum Beispiel mit dem Smartphone
Bianca Kastl: vor Ort einen QR-Code abzuscannen und zu sagen, ich bin jetzt in der Praxis
Bianca Kastl: zum Beispiel und kann dann einen Kanal mit dem Smartphone aufbauen
Bianca Kastl: um halt den Leuten auch irgendwie die Möglichkeit zu geben sich auf dem Smartphone
Bianca Kastl: da aufzuweisen und so weiter,
Bianca Kastl: dieses Verfahren setzt im Hintergrund auch irgendwie nicht mehr auf Konnektoren,
Bianca Kastl: sondern hat dann auch zeitgemäßes Zero Trust,
Bianca Kastl: Eigenschaften, also so wie man es halt heute eher macht, weil die Komplexität
Bianca Kastl: von Hardware halt irgendwann da auch schwierig wird.
Bianca Kastl: So, und das Verfahren soll kommen Anfang 2026.
Bianca Kastl: Ich sage deswegen soll kommen, weil wir natürlich in der Telematik-Infrastruktur,
Bianca Kastl: immer wieder Verzögerungen haben und wenn wir jetzt feststellen,
Bianca Kastl: dass die EPA dann in der Breite dann doch nicht so skaliert,
Bianca Kastl: dann wird man da erst wahrscheinlich daran rumdoktern,
Bianca Kastl: um dann vielleicht andere Dinge zu verschieben, wie es immer so läuft.
Linus Neumann: Ja, also jeder ist ein Projektplan, der ist da, um geändert zu werden.
Linus Neumann: Aber aktuell ist der Der Fall Anfang 2026, Verzögerungen muss man da schon wahrscheinlich
Linus Neumann: ein bisschen mit einrechnen, aber es hat irgendwo jemand mal hingeschrieben.
Bianca Kastl: Ja, genau.
Linus Neumann: Vielleicht sollten wir nochmal beleuchten, wieso denn überhaupt diese Daten
Linus Neumann: nicht Ende zu Ende verschlüsselt sind.
Linus Neumann: Also es ist tatsächlich kein triviales Problem, einen solchen Datensatz zu pflegen.
Linus Neumann: Er soll ja auch immer zugreifbar sein für diese Ärztinnen und Ärzte und sicherlich
Linus Neumann: sind diese Daten irgendwo immer verschlüsselt gespeichert.
Linus Neumann: Das ist ja immer so der wunderbare Zauberbegriff, dass irgendetwas verschlüsselt
Linus Neumann: gespeichert ist, was aber alle problemlos zugreifen können. Dann bringt dir
Linus Neumann: diese verschlüsselte Speicherung nichts.
Linus Neumann: Was sind die Gründe? Also das naheliegendste wäre, man verschlüsselt die Daten
Linus Neumann: so, dass sie nur mit der Karte zu entschlüsseln sind.
Linus Neumann: Dann hast aber das Problem, hier soll ja eine Zugriffsberechtigung delegiert
Linus Neumann: werden können, nämlich an Ärztinnen und Ärzte.
Linus Neumann: Also musst du so oder so irgendwie die Krypto-Keys mal rausgeben. Ja.
Bianca Kastl: Also die Gründe dafür, warum man das System genau in diese Richtung gebaut hat,
Bianca Kastl: haben mit zwei Dingen zu tun primär.
Bianca Kastl: Das Thema ist eine Opt-out-EPA. Das heißt...
Bianca Kastl: Wenn ich jetzt eine Ende-zu-Ende-verschlüsselte EPA hätte, dann ist ja immer
Bianca Kastl: die Sache, idealerweise wird an dem Ende jeweils exklusiv Schlüssel generiert,
Bianca Kastl: damit wir wirklich unter exklusiver Hoheit der jeweiligen Enden sind.
Bianca Kastl: So, jetzt haben wir das Szenario, dass wir natürlich jetzt allen Menschen in
Bianca Kastl: der Bundesrepublik eine EPA angedeihen wollen.
Bianca Kastl: Und dann können wir jetzt nicht anfangen zu sagen, übrigens,
Bianca Kastl: ja, ihr kriegt jetzt alle eine E-Paar, ihr müsst bitte irgendwie noch ein Kryptomaterial
Bianca Kastl: würfeln und das ist natürlich ein bisschen schwierig, wenn man das sauber machen wollte.
Bianca Kastl: Also hat man gesagt, okay, das ist eine Ende-zu-Ende-Nummer,
Bianca Kastl: die wir anders machen, eine Opt-out-E-Paar, wir legen die irgendwie in so Confidential-Cloud-Dinge,
Bianca Kastl: und halten die halt vor und machen dann noch Zugangsberechtigungen,
Bianca Kastl: die wir dazu haben und wir können dann entspannter, sagen wir mal,
Bianca Kastl: Leuten irgendwie das managen. Das ist das Erste.
Bianca Kastl: Es ist mit Opt-Out halt gekommen, um zu sagen, wir brauchen jetzt irgendwie
Bianca Kastl: ganz schnell irgendwie handhabbar viel, viel Dinge auf einmal.
Linus Neumann: Weil noch kein Schlüsselmaterial auf den Karten drauf ist oder was?
Linus Neumann: Weil ich meine bei den, also es gibt ja Beispiele von, wo mir ein Schlüsselmaterial
Linus Neumann: zugeteilt wird, von dem ich auch jetzt nicht unbedingt Opt-Outen kann.
Linus Neumann: Doch, genau, wo ich auch eine Opt-Out-Lösung habe und werde elektronische Personalausweis,
Linus Neumann: neue Personalausweis, Das heißt ja nicht mehr Epa.
Bianca Kastl: Nee, also das Material gibt es. Aber ich glaube,
Bianca Kastl: was man nicht wollte, ist, dass man so Szenarien hat, wie okay,
Bianca Kastl: wenn du jetzt deine Epa nutzen willst, musst du erst irgendwie vor Ort mit dem
Bianca Kastl: Smartphone, irgendwie mit deiner EGK irgendwas initialisieren.
Bianca Kastl: Sondern man wollte halt sagen, okay, guck mal, ist in dem Moment schon verfügbar.
Bianca Kastl: Wenn du in die Praxis kommst, ist sie schon da.
Linus Neumann: Ah ja, okay, verstanden. Also man müsste jetzt, man hätte sonst irgendwie Schlüsselmaterial
Linus Neumann: onboarden müssen. Okay.
Bianca Kastl: Das ist ein technischer Grund, der noch halbwegs plausibel ist und ich meine
Bianca Kastl: der andere politische Grund ist eigentlich relativ einfach.
Bianca Kastl: Ich sage jetzt einfach KI. Deswegen war halt medizinische Forschung.
Bianca Kastl: Der Gedanke ist auch ganz offensiv gewesen zu sagen, naja gut,
Bianca Kastl: wir brauchen das irgendwie besser in Massen zugreifbar für Forschung.
Bianca Kastl: Jetzt ist Ende-zu-Ende-Verschlüsselung und Datenaggregieren nicht so ganz trivial.
Bianca Kastl: Also machen wir es anders. Wir bauen es in zentralisierte Clouds,
Bianca Kastl: wo wir mit Zugangsbefugungen dann einfacher auch große Datenmengen zusammenführen können,
Bianca Kastl: was tatsächlich auch dann passiert mit dem Forschungsdatenzentrum Gesundheit,
Bianca Kastl: wo diese Daten aus den e-Pass pseudonym, das ist auch immer komplett wichtig, dass das pseudonym ist.
Bianca Kastl: Das heißt, jemand kriegt halt einen gewürfelten Identifier von einer sogenannten
Bianca Kastl: Vertrauensstelle, aber diese Gesundheitsdaten sind in ihren Datenwerten und
Bianca Kastl: auch damit der individuellen Datensignatur immer noch nachvollziehbar.
Bianca Kastl: Auch wenn da mein Name nicht mehr dran steht, ist es relativ klar,
Bianca Kastl: dass ein gewisses medizinisches Profil die und die Person sein wird.
Bianca Kastl: Und die werden aber halt jetzt massenhaft tatsächlich auch in Vorbereitung,
Bianca Kastl: das läuft noch nicht, aber das wird 2026 kommen, Richtung Forschungsdatenzentrum transferiert.
Bianca Kastl: Und weil man das relativ häufig und in großen Massen machen möchte,
Bianca Kastl: hat man gesagt, man setzt eine andere Art von Verschlüsselung auf eher Cloud-Ebene
Bianca Kastl: ein und spart sich diesen Ende-zu-Ende-Gedanken
Bianca Kastl: etwas, weil das halt viel Interaktion mit Leuten ist.
Linus Neumann: Er wäre natürlich auch, also was dann natürlich auch nochmal eine Rolle spielen
Linus Neumann: würde bei so einer richtigen Ende-zu-Ende-Verschlüsselung, wenn es jetzt wirklich
Linus Neumann: auf dem Schlüsselmaterial der Karte basieren lässt,
Linus Neumann: Kartenverlust wird ein größeres Problem und ich glaube so ein Kartenverlust
Linus Neumann: findet wahrscheinlich mehrmals am Tag statt.
Linus Neumann: Das heißt, du brauchst irgendeine Recovery-Lösung, die zumindest den tatsächlich
Linus Neumann: dann genutzten Schlüssel irgendwie wieder von deiner,
Linus Neumann: dass das auf jeden Fall nicht der ist, den du auf der Karte hast.
Linus Neumann: Aber dafür könntest du ja eigentlich einfach jede Datei, die da drin liegt,
Linus Neumann: symmetrisch verschlüsseln und das wieder an, Ärztinnen, Ärzte und so weiter.
Linus Neumann: Okay, da gehen wir jetzt ins Detail.
Linus Neumann: Aber letztendlich ist es so, dass ich richtig verstanden habe,
Linus Neumann: dass es letztendlich eigentlich immer Zugriff auf alle diese Daten geben kann,
Linus Neumann: aus der dünnen Luft also mit anderen Worten, sie sind nicht,
Linus Neumann: wirksam verschlüsselt, es gibt keine Möglichkeit dass ich durch Zerstörung einer Karte,
Linus Neumann: wirklich sicherstellen kann, dass diese Daten nicht mehr zugreifbar sind.
Linus Neumann: Es ist so tragisch also ich muss wirklich sagen Bianca, ich finde das so tragisch dass,
Linus Neumann: Man kann ja dann, man kann vielleicht über diejenigen Länder lachen,
Linus Neumann: die dann vielleicht irgendwie schnell in so eine Digitalisierung rein stolpern,
Linus Neumann: auf dem Weg lächerliche Fehler machen und die Sachen dann irgendwie,
Linus Neumann: wenn man sagt, guck mal hier, das hast du davon, dass du Early Adopter bist,
Linus Neumann: jetzt hast du das Problem oder so.
Linus Neumann: Aber dann das Land zu sein, was halt wirklich mit einer absoluten Behäbigkeit
Linus Neumann: hinterher trottet und dann irgendwie gegen alles,
Linus Neumann: was andere Menschen auf dem Weg dahin mit dem Absichern sehr viel kleinerer Risiken gelernt haben,
Linus Neumann: irgendwie blasiert zu ignorieren und mit so einem Mist anzutreten.
Linus Neumann: Oder mit so Schwielen an der Stirn Gesundheitsrisiken zu induzieren.
Linus Neumann: Für mich ist das wirklich sehr, sehr, sehr bedauerlich.
Linus Neumann: Also ich kann es nicht anders sagen. Ich muss da auch wirklich sagen,
Linus Neumann: mir tut da ernsthaft, unpopular opinion vielleicht, der Karl Lauterbach auch leid.
Linus Neumann: Weil der sich nun wirklich, also ich weiß nicht, wie dein Eindruck war, widersprich mir gerne.
Linus Neumann: Ich habe schon den Eindruck, dass der sich für einen Minister...
Linus Neumann: Dann doch sehr in die Sachen reingefuchst hat. Wenn man dann mal von Kryptoschlüsseln
Linus Neumann: redet, dann sagt er so, ja, natürlich wäre das mit RSA.
Linus Neumann: Man merkt schon gut, aber er hat weitergelesen, weil wir haben sicherlich nicht RSA empfohlen.
Linus Neumann: Da ist doch so ein bisschen Kompetenz durchgeleuchtet.
Linus Neumann: Nicht Kompetenz, also der kann Engagement sich in das Thema reinzufuchsen.
Tim Pritlove: Dafür ist er dann jetzt auch gekickt worden. Jetzt ist er auch kein Gesundheitsminister.
Linus Neumann: Genau, deswegen wurde er jetzt ersetzt durch irgendjemand, wo kein Risiko besteht,
Linus Neumann: dass sie sich in irgendwas reintrugst.
Bianca Kastl: Ja, nee, also ich glaube in der Genese, also zur Person von Karl-Heart aber
Bianca Kastl: von seiner Digitalkompetenz, nennen wir es mal so.
Bianca Kastl: Ich glaube ja schon von allen Ministern, mit denen ich,
Bianca Kastl: oder Ministern, Staatssekretär oder was auch immer, ich habe ja so ein bisschen
Bianca Kastl: Kontakt jetzt zu der ganzen Bubble, sowohl in Verwaltung als auch in Gesundheit,
Bianca Kastl: Interesse dafür hat.
Bianca Kastl: Das Problem ist aber auch, er ist halt eine Person, die ist gleichzeitig auch
Bianca Kastl: ein bisschen getrieben von diesem A-Modus, Dinge zu vollenden,
Bianca Kastl: die er seit 20 Jahren vor sich her schiebt.
Bianca Kastl: Also auch unter Ulla Schmidt, so, ja, das machen wir schon seit 20 Jahren,
Bianca Kastl: es muss jetzt irgendwann mal in den Start gehen.
Bianca Kastl: Und die gefährliche Kombination mit dem dem KI Forschungstrend,
Bianca Kastl: der gerade passiert, der dazu sagt halt, Ich meine es ja an Supervised Learning
Bianca Kastl: auf massenhafte Daten und er kann dann irgendwie Krankheiten erkennen,
Bianca Kastl: was wissenschaftlich auch kompletter Humbug ist, aber was gerade so der,
Bianca Kastl: nennen wir es mal Vibe, im Gesundheitsministerium ist.
Linus Neumann: Was ja auch naheliegend oder erklärbar ist, weil der Mann ist ja Epidemiologe
Linus Neumann: und er hat ja seine komplette Wissenschaftlerkarriere davon geträumt,
Linus Neumann: massenhafte Daten explorativ zur Verfügung zu haben.
Linus Neumann: Ich meine, es ist schon verständlich, dass er Überzeugungstäter ist.
Linus Neumann: Weil der Mann, wie alt wird der sein, irgendwo über 50, das heißt mindestens
Linus Neumann: 30 Jahre leidet der in seiner wissenschaftlichen Disziplin am Ende immer unter Datenmangel.
Linus Neumann: Oder?
Bianca Kastl: Zu Hause, ja. Also ich kann das ja beruflich nachvollziehen.
Bianca Kastl: Ich meine, ich versuche Gesundheitsämter und Software zu entwickeln,
Bianca Kastl: weil die haben ja genau das gleiche Problem mit Pandemie gemerkt.
Bianca Kastl: Aber auf der anderen Seite ist halt die Art und Weise, wie du so Systeme baust,
Bianca Kastl: auch die hat ein Menschenbild in gewisser Weise inhärent inne.
Bianca Kastl: Da ist ein System, was einfach nur massenhaft Daten abgreift,
Bianca Kastl: aber sich nicht um die Risiken schert.
Bianca Kastl: Es ist kein System für, keine EPA für alle, sondern eigentlich eine EPA gegen alle.
Bianca Kastl: Und das ist halt das Schlimme eigentlich. Das ist eine Opt-out-EPA mit der Sicherheitsarchitektur
Bianca Kastl: und diesen handwerklichen Mängeln, die sich auch wiederholen.
Bianca Kastl: Und da kommt nicht das Menschenbild raus, wir versuchen ein System für Menschen
Bianca Kastl: zu bauen, sondern wir versuchen ein System zu bauen, was einfach Daten abgreift.
Bianca Kastl: Und das ist bei einem Gesundheitssystem fatal eigentlich.
Bianca Kastl: Was wir brauchen, ist ein System, was Menschen das Gefühl gibt,
Bianca Kastl: befähigt zu werden, im Gesundheitswesen digital zu interagieren und dann auch
Bianca Kastl: vertraulich sichern und was auch immer.
Bianca Kastl: Aber auch meiner Meinung nach gerne eine Forschung, Daten zur Verfügung zu stellen
Bianca Kastl: oder irgendwie verteilte Berechnungen durchzuführen, whatever.
Bianca Kastl: Aber das haben wir ja nicht, sondern wir wollten politisch gesehen und da ist
Bianca Kastl: Karl Lauterbach auch ganz maßgeblich schnell in die Größe kommen,
Bianca Kastl: dort explodativ irgendwas zu machen auf der gesamten Bevölkerung und dann irgendwie.
Bianca Kastl: Mit strahlenden Augen zu sagen, ich habe Krankheiten herausgefunden,
Bianca Kastl: Zusammenhänge oder sonstige Dinge und guck mal, wie schnell ich das gemacht habe.
Bianca Kastl: Da ging es nicht um Qualitäts, dann ging es um massives nach oben skalieren
Bianca Kastl: in kurzer Zeit. Das ist ein Problem.
Tim Pritlove: Wie lässt sich denn das jetzt vielleicht retten alles?
Tim Pritlove: Ich meine, wir sind ja immer schnell so, warum das alles kaputt ist und so und
Tim Pritlove: am Ende wollen wir ja eigentlich alles irgendwie funktioniert,
Tim Pritlove: dass wir nicht Digitalisierung haben, sondern Digitalisierung.
Tim Pritlove: Hast du da irgendwie eine Perspektive, wie man jetzt das Schiff dann noch gedreht bekommt?
Bianca Kastl: Also eigentlich sind wir von diesem Architekturgedanken, müssten wir eigentlich
Bianca Kastl: komplett von vorne anfangen, weil diese EPA ja Themen Ende-zu-Ende-Verschlüsselung,
Bianca Kastl: verteilte Forschung, sonstige Themen, Notfalldatenzugriff und so weiter eigentlich
Bianca Kastl: falsch konstruiert ist.
Bianca Kastl: Weil so ein Gesundheitssystem hat ja mehr oder weniger drei wichtige Eigenschaften.
Bianca Kastl: Notfalldaten, das ist etwas, wo du sagst, ja, das muss immer funktionieren,
Bianca Kastl: auch wenn das Smartphone abbraucht und sonst irgendwie.
Tim Pritlove: Nicht gedauert und kaputt ist.
Bianca Kastl: Das ist eher so, okay, hast du vielleicht noch eine Karte, wo es auf der Karte
Bianca Kastl: ist, physikalisch gesehen?
Bianca Kastl: Hat man aber nicht gemacht, sondern man sagt jetzt nur, voll Daten müssen in
Bianca Kastl: die Cloud. Weiß nicht, ob das eine gute Idee ist.
Bianca Kastl: Dann hat man halt einen normalen Versorgungskontext, da hat man irgendwie ganz
Bianca Kastl: andere Szenarien, da hat man auch eine andere Art von Möglichkeiten,
Bianca Kastl: die man einstellen soll. und man hat den Forschungsbereich.
Bianca Kastl: Und der Forschungsbereich ist ja von der Dateninteraktionsrate und wie Daten
Bianca Kastl: sich verändern und so weiter, etwas, was komplett anders ist wie das vorherige.
Bianca Kastl: Was wir aber gebaut haben, wir haben ein System gebaut für alles und das soll
Bianca Kastl: dann für alles super funktionieren.
Bianca Kastl: Und das kann halt nicht funktionieren, weil das Gesundheitswesen so unterschiedlich
Bianca Kastl: ist in seiner Art und Weise.
Bianca Kastl: Das auf der Haben-Seite, was wir haben, wir haben eigentlich.
Bianca Kastl: Für ein Digitalsystem in Deutschland, ich habe ein paar Ressorts im Blick,
Bianca Kastl: Verwaltung und Gesundheit im Digitalbereich.
Bianca Kastl: Wir haben dort tatsächlich konsequenterweise diesen ganzen Identitätskram,
Bianca Kastl: der ja sonst immer ein Pain ist, schon sehr konsequent als Basis, die wir haben.
Bianca Kastl: Also wir haben Identitäten auf Basis von Karten für alle Leistungsberechtigung,
Bianca Kastl: wir haben für alle wichtigen handelnden Personen Heilberufsausweise.
Bianca Kastl: Wir haben damit eine Basis, wo wir schon mal viel geschafft haben,
Bianca Kastl: was wir in der Verwaltung zum Beispiel nicht haben.
Bianca Kastl: Also Verwaltungen wären ja nicht irgendwie Behörden irgendwie sinnvoll,
Bianca Kastl: die haben irgendwie eigene PKIs und nicht irgendwie, das ist da vollkommen heterogen,
Bianca Kastl: wohingegen im Gesundheitswesen man diese Kette von den beteiligten Leuten,
Bianca Kastl: denen auch digitale Mittel an die Hand zu geben, sich auszuweisen,
Bianca Kastl: irgendwas berechtigt zu sein, die hat man eigentlich sinnvoll gemacht.
Bianca Kastl: Wir gehen jetzt aber halt in die Richtung, dass wir darauf Architekturen bauen,
Bianca Kastl: die dann wieder komisch werden und handwerklich wild und ich glaube,
Bianca Kastl: man muss schrittweise diese eigentlich gute Basis von, wir haben versucht,
Bianca Kastl: einen ganzen Sektor von 100.000 bis zu 1.000.000 Millionen Leuten digital auszuweisen,
Bianca Kastl: in so ein System einzubinden.
Bianca Kastl: Das müsste man jetzt glaube ich nochmal eine neue Komposition davon machen,
Bianca Kastl: die schrittweise in den Modus kommt.
Bianca Kastl: Das werden nicht mehr diese ja holzernen,
Bianca Kastl: Architekturentscheidungen und dieses handwerkliche Rumgeschnitze da irgendwie
Bianca Kastl: haben, was meistens immer ins Auge geht.
Tim Pritlove: Aber ich meine, ist das auch realistisch, wenn du jetzt irgendwie Chefin wärst,
Tim Pritlove: von dem ganzen Projekt, So, du kannst jetzt machen, was du willst.
Tim Pritlove: Was wäre so der konkrete Schritt?
Tim Pritlove: Entkopplung der Komponenten.
Bianca Kastl: Ich glaube, meines Eindrucks nach hat die Gematik im Speziellen,
Bianca Kastl: aber vielleicht auch eher von dem, wie das Gesundheitsministerium steuert,
Bianca Kastl: man hat dort ein Prozessproblem, wie dieses Thema entsteht.
Bianca Kastl: Weil üblicherweise entstehen Spezifikationen
Bianca Kastl: irgendwo in irgendwelchen Gesellschafterentscheidungen bei der Gematik.
Bianca Kastl: Dann wird irgendwas entschieden, dann wird irgendwas entschieden,
Bianca Kastl: dass man es so macht, dass man es irgendwie in Klaus speichert und sonst irgendwas.
Bianca Kastl: Was man aber eigentlich machen müsste, man müsste halt transparent,
Bianca Kastl: so ähnlich wie bei der Corona-Warn-App sagen, übrigens das ist das System, was wir bauen wollen.
Bianca Kastl: Ihr seid alle davon betroffen, weil das ist unser Gesundheitssystem.
Bianca Kastl: Das ist das, was wir wollen. Wir legen den Weg dorthin transparent da und dann
Bianca Kastl: können alle nochmal drauf gucken und Veto einlegen und sagen hier übrigens,
Bianca Kastl: für die Gruppe ist es schlecht, gibt es eine andere Lösung.
Bianca Kastl: Wir werden dort nicht auch immer die perfekten Lösungen für alles finden.
Bianca Kastl: Es sind immer Aushandlungen für verschiedenen Vor- und Nachteilen.
Bianca Kastl: Aber bisher läuft es halt so, es gibt eine politische Entscheidung,
Bianca Kastl: da macht die Gematik davon irgendeine Spezifikation.
Bianca Kastl: Die ist dann irgendwie aus irgendwelchen Zwängen seltsam.
Bianca Kastl: Aber es gibt diese Zwänge.
Bianca Kastl: Die Zwänge sind aber nicht transparent. Und dann kommt halt das handwerkliche
Bianca Kastl: Rumgeeier von der ganzen nachgeleiteten Kette von Unternehmen,
Bianca Kastl: die daran rumdoktern, weil woran wir immer diese Mängel sehen,
Bianca Kastl: ist tatsächlich, wir lesen Spezifikationen und gucken ein paar Endpunkte,
Bianca Kastl: wie die eigentlich implementiert sind und schauen halt dann an,
Bianca Kastl: was dann so von dieser Theorien-Spezifikation in der Praxis nutzbar ist,
Bianca Kastl: irgendwas kaputt zu machen.
Bianca Kastl: Das heißt nicht, dass wir in alle Software-Konstellationen in Krankenkassen
Bianca Kastl: reingucken, sondern wirklich nur in diese Linie, die uns irgendwie öffentlich verfügbar ist.
Tim Pritlove: Ja, und? Also ist nicht zu retten, sagst du?
Bianca Kastl: Nee.
Linus Neumann: Ja, aber okay. Danke.
Tim Pritlove: Dann haben wir versucht, hier eine goldene Brücke zu bauen oder so. Nee, aber ich meine.
Bianca Kastl: Ich glaube, das Entscheidende ist tatsächlich, also es zu retten,
Bianca Kastl: natürlich gibt es Wege, das zu retten, aber ich glaube, da muss erst ein Prozess
Bianca Kastl: kommen, der das Retten ja überhaupt ermöglicht.
Tim Pritlove: Naja, gut, aber das ist das Problem.
Tim Pritlove: Kritisieren ist ja immer gut, aber man muss ja jetzt da auch irgendwie einen
Tim Pritlove: Ausweg bieten, sonst geht das ja ja ewig so weiter.
Bianca Kastl: Ja, also ich glaube, es ist nicht alles schlecht, was sich jetzt auftut an neuen Dingen, also dieses,
Bianca Kastl: Thema mit Proof of Patience ist schon solide, auch was Digimati Richtung Zero
Bianca Kastl: Trust und so weiter macht an Konzepten, ist für die Größe, glaube ich,
Bianca Kastl: im Konzept grundsätzlich gut angelegt, man muss aber halt jetzt überlegen,
Bianca Kastl: was man bisher in der Art und Weise gemacht hat, was man nicht so weiter tun
Bianca Kastl: kann und das ist, glaube ich, das Problem.
Bianca Kastl: Die Veränderung zu sagen, nee, sorry, das haben wir das letzte Mal schon komplett
Bianca Kastl: gegen die Wand gefahren, das können wir nicht wieder so machen.
Tim Pritlove: Aber wenn jetzt die richtigen Maßnahmen, TM,
Tim Pritlove: eingeführt werden, wie schnell könnte man quasi auch aus dem,
Tim Pritlove: was man jetzt hat, ein akzeptables,
Tim Pritlove: betreibbares System bauen, was auch irgendwie, wo man sagen kann, so ja,
Tim Pritlove: ist nicht optimal, aber passt jetzt erstmal und bietet vielleicht auch einen Weg an,
Tim Pritlove: wo man jetzt über einen Parallelbetrieb in ein, zwei Jahren vielleicht zu einem
Tim Pritlove: Modell hinkommen kann, wo die Dinge, die entkoppelt gehören,
Tim Pritlove: auch entkoppelt sind und dann geht alles in die richtige Richtung.
Bianca Kastl: Also die übliche Zeit, die man die man in diesem ganzen TI-Kontext braucht,
Bianca Kastl: um auch nur kleinere Änderungen durchzukriegen, sind wir sechs Monate und drunter geht eigentlich kaum.
Bianca Kastl: Und das heißt, wenn man jetzt akzeptabel größere Baustellen umbauen möchte,
Bianca Kastl: ist man im Bereich von Jahren.
Bianca Kastl: Also ich glaube, unter zwei Jahren sind so größere Veränderungen nicht durchzuführen.
Bianca Kastl: Und da wird man auch nicht alles auf einmal einreißen können,
Bianca Kastl: sondern wird schrittweise anfangen
Bianca Kastl: müssen, vor allem jetzt erstmal dieses Zugriffsthema irgendwie zu regeln.
Bianca Kastl: Ob das Thema 2026 dann schon zufriedenstellend gelöst sein wird,
Bianca Kastl: wissen wir nicht, weil es immer so eine Wundertüte ist. Aber mal gucken.
Bianca Kastl: Dann kann man so schrittweise dann halt die anderen Baustellen aufbauen und
Bianca Kastl: dann stellt man fest, okay, müsste man vielleicht irgendwie den Baustein,
Bianca Kastl: den Baustein, den Baustein machen.
Bianca Kastl: Man kann nicht alles gleichzeitig machen, weil es ist schon sehr,
Bianca Kastl: sehr viel auch ausgerollt. Und wenn man jetzt zum Beispiel an dem E-Rezept-Dienst
Bianca Kastl: irgendwie rumdoktet, dann ist ja plötzlich das gesamte E-Rezept in Deutschland betroffen.
Bianca Kastl: Das macht die Geschwindigkeit der Veränderung also langsamer.
Bianca Kastl: Ich glaube, eigentlich ist das, was man jetzt in die Richtung entwickelt hat,
Bianca Kastl: um es wirklich umzubauen, sind wir eher bei mindestens fünf Jahren.
Tim Pritlove: Und jetzt reden wir ja die ganze Zeit über die deutsche Lösung,
Tim Pritlove: und eigentlich muss sowas
Tim Pritlove: ja auch in irgendeiner Form europäisch mindestens europäisch gedacht werden
Tim Pritlove: weil man geht ja man ist ja auch mal im Urlaub und dann geht man auch mal woanders
Tim Pritlove: zum Arzt und so ist eigentlich in irgendeiner Form hier schon eine Interoperabilität,
Tim Pritlove: eine europäische oder gar internationale Perspektive an irgendeiner Stelle verankert?
Bianca Kastl: Ja, das ist tatsächlich verankert, tatsächlich auch gesetzlich europäisch verabschiedet.
Bianca Kastl: Es gibt den europäischen Gesundheitsdatenraum, IHDS, European Health Data Space,
Bianca Kastl: der auch tatsächlich das als Ziel hat, der natürlich auch bestimmte problematische
Bianca Kastl: Dinge hat, wie Datennutzung für wen auch immer, Big Tech und sonst was ermöglicht.
Bianca Kastl: Aber der auch zum Ziel auch diese Interoperabilität hat, wo man dann sagt,
Bianca Kastl: okay, guck mal, wenn ich jetzt in Spanien ein Rezept einlöse,
Bianca Kastl: das elektronisch, dann muss es auch in Deutschland funktionieren,
Bianca Kastl: wenn ich in die Apotheke gehe.
Bianca Kastl: Der IHDS als solches ist jetzt in dieser gesetzlichen Formulierung durch.
Bianca Kastl: Jetzt kommen diese ganzen technischen Spezifizifikationen, die meistens in einem
Bianca Kastl: Zeitraum von zwei Jahren umgesetzt werden. Und dann,
Bianca Kastl: Ja, ist aber da immer die Schwierigkeit, wenn du ein Gesundheitssystem hast,
Bianca Kastl: was bei dir im Land noch gerade im Wandel ist und was du dann noch irgendwie
Bianca Kastl: in europäische Interoperabilität reinkriegen musst, ist halt noch mehr Stress
Bianca Kastl: auf dem System, um Veränderungen reinzukriegen.
Bianca Kastl: Da werden zwar Dinge vorbereitet, aber ich glaube, da wird es auch noch Veränderungen
Bianca Kastl: brauchen, um irgendwas interoperabil europäisch zu machen und das ist halt in
Bianca Kastl: kurzer Zeit viel Veränderung, die nicht unbedingt gut ist für etwas, was nicht stabil läuft.
Linus Neumann: Ach, schade.
Tim Pritlove: Das wäre doch so schön gewesen.
Linus Neumann: Aber wir haben doch jetzt bald einen neuen Digitalminister.
Tim Pritlove: Ja, also genau, also haben wir jetzt das Gesundheitsthema erstmal abgearbeitet.
Linus Neumann: Also ich dachte, das ist jetzt dramatisch traurig genug. Wir könnten uns noch
Linus Neumann: ganz kurz mit dem neuen Innenminister und Digitalminister auseinandersetzen, um das abzurunden.
Tim Pritlove: Ja, also noch haben wir den Digitalminister nicht, aber es sieht so aus,
Tim Pritlove: als ob feststeht, wer es werden wird.
Tim Pritlove: Und vor allem steht fest, wie dieses neue Digitalministerium heißt.
Bianca Kastl: BDSM.
Linus Neumann: BDSM, das ist doch ein richtig guter Name, dass ich da nicht selber drauf gekommen bin.
Tim Pritlove: Oh Gott, also das Bundesministerium für Digitalisierung und Staatsmodernisierung.
Linus Neumann: Ja.
Tim Pritlove: Ich meine, das ist ja ein sehr hoffnungsfroher Name, aber mit der Abkürzung
Tim Pritlove: hat man es natürlich, ist das eigentlich die offizielle Abkürzung oder ist das
Tim Pritlove: nur das, was wir da reinlesen oder nennen die das dann BDS?
Tim Pritlove: BDS klingt doch ein bisschen wie Stasi.
Linus Neumann: Also ich denke, das BDSM ist ja völlig eindeutig. Wahrscheinlich werden sie
Linus Neumann: versuchen, sich über BMDS irgendwie aus der Nummer rauszuholen.
Tim Pritlove: Bei uns wird es so heiß.
Linus Neumann: Das ist das BDSM.
Tim Pritlove: Ja, das BDSM.
Linus Neumann: Nicht zu verwechseln mit der Sammelbezeichnung für eine Gruppe von Sexualpräferenzen,
Linus Neumann: die oft unschärfer auch als Sadomasochismus bezeichnet werden.
Linus Neumann: Das mehrschichtige Akronym wird aus den Anfangsbuchstaben der englischen Bezeichnung
Linus Neumann: für Bundesministerium, Digitalisierung und Staatsmodernisierung gewählt.
Linus Neumann: Nein, Bondage, Discipline, Dominance and Submission.
Linus Neumann: Und das ist doch wunderbar, das passt doch absolut.
Tim Pritlove: Also sag du mal, Masochismus und Digitalisierung in Deutschland,
Tim Pritlove: das geht wirklich Hand in Hand.
Linus Neumann: Endlich greift das Thema mal jemand so auf, wie es sich gehört,
Linus Neumann: als hätte ich nicht mal verstanden, wovon die Rede ist.
Tim Pritlove: Naja, also die voraussichtliche Besetzung dieses neuen Postens ist Carsten Wildberger.
Tim Pritlove: Haben wir wahrscheinlich alle noch nie gehört. Seines Zeichens Physiker,
Tim Pritlove: war dann irgendwie Wirtschaftsberater unterschiedlichen Organisationen und ist
Tim Pritlove: halt auch im CDU-Wirtschaftsrat vertreten, der ja,
Tim Pritlove: anders als der Name vielleicht implizieren mag, keine Organisation der CDU ist,
Tim Pritlove: sondern so eine Art Lobbyverein,
Tim Pritlove: der mehr oder weniger so die Wirtschaftsvertreter zusammen beruft und wird dann so rumlobbyiert.
Tim Pritlove: Aber es ist jetzt nicht wirklich ein Gremium der Partei.
Tim Pritlove: Da war er dann Vizepräsident, hat glaube ich März sogar in dieser Rolle abgelöst.
Tim Pritlove: Und ist aktuell noch Vorstandsvorsitzender von Seekonomy, was ich noch nie gehört
Tim Pritlove: habe. Hast du das schon mal gehört?
Linus Neumann: Habe ich jetzt gelesen.
Tim Pritlove: Im Prinzip ist das der Rapper um eine deutsche Technikberatung und die Media
Tim Pritlove: Markt Saturn Gruppe, deren Geschäftsführer er auch ist.
Tim Pritlove: Also das ist sozusagen aus dem Einzelhandel jetzt. Die haben auch so Online-Shops und Apps und so.
Tim Pritlove: Da ist also auf jeden Fall schon mal was passiert.
Tim Pritlove: Ja, laut Netzpolitik.org waren seine bemerkenswertesten politischen Vorschläge,
Tim Pritlove: die er bisher im Rahmen seiner Lobby-Tätigkeit gemacht hat, die Sonntagsöffnung
Tim Pritlove: von Läden und eine Abwrackprämie für Elektrogeräte.
Tim Pritlove: Wo man vielleicht auch noch drüber diskutieren kann. Ich meine,
Tim Pritlove: Energie, Ökonomie, bla bla bla und so weiter.
Linus Neumann: Also ich würde gerade sagen, da wäre eigentlich eine Benutzt,
Linus Neumann: das Ding länger Prämie wäre, das was man als sinnvoll erachten könnte.
Tim Pritlove: Auf jeden Fall sorgt er sich um die geschundene Wirtschaft, die sonntags nicht
Tim Pritlove: aufmachen kann und die irgendwie Probleme hat, ihre Elektrogeräte an den Mann
Tim Pritlove: zu bringen oder die Frau.
Tim Pritlove: Naja, gut, vielleicht ist er ja ein kluger Kerl, was natürlich ein Problem sein
Tim Pritlove: wird, ist wie immer, wenn du ein komplett neues Digital,
Tim Pritlove: also überhaupt ein neues Ministerium erstmal hochziehen musst,
Tim Pritlove: dann brauchst du natürlich eine Verwaltung.
Tim Pritlove: Also du musst ja im Prinzip die ganze, nicht nur im Prinzip,
Tim Pritlove: sondern auch ganz konkret musst du da überhaupt erstmal Leute hinkriegen,
Tim Pritlove: die brauchen einen Ort, die müssen sich irgendwie etablieren,
Tim Pritlove: die müssen sich ihre Regeln schreiben.
Tim Pritlove: Also das wird wahrscheinlich einfach erstmal ein, zwei Jahre dauern,
Tim Pritlove: bis überhaupt dieser Apparat steht, wenn überhaupt, keine Ahnung,
Tim Pritlove: was da so die typischen Erfahrungen bisher sind.
Tim Pritlove: Aber davon ist natürlich auf jeden Fall auszugehen und dann wird natürlich auch
Tim Pritlove: dieses ganze Zuständigkeits-Hickhack losgehen mit, okay,
Tim Pritlove: wofür bist du denn jetzt eigentlich zuständig und was muss jetzt das Innenministerium
Tim Pritlove: abgeben, was muss das Wirtschaftsministerium abgeben, was muss das Verkehrsministerium abgeben.
Tim Pritlove: Alles ja so Player, die bisher in irgendeiner Form versucht haben, da mitzuspielen.
Tim Pritlove: Und was aus meiner Warte bisher auch noch vollkommen unklar ist,
Tim Pritlove: ist, was hat sozusagen dieses Digitalministerium nicht nur für Zuständigkeit,
Tim Pritlove: sondern auch für Eingriffsmöglichkeiten.
Tim Pritlove: Wir haben ja schon darüber gesprochen, dass es ja vielleicht so eine Art Digitalvorbehalt
Tim Pritlove: geben sollte, sprich so wie ein Finanzministerium anderen Ministerien sagen kann, so ja,
Tim Pritlove: schöne Pläne habt ihr da, aber Kohle ist nicht dafür da.
Tim Pritlove: Müsste im Prinzip ja auch so ein Digitalministerium sagen können,
Tim Pritlove: hier wir haben ja so eine bundesweite, vielleicht eben auch europäische Digitalstrategie,
Tim Pritlove: die hat die und die Anforderungen.
Tim Pritlove: Wir wollen sicherstellen, dass wir eben nicht nur
Tim Pritlove: so eine Ansammlung von singulären Digitallösungen haben für dieses und für jenes
Tim Pritlove: und nichts arbeitet mit irgendwas anderem zusammen und wir haben 31 Millionen
Tim Pritlove: verschiedene Authentication-Systeme und Zugangskarten und was weiß ich noch alles,
Tim Pritlove: Infrastrukturen, APIs, die vielleicht nach unterschiedlichen Prinzipien funktionieren,
Tim Pritlove: sondern wir wollen ja eigentlich eher die Digitalisierung des Staates,
Tim Pritlove: hier heißt es ja auch Staatsmodernisierung und jeder, der sich ein bisschen
Tim Pritlove: mit Digitalisierung mal beschäftigt hat, weiß, das ist halt sehr wichtig,
Tim Pritlove: dass man einfach in gewisser Hinsicht auch eine Wiedererkennbarkeit hat,
Tim Pritlove: dass da auch so ein Lerneffekt eintritt, so nach dem Motto, ich weiß,
Tim Pritlove: wie ich hier irgendwie mit dem Verkehrsministerium meine Daten abrufe,
Tim Pritlove: dann kann ich wahrscheinlich auch beim Wirtschaftsministerium mehr oder weniger
Tim Pritlove: im selben, also nicht vollständig identisch, aber zumindest in derselben Denkweise da rangehen.
Tim Pritlove: Und das sind alles diese Dinge, die diese Person und dieses Digitalministerium
Tim Pritlove: im Prinzip einführen müsste.
Tim Pritlove: Ja, mal gucken, was er mit seinem Mediamarktwissen da einbringen kann.
Linus Neumann: Also ich meine, die,
Linus Neumann: Es ist ja, also ich finde es jetzt nicht so blöd, zu sagen, lass uns mal jemanden
Linus Neumann: aus der Wirtschaft nehmen,
Linus Neumann: der noch nicht durch dieses ganze Ministeriums- und Verwaltungsgedöns ruiniert
Linus Neumann: wurde und das alles völlig normal findet,
Linus Neumann: sondern der wahrscheinlich einfach, sobald der Erste irgendwie anfängt mit irgendeiner
Linus Neumann: dummen Scheiße was zu blockieren, einfach den anschreit und schlägt.
Linus Neumann: Ja, und das wäre vielleicht erstmal so, das wäre Hoffnung,
Linus Neumann: dass wir da irgendwie jemanden, der noch nicht weiß oder der vielleicht noch
Linus Neumann: nicht am eigenen Leib erfahren hat und noch nicht zerrieben wurde darin,
Linus Neumann: wie man alles kaputt macht, sondern jemand, der sein Leben unter einem Leistungsdruck
Linus Neumann: verbracht hat oder damit verbracht hat, anderen Leuten Leistungsdruck zu machen,
Linus Neumann: damit sie Geld verdienen.
Tim Pritlove: Du meinst wie Elon Musk?
Linus Neumann: Nein, also irgendetwas, also naja, immerhin also aber ich,
Linus Neumann: ich mag du hast recht, das kann in die andere Richtung auch sehr schief gehen
Linus Neumann: das kann in die andere Richtung sehr schief gehen aber in die Richtung,
Linus Neumann: in die wir gerade galoppieren geht es gerade schon schief, vielleicht können
Linus Neumann: wir jetzt mal eine andere Richtung nehmen.
Tim Pritlove: In der es schief geht Ja, mal kurz, ja okay vielleicht, ich weiß nicht,
Tim Pritlove: Anke Domscheit-Berg meint irgendwie, mit Wirtschaftsdenke kommt man,
Tim Pritlove: in dem System nicht weit, weil man eben nicht so aus einem singulären Interessen
Tim Pritlove: Ding von oben herab einfach mal was rein diktieren kann, sondern man muss halt
Tim Pritlove: im Verwaltungskontext und im
Tim Pritlove: politischen Kontext halt schon irgendwie auch einen Blick für alles haben.
Linus Neumann: Okay, das ist eine gute Stimme, weil sie ja aus der Wirtschaft dorthin kam.
Linus Neumann: Sie hat diesen Teil ja gelernt. War sie nicht bei McKinsey oder sogar?
Tim Pritlove: Microsoft glaube ich.
Linus Neumann: Microsoft, auf jeden Fall bei, genau, also Anke kam,
Linus Neumann: aus einem einflussreichen IT-Wirtschaftsbereich in ihre politische Tätigkeit.
Linus Neumann: Aber gleichzeitig jetzt irgend so einen erfahrenen, also wem würdest du denn nehmen?
Linus Neumann: Da hat das mit Thinking Outside the Box hat der hier mal Keine Ahnung.
Tim Pritlove: Ich meine am Ende wird es eine Stilfrage sein und da muss man halt einfach die
Tim Pritlove: richtigen Skills an den Start bringen.
Tim Pritlove: Ich meine generell denke ich, ein bisschen Erfahrung zu haben mit einem konkreten
Tim Pritlove: Digitalaufbau, das ist ja durchaus etwas,
Tim Pritlove: was jetzt gerade diese Läden mit Online und so weiter, Zugänge,
Tim Pritlove: Betrieb von Infrastrukturen und so, das steckt da jetzt drin.
Tim Pritlove: Ob die Person da jetzt die richtige ist, das werden wir sehen, keine Ahnung.
Linus Neumann: Also genau, ob die Person die richtige ist, auf jeden Fall werden wir sehen.
Tim Pritlove: Mehr Erfahrung bringt ja das Innenministerium jetzt ein.
Linus Neumann: Ja.
Linus Neumann: Das Dobrindt.
Bianca Kastl: Das Dobrindt.
Tim Pritlove: Du immerhin nicht Jens Spahn. Ja.
Tim Pritlove: Alexander Dobrindt soll Innenminister werden.
Tim Pritlove: Also wir haben hier eine CSU,
Tim Pritlove: geführtes Innenministerium. What could possibly go wrong?
Tim Pritlove: Und er war ja der erste deutsche digitale Infrastrukturminister im Verkehrsministerium.
Tim Pritlove: Das hat ja auch schon super funktioniert.
Tim Pritlove: Ich weiß gar nicht, was du hast. Ist doch geil. Endlich mal jemand mit Erfahrung. Linus.
Tim Pritlove: Ich kann da nicht sehr viel zu sagen. Also ich meine, das ist halt,
Tim Pritlove: wir haben ja hier alle CDU, CSU, Rans eigentlich schon gebracht und die müssen halt jetzt liefern.
Tim Pritlove: So und normalerweise ist es halt so,
Tim Pritlove: wie heißt es so schön Konservative wehren sich so lange gegen die Realität bis
Tim Pritlove: es sich nicht mehr vermeiden lässt so und in dem Zusammenhang heißt es einfach jetzt wait and see,
Tim Pritlove: also ob die jetzt wieder in so einen,
Tim Pritlove: Ablehnungsmoment reingehen ich meine das Bemerkenswerte an Merz ist ja wahrscheinlich so der erste,
Tim Pritlove: Bundeskanzler der schon vor seinem
Tim Pritlove: Amtsantritt im Prinzip sämtliche Wahlversprechen vorher abgelegt hat.
Tim Pritlove: Und nachdem er die Wahl gewonnen hat, so wie der Habeck das will,
Tim Pritlove: das machen wir auf gar keinen Fall. Wir machen das jetzt alle rückgängig.
Tim Pritlove: Und jetzt ist schon vorher klar, dass alles genauso gemacht wird,
Tim Pritlove: wie Habeck das eigentlich gesagt hat.
Tim Pritlove: So Staatsverschuldung und ich werde auch dieses Heizungsgesetz nicht zurücknehmen,
Tim Pritlove: weil wir werden es ja wahnsinnig so, weil das sind alles so Realitäten,
Tim Pritlove: gegen die kann man jetzt eigentlich gar nicht mehr ankämpfen,
Tim Pritlove: das kann sich ein Trump noch leisten,
Tim Pritlove: gut, aber ich kann mir durchaus vorstellen, dass Herr Dobrindt sagt, hier holt mal Bier,
Tim Pritlove: irgendwas kriegen wir schon noch zurückgedreht keine Ahnung Schauen.
Linus Neumann: Wir uns mal kurz zu Dobrindt an, der ist ja immer der Kontroversen- und Kritik-Anteil
Linus Neumann: in der Wikipedia, spannend, ja, ähm.
Linus Neumann: Dobrindt versuchte Einflussnahme auf das ZDF-Programm zu nehmen im Rahmen der Medienaffäre der CSU.
Linus Neumann: Der hat Volker Beck als Vorsitzenden der Pädophilen AG bei den Grünen bezeichnet.
Linus Neumann: Er hat verhindert, dass eine Sammelklage im Rahmen des VW-Abgangsskandals durchkam
Linus Neumann: oder sich dagegen engagiert.
Linus Neumann: Er hat das Unwort des Jahres 2018 geprägt, nämlich die Anti-Abschiebe-Industrie.
Linus Neumann: Wir kennen ja die Milliardenindustrie in Deutschland.
Linus Neumann: Und er hat die Klimakaoten vor den Klimakaoten gewandt, die jetzt bald zu Klima-Raff werden.
Linus Neumann: Also da weißt du woher der, also ungefähr,
Linus Neumann: das sind ja jetzt nur so Sachen, die er sagt, aber natürlich hat er,
Linus Neumann: das ist jetzt kein progressiver Mensch,
Linus Neumann: der für irgendwie eine Rolle sieht im sinnvollen Schutz einer sich weiterentwickelnden Gesellschaft.
Tim Pritlove: Was sind deine Lieblingsministerin irgendwie aus dem neuen Kabinett?
Tim Pritlove: Danke, hast du da vorlieben?
Linus Neumann: Guck mal kurz auf die Liste.
Linus Neumann: Hier hast du die Liste.
Tim Pritlove: Schön finde ich ja auch, dass sie jetzt die Bildung gestrichen haben aus dem
Tim Pritlove: Bildungsministerium und das ist jetzt nur noch für Forschung.
Tim Pritlove: Ist dafür aber Raumfahrt reingeschrieben.
Bianca Kastl: Ich muss glaube ich jetzt leider sagen, dass Carsten Wildberger noch der unverbrauchteste
Bianca Kastl: ist, bei dem ich noch nicht die schlimmsten,
Bianca Kastl: Assoziationen habe. Also bei Doro Beer, ich bin froh, dass Doro Beer nicht digital
Bianca Kastl: benutzt, dann wurde das schon mal Erfolg. Das können wir so mal sehen.
Linus Neumann: Ist nicht gerade dieser Flugtaxi-Hersteller pleite gegangen?
Bianca Kastl: Der wurde ja, wie war der, der wurde erst wieder gekauft. Das ist so ein Zyklus,
Bianca Kastl: der wird dann immer gerettet, dann geht er pleite.
Linus Neumann: Doro Beer für Forschung, Technologie und Raumfahrt.
Bianca Kastl: Ja, das mit Flugtaxi ist doch gut.
Linus Neumann: Dann gibt es sehr viele Diskussionen um den Wolfgang Weimar,
Linus Neumann: den Kulturstaatsminister.
Linus Neumann: Also auch ein irgendwie erzkonservativer, der irgendwie Cicero gegründet hat,
Linus Neumann: Chefredakteur bei Welt und Fokus war.
Linus Neumann: Also Fokus ist ja auch so ein wirklich sehr anstrengendes Magazin.
Linus Neumann: Ja,
Linus Neumann: Erstaunlich viele, wo ich noch nicht so viel Bezug zu habe. Es ist eine sehr interessante Auswahl.
Linus Neumann: Und ich glaube, wer ja dann unter dem, wer im BDSM arbeiten wird,
Linus Neumann: ist ja dann Philipp Amthor.
Tim Pritlove: Als Staatssekretär. Als Staatssekretär.
Linus Neumann: Und Thomas Jatzombeck, der auch aus der Digitalwirtschaft irgendwann mal in
Linus Neumann: die CDU-Bundestagspolitik gegangen ist.
Tim Pritlove: Der steht aber im Verdacht ein bisschen Kompetenz.
Linus Neumann: Jaja, das ist ein Risiko. Also da ist Kompetenz.
Linus Neumann: Der steht im Verdacht zumindest inhaltlich kompetent zu sein.
Linus Neumann: Insofern bin ich da,
Linus Neumann: Ich finde es jetzt auch schwierig, außer jetzt bei so völlig offensichtlichen
Linus Neumann: Leuten mit einer langen Historie, wie jetzt irgendwie Dobrindt oder Doro Bär,
Linus Neumann: Personalien zu beurteilen.
Linus Neumann: Und bin mal sehr gespannt.
Tim Pritlove: Komm, wait and see. So, jetzt machen wir Schluss.
Tim Pritlove: Vielen Dank, Birka, für die ausführliche Auskunft zu dem Digital-Desaster,
Tim Pritlove: das unser Gesundheitssystem leider immer noch darstellt.
Linus Neumann: Ja, danke für dein Engagement in dem Bereich.
Linus Neumann: Lass uns noch kurz erwähnen, also viel drüber gesprochen, du hast die Namen
Linus Neumann: auch erwähnt, Martin Schiersig, mit dem hast du das meistens zusammen gemacht
Linus Neumann: und jetzt dieses zweite Ding, Christoph Saathjohann.
Linus Neumann: Also ihr drei habt das da jetzt so in eurer Freizeit mal so ein bisschen gemacht,
Linus Neumann: was sehr unwahrscheinlich war.
Linus Neumann: Und man kann dir folgen im Internet.
Linus Neumann: Fili, links haben wir alle deine Kolumne bei Netzpolitik unter dem wunderschönen
Linus Neumann: Titel Digitalisierung.
Linus Neumann: Und das uns eingangs erzählt, dass der Titel ist richtig gut.
Linus Neumann: Da bin ich ein bisschen neidisch.
Linus Neumann: Und dann kommen Leute und sagen, er hat mich vertippt.
Linus Neumann: Digitalisierung finde ich enorm gut. Also das werden wir auch in den Sprachgebrauch
Linus Neumann: aufnehmen, diesen Begriff.
Tim Pritlove: Alright. Dann war es das erstmal. Leute, viel Spaß noch und wir hören uns die Tage gern.
Linus Neumann: Ciao, ciao.
Bianca Kastl: Tschüss.