Latest / Logbuch:Netzpolitik / LNP522 Security by Hippocrates

Transcript

LNP522 Security by Hippocrates · Logbuch:Netzpolitik

0:00
Tim Pritlove: Guten Morgen, Linus.
0:01
Linus Neumann: Guten Morgen, Tim.
0:03
Tim Pritlove: Du, der Verfassungsschutz hat herausgefunden, dass die AfD gesichert rechtsextremistisch ist.
0:08
Linus Neumann: Die finden alles raus. Alles finden die raus. Musik Musik Musik.
0:32
Tim Pritlove: Logbuch Netzpolitik Nummer 522 vom 3. Mai 2025.
0:40
Tim Pritlove: Tag der Arbeit haben wir hinter uns gebracht. Endlich kann man sich mal wieder
0:44
Tim Pritlove: ein bisschen ausruhen. Sicherlich auch.
0:47
Linus Neumann: Ja, war ein harter, schwerer Tag. Sehr viel gearbeitet.
0:50
Tim Pritlove: Hast du?
0:51
Linus Neumann: Mehrere Milliardäre zum Mars geschossen.
0:53
Tim Pritlove: Oh, wirklich?
0:53
Linus Neumann: Ja, hatte ich ja angekündigt. angekündigt, erster Mal Grunewald,
0:57
Linus Neumann: ein wirklich sehr unterhaltsamer Tag mit einer wunderschönen Fahrradtour kann
1:03
Linus Neumann: ich sehr empfehlen und ich muss leider darauf hinweisen, ich habe es in der letzten Sendung,
1:09
Linus Neumann: angekündigt, ich wurde auch noch gebeten darauf hinzuweisen,
1:12
Linus Neumann: dass man Mai Gruni auch unterstützen kann, weil jetzt also Milliardäre zum Marsch
1:17
Linus Neumann: schießen, das ist teurer.
1:19
Linus Neumann: Das ist teurer, das kostet und da brauchen die ein bisschen Geld.
1:23
Linus Neumann: Die hatten nämlich unter anderem noch irgendwie Gerichtsverfahren geführt,
1:26
Linus Neumann: dass man in Grunewald, jetzt überlegt mal, wie weit die gegangen sind,
1:30
Linus Neumann: die Grünflächen betreten durfte.
1:33
Linus Neumann: Also es war quasi beyond revolution.
1:38
Linus Neumann: Letztes Jahr waren die Grünflächen am Johannaplatz mit so Hamburger Gitterne
1:42
Linus Neumann: abgesperrt, weil nachher tritt da jemand drauf, auf so eine Wiese.
1:47
Linus Neumann: Das kann man natürlich in Grunewald nicht machen.
1:50
Tim Pritlove: Nee, dann wäre der nicht mehr so grun.
1:52
Linus Neumann: Genau. Dann wurde dieses Mal, durfte man dann dort sitzen und die Hamburger
1:59
Linus Neumann: Gitter standen irgendwo anders, damit man da seine Fahrräder anschließen konnte.
2:04
Linus Neumann: Mit so schönen Sachen muss man sich dann da auseinandersetzen.
2:08
Linus Neumann: Aber es ist tatsächlich eine Rakete gestartet, mehrere Raketen. Das war alles sehr nett.
2:16
Tim Pritlove: So in Form von Silvesterraketen oder noch größer?
2:20
Linus Neumann: Nee, es gab eine, also erstens gibt es Helium-Ballons in Raketenform.
2:25
Linus Neumann: Die sind dann also gestartet und es gab eine richtige, die My Ass, ja,
2:30
Linus Neumann: die ist also auch tatsächlich aus so einem LKW dann gestartet mit viel Nebel
2:34
Linus Neumann: und Rauch und ist sie dann so hochgewandert entlang der Startlinie zum Mars.
2:44
Tim Pritlove: Auch mit Helium?
2:45
Linus Neumann: Nee, mit einem Seil.
2:47
Tim Pritlove: Ah, sehr gut.
2:47
Linus Neumann: Zu einem Kran, der da stand.
2:52
Tim Pritlove: Gut, ich finde es ja immer ein bisschen unangemessen, Helium für solche Sachen zu verwenden.
2:57
Linus Neumann: Stimmt, man sollte eigentlich alles für seine Stimme nehmen.
3:03
Linus Neumann: Heliumvergeudung.
3:07
Tim Pritlove: Ja, wir haben uns hier zusammengefunden, um mal ein Thema aufzugreifen,
3:13
Tim Pritlove: was sich mal wieder aufdrängt.
3:15
Tim Pritlove: Allein schon, weil wir jetzt ja wieder neue Bundesregierungen und neue Vorhaben
3:19
Tim Pritlove: haben. Und dazu begrüßen wir erstmal hier unsere Gästin, nämlich Bianca Kastel. Hallo Bianca.
3:27
Bianca Kastl: Hallo.
3:28
Tim Pritlove: Herzlich willkommen bei Logbuch Netzpolitik. Ja,
3:31
Tim Pritlove: wir haben dich hier gerade mal abgegriffen, weil du ja mit diesem Thema der
3:39
Tim Pritlove: elektronischen Patientenakte ein bisschen verheiratet bist.
3:44
Tim Pritlove: Kann man das so feststellen?
3:47
Bianca Kastl: Ja, so eine Zwangsehe, glaube ich eher. Also, verheiratet ist relativ.
3:51
Tim Pritlove: So ist das nun mal im netzpolitischen Bereich.
3:56
Tim Pritlove: Aber wir hatten dich hier schon öfter mal referenziert. Insofern sehr schön,
4:00
Tim Pritlove: dass wir dich jetzt auch dabei haben.
4:03
Tim Pritlove: Ja, weiß nicht, vielleicht kannst du ja mal so ein bisschen erzählen,
4:06
Tim Pritlove: was du eigentlich so treibst normalerweise und dich zu diesem Thema gebracht hat.
4:13
Bianca Kastl: Ja, also hi, mein Name ist Bianca. Ich bin eigentlich Softwareentwicklerin oder
4:17
Bianca Kastl: Softwareprojektleiterin, versuche tatsächlich Software für die Verwaltung zu
4:21
Bianca Kastl: schreiben in meinem normalen Leben.
4:23
Bianca Kastl: Ich bin natürlich als Bürgerin auch betroffen von Digitalprojekten um mich herum.
4:28
Bianca Kastl: Es führt dann dazu, dass ich natürlich digitalpolitisch auch durchaus aktiv
4:31
Bianca Kastl: bin, versuche auch immer die zivilgesellschaftliche Perspektive in Sachen auch
4:36
Bianca Kastl: politisch einzubringen. Man fragt mich ab und zu auch in irgendwelchen Gesetzentwürfen,
4:41
Bianca Kastl: auch zum Thema Gesundheitsdigitalisierung.
4:43
Bianca Kastl: Und wenn ich dann sonst nochmal flustlos werden will, habe ich noch eine Kunde
4:46
Bianca Kastl: bei Netzpolitik.org namens Digitalisierung, wo es um die schlechten Wirkungen
4:52
Bianca Kastl: von Digitalisierung geht oder von schlechter Digitalisierung.
4:56
Bianca Kastl: Ja, das, was ich so tue.
4:58
Tim Pritlove: Welche Verwaltung beglückst du normalerweise mit deinem Code?
5:03
Bianca Kastl: Ähm, tatsächlich die Stadt Frankfurt, aber das ist immer, das Hicken und beruflich
5:10
Bianca Kastl: anständig arbeiten passt ja normalerweise nicht zusammen. Und da sage ich es immer ganz dezent.
5:15
Tim Pritlove: Okay.
5:16
Linus Neumann: Themen, mit denen du dich in der Vergangenheit auseinandergesetzt hast,
5:20
Linus Neumann: ist schon wirklich in der Regel
5:21
Linus Neumann: so ein bisschen, also Gesundheit und Verwaltung ist schon so das Thema.
5:25
Linus Neumann: Ich weiß, wir haben zu der Corona-Warn-App, nee, gar nicht,
5:31
Linus Neumann: es war gar nicht unbedingt Corona-Warn-App, sondern eher so dieses Contact-Tracing-Luca
5:34
Linus Neumann: und so, da waren wir beide auch mal zusammen im Bundestag, meine ich, war das, ne?
5:40
Linus Neumann: Da warst du, also auf jeden Fall in der ganzen Luca-Geschichte und Contact-Tracing-Geschichte
5:44
Linus Neumann: aktiv. Dann habt ihr ja noch dieses In-Öck, ne?
5:47
Linus Neumann: Was ist das?
5:48
Bianca Kastl: Genau, also der INÖG ist eine zivilgesellschaftliche Organisation,
5:53
Bianca Kastl: das ist ja auch gemeinnützig jetzt offiziell, die sich darum kümmert,
5:56
Bianca Kastl: im Schwerpunkt Public Health, Gesundheitsämter und Digitalisierung zu unterstützen.
6:03
Bianca Kastl: Und wir sind quasi so ein Kind der Pandemie, die gesagt haben,
6:08
Bianca Kastl: naja, da muss man was tun, wir sind der Digitalisierung, speziell auch der Gesundheitsämter,
6:11
Bianca Kastl: haben dann festgestellt, naja, Pandemie ist jetzt offiziell vorbei,
6:14
Bianca Kastl: aber das Digitalproblem ist immer noch vorhanden.
6:16
Bianca Kastl: Und dann versuchen wir eben im Bereich sowohl Gesundheit als auch Verwaltungs,
6:20
Bianca Kastl: Digitalisierung, kritisch, konstruktiv Menschen auch zu sagen,
6:24
Bianca Kastl: wie es vielleicht auch besser geht.
6:26
Bianca Kastl: Und ja, das ist was der INÖK tut. INÖK heißt was? Innovationsverbund Öffentliche Gesundheit.
6:32
Tim Pritlove: Ah.
6:34
Bianca Kastl: Und ja, ab und zu werden wir dann irgendwie auch zu irgendwelchen Sachverständigen-Anhörungen
6:39
Bianca Kastl: eingeladen, auch zum Thema Gesundheitsdatennutzungsgesetz.
6:41
Bianca Kastl: Sich auch sachverständlich beim Online-Zugangsgesetz, also die ganzen tollen
6:46
Bianca Kastl: Gesetzsthemen, die manchmal auch schon Dinge verbauen, weil man irgendwas ins
6:50
Bianca Kastl: Gesetz schaltet, was komplett unsinnig ist.
6:54
Linus Neumann: Sehr schön und außerdem machst du dann noch die elektronische Patientenakte kaputt, das ist ja toll.
7:02
Linus Neumann: Was fällt dir ein? Das schafft der Inöcke sich aber natürlich auch selber seine.
7:08
Linus Neumann: Jeder Verband sucht sich ja seine seiner Arbeit selbst.
7:15
Linus Neumann: Vielleicht fangen wir mal vorne an. Und ich dachte, wir fangen einfach letzten Dezember an.
7:19
Linus Neumann: Und dann meintest du aber, nee, nee, lass mal 2005 anfangen.
7:23
Bianca Kastl: Ja, also ich glaube, wir müssen bei dem Thema Gesundheitsdigitalisierung erst
7:26
Bianca Kastl: mal darauf hinweisen, dass das, was wir zeigen, einfach der Zustand ist.
7:30
Bianca Kastl: Man muss den, glaube ich, nur
7:31
Bianca Kastl: anders beleuchten. Das heißt, wir machen uns nichts kaputt. Das ist so.
7:36
Bianca Kastl: Schon mal wichtig festzuhalten. Was, glaube ich, bei diesem ganzen Gesundheitsdigitalisierungskomplex
7:40
Bianca Kastl: wichtig ist, ist, dass man irgendwann mal nach einem Medikamentenskandal eingesehen
7:46
Bianca Kastl: hat, man sollte das Ganze mal digitalisieren, Medikamentensicherheit und sonstige Dinge.
7:50
Bianca Kastl: Es gab dann Gesetzentwürfe, die aus dem Jahr 2003 stammen und im Jahr 2005 wurde
7:55
Bianca Kastl: dann tatsächlich unter Ulla Schmidt mal präsentiert, so das ist ein Konzept
7:59
Bianca Kastl: für die ersten Bausteine von dieser ominösen Telematik- Infrastruktur.
8:04
Bianca Kastl: Da geht es dann um elektronische Gesundheitskarten und auf dieser elektrischen
8:08
Bianca Kastl: Gesundheitskarte sollen dann irgendwelche,
8:10
Bianca Kastl: Rezepte und andere Anwendungen laufen und man hat damals halt schon 2003 ins
8:15
Bianca Kastl: Gesetz geschrieben, ja wir machen jetzt eine Patientenakte.
8:18
Bianca Kastl: Die war damals noch nicht so ausformuliert und dann geht es halt so weiter über
8:23
Bianca Kastl: die Jahre, Jahrzehnte mit der Digitalisierung des Gesundheitswesens.
8:27
Bianca Kastl: Zwischendrin passieren.
8:29
Bianca Kastl: Wenige Dinge, zumindest aus Sicht von Patientinnen und jetzt unter Karl Lauterbach
8:34
Bianca Kastl: tatsächlich ist da auch noch mehr Druck drin, weil Karl Lauterbach auch unter
8:39
Bianca Kastl: Ulla Schmidt quasi so ein bisschen beratend tätig war in dem Digitalthema.
8:43
Bianca Kastl: Jetzt auch, glaube ich, so ein bisschen den für sich den Moment gesehen hat,
8:47
Bianca Kastl: auch das nochmal zu vollenden in gewisser Weise, so nach mehr als 20 Jahren.
8:51
Bianca Kastl: Ja, und dann...
8:52
Linus Neumann: Nach 20 Jahren war so eine Gelegenheit, was zu vollenden.
8:58
Tim Pritlove: Ganz kühner Plan.
8:59
Linus Neumann: Da greife ich doch jetzt mal. Ist doch jetzt der Moment gekommen.
9:02
Tim Pritlove: Lass uns das doch einfach mal fertig machen.
9:05
Bianca Kastl: Ja, genau. Also man muss auch sagen, dass unter Karl Laderbach relativ viel vorwärts geht.
9:09
Bianca Kastl: Ob das jetzt von der Umsetzung gut, das ist eine andere Sache,
9:12
Bianca Kastl: aber er hat schon das Ansinnen gehabt, kann man jetzt sagen,
9:15
Bianca Kastl: weil er hat es in den letzten Tagen quasi angehen, das irgendwie vorwärts zu bringen.
9:22
Bianca Kastl: Aber halt vielleicht die Geschwindigkeit auch das Problem, die dazu geführt
9:25
Bianca Kastl: hat, dass das, was passiert ist, passiert ist.
9:27
Bianca Kastl: Und jetzt mal ein Hinblick auf die EPA im Vorgriff.
9:33
Bianca Kastl: Die Frage ist immer, fängt man beim Jahr 0 an?
9:36
Bianca Kastl: Nee, fängt eigentlich beim Thema E-Rezept an, weil das auch die Grundlage ist
9:42
Bianca Kastl: für das, was eigentlich dann jetzt auch kaputt gegangen ist.
9:46
Linus Neumann: Das E-Rezept gibt es seit zwei Jahren ungefähr, würde ich, oder sogar noch länger?
9:50
Bianca Kastl: Genau, das Edizep gibt es eigentlich geplant schon länger, aber die Einführung hat sich verzögert.
9:56
Bianca Kastl: Das Edizep gibt es jetzt eigentlich seit Anfang, seit zwei Jahren mehr weniger im Jahr.
10:03
Bianca Kastl: Steigenden Rollout ist jetzt aber tatsächlich seit Anfang des letzten Jahres verbindlich.
10:09
Bianca Kastl: Das heißt, es gibt quasi nur noch E-Rezepte. Das läuft auch relativ okay.
10:15
Bianca Kastl: Es gibt immer noch so diese Vollweglösung mit diesen rosa Zetteln und so.
10:19
Bianca Kastl: Aber das läuft erstmal grundsätzlich als Konzept.
10:23
Linus Neumann: Also jetzt gucken wir mal auf die technische Seite.
10:28
Linus Neumann: Also was sind die Eigenschaften eines Rezeptes, die man irgendwie digital abbilden muss?
10:34
Linus Neumann: Sollte von berechtigten und qualifizierten Personen ausgestellt werden?
10:40
Linus Neumann: Sollte an eine Person gebunden sein, die Empfängerin des Rezeptes?
10:44
Linus Neumann: Sollte entsprechend ungültig werden in dem Moment, wo es eingelöst wurde?
10:48
Linus Neumann: Natürlich schwer zu fälschen, eigentlich alles verhältnismäßig simpel,
10:55
Linus Neumann: kryptografisch abbildbare Dinge,
11:00
Linus Neumann: dann sollte das irgendwie, da müsste man noch irgendwie gucken,
11:03
Linus Neumann: wer so ein Rezept quasi einlösen und damit auch invalidieren kann.
11:08
Linus Neumann: Also die Ausgebestätten müssen entweder auf der Gesundheitskarte sagen,
11:13
Linus Neumann: knapp ist, haben wir jetzt erfüllt dieses Rezept oder im Zweifelsfall macht
11:18
Linus Neumann: man sowas natürlich dann heute mit einer Cloud wahrscheinlich.
11:22
Linus Neumann: Dann kommen Datenschutzfragen dazu.
11:24
Bianca Kastl: Ja, ja, es ging damals schon das Problem eigentlich los.
11:28
Bianca Kastl: Das E-Rezept hat ein Zugriffssystem, was mehr oder weniger Tokens in den Cloud
11:33
Bianca Kastl: abgelegte Rezepte zugreifen lassen.
11:37
Bianca Kastl: Der Zugriff auf ein E-Rezept geht wahlweise über die Gesundheitskarte.
11:40
Bianca Kastl: Das heißt, man kann über seine Gesundheitskarte oder das Steckende Gesundheitskarte
11:43
Bianca Kastl: die für diese Gesundheitskarte offenen Rezepte einsehen.
11:47
Bianca Kastl: Oder man kann zum Beispiel QR-Codes Menschen in die Hand geben,
11:52
Bianca Kastl: wo man auch diesen Zugangscode mehr weniger zu diesem, genau diesem Rezept hat.
11:56
Bianca Kastl: Also beim E-Rezept ist es auch nachvollziehbar, dass man dann verschiedene Zugangswege
11:59
Bianca Kastl: braucht, weil es geht um Niedrigschwelligkeit.
12:00
Bianca Kastl: Da geht es auch darum, dass man irgendwie für andere Personen in die Apotheke
12:03
Bianca Kastl: gehen kann und ein Medikament abholen kann.
12:06
Bianca Kastl: Und dann hat man das mehr oder weniger versucht, möglichst niedrigschwellig zu machen.
12:10
Bianca Kastl: Das heißt, Stecken von dieser Gesundheitskarte reicht, um die offenen Rezepte
12:14
Bianca Kastl: einer Person einzusehen.
12:17
Bianca Kastl: Das führt uns jetzt dann nachher noch zu dem Problem bei der EPA,
12:19
Bianca Kastl: weil man hat eigentlich das Konzept von dieser Zugangsberechtigung aus dem E-Rezept
12:23
Bianca Kastl: kopiert und gesagt, super, haben die Leute schon, kennen sie?
12:27
Bianca Kastl: Und damit geht die Misere dann so langsam los.
12:30
Linus Neumann: Weil dieser Zugriff, dieser Zugangsschutz nicht für besonders kritische Daten
12:38
Linus Neumann: akzeptabel ist. Okay, weil das greifen wir jetzt.
12:41
Bianca Kastl: Greifen da ein bisschen vor. Ich glaube, die Schwierigkeit dahinter ist,
12:45
Bianca Kastl: man hatte eigentlich im guten Sinne gedacht, naja, wir nehmen etabliertes Verfahren,
12:49
Bianca Kastl: sparen wir irgendwie Geld.
12:50
Bianca Kastl: Hat das damals aber mit E-Rezept aufgebaut, was einfach ein ganz anderer Use
12:56
Bianca Kastl: Case ist. wenn ein Rezept verloren geht, ist es auch sensibel,
12:59
Bianca Kastl: aber das ist halt in dem Moment, im Zugriff ist, sind nur die offenen Rezepte,
13:04
Bianca Kastl: wenn ich einen Zugang dazu kriege.
13:06
Bianca Kastl: Und das gleiche Konzept, aber jetzt quasi eins zu eins auf eine EPA auszurollen,
13:11
Bianca Kastl: kann halt dann ziemlich ins Auge gehen.
13:13
Bianca Kastl: Und da sind wir jetzt, glaube ich, bei der Historie von dem,
13:17
Bianca Kastl: was in den letzten Tagen nochmal wieder passiert ist, wie da eigentlich die
13:20
Bianca Kastl: Historie bei der elektronischen Patientenakte war.
13:23
Bianca Kastl: Und da muss man dann jetzt eigentlich wieder auch schon ab dem Moment anfangen,
13:28
Bianca Kastl: wo Uli Kälber schon beim E-Rezept sagte, ja, also der Zugriffsschutz irgendwie,
13:33
Bianca Kastl: das müssen schon irgendwie signierte Daten sein.
13:36
Linus Neumann: Uli Kälber, der damalige Bundesdatenschutzbeauftragte.
13:39
Bianca Kastl: Der damals schon sagte, wenn diesen Zugang zu diesen E-Rezepten,
13:43
Bianca Kastl: da muss schon irgendwie auch kryptografisch nachgewiesen werden, dass die Karte steckt.
13:48
Bianca Kastl: Das hat man damals irgendwie wegdiskutiert und irgendwie gesagt,
13:51
Bianca Kastl: naja, okay, das passt für den Fall, das Risiko ist akzeptabel,
13:56
Bianca Kastl: weil es tatsächlich in dem Fall nur möglich ist durch,
14:02
Bianca Kastl: Zugriff auf eine Karte halt zu gucken, was sind die offenen Rezepte. Das ist,
14:06
Bianca Kastl: Vielleicht ein vertretbarer Schaden. Was mit der EPA dann passiert, ist ein anderes Thema.
14:11
Linus Neumann: Das müssen wir, glaube ich, einmal nochmal in Ruhe erklären.
14:14
Linus Neumann: Du hast gerade gesagt, ein kryptografischer Nachweis, hat Uli Kelber gesagt,
14:18
Linus Neumann: es war auch richtig, dass er das gesagt hat, dass die Karte steckt.
14:23
Linus Neumann: Wie ist es denn implementiert, das Rezept? Also welche Daten schickt die Apotheke
14:28
Linus Neumann: an, die TI, also die Cloud letztendlich, um zu sagen, gib mal bitte offene Rezepte?
14:36
Bianca Kastl: Also beim E-Rezept ist es so, es gibt Altdienste in der Telematik-Infrastruktur,
14:42
Bianca Kastl: einen versicherten Stammdatendienst.
14:44
Bianca Kastl: Dieser versicherten Stammdatendienst löst eine ganze Kette aus an Dingen,
14:49
Bianca Kastl: die notwendig sind, um erstmal von dieser Karte dann eigentlich zu der jeweiligen Anwendung zu kommen.
14:54
Bianca Kastl: Also wenn ich diese Karte stecke, dann ist es meistens immer auch so,
14:58
Bianca Kastl: dass überprüft wird, ist die Person überhaupt jetzt gültig versichert,
15:03
Bianca Kastl: hat die Kasse für diese Person irgendwelche Updates vielleicht noch.
15:07
Bianca Kastl: Das heißt, es geht erst über den Stammdatendienst. Der Stammdatendienst schickt
15:10
Bianca Kastl: quasi dann zu dieser Karte zurück, ne, es gibt keine Updates.
15:12
Bianca Kastl: Man kann dann, so ist es ursprünglich auch beim E-Rezept implementiert gewesen,
15:18
Bianca Kastl: hat es verändert dann, aber da kommen wir gleich dazu, warum man es verändert hat.
15:21
Bianca Kastl: Man schickt dann quasi, nachdem man feststellt, man hat kein Update für diese
15:24
Bianca Kastl: Karte, an einen zweiten Dienst, den Update-Flag-Service mehr oder weniger,
15:30
Bianca Kastl: die Kartennummer sagt dann ja, zu dieser Kartennummer hätte ich gerne Zugangstoken.
15:33
Bianca Kastl: Das heißt, wenn man jetzt,
15:37
Bianca Kastl: böswillig einfach nur diesen Dienst sagt zu dieser Kartennummer,
15:42
Bianca Kastl: hätte ich gerne einen Token, kriege ich einen Token dazu.
15:44
Bianca Kastl: Das war beim E-Rezept schon so. Das heißt, man kann aus dieser ganzen Kette von,
15:52
Bianca Kastl: Berechtigungserlangung einfach nur den Dienst ansprechen und sagen,
15:54
Bianca Kastl: ich hätte gerne eine ganz bestimmte Karte hinzugucken.
15:57
Linus Neumann: Und das war's?
15:58
Bianca Kastl: Das war schon beim E-Rezept schon so kaputt. man hat ja quasi den gleichen Zugangsweg
16:04
Bianca Kastl: genommen und jetzt setzt man darauf die Anwendung der elektronischen Patientenakte.
16:10
Linus Neumann: Und dann wird es nur schlimmer, also ich brauche nur die Kartennummer.
16:14
Bianca Kastl: Genau, das war schon mal ihr Rezept so.
16:16
Linus Neumann: Und die steht erstens auf der Karte drauf, zweitens,
16:21
Linus Neumann: Ist die seriell? Das heißt, wenn ich eine Kartennummer habe,
16:24
Linus Neumann: kann ich Plus 1 und Minus 1 nehmen und habe wieder Kartennummern.
16:27
Bianca Kastl: Genau, also die sogenannte ICSSN ist eine Nummer, die generiert sich aus der jeweiligen Kasse.
16:35
Bianca Kastl: Die Kassennummern sind bekannt. Das sind die ersten zehn Ziffern.
16:39
Bianca Kastl: Dann gibt es halt die nächsten zehn Ziffern. Die sind dann aufsteigende Nummern.
16:43
Bianca Kastl: Jetzt kann man hochrechnen, wie viele Gesundheitskarten wir in dem ganzen Gesundheitssystem
16:47
Bianca Kastl: schon ausgegeben haben. Das sind mehrere Generationen. Wir sind bei Generation 2.1.
16:51
Bianca Kastl: Die mit NFC ausgestattet ist und dann kann man hoch hin, die Gesundheitskarte
16:57
Bianca Kastl: gilt irgendwie fünf Jahre, das heißt, die wird alle fünf Jahre durchrotiert,
17:01
Bianca Kastl: dann weißt du, wie der Nummerraum ist und weißt du wie die Karten bei bestimmten Krankenkassen,
17:06
Bianca Kastl: mit den Nummern aussehen würden.
17:08
Linus Neumann: Das ist übrigens ICCSN, Integrated Circuit Card Serial Number, also serielle Nummer.
17:16
Linus Neumann: Okay, also wenn ich alle E-Rezepte haben will, rede ich mit dem einen Service,
17:20
Linus Neumann: geh einfach die ganze Zeit Karten, geh einfach Kartennummernraum durch,
17:25
Linus Neumann: hab nicht so viele Kassen, wie die ersten 10 Ziffern sind, also es ist ein relativ
17:31
Linus Neumann: einfach abbildbarer Raum, durch den ich iterieren kann.
17:35
Tim Pritlove: Wenn du sagst, ich, also wo findet dieser Zugriff denn statt?
17:41
Tim Pritlove: Ist das etwas, was jetzt nur in einer Praxis stattfinden kann oder von überall im Internet?
17:48
Tim Pritlove: Also was für Zugänge zu dieser Infrastruktur gibt es denn überhaupt?
17:52
Bianca Kastl: Ja, also ich glaube, wir sind ins Detail gegangen, es hängt drum herum schon noch einiges mehr.
17:59
Bianca Kastl: Die ganze Telematik-Infrastruktur als solches, die besteht aus mehreren Komponenten.
18:03
Bianca Kastl: Das ist noch Technik von vor ein paar Jahrzehnten, aber die hält sich halt im Gesundheitswesen.
18:11
Bianca Kastl: Um in diese Telematik-Infrastruktur zu kommen, braucht man mehrere technische Geräte.
18:15
Bianca Kastl: Zum Beispiel einen Connector. Der Connector ist eine Art Internet-Router für
18:19
Bianca Kastl: ein VPN-Zugangsnetz, der in den Praxen installiert ist.
18:25
Bianca Kastl: Den kann man sich entsprechend mit Berechtigung kaufen.
18:30
Bianca Kastl: Und was man dann auch braucht, sind mehrere kryptografische Komponenten,
18:34
Bianca Kastl: um diesen Zugang aufzubauen.
18:36
Bianca Kastl: Man braucht einerseits für die jeweiligen Personen,
18:42
Bianca Kastl: quasi Berufsnachweise, Heilberufsausweise. Das heißt,
18:45
Bianca Kastl: da kriegt man irgendwie bei seiner Ärztekammer oder irgendwelchen anderen Ständevertretungen
18:52
Bianca Kastl: einen Nachweis, dass man jetzt zum Beispiel Arzt ist oder irgendwie Zahnarzt oder keine Ahnung.
18:58
Bianca Kastl: Da gibt es einen Heilberufsausweis, das ist quasi eine Chipkarte,
19:01
Bianca Kastl: mit der ich nachweisen kann, hallo, ich bin Arzt.
19:04
Bianca Kastl: Dann gibt es einen Praxisausweis, das ist also für die Organisation,
19:09
Bianca Kastl: mit der man nachweisen kann, sogenannte SMCB, mit der man nachweisen kann,
19:14
Bianca Kastl: ja hallo ich bin in der Praxis.
19:16
Tim Pritlove: Was ist das SMCB?
19:20
Bianca Kastl: Ich gucke schnell ins Blassar. Genau.
19:22
Linus Neumann: Ich wusste das mal.
19:23
Tim Pritlove: Entschuldigung, wenn du es erwähnst, dann musst du fragen. Ja,
19:28
Tim Pritlove: aber es gibt sozusagen einfach einen Nachweis, was man ist. Man ist ein lizenzierter Ort sozusagen.
19:34
Bianca Kastl: Genau. Wichtig ist das SMCB in diesem Konzept vor allem deswegen,
19:39
Bianca Kastl: weil man das Konzept ein bisschen runtergedampft hat auf,
19:42
Bianca Kastl: naja es reicht ja, wenn wir nachweisen, dass da jemand aus einer Apotheke auf
19:46
Bianca Kastl: zum Beispiel E-Rezepte zugreifen will oder dass jemand aus einer Praxis E-Rezepte ausstellen will.
19:52
Bianca Kastl: Man kann die nur mit einem Heilberufsausweis signieren. Das heißt,
19:55
Bianca Kastl: das muss ein Arzt signieren.
19:56
Bianca Kastl: Aber das Einlösen von E-Rezepten zum Beispiel ist halt so gedacht gewesen,
20:00
Bianca Kastl: naja gut, es ist wichtig, dass halt irgendwie alle in der Apotheke damit hantieren können.
20:05
Bianca Kastl: Deswegen reicht es zum Beispiel, da die SMCB zu haben.
20:09
Linus Neumann: Security Module Card Type B. Also letztendlich, es ist eine SIM-Karte.
20:13
Tim Pritlove: Ja, okay.
20:15
Bianca Kastl: Das fragt mich nicht, was A und B in dem Fall ist. Das ist vollkommen egal.
20:18
Bianca Kastl: Irgendjemand hat es mal angefangen durchzunummerieren.
20:20
Bianca Kastl: Also die Abkürzung ist auch nicht so wirklich sprechend.
20:23
Tim Pritlove: Das ist wieder so ein Begriff mit der Letzte, der es wusste,
20:27
Tim Pritlove: ist vor zehn Monaten gekündigt worden. Wir nutzen das einfach.
20:32
Bianca Kastl: Ja, gut. Aber bauen wir mal kurz die Kette auf von Dingen, die wir brauchen.
20:36
Bianca Kastl: Also wir haben erstmal kryptografisch nachgewiesen, identitätsmäßig genutzt.
20:41
Bianca Kastl: Da gibt es einen Arzt zum Beispiel oder eine Ärztin. Dann haben wir die berechtigte
20:47
Bianca Kastl: Organisation, die Leistungserbringerinstitution, wie es in der Telematik-Sprech heißt.
20:52
Bianca Kastl: Dann haben wir einen Connector, dann haben wir in diesem Connector auch noch
20:55
Bianca Kastl: eine entsprechende Kryptokarte drin, damit dieser Connector auch Dinge entschlüsseln,
20:59
Bianca Kastl: verschlüsseln kann. Und dann haben wir noch entsprechend ein Kartenlesegerät.
21:04
Bianca Kastl: In diesem Kartenlesegerät stecke ich als Patientin dann meine Gesundheitskarte,
21:09
Bianca Kastl: um dort entsprechend auch kryptografische Informationen auszutauschen.
21:13
Bianca Kastl: Und auch dieses Kartenlesegerät hat nochmal eine Kryptokarte SMCKT für Dinge.
21:22
Bianca Kastl: Also ihr versteht, es gibt viel kryptografisches Material auf Karten,
21:26
Bianca Kastl: was eigentlich gut abgehangen und viele Funktionen hat.
21:30
Bianca Kastl: Und das brauche ich erstmal so als Grundlage, um mit der Telematik zu interagieren
21:35
Bianca Kastl: und dann kann ich in der Telematik-Infrastruktur entsprechende Web-Services nutzen, um Dinge zu tun.
21:40
Bianca Kastl: So, und jetzt kommen wir vielleicht so ein bisschen zu dem, was jetzt eigentlich
21:45
Bianca Kastl: das Problem ist, was wir auf dem Kongress gezeigt haben.
21:52
Bianca Kastl: Also der Martin Schiersig und ich haben ja auf dem Kongress quasi so eine ganze
21:55
Bianca Kastl: Reihe von Dingen gezeigt, wo man mit dieser Telematik interagieren kann,
22:00
Bianca Kastl: um sich dann ein bisschen langsam Richtung elektronische Patientenakte durchzuringen.
22:05
Bianca Kastl: Man muss wissen, dass diese SMCBs, also diese Praxisausweise,
22:10
Bianca Kastl: naja, die kann man sich natürlich versuchen irgendwie zu erschleichen.
22:14
Bianca Kastl: Das Einfachste ist da zum Beispiel irgendwelche Portale von,
22:19
Bianca Kastl: ja, Ärztekammern mal sich anzugucken und dann gibt es halt so Dinge wie SQL-Injections,
22:25
Bianca Kastl: man kann irgendwie die Datenbanken manipulieren.
22:28
Bianca Kastl: Also ja, SQL Injection gibt es halt immer noch in dem Konzept,
22:31
Bianca Kastl: weil die ganze Technik ist halt auch irgendwie 20 Jahre teilweise.
22:36
Linus Neumann: Wie hat denn die SQL Injection so lange überlebt?
22:39
Bianca Kastl: Ich glaube, das Portal hat so lange überlebt. Also genau, also ich habe das
22:45
Bianca Kastl: Ziel eigentlich, brauche ich in dem Zugang zu das Konzept, ich brauche einen Praxisausweis.
22:49
Bianca Kastl: Weil das ist das, was ich brauche und damit kann ich anfangen,
22:52
Bianca Kastl: in diesem System zu interagieren.
22:54
Bianca Kastl: Also gucke ich, ob ich bei der Ärztekammer SQL Injections finde. Ja, gibt's.
22:59
Bianca Kastl: Den Weg haben wir jetzt nicht gewählt, weil Hackerparagraph und so, naja.
23:05
Linus Neumann: Aber demonstriert wurde das ja auch schon vor Jahren von Martin mit dem Arztausweis
23:12
Linus Neumann: an die Käsetheke und dass es jetzt, sag ich mal, nicht so schwierig ist,
23:17
Linus Neumann: sich so einen zu bestellen.
23:19
Bianca Kastl: Ja, es ist halt ein klassisches Social Engineering Problem.
23:24
Bianca Kastl: Man hat das erstmal so gutmöglich abgesichert. Hallo, ich bin Arzt,
23:26
Bianca Kastl: lassen Sie mich durch. Ich brauche jetzt hier eine Karte.
23:29
Bianca Kastl: Dann hat man irgendwann mal festgestellt, ja doch irgendwie doof, wie wir das machen.
23:34
Bianca Kastl: Dann hat man irgendwie Identifikationen eingebaut und hat noch irgendwie Postident
23:37
Bianca Kastl: gemacht, um die Dinge zuzustellen.
23:39
Bianca Kastl: Aber de facto ist es so, dass wahrscheinlich irgendwo irgendwelche Sachen durchgerutscht
23:44
Bianca Kastl: sind, weil wir sprechen von mehr als 100.000 Leistungsbringerinstitutionen, die es gibt.
23:48
Bianca Kastl: Das heißt, dass die alle hundertprozentig korrekt ausgegeben und immer sicher
23:53
Bianca Kastl: verwahrt werden, schwierig.
23:54
Linus Neumann: Das mit den mehr als 100.000 wissen wir vor allem auch sehr genau aus dem Detrust-Datenleck,
24:01
Linus Neumann: wo jeder einzelne Antrag für eine solche Karte zugreifbar war.
24:07
Linus Neumann: Durch eine, ich glaube, das war eine Insecure Direct Object Reference.
24:11
Linus Neumann: Also das ist da auch schon einmal rausgefallen, alles an Daten.
24:15
Linus Neumann: Ich glaube 100, weiß nicht, 100 noch was, 1000 waren es auf jeden Fall.
24:21
Linus Neumann: Gut, aber ich würde das jetzt mal so ein bisschen überspringen,
24:25
Linus Neumann: weil eigentlich mit dieser Zahl 100.000 ist ja schon klar, da wird es potenziell auch,
24:33
Linus Neumann: einen einen oder anderen nicht ganz so ethischen Endpunkt geben.
24:40
Linus Neumann: Seien es jetzt vielleicht zwei, drei Ärztinnen oder Ärzte, die da eventuell
24:46
Linus Neumann: mal über ihre Befugnisse hinausgehen oder auch deren Mitarbeiterinnen,
24:49
Linus Neumann: die sie ja da sitzen haben.
24:52
Linus Neumann: Also wir haben hier, selbst wenn man davon ausgeht, dass es nur diese hunderttausende
24:58
Linus Neumann: berechtigten Karten gibt, muss man in denen ja mit dem kompletten Spektrum an
25:03
Linus Neumann: Gut- und Bösartigkeit rechnen.
25:06
Linus Neumann: Und selbst wenn man das nicht tun würde, entschuldigt das ja nicht Security-architektonische Schwächen.
25:12
Linus Neumann: Wir haben also einen Connector, wir haben so eine Karte, es wurde gezeigt, die kann man bekommen.
25:17
Linus Neumann: So, jetzt wäre ja der nächste Schutz, der zu sichern wäre, dass ich Rezepte
25:28
Linus Neumann: nur für Patientinnen ausstelle, die bei mir waren,
25:32
Linus Neumann: oder Rezepte auch nur von Patientinnen einsehe, die bei mir sind.
25:38
Bianca Kastl: Ja, theoretisch.
25:39
Linus Neumann: Und das ist ja, wenn ich das, ich fasse das so ein bisschen zusammen,
25:43
Linus Neumann: weil alles was wir jetzt, da werden wir vielleicht auch die ein oder andere
25:46
Linus Neumann: Hörerin unterwegs kurz verloren haben,
25:48
Linus Neumann: das Wichtige ist immer, wenn SMC, von SMCKT und SMCB die Rede ist,
25:55
Linus Neumann: ist immer eine kleine goldene SIM-Karte, wie eine SIM-Karte aussehendes Kärtchen gemeint,
26:04
Linus Neumann: auf dem sich kryptografisches Schlüsselmaterial befindet, mit dessen Hilfe ein
26:13
Linus Neumann: Nachweis zu erbringen ist,
26:15
Linus Neumann: dass diese Karte zu einem bestimmten Zeitpunkt tatsächlich vorhanden war.
26:21
Linus Neumann: Und wie das funktioniert, ich mach das mal ganz kurz high level,
26:25
Linus Neumann: dann gehen wir wieder in die Details, ist die Karte, diese Karten werden gebaut,
26:29
Linus Neumann: um kryptografische Schlüssel aufzubewahren, anwenden zu können, aber nie zu verraten.
26:35
Linus Neumann: Und das ist wirklich eine sehr tolle Erfindung, die, ich glaube die erste breite
26:42
Linus Neumann: Anwendung solcher Karten waren SIM-Karten für Mobiltelefone.
26:51
Linus Neumann: Man könnte auch sagen, Telefonkarten, die verteilt wurden, die waren,
26:55
Linus Neumann: glaube ich, noch ein bisschen, also da kann man noch nicht von diesem Stand
26:58
Linus Neumann: sprechen, aber auch die hatten das Schutzziel, ähm,
27:04
Linus Neumann: eine Aussage treffen zu können, einseitig programmierbar zu sein und da quasi
27:09
Linus Neumann: auch Werte drauf speichern zu können.
27:11
Linus Neumann: Das heißt, in den 90er Jahren hat die Deutsche Post, wahrscheinlich noch damals,
27:18
Linus Neumann: oder hieß sie da schon Telekom, Telekom wahrscheinlich, damit Pfennigsbeträge geschützt.
27:22
Linus Neumann: Also nur um das mal ins Verhältnis zu setzen.
27:26
Linus Neumann: Und dann Ende der 90er Jahre mit Mobilfunk wurden dann damit eben,
27:31
Linus Neumann: ja sagen wir mal Beträge im Bereich der Hunderte und Tausende, D-Mark geschützt,
27:36
Linus Neumann: und vor allem der Grund, dass wir auch heute noch SIM-Karten haben,
27:41
Linus Neumann: ist ja damit pro Vertrag, der bezahlt wird, auch nur eine Person telefoniert.
27:45
Linus Neumann: Das ist also, das schützen sich die Mobilfunknetze vor uns, damit wir nicht
27:50
Linus Neumann: einfach nur einen Tarif haben und alle darüber telefonieren.
27:54
Linus Neumann: Und also diese Karten werden dadurch nicht kopierbar.
28:00
Linus Neumann: Jetzt will ich noch ganz kurz erklären, wie die Karte denn den Nachweis erbringt,
28:04
Linus Neumann: dass sie zu einem gegebenen Zeitpunkt da ist, das ist nämlich auch ein sehr einfaches Prinzip,
28:10
Linus Neumann: die ferne Instanz, in dem Fall die TI, wenn sie es machen würde,
28:14
Linus Neumann: würde sagen, ach guck mal, du willst also die Gesundheitskarte von der Bianca
28:21
Linus Neumann: sein, ich gebe dir meine Zufallszahl,
28:23
Linus Neumann: sei doch mal so gut, insignier mir die bitte.
28:26
Linus Neumann: Und dann sagt die Karte, naja klar, ich signiere diese Zufallszahl jetzt mal
28:30
Linus Neumann: hier mit meinem Schlüssel.
28:32
Linus Neumann: Und dann könnte die TI sagen.
28:36
Linus Neumann: Zappalott, das passt zu dem öffentlichen Schlüssel, den ich bei mir hinterlegt
28:40
Linus Neumann: habe. Diese Karte ist da.
28:43
Linus Neumann: Das sehe ich jetzt ein. Und würde nun ich oder der Martin oder der Tim,
28:48
Linus Neumann: der ist ja auch böse, diese Kommunikation von der Bianca abhören,
28:54
Linus Neumann: dann hätten wir zwar die Antwort, aber beim nächsten Mal werden wir nach einer
28:57
Linus Neumann: anderen Zufallstage gefragt.
28:58
Linus Neumann: Das heißt, wir können diesen Beweis nicht mehr erbringen. Und das ist quasi
29:02
Linus Neumann: für alles, was SMCB ist, SMCKT, das zugrunde liegende Prinzip.
29:10
Linus Neumann: Und ich bin, ich muss wirklich sagen, ja, ich habe ja so eine Gesundheitskarte.
29:15
Linus Neumann: Ich habe den Chip da drauf gesehen und dachte, dann werden die den wohl verwenden.
29:20
Linus Neumann: Also ich meine, wenn die jetzt so einen riesen Aufriss gemacht haben,
29:23
Linus Neumann: mir diese Karte zu schicken, da war schon immer so ein Chip drauf,
29:26
Linus Neumann: jetzt ist da noch ein Foto drauf.
29:28
Linus Neumann: Und dann kommt ihr auf einmal daher und sagt, du benutzt den Chip nicht.
29:34
Bianca Kastl: Ja, also man muss dazu sagen, diese Gesundheitskarte hat zwei Datensätze.
29:39
Bianca Kastl: Es gibt den guten signierten und es gibt den nochmal unsignierten,
29:43
Bianca Kastl: mehr weniger mit den Basisinformationen.
29:45
Bianca Kastl: Und aus irgendeinem der IT-Welt nicht ganz nachvollziehbaren Grund hat man beim
29:51
Bianca Kastl: E-Rezept damals einfach nur diese Basisinformation abgegriffen.
29:54
Bianca Kastl: Hat gesagt, naja, gut, ich muss ja noch wissen, dass die Karte sowieso,
29:57
Bianca Kastl: ich kann die Karte eh weitergeben.
29:59
Bianca Kastl: Ich möchte irgendwie, dass für andere Leute irgendwie Rezepte eingelöst werden.
30:03
Bianca Kastl: Zum Beispiel, ich gebe irgendwie, keine Ahnung, die Oma gibt dem Kind die Gesundheitskarte,
30:09
Bianca Kastl: damit das Kind irgendwie in die Apotheke laufen kann, die Gesundheitskarte und
30:12
Bianca Kastl: so weiter und so fort. Das Szenarien
30:14
Bianca Kastl: sind ja aus der praktischen Anwendung vielleicht nachvollziehbar.
30:19
Bianca Kastl: Jetzt ist es aber so, man hat dann quasi nur diesen unsignierten Datensatz ausgewertet.
30:27
Bianca Kastl: Und mit diesem unsignierten Datensatz, hallo, ich bin die Karte sowieso nummerös,
30:32
Bianca Kastl: ich hätte dafür gerne Zugang zu den entsprechenden Rezepten,
30:35
Bianca Kastl: hat man das im E-Rezept so implementiert.
30:38
Bianca Kastl: Mit eben dieser Kette, dass man, wenn man sich diesen, quasi den API-Call rauszieht,
30:45
Bianca Kastl: der sagt, naja, ich hätte gerne,
30:47
Bianca Kastl: lieber Update-Flex-Service, ich hätte gerne hier zu dieser Karte nochmal einen
30:51
Bianca Kastl: Zugang, dann ist man relativ schnell halt einfach direkt bei dem Zugang, wenn man sagt,
30:56
Bianca Kastl: ich bin irgendeine beliebige Karte, nehme einfach nur die Nummer davon und ich
30:59
Bianca Kastl: hätte zudem gerne den Zugang.
31:00
Bianca Kastl: Beim E-Rezept ist es noch nicht so schlimm, weil, naja, im Zweifel kann man eben zu,
31:08
Bianca Kastl: Kartennummern offene Rezepte einsehen, die sind aber halt nur eine gewisse Zeit
31:11
Bianca Kastl: offen, weil die laufen erstens mal nach 30 Tagen ab und wenn die eingelöst sind,
31:16
Bianca Kastl: kann man die nicht mehr einsehen.
31:19
Linus Neumann: Und da ergibt sich keine Krankenhistorie, keine Gesundheitshistorie raus,
31:24
Linus Neumann: weil ich immer nur aktuell gültige Rezepte sehen würde.
31:27
Bianca Kastl: Nur offene Rezepte tatsächlich. Also das ist der Trade-off, den man damals,
31:31
Bianca Kastl: glaube ich, gemacht hat, den man vielleicht noch nachvollziehen kann,
31:33
Bianca Kastl: weil natürlich ist es so ein Thema, dass es auch sensible Informationen sind,
31:39
Bianca Kastl: was in den Rezepten drin ist.
31:40
Bianca Kastl: Sind halt Rezepte mit entsprechenden Diagnosen, auch kodierbar mehr oder weniger.
31:47
Bianca Kastl: Aber man hat damals gesagt, wir nehmen das schnelle Verfahren,
31:49
Bianca Kastl: signieren dauert ein bisschen, braucht einen Sekundenbruchteil,
31:53
Bianca Kastl: wir müssen jetzt noch konnektoren irgendwie vielleicht anpassen,
31:55
Bianca Kastl: wenn die weitere Verfahren irgendwie haben und irgendwie die Kartenlesegeräte
31:59
Bianca Kastl: brauchen, andere Software.
32:00
Bianca Kastl: Also hat man damals irgendwie die billige Variante genommen und hat gesagt,
32:03
Bianca Kastl: wir nehmen einfach nur unsignierten Daten.
32:05
Linus Neumann: Würde, also befindet sich in der Antwort der Name der Patientin?
32:12
Bianca Kastl: Wenn man über den Stammdatendienst geht, ja, klar. Wenn man jetzt direkt über
32:16
Bianca Kastl: den Update-Flag-Service geht, erstmal nicht.
32:20
Linus Neumann: Also es wäre, man könnte ja argumentieren, dass dieser Trade-off beim Rezept,
32:26
Linus Neumann: also ich finde den auch nicht gut,
32:30
Linus Neumann: wäre schon irgendwie so ein Pinschutz auf die Karte oder irgendwas noch,
32:34
Linus Neumann: wäre schon ganz sinnvoll gewesen.
32:36
Linus Neumann: Ich weiß auch nicht, ob jetzt der Enkel unbedingt verschreibungspflichtige Medikamente
32:42
Linus Neumann: für Oma holen muss oder ob die nicht die zwei Euro für den Apotheken liefern,
32:46
Linus Neumann: meistens ja sogar kostenlos, aber okay.
32:49
Tim Pritlove: Naja, du musst halt, also man muss dazu sagen, da kann es halt auch mal um Leben und Tod gehen, so.
32:55
Tim Pritlove: Also da so eine niedrigschwelligere Lösung, also das willst du dann halt auch nicht lieben.
33:01
Tim Pritlove: Ja, Oma verstorben, weil Apotheke konnte nicht wichtige Medikamente mal eben ausgeben.
33:09
Tim Pritlove: Also das ist ein Konfliktbereich und man kann es halt immer auch übertreiben.
33:14
Tim Pritlove: Wir wissen ja auch, wenn man es alles sicher machen will, dann wird es halt
33:18
Tim Pritlove: auch schnell so kompliziert und klar, wenn man mit so einer elektronischen Logik
33:21
Tim Pritlove: da rangeht, dann macht das irgendwie alles Sinn, aber es muss ja auch im Real World funktionieren.
33:27
Linus Neumann: Okay, ja, lassen wir gelten.
33:29
Bianca Kastl: Also da kann man ein bisschen drüber nachdenken, warum das für das E-Rezept
33:33
Bianca Kastl: vielleicht ein wirkliches Vorgehen ist, das irgendwie so zu machen.
33:36
Bianca Kastl: Jetzt ist aber der Witz bei der Sache natürlich das, was mit der E-Pardon jetzt
33:39
Bianca Kastl: passiert ist, weil das ist der gleiche Zugangsmechanismus.
33:46
Bianca Kastl: Es ist jetzt nicht so, dass wir mit Gematik, also der zuständigen Digitalagentur
33:50
Bianca Kastl: für Digitalisierung des Gesundheitswesens, darüber schon mal gesprochen hätten,
33:54
Bianca Kastl: dass das ein Problem ist mit dem E-Rezept-Dienstweg auf die Daten zuzugreifen.
33:59
Bianca Kastl: Der Martin Schirsich hat im August der Gematik gesagt, hier Problem,
34:04
Bianca Kastl: wenn man diesen Weg so und so geht und dann diesen OP-Call über den Update-Flex-Service
34:08
Bianca Kastl: durchgeht, kriegen Zugangstoken auf alle E-Pass, wenn ich die Nummer von der Karte habe.
34:13
Bianca Kastl: Das haben wir der Gematik gemeldet im August letzten Jahres.
34:20
Linus Neumann: Und also,
34:24
Linus Neumann: was ich da wirklich, wir haben uns auch in früheren Sendungen schon darüber
34:27
Linus Neumann: aufgeregt, aber das ist also ernsthaft,
34:34
Linus Neumann: Habt ihr denen das gemeldet und die haben gesagt, krass, dass ihr das jetzt
34:38
Linus Neumann: sagt, da muss doch irgendwo ein Mensch im Raum gewesen sein,
34:42
Linus Neumann: der da auch mal durchdacht hat.
34:45
Bianca Kastl: Ich glaube, das war mehr oder weniger schon Leuten bekannt, die,
34:48
Bianca Kastl: ich meine, Menschen arbeiten in diesem Feld, arbeiten da seit ein paar Jahren, auch in der Industrie,
34:55
Bianca Kastl: implementieren sowas und die merken ja auch, was es gibt an verschiedenen Varianten,
35:00
Bianca Kastl: denken sich, ob das so eine gute Idee ist, keine Ahnung, aber ja,
35:04
Bianca Kastl: da wickelt man halt vor sich irgendwie hin. Das ist so das Thema.
35:07
Linus Neumann: Um mal Karl Lauterbach zu zitieren, der wird nicht müde zu betonen,
35:12
Linus Neumann: das ist auch richtig, was er sagt, dass diese EPA für alle oder die TI das größte
35:18
Linus Neumann: Digitalisierungsprojekt der Bundesrepublik ist.
35:21
Linus Neumann: Es gibt nichts Vergleichbares, weder in Datenmenge noch in Bedeutung,
35:29
Linus Neumann: aber damit auch erst recht nicht im Sinne der Kritikalität, weil aktuell,
35:35
Linus Neumann: gut, was ist da jetzt schon drin in so einer EPA, aber was sich da an Daten
35:39
Linus Neumann: über die Laufzeit so eines typischen Menschen rein akkumulieren wird,
35:47
Linus Neumann: das wird eine riesige Anlage.
35:49
Linus Neumann: Ja, und wie, da muss doch, müssen doch Menschen, die dafür verantwortlich sind,
35:55
Linus Neumann: die so etwas schreiben, die sagen, wir bauen, wir wissen auch,
35:57
Linus Neumann: dass wir hier etwas bauen, auch von den Anwenderinnen,
36:00
Linus Neumann: also erstens hunderttausende Endpunkte und dann Millionen,
36:08
Linus Neumann: zehn, also Größenordnungen von Millionen an Menschen, deren Daten in dem Ding sind.
36:14
Linus Neumann: Wie kann denn da irgendetwas anderes als das, also schon Stand der Technik wäre
36:20
Linus Neumann: mir da ja etwas, wo ich nervös wäre.
36:25
Bianca Kastl: Ja, eigentlich schon, aber das ist irgendwie seit Jahrzehnten ein Weg,
36:32
Bianca Kastl: wo man da eher so diesen, ja, ich will nicht sagen,
36:37
Bianca Kastl: phlegmatisch, glaube ich, trifft es ganz gut, in den Weg geht,
36:40
Bianca Kastl: wo man irgendwie so ein bisschen laissez-faire sagt, okay, es muss jetzt durchgehen,
36:43
Bianca Kastl: wir sind eh schon spät dran und wir setzen es dann um und Karl Lauterbach hat
36:47
Bianca Kastl: noch gesagt, wir müssen am 15. Januar fertig werden.
36:50
Linus Neumann: Der, so jetzt meldet ihr das im August, das ist immerhin vier Monate vor eurer,
36:56
Linus Neumann: ungefähr vier Monate vor eurer Congress-Präsentation ich glaube zu der Zeit
37:01
Linus Neumann: wahrscheinlich etwas später als August gab es ja dann noch dieses,
37:08
Linus Neumann: Fraunhofer-Gutachten, wo ich ja auch wirklich mich stundenlang drüber amüsiert
37:12
Linus Neumann: habe und ich werde dich nicht müde zu betonen die haben diese Dokumentation
37:17
Linus Neumann: in ein LLM gefüttert, weil kein Mensch, also weil die das mit,
37:24
Linus Neumann: Fraunhofer-Mentalkapazität gesagt haben, das können wir, das versteht keine
37:28
Linus Neumann: Saut, das analysieren wir mit einer KI, das kann keine, das machen wir nicht,
37:34
Linus Neumann: das können wir unseren Hiwis hier nicht zumuten. So viel Papier.
37:40
Linus Neumann: Was ist, also das spricht ja schon auch Bände über dieses Projekt als solches.
37:45
Linus Neumann: Wenn, ein Sicherheitskonzept für beispielsweise Mobilfunknetze oder so,
37:52
Linus Neumann: wo ja auch eine Reihe von Angriffen, das ist, das kann zumindest noch ein Mensch lesen.
37:57
Linus Neumann: Also auch nicht angenehm, aber zumindest nach Kenfer Konventionen noch zum Mut
38:02
Linus Neumann: war, ohne dafür ein LLM heranschaffen zu müssen.
38:06
Linus Neumann: Haben die diese Probleme in ihrer Analyse gefunden?
38:10
Bianca Kastl: Also die Analyse, die die Fraunhofer-Leute gefahren hat, hatte ja so einen gewissen Scope auch.
38:16
Bianca Kastl: Der war auch einschränkend, sowas wie, ja, Begebungsorganisationen,
38:20
Bianca Kastl: die uns angreifen, sind nicht im Scope. Dann denkt man sich, okay.
38:25
Linus Neumann: Mach mal Pen-Test, aber ohne Schwachstellen.
38:29
Tim Pritlove: Was ist, wenn du uns der Kollege aus dem nächsten Büro aus angreifst?
38:33
Bianca Kastl: Also die haben auch absurde Sachen gefunden, wie sowas wie, also nachvollziehbar,
38:38
Bianca Kastl: aber so Sachen wie, naja gut, wenn am Wochenende eine Schadensmeldung kommt,
38:42
Bianca Kastl: dann habt ihr mit einer Reaktionszeit von so und so viel Stunden.
38:45
Linus Neumann: Das war das Kritischste, ja.
38:47
Bianca Kastl: Dann müsst ihr irgendwie die Reaktionszeiten hochfahren, weil es ist dann so ein Problem.
38:50
Bianca Kastl: Also die haben irgendwie so organisatorische Themen gefunden,
38:54
Bianca Kastl: die haben auch so ein bisschen,
38:55
Bianca Kastl: ja auch ein paar Innentäter-Szenarien irgendwie formuliert, aber am Ende war
39:00
Bianca Kastl: halt so der Konsens so ein bisschen, ja schon ganz okay so ungefähr zwischen
39:05
Bianca Kastl: den Zeilen, weil es war halt auch so beauftragt, man hat gesagt,
39:07
Bianca Kastl: ja guck mal, das bitte nicht so in den Scope nehmen und so weiter.
39:10
Bianca Kastl: Und dann stellt sich halt die Gematik hin und sagt, ja ist sicher,
39:13
Bianca Kastl: das Sicherheitskonzept von dem Fraunhofer U hat gesagt, sicher.
39:19
Bianca Kastl: Also hat schon noch Mängel gefunden, aber die sind jetzt irgendwie alle nicht so schlimm.
39:23
Linus Neumann: Wir müssen kurz den Begriff Scope, also Untersuchungsbereich,
39:26
Linus Neumann: Untersuchungsumfang oder durch die Scope-Definition kann man sehr schön die
39:31
Linus Neumann: Ergebnisse von Sicherheitsüberprüfungen gestalten.
39:37
Bianca Kastl: Ja, genau. Ja, also das Fraunhofer-Vergutachten, ja, wie gesagt,
39:42
Bianca Kastl: Scope ist seltsam, von daher würde ich da jetzt nicht so viel drauf geben.
39:46
Bianca Kastl: Ich glaube, das Spannende ist eher so das, was nach dem Hinweis im August auf,
39:50
Bianca Kastl: dass es diese Zugangserlangungsmöglichkeit über den Update-Flex-Service gibt, der…,
39:56
Bianca Kastl: Was dann passiert ist. Also August, dann weist man irgendwie nochmal intensiver
40:01
Bianca Kastl: drauf hin, spricht auch mit ein paar Organisationen drüber, die da noch beteiligt
40:05
Bianca Kastl: sind und sagt, das ist ein Problem.
40:06
Bianca Kastl: Und dann hat die Gematik eine Risikobewertung gemacht und gesagt,
40:09
Bianca Kastl: naja, okay, das Problem ist vorhanden. Das Problem hat den Impact aller Akten.
40:15
Bianca Kastl: Aber jetzt kommt das, was die Gematik damals gesagt hat. Naja,
40:18
Bianca Kastl: wir sind ja die Zugangsmittel zur Telematikinfrastruktur, sind ja sicher,
40:22
Bianca Kastl: alles sicher ausgegeben.
40:24
Bianca Kastl: Und damit ist ja dieser Schaden dadurch mitigiert, der möglicherweise eintritt,
40:30
Bianca Kastl: weil wir ja alle Zugangswege, wir sprechen von mehr als 100.000,
40:35
Bianca Kastl: sicher ausgegeben haben und die ja niemals irgendwie missbraucht werden.
40:37
Linus Neumann: Das ist das klassische Konzept des Worldgarden.
40:44
Linus Neumann: Es gibt so ein paar Dinge, die man in der IT-Security tunlichst vermeidet.
40:52
Linus Neumann: Das eine ist Security by Obscurity und das andere ist ein Worldgarden.
40:56
Linus Neumann: Ja, beziehungsweise, sagen wir mal so, man vermeidet sie vielleicht auch absichtlich
41:01
Linus Neumann: nicht, um sich eine langfristige Beschäftigung und Einnahmequelle zu schaffen.
41:07
Linus Neumann: Ja, wo man weiß, ach guck mal, lass uns mal einen World Garden machen,
41:10
Linus Neumann: dann kommen wir von dem Projekt nicht mehr runter.
41:13
Linus Neumann: Ja, dann können wir das hier dauerhaft betreiben.
41:18
Linus Neumann: Erinnert mich zum Beispiel auch an die ganzen SS7 Probleme
41:22
Linus Neumann: die jetzt auch die im Mobilfunkbereich die Menschheit
41:26
Linus Neumann: nun auch seit über 20 Jahren erfreuen und Berater und Produkte also ein Gift
41:33
Linus Neumann: that keeps on giving das ist Walt Garden und für die eine nicht akzeptable Entschuldigung
41:42
Linus Neumann: oder eine nicht akzeptable Begründung an dieser Stelle würde ich sagen.
41:47
Bianca Kastl: Ja genau, also wir waren im August, das war sicher, weil da Volt gaben und dann
41:55
Bianca Kastl: hat man da erstmal so weiter gewirkelt.
41:58
Bianca Kastl: Jetzt gab es sich so, dass Martin und ich dann diesen Talk eingereicht haben
42:03
Bianca Kastl: für den Kongress und wir dann so dachten, okay jetzt haben wir halt diese VSDM,
42:09
Bianca Kastl: Abdeck-Flex-Service-Nummer,
42:11
Bianca Kastl: um auf alle Akten zuzugreifen.
42:14
Bianca Kastl: Und die Gematik sagt, jo, ist er sicher, weil ja alle Praxisausweise sicher ausgegeben werden.
42:21
Bianca Kastl: Also in dem Moment ist es nur wichtig, dass ich einen Praxisausweis habe und
42:24
Bianca Kastl: ich muss mich nicht irgendwie als Arzt ausweisen.
42:28
Bianca Kastl: Jo, das scheint anscheinend bei der Gematik nicht irgendwie zum Umdenken zu führen.
42:33
Bianca Kastl: Die Gematik wusste, dass es auf dem Kongress präsentiert werden wird.
42:36
Bianca Kastl: Das heißt, sie hatte Zeit zu reagieren, auch auf den öffentlichen Impact, hat nichts getan.
42:43
Bianca Kastl: Ja, und dann waren wir irgendwann so im November und dann meinte Martin so,
42:48
Bianca Kastl: ja gut, Vortrag wird wahrscheinlich was.
42:52
Linus Neumann: Wurde angenommen.
42:54
Bianca Kastl: Jetzt wäre es vielleicht doch ganz clever, wenn wir irgendwie wahlweise das
42:59
Bianca Kastl: noch ein bisschen anbieten.
43:01
Bianca Kastl: Vollender da demonstrieren könnten. Jetzt gucken wir mal, ob wir noch irgendwie,
43:05
Bianca Kastl: eine SMCW bekommen, um auch der Gematik zu demonstrieren.
43:09
Bianca Kastl: Übrigens, das Szenario, was ihr da so geschrieben habt, ist sicher,
43:12
Bianca Kastl: weil Worldgarden ist es nicht, weil übrigens hier ist ein Worldgarden ist offen.
43:17
Linus Neumann: Ja, wir gehen mal in eurem Worldgarden eine Blume pflücken.
43:22
Tim Pritlove: Also wenn ihr Worldgarden sagt, meint ihr damit, dass diese gesamte Infrastruktur
43:26
Tim Pritlove: so in sich abgeschlossen ist und eigentlich nicht am Internet direkt teilnimmt?
43:30
Linus Neumann: Ja, also die Annahme, dass es da keine böswilligen Akteurinnen geben kann.
43:36
Tim Pritlove: Weil hier kommt ja keiner rein.
43:38
Linus Neumann: Die haben ja alle Schutz durch hippokratischen Eid. Security bei Hippokrates.
43:48
Bianca Kastl: Ja, genau. Also wie geht man dann in die TI?
43:52
Bianca Kastl: Ja, klar, man kann jetzt irgendwie in die Praxis einbrechen,
43:55
Bianca Kastl: aber das ist jetzt auch nicht ein bisschen unethisch.
43:58
Bianca Kastl: Und dann ist die Frage schlicht und ergreifend, was gibt es denn sonst für Überschaffungswege?
44:02
Bianca Kastl: Wir hatten das mit den SQL-Injections bei den Karten herausgegeben,
44:06
Bianca Kastl: ein paar Teilen, die Lieferzeiten bei diesen Dingen sind aber immer so lang
44:08
Bianca Kastl: und das ist immer so ein bisschen,
44:10
Bianca Kastl: wenn du dann irgendwie erst im November auf die Idee kommst,
44:11
Bianca Kastl: eine Karte dir zu besorgen, dann ist die vielleicht nicht zum Kongress da und
44:15
Bianca Kastl: dann ging Martin irgendwie mal einfach auf Internetrecherchen,
44:19
Bianca Kastl: guckte, was so irgendwie existiert in dem Bereich,
44:24
Bianca Kastl: und hat dann erstmal bei Kleinanzeigen nach Kartenlesegeräten gesucht über Kleinerzeigen.
44:29
Linus Neumann: Achso, das heißt ja nicht, ich werde immer Kleinerzeigen.
44:31
Bianca Kastl: Ja, genau, das heißt nur noch Kleinerzeigen. Und dann man muss dazu sagen.
44:38
Tim Pritlove: Kleinerzeigen ist so die Hintertür in dem Wallcard. So ein kleiner Hintereingang.
44:46
Bianca Kastl: Genau. Und dann, also genau, was sucht man da?
44:51
Bianca Kastl: Kartenlesigaräte. Diese Kartenlesigaräte haben verschiedene Kartenslots und
44:57
Bianca Kastl: diese Kartenslots sind halt normalerweise die Gesundheitskarte der Patientin, aber halt auch,
45:03
Bianca Kastl: Karte des Kartenlesegeräts selbst, also um sich als Kartenlesegerät auszuweisen,
45:07
Bianca Kastl: aber da hängen halt auch immer noch unter Umständen möglicherweise ein Halberufsausweis
45:12
Bianca Kastl: drin oder eben auch eine SMCB, also ein Praxisausweis.
45:16
Bianca Kastl: Ja, dann guckt man da halt bei kleinen Zeigen ein bisschen rum und guckt,
45:20
Bianca Kastl: wie viele, funktioniert das Gerät noch?
45:23
Bianca Kastl: Leute machen da meistens Bilder von, hier ist das Gerät, funktioniert noch,
45:26
Bianca Kastl: hier gibt es dann halt ein Foto vom Display und dann sieht man,
45:32
Bianca Kastl: naja, da sind irgendwie so und so viele Karten gesteckt.
45:35
Bianca Kastl: Dann kauft man sich halt mal ganz nett das, wo die ganzen Karten stecken und,
45:41
Bianca Kastl: guckt, ob man da vielleicht noch die Karten irgendwie dazu kriegt und dann war
45:45
Bianca Kastl: es halt immer so Szenarien wie keine Praxisauflösung oder Menschen,
45:48
Bianca Kastl: die halt einfach nicht wissen, was sie da verkaufen aber noch irgendwie,
45:51
Bianca Kastl: einen Schnapper machen wollen und ja, wenn man da noch lieb fragt dann geben
45:57
Bianca Kastl: Leute sogar noch Pins mit raus Was? Weil eigentlich ist diese.
46:01
Linus Neumann: Ich kann das ja nicht verwenden, Entschuldigung,
46:10
Linus Neumann: Du weißt, was passiert, wenn du eine schlechte Bewertung bei Kleinanzeigen kriegst, Tim.
46:15
Linus Neumann: Das ist der Spaß auch.
46:20
Linus Neumann: Dann bleibt der Keller für immer voll. Dann musst du den selber entrümpeln,
46:25
Linus Neumann: wenn einmal einen Stern bei Kleinanzeigen Top Security liegt gerade wieder.
46:31
Bianca Kastl: Ja, genau, also Karten-Niese-Gerät gefunden mit SMTB plus PIN und damit auch
46:39
Bianca Kastl: quasi den physikalischen Anker für, übrigens, hallo, wir sind eine TI,
46:44
Bianca Kastl: wir könnten jetzt den Weg durchtanzen.
46:48
Bianca Kastl: Martin hat dann halt auch noch ja ein Skript gebaut, um zumindest so einen Nachweis
46:54
Bianca Kastl: zu demonstrieren das einmal dann tatsächlich auch auf der,
46:59
Bianca Kastl: sogenannten Referenzumgebung evaluiert, dass da auch tatsächlich ein Nachweis zurückkommt und ja.
47:04
Linus Neumann: Die Referenzumgebung ist irgendwie so, hier könnt ihr mal testen,
47:08
Linus Neumann: sind keine echten Patientinnen-Daten drin, aber funktioniert alles.
47:11
Bianca Kastl: Das ist eine der Produktivumgebungen naheliegendste Umgebung, also der echten TI.
47:19
Bianca Kastl: Die Schwierigkeit ist halt zu dem Zeitpunkt gewesen, ich meine die EPA war zu
47:22
Bianca Kastl: dem Moment ja noch nicht live, sondern es ist quasi wirklich ein Auseinandernehmen
47:27
Bianca Kastl: der Einzelkomponenten und der Einzeldienste und an den Einzeldiensten zu zeigen,
47:31
Bianca Kastl: dass wenn man den Teil raus isoliert und rausschält,
47:34
Bianca Kastl: dass man genau dann eigentlich alles hat, um egal was dahinter nachkommen wird,
47:37
Bianca Kastl: einen Zugriff zur EPA zu kriegen.
47:39
Bianca Kastl: Und das waren dann quasi die zwei Dinge, die halt notwendig waren.
47:43
Bianca Kastl: EBay-Kleinanzeigen und einen Webservice aufrufen.
47:46
Bianca Kastl: Dieser Webservice eben, dieser Zugangsweg über, naja, ich schicke halt die Gesundheitskartennummer,
47:53
Bianca Kastl: an diesen Service und kriege dann Zugang dazu.
47:56
Bianca Kastl: Damit kann man halt sagen, ja, okay, Zugriff auf 70 Millionen Akten.
48:01
Bianca Kastl: Und das ist das, was so als schlimmste Lücke dann auf dem Kongress mehr oder weniger rauskam.
48:05
Bianca Kastl: Es gab halt noch andere Themen drumherum, wie, keine Ahnung,
48:08
Bianca Kastl: irgendwelche Praxissoftware, die irgendwie Standardpasswörter verwendet und andere Dinge.
48:12
Bianca Kastl: Aber das, wo man sich drauf gestürzt hat, war halt tatsächlich dieses,
48:16
Bianca Kastl: okay, ihr geht auf Kleinanzeigen und kriegt irgendwie Praxisausweise,
48:21
Bianca Kastl: ist irgendwie nicht so doof, sollte man den Leuten sagen, das ist eine Scheißidee,
48:24
Bianca Kastl: Awareness-Maßnahmen, ja.
48:26
Bianca Kastl: Und eben auch mal halt das technische Szenario von dem Zugangsweg über den sich
48:30
Bianca Kastl: versicherten Stammdatendienst, der einfach durch Angabe eines ganz bestimmten
48:35
Bianca Kastl: Calls mit einer Nummer mir den Zugang gibt.
48:39
Linus Neumann: Jetzt, also ich finde das mit dem Connector irgendwo herbekommen und Karten irgendwo herbekommen,
48:47
Linus Neumann: ist notwendig, um das zu demonstrieren, damit man auch Ende zu Ende sagen kann,
48:52
Linus Neumann: Eine böswillige Akteurin,
48:55
Linus Neumann: das ist absolut im Rahmen, wenn wir das sogar schon vor dem Launch dieser Karte
49:00
Linus Neumann: hinkriegen, also absolut richtig,
49:04
Linus Neumann: aber man darf nicht vergessen, hinter diesen 100.000 berechtigten oder 150.000
49:09
Linus Neumann: berechtigten Stellen verbergen sich ja dann auch wirklich immer nochmal oder
49:13
Linus Neumann: häufig nochmal mehrere Angestellte und es ist wirklich in keiner Form davon auszugehen,
49:19
Linus Neumann: dass da nicht irgendwo mal jemand Böses dabei ist. Das ist einfach ausgeschlossen.
49:27
Linus Neumann: Und so wie du das jetzt gerade schilderst, kann man ja ein Skript schreiben
49:30
Linus Neumann: und sagen, alles klar, ich rasiere jetzt einmal durch den gesamten Space und
49:35
Linus Neumann: dann habe ich alle Gesundheitsdaten aller Deutschen, brauche ich eine große
49:37
Linus Neumann: Festplatte, aktuell noch nicht so groß, aber irgendwann brauche ich eine richtig
49:40
Linus Neumann: große. Und dann funktioniert das.
49:42
Linus Neumann: Wir haben jetzt natürlich ein paar Sachen,
49:45
Linus Neumann: glaube ich noch vereinfacht ausgelassen, denn die Berechtigung für den Zugriff
49:54
Linus Neumann: auf die EPA ist auch zeitlich begrenzt auf ich dachte mal 16 sind 90 Tage.
50:00
Bianca Kastl: Also genau was kriegt man, wenn man diesen Zugriffstoken kriegt,
50:05
Bianca Kastl: also die Befugung, man bekommt für die jeweilige Organisation,
50:10
Bianca Kastl: also auf dem Praxisausweis liegen die Organisationen Und die wird in Gruppen einkategorisiert.
50:17
Bianca Kastl: Also das ist eine Arztpraxis, das ist eine Zahnarztpraxis, das ist eine Apotheke,
50:21
Bianca Kastl: das ist Arbeitsmedizin, dann gibt es noch ganz viele andere Gruppen.
50:24
Bianca Kastl: Das, was zum Beispiel noch securitymäßig spannend wird, es kommen zum Beispiel
50:28
Bianca Kastl: Pflegeeinrichtungen dazu, Rehaeinrichtungen, das sind jetzt alles nicht Einrichtungen,
50:31
Bianca Kastl: die für IT-Security-Fachexpertise bekannt sind, sondern die müssen halt damit arbeiten.
50:37
Bianca Kastl: Das heißt, die Attack-Service im Bereich von Leistungserbringern wird größer.
50:43
Bianca Kastl: Das heißt, das ist alles sicher ausgegeben und alle Endpunkte sicher.
50:48
Bianca Kastl: Das Narrativ passt nicht mehr.
50:49
Linus Neumann: Ich hätte jetzt mal, was glaubst du denn, was da am Ende so sich,
50:53
Linus Neumann: wie du gerade sagst, wenn die Angriffsfläche sich da verteilt,
50:56
Linus Neumann: was wäre deine Schätzung?
50:58
Linus Neumann: Ich hätte jetzt mal so gedacht, so eine Million Menschen am Ende?
51:01
Bianca Kastl: Also im Gesundheitswesen sind mehr als Millionen Menschen beschäftigt.
51:05
Bianca Kastl: Und man muss ja dann auch, also allein der Mikrokosmos eines Krankenhauses,
51:11
Bianca Kastl: wo in dieser Rechnung nur eine von dieser Leistungsumbringung ist,
51:15
Bianca Kastl: da hast du ja tausende Leute, die irgendwie dort beschäftigt sind.
51:18
Bianca Kastl: Und all die haben irgendwie unter Umständen Interaktion mit dem,
51:21
Bianca Kastl: was in der TI passiert. Also von daher, ab dem Moment kannst du...
51:25
Bianca Kastl: Kaum mehr überblicken, ob eine von, ja, ich glaube, Gesundheitswesen durchaus
51:31
Bianca Kastl: schon mehr als eine Million Menschen, die irgendwie indirekt oder direkt damit im Zugang sind.
51:36
Bianca Kastl: Plus eben halt auch noch sowas wie IT-Dienstleistern, die ja dann immer noch
51:39
Bianca Kastl: Dinge fernwarten und so weiter und so fort.
51:42
Bianca Kastl: Also die Kette geht sehr, sehr weit.
51:45
Linus Neumann: Und alle wären am Ende in der Lage, so ein Bash-Skript zähl mal bitte von der
51:49
Linus Neumann: Kartennummer an hoch, mach mal ein Request dahin, Request dahin, zack, Name.
51:54
Bianca Kastl: Ja.
51:56
Linus Neumann: Okay, so habt ihr jetzt gemeldet.
52:00
Bianca Kastl: Ja, haben gemeldet.
52:01
Linus Neumann: Passiert nichts?
52:02
Bianca Kastl: Genau, also das, was man bei so Sicherheitslücken oder Austausch auch mit Gematik
52:09
Bianca Kastl: immer merkt, ist, dass das theoretische Hinweisen auf Themen nicht immer so erfolgreich ist.
52:14
Bianca Kastl: Man sollte es zumindest auch soweit validiert und kurz vor der möglichen Kompromittierung
52:20
Bianca Kastl: haben, um zu sagen, jo, ist wirklich kaputt.
52:23
Bianca Kastl: Wir haben es sehr eindringlich evaluiert und demonstriert.
52:28
Bianca Kastl: Natürlich ethisch, aber zumindest soweit, dass man dann auch in den Massenangriff
52:33
Bianca Kastl: gehen könnte und dann funktioniert das auch.
52:36
Bianca Kastl: Und das, was halt auch das, naja, nicht so nachvollziehbare,
52:41
Bianca Kastl: aber dann doch, wenn man die Logik der Schadensbewertung dann immer auch bei
52:47
Bianca Kastl: der Gematik nachvollzieht, ist halt,
52:50
Bianca Kastl: eigentlich muss es immer erst brennen, bevor man sagt, oh ja, ist doch ein Risiko.
52:57
Bianca Kastl: Also, das ist immer, man muss das ja praktisch machen.
53:00
Linus Neumann: Das ist ja auch, also ich habe das häufig in Berichten,
53:11
Linus Neumann: wo ich mit meinen Kolleginnen und Kollegen spreche, wo auch immer so,
53:14
Linus Neumann: theoretisch wäre es möglich, eine Angreiferin könnte, wo ich auch immer auf
53:20
Linus Neumann: die, also formal sage, nein, nein, ein Angreifer kann.
53:24
Linus Neumann: Also ich kann Fußball spielen. Das heißt nicht, dass ich es mache, aber ich kann es.
53:28
Linus Neumann: Und genauso deswegen kann ein Angreifer das tun. Dann gibt es keinen Unterschied
53:31
Linus Neumann: zwischen theoretisch und praktisch.
53:37
Linus Neumann: Ich verstehe, dass das für die Wahrnehmung, für so eine öffentliche Wahrnehmung,
53:40
Linus Neumann: auch in dem ich mit Journalistinnen natürlich jetzt in letzter Zeit auch häufiger
53:43
Linus Neumann: mal darüber unterteile, ja theoretisch ist es möglich. Heißt ja nicht, dass es jemand macht.
53:49
Linus Neumann: Aber es geht. Heißt halt nicht, dass es theoretisch geht. Sondern da gibt es
53:53
Linus Neumann: bei Gehen, wenn etwas möglich ist, gibt es keinen Unterschied zwischen theoretisch und praktisch.
53:57
Tim Pritlove: Das bedeutet vor allem auch nicht, dass es da nicht passiert.
54:00
Linus Neumann: Richtig, Theorie, ja. Also eine sehr, okay, aber die haben ernsthaft,
54:04
Linus Neumann: also Menschen, denen wir mit diesem Risiko, mit diesem Digitalisierungsprojekt vertrauen,
54:12
Linus Neumann: die warten noch drauf, dass eine für jede Person inhaltlich sofort nachvollziehbare
54:18
Linus Neumann: theoretische Möglichkeit, Der muss sich auch noch praktisch manifestieren,
54:22
Linus Neumann: bevor sie sagen, also dann werden wir hier unruhig.
54:25
Bianca Kastl: Ich glaube, inzwischen reagieren sie auch schneller, wenn die gleichen Leute
54:28
Bianca Kastl: wiederkommen, die einen nachweisbaren Track-Record haben mit Dingen,
54:30
Bianca Kastl: die wirklich kaputt waren. Das haben wir jetzt gesehen.
54:33
Bianca Kastl: Aber es ist tatsächlich auch immer, glaube ich, schon hilfreich.
54:40
Bianca Kastl: Der Prozess ist nicht auf einer Ebene proaktiv, dass man sagen würde,
54:44
Bianca Kastl: ich greife alles ab und minimiere Risiken vorher, bevor sie entstehen,
54:48
Bianca Kastl: sondern es ist immer eher reaktiv.
54:50
Bianca Kastl: Wenn ein Risiko wirklich manifest ist, dann tue ich was.
54:53
Bianca Kastl: Das ist einfach in der Entstehung dieser ganzen Systeme ein Problem,
54:58
Bianca Kastl: weil da halt auch, wenn man merkt, man hat es irgendwo von dem,
55:02
Bianca Kastl: was man da spezifiziert hat, wirklich verkackt.
55:04
Bianca Kastl: Dann kriegst du es aber erst über Monate später raus, weil das heißt ja,
55:08
Bianca Kastl: ich muss die Spezifikation verändern.
55:10
Bianca Kastl: Irgendjemand, irgendwelche Dienstleister, meinetwegen IBM oder Bitmark Rice
55:14
Bianca Kastl: müssen dann in diesem EPA-System Dinge verändern.
55:17
Bianca Kastl: Da hängt eine ganze Kette von Industrie dran, die das nochmal verändern muss.
55:20
Bianca Kastl: Von daher, ich kann das in den Zwängen, ich muss nicht sagen,
55:24
Bianca Kastl: nachvollziehen, nachvollziehen kann man sagen,
55:26
Bianca Kastl: dass man versucht das zu vermeiden, weil die Fehlerkorrektur halt nicht irgendwie,
55:32
Bianca Kastl: ich patch mal kurz in dem Repo irgendwas ist, sondern ich mache eine Änderung
55:35
Bianca Kastl: der Spezifikation, die dann dazu führt, dass mehrere Dienstleister mit ihren
55:39
Bianca Kastl: eigenen Prozessen nochmal Dinge verändern müssen.
55:40
Bianca Kastl: Aber dennoch ist es halt genug Zeit gewesen, angemessen darauf zu reagieren
55:46
Bianca Kastl: und man hat sich so ein bisschen halt nach hinten geschoben.
55:50
Bianca Kastl: Wahrscheinlich auch vor dem Hintergrund, naja, man möchte jetzt einem Karl Lauterbach
55:55
Bianca Kastl: nicht sagen, du übrigens.
55:56
Linus Neumann: Das wäre komplett ein Mist gemacht.
55:58
Bianca Kastl: Der 15. Januar wird ein bisschen schwierig.
56:00
Linus Neumann: Das wird knapp. Aber trotzdem haben sie ja dann, also ich denke auch,
56:10
Linus Neumann: wenn man sich überlegt, wie so ein Laden läuft.
56:12
Linus Neumann: Wir sollten vielleicht einmal noch ganz kurz erklären, die Gematik ist die Nationale
56:17
Linus Neumann: Agentur für Digitale Medizin, die die Spezifikation und dann auch den Betrieb
56:22
Linus Neumann: der Telematik-Infrastruktur verantwortet.
56:25
Linus Neumann: Und damit natürlich auch die dort geltenden technischen Standards,
56:30
Linus Neumann: Voraussetzungen und so weiter definiert. So, da finde ich sehr spannend, wem die gehört.
56:37
Linus Neumann: Wenn ich mich nicht täusche, ist das 50% Bundesministerium für Gesundheit und
56:46
Linus Neumann: dann irgendwie die ganzen Kassenärztlichen Vereinigungen und Krankenkassen oder so.
56:54
Linus Neumann: Das ist irgendwie der...
56:59
Linus Neumann: Diese Zusammensetzung der Gematik, oder?
57:01
Bianca Kastl: Ja, also man muss dazu sagen, dass die Gematik eigentlich, ich glaube inzwischen
57:05
Bianca Kastl: sind es 51 Prozent, das ist immer der feine Unterschied, dieses 1 Prozent,
57:09
Bianca Kastl: was tatsächlich auch diese Mehrheit dann auslöst.
57:12
Bianca Kastl: Es ist möglich, dass wenn es bestimmte Spezifikationen oder sonstige Dinge gibt,
57:17
Bianca Kastl: dass das BMG die durchdrückt, weil sie eben diese 51 Prozent haben.
57:22
Bianca Kastl: Das ist der aktuelle Stand und das führt eben aber auch dazu,
57:26
Bianca Kastl: dass man auch politisch Dinge durchdrücken kann. Und wenn jetzt jemand sagt,
57:28
Bianca Kastl: wir machen jetzt das und das so, auch wenn irgendwie die ganzen anderen Beteiligten
57:34
Bianca Kastl: dagegen sind, ist es politisch möglich, das durchzudrücken.
57:36
Bianca Kastl: Das ist auch tatsächlich passiert bei einem Verfahren namens CardLink.
57:40
Bianca Kastl: Das war, also das Verfahren ist dazu da, dass man E-Rezepte,
57:43
Bianca Kastl: jetzt wird es ein bisschen wild, mit einem Smartphone durch das Ablesen der
57:48
Bianca Kastl: Gesundheitskarte via NFC über den Konnektor der Apotheke dann Rezept einlösen kann.
57:56
Bianca Kastl: Sehr wildes Verfahren, aber naja, und das war natürlich auch ein bisschen kritisch
58:00
Bianca Kastl: gesehen, hat man aber von Seiten des BMGs durchgedrückt gehen jetzt nicht in
58:04
Bianca Kastl: die technischen Details, wird noch wilder, aber,
58:07
Bianca Kastl: einfach nur zu zeigen, das BMG kann auch Dinge durchdrücken und sagen,
58:11
Bianca Kastl: ja okay machen wir jetzt so.
58:14
Linus Neumann: Und davon haben Sie das haben Sie in diesem Fall dann gemacht und zwar haben
58:19
Linus Neumann: Sie gesagt, wir machen weitere Flickschusterei Naja.
58:25
Bianca Kastl: Wahrscheinlich. Also die Flickschusterei kommt ja auch immer in einem System zustande, wo man,
58:33
Bianca Kastl: politisch Dinge festsetzt, das muss da und da fertig werden und dann hat man
58:36
Bianca Kastl: halt nur beschränktes Budget und die Zeit läuft halt dann runter und wenn man
58:42
Bianca Kastl: sagt, muss fertig werden und das sind die Features und die Features könnt ihr nicht irgendwie,
58:47
Bianca Kastl: runterpräsieren, das muss alles auf einmal gehen,
58:49
Bianca Kastl: kommen da halt unter Umständen bestimmte Dinge zu kurz wie irgendwie sichere
58:53
Bianca Kastl: Entwicklungsprozesse oder auch Prozesse, die halt sagen, naja,
58:56
Bianca Kastl: es gibt eine Entscheidung, dass wir halt nicht live gehen, weil Security nicht eingehalten.
59:02
Bianca Kastl: Also mit dieser ganzen politischen Komponente, man möchte es jetzt an den Start
59:05
Bianca Kastl: bringen und Karl Lauterbach mit seiner Vorgeschichte, dass er halt unter Ulla
59:08
Bianca Kastl: Schmidt schon damals irgendwie jetzt und jetzt endlich an den Start gehen möchte,
59:13
Bianca Kastl: kommen da nicht die besten Security-Entscheidungen raus.
59:15
Tim Pritlove: So die BER-Methode, ne?
59:18
Tim Pritlove: Das ist ja im Prinzip auch politisch die ganze Zeit so, muss jetzt irgendwie
59:21
Tim Pritlove: fertig werden, aber oh und jetzt haben wir auf einmal andere Bedingungen,
59:25
Tim Pritlove: ja dann machen wir das jetzt irgendwie anders und dann widersprechen sich halt
59:28
Tim Pritlove: auch am Ende die ganzen Entscheidungen.
59:29
Tim Pritlove: Also BER ist ja letzten Endes auch an diesen ganzen Umplanungen mit gestorben.
59:37
Tim Pritlove: Was weiß ich, jetzt planten wir erstmal einen Großflughafen,
59:39
Tim Pritlove: alles ganz toll, alles luxuriös und dann kommt halt irgendeiner und sagt so,
59:43
Tim Pritlove: ja, aber die Billig-Airlines, die wollen gar nicht so ein teures Terminal haben,
59:46
Tim Pritlove: die würden dann woanders hingehen.
59:47
Tim Pritlove: Da müssen wir aber nochmal ein paar dazu planen und dann passt das dann halt
59:50
Tim Pritlove: auf einmal wieder nicht mit der Feuerwehr und so weiter und dann wollen sie
59:54
Tim Pritlove: eigentlich schon eröffnen so wenige Tage vorher und dann so ah ja, nee, doch nicht,
59:58
Tim Pritlove: dauert noch 10 Jahre im Prinzip ist das jetzt hier nochmal genau dasselbe Trainwreck.
1:00:05
Bianca Kastl: Also so ein bisschen wie Brandschutz, wir haben dann festgestellt der Brandschutz
1:00:07
Bianca Kastl: funktioniert nicht, aber wir können doch nicht live gehen so jetzt.
1:00:11
Tim Pritlove: Genau, also das ist vielleicht gar nicht so ein schlechtes Bild,
1:00:15
Tim Pritlove: was man so fürs Security, weil ich glaube immer, wenn man so von Computer Security
1:00:21
Tim Pritlove: redet, für uns ist das irgendwie so normal.
1:00:23
Tim Pritlove: Aber ich glaube so in der Öffentlichkeit ist es immer so schwierig.
1:00:26
Tim Pritlove: Aber wenn man das mal mit Brandschutz vergleicht, dann könnten die Leute da
1:00:29
Tim Pritlove: glaube ich schneller drauf einsteigen.
1:00:30
Linus Neumann: Absolut richtig. Und beim Brandschutz wird auch nicht verlangt,
1:00:34
Linus Neumann: dass du das jetzt anzündest, um es zu beweisen.
1:00:38
Linus Neumann: Das wäre halt...
1:00:40
Tim Pritlove: Ja, es könnte brennen.
1:00:41
Linus Neumann: Aber es würde doch keiner machen. Scheiße, irgendwas wird jetzt angezündet.
1:00:46
Linus Neumann: Das war eigentlich total schön.
1:00:49
Linus Neumann: Aber das könnte man vielleicht mal vom Brandschutz lernen heißt.
1:00:52
Tim Pritlove: Ja, genau.
1:00:55
Linus Neumann: Ja, aber das wäre naheliegend.
1:00:59
Tim Pritlove: Der CCC als digitale Feuerwehr.
1:01:02
Linus Neumann: Im August meldet ihr das, es passiert nichts, dann wird klar,
1:01:06
Linus Neumann: okay, ihr habt es theoretisch gemeldet, ihr habt es praktisch in der Zwischenzeit
1:01:11
Linus Neumann: dann auch mal nachgewiesen.
1:01:14
Linus Neumann: Ihr habt eingereicht, ein Einreichen wird angenommen, immer wird bekannt,
1:01:17
Linus Neumann: okay, scheiße, diese Leute, die da irgendwie uns letztens diese theoretische
1:01:22
Linus Neumann: E-Mail geschrieben haben, die präsentieren auf dem Kongress, was machen die denn da?
1:01:28
Linus Neumann: Raschelt, raschelt, ach ja, die zeigen, dass wir hier, und nochmal,
1:01:33
Linus Neumann: fundamentale, in meiner Wahrnehmung nicht zu entschuldigende,
1:01:35
Linus Neumann: architektonische Schwächen haben.
1:01:37
Linus Neumann: Ich frage, also ich verstehe wirklich nicht. Wirklich nicht.
1:01:42
Linus Neumann: Und ich weiß, dass,
1:01:45
Linus Neumann: Organisationen, insbesondere wenn sie den Staaten und Ministerien und so weiter
1:01:50
Linus Neumann: nah sind, sehr gut darin sind,
1:01:53
Linus Neumann: Verantwortungsdiffusion, hier von der nach da zu reichen und so,
1:01:56
Linus Neumann: Aber irgendein Kopf muss doch mal rollen, weil das ist doch,
1:01:59
Linus Neumann: also das ist so nicht vertretbar.
1:02:04
Linus Neumann: Da muss es eine verantwortliche Person geben, entweder sitzt sie im Ministerium
1:02:10
Linus Neumann: oder bei der Gematik, aber das geht so nicht.
1:02:13
Linus Neumann: Also das ist wirklich, das ist
1:02:15
Linus Neumann: für ein IT-Projekt dieser Größe nicht zu vertreten, was da passiert ist.
1:02:21
Bianca Kastl: Ja, also ich glaube die Verantwortung ist tatsächlich,
1:02:25
Bianca Kastl: ich will jetzt die Gemahlin nicht in Schutz nehmen, aber eher politisch zu sehen,
1:02:29
Bianca Kastl: weil man ganz klar sagt, das muss in der Zeit irgendwie erreichbar sein und
1:02:34
Bianca Kastl: das ist auch ein politisches, die besteht in der Digitalstrategie,
1:02:37
Bianca Kastl: wurde schon jetzt irgendwie Jahre
1:02:39
Bianca Kastl: vorher committed, man hat sich darauf committed und gesagt so und so.
1:02:41
Bianca Kastl: Und dann hast du halt unter Umständen die Entscheidung hältst du einen Termin
1:02:47
Bianca Kastl: und machst ein bisschen Security bei Obscurity und denkst, naja, ist nicht so schlimm.
1:02:52
Bianca Kastl: Oder du sagst den Leuten, nee, sorry, geht nicht, wir müssen irgendwie noch
1:02:54
Bianca Kastl: ein halbes Jahr nochmal komplett neu ansetzen.
1:02:58
Linus Neumann: Da würde ich aber anders, das würde ich anders sehen, warum wurde jemals ein
1:03:03
Linus Neumann: solcher Mist überhaupt vorgelegt?
1:03:05
Linus Neumann: Also ich kann verstehen, dass die Situation,
1:03:09
Linus Neumann: also im August heißt, habt ihr ja nicht ein Kind in den Brunnen geworfen,
1:03:16
Linus Neumann: sondern gesagt, guck mal, da ist ein Kind im Brunnen.
1:03:19
Linus Neumann: Und das ist ja jetzt nicht so, als hätte man zu dem Zeitpunkt jemand sagen können,
1:03:28
Linus Neumann: naja, also ich kann es verstehen, dass zu dem Zeitpunkt jemand sagt,
1:03:31
Linus Neumann: jetzt können wir es nicht mehr ändern.
1:03:32
Linus Neumann: Aber wer hat denn den Karren überhaupt bis dahin gefahren?
1:03:35
Linus Neumann: Und da müssen doch Menschen vorher,
1:03:38
Linus Neumann: die das Vertrauen des Bundesgesundheitsministeriums genossen haben,
1:03:43
Linus Neumann: das getan haben und die haben in meiner Wahrnehmung nicht verantwortungsbewusst,
1:03:47
Linus Neumann: nicht kompetent, nicht nach Stand der Technik agiert und.
1:03:53
Linus Neumann: Ich erwarte nun auch nicht unbedingt von den Menschen, und wir beide haben ja
1:03:57
Linus Neumann: auch mit denen interagiert, dass jetzt die Leute, die wir da in der Verantwortungsebene
1:04:03
Linus Neumann: kennen, dass die so ein Konzept durchverstehen.
1:04:05
Linus Neumann: Die müssen ja auch irgendwann sagen, na gut, wir haben jetzt hier so und so
1:04:09
Linus Neumann: viel 100 Millionen bezahlt,
1:04:10
Linus Neumann: wir haben so und so viele Expertinnen und Experten mit hohen Jahresgehältern
1:04:15
Linus Neumann: mit dieser Scheiße beschäftigt, die haben einen wunderbaren Scope so definiert,
1:04:18
Linus Neumann: dass das bei Fraunhofer durchgegangen ist,
1:04:21
Linus Neumann: so, irgendwann müssen wir doch mal sagen, geht jetzt.
1:04:23
Linus Neumann: Und dann kann ich auch verstehen, dass ein Ministerium sagt,
1:04:26
Linus Neumann: Moment mal, wer kommt da jetzt?
1:04:28
Linus Neumann: Chaos, die haben wieder Ach, Heike, wollen irgendwas sagen. Ja gut,
1:04:31
Linus Neumann: komm, das scheint mir ja eher theoretisch zu sein. Steht ja auch da,
1:04:34
Linus Neumann: theoretisch. Ach, scheiße, ist praktisch.
1:04:36
Linus Neumann: Ja, fuck, wie lange haben wir jetzt noch Zeit? Vier Monate.
1:04:40
Linus Neumann: Kacke. Na, könnt ihr da irgendwie noch ein bisschen was drüber,
1:04:43
Linus Neumann: könnt ihr da nochmal drüber lackieren?
1:04:45
Linus Neumann: Dann sagen die von der Geburt, klar können wir da drüber lackieren,
1:04:47
Linus Neumann: dann machen wir hier, dann machen wir hier nochmal Unterbodenschutz dran,
1:04:53
Linus Neumann: an die Roststelle. Das sieht keiner mehr.
1:04:55
Linus Neumann: Den Gebrauchtwagen kriegen wir verkauft. Da macht ihr mal keine Sorgen.
1:04:59
Linus Neumann: Das kann ich schon verstehen, dass auf den letzten Metern die Verantwortung politisch ist.
1:05:04
Linus Neumann: Aber wie viele Jahre haben die denn vorher daran gedoktert?
1:05:08
Bianca Kastl: Zu viele.
1:05:11
Linus Neumann: Da sehe ich die, also da wäre meine Wahrnehmung, dass da schon der Fehler passiert
1:05:17
Linus Neumann: ist und dass man da, dass da die Konsequenzen zu suchen wären.
1:05:22
Linus Neumann: Aber vielleicht einfach im Zweifelsfall schonen wir dann niemanden.
1:05:27
Bianca Kastl: Ja, ist immer gerecht.
1:05:29
Linus Neumann: Okay, was haben sie jetzt gemacht? Jetzt kommt, und ich weiß,
1:05:32
Linus Neumann: das war dann relativ, also wir waren ja auch vorher im Austausch,
1:05:37
Linus Neumann: wird jetzt nicht überraschen, dass wir über so etwas sprechen, aber,
1:05:43
Linus Neumann: Richtig nervös wurden die aber erst irgendwann so im Dezember.
1:05:46
Linus Neumann: Da kam dann auf einmal, ja, Herr Lauterbach, hätten Sie kurzfristig Zeit,
1:05:51
Linus Neumann: mal mit Herrn Lauterbach zu sprechen?
1:05:54
Linus Neumann: Und dann kam das, ja, wir werden das beheben und alles wird gelöst,
1:05:58
Linus Neumann: bevor das hier an den Start geht.
1:05:59
Linus Neumann: Wo jetzt natürlich du und ich haben ja durchaus ein bisschen Vorstellungen,
1:06:05
Linus Neumann: was das alles an Zeit und architektonisch und Testen und so weiter beansprucht,
1:06:10
Linus Neumann: wo schon klar war, das werdet ihr nicht in der Zeit lösen können.
1:06:13
Linus Neumann: Das hättet ihr ab August bis Januar, wäre enorm sportlich gewesen.
1:06:17
Linus Neumann: Aber wenn sich jetzt hier jemand, weiß nicht, im November Dezember meldet und
1:06:21
Linus Neumann: sagt, wir gucken uns das jetzt mal an, da bin ich mir ganz sicher,
1:06:23
Linus Neumann: dass wir das gelöst kriegen, da war ja schon klar, dass das nicht richtig gelöst
1:06:28
Linus Neumann: wird. Wie haben sie es denn gelöst?
1:06:31
Bianca Kastl: Gelöst haben sie es ja nicht.
1:06:36
Bianca Kastl: Wir nennen es mal den Versuch der Schadensbegrenzung.
1:06:40
Linus Neumann: Ja, genau.
1:06:41
Bianca Kastl: Das ist sehr schön. Also man hat festgestellt, okay, wir haben diesen versicherten
1:06:45
Bianca Kastl: Stammdaten-Dienst-Problematik mit diesen 70 Millionen Akten.
1:06:50
Bianca Kastl: Dann wurden Dinge eingeführt, wo ich mir dachte, wieso gibt es die jetzt erst
1:06:52
Bianca Kastl: und naja, warum nicht schon früher.
1:06:56
Bianca Kastl: Man hat erstmal festgestellt, naja, es ist vielleicht nicht so clever,
1:06:59
Bianca Kastl: wenn eine Institution 70 Millionen Akten aufrufen kann, weil das ist ja irgendwie
1:07:06
Bianca Kastl: praktisch gar nicht möglich, dass ein Krankenhaus plötzlich alle Akten in Deutschland im Zugriff hat.
1:07:11
Bianca Kastl: Also hat man gesagt, naja, Rate Limiting, also ich mache eine Mengenbegrenzung
1:07:14
Bianca Kastl: von neuen Befugungen, die ich einführen kann und ich glaube,
1:07:18
Bianca Kastl: das ist tatsächlich auch so das.
1:07:20
Bianca Kastl: Ja, nachweisbar wirksame, was gerade zu den Schaden begrenzt,
1:07:24
Bianca Kastl: den es vorher aber tatsächlich nicht als Begrenzung gab.
1:07:26
Bianca Kastl: Also ich kann auch ich mir nicht vorstellen zu sagen, ja, man hat sich da keine
1:07:30
Bianca Kastl: Gedanken drum gemacht, gesagt, ist alles sicher und deswegen braucht auch kein
1:07:32
Bianca Kastl: Rate-Limiting bei 100.000 leistungsübrigen Institutionen,
1:07:37
Bianca Kastl: die vielleicht nicht alle ganz integer sind,
1:07:42
Bianca Kastl: aber genau, Rate-Limiting funktioniert zumindest.
1:07:44
Bianca Kastl: Zumindest, wir können jetzt nicht mehr sagen, es sind 70 Millionen Akten,
1:07:46
Bianca Kastl: die wir im Zugriff haben, weil das Rate-Limiting da reinhaut und wir halt dann
1:07:50
Bianca Kastl: nur noch maximal 200.000 mal 300.000, also 600.000 Akten im schlimmsten Fall
1:07:56
Bianca Kastl: an einer Organisation hängen haben.
1:07:58
Bianca Kastl: Das ist das, was jetzt so der Maximum-Impact ist, weil in der Speck halt gesagt
1:08:02
Bianca Kastl: wurde, Krankenhaus maximal 200.000 Befugungen pro Monat, die Befugung hält drei Monate.
1:08:09
Bianca Kastl: Das ist das Schadenausmaß, was wir auf diesem Feld von so vielen Institutionen haben.
1:08:15
Bianca Kastl: So, und dann haben wir gesagt, naja, gut, diese Zugangserlangung,
1:08:22
Bianca Kastl: ja, das mit dieser Nummer, das ist vielleicht irgendwie, doch irgendwie doof,
1:08:26
Bianca Kastl: wenn man die hochzahlen kann.
1:08:28
Linus Neumann: Jetzt steht die aber auf den Karten drauf und wir haben ein paar Millionen davon
1:08:31
Linus Neumann: im Feld, also können wir das nicht mehr ändern.
1:08:33
Bianca Kastl: So, dann haben wir angefangen, naja, wir haben ja eine zweite Nummer,
1:08:36
Bianca Kastl: wir könnten ja noch die Krankenversicherungsnummer nehmen, aber die steht auch
1:08:39
Bianca Kastl: auf der Karte drauf, das ist ja doof.
1:08:41
Bianca Kastl: Also jetzt habe ich zwei Dinge, die da stehen auf der Karte drauf.
1:08:43
Bianca Kastl: Oder es gibt irgendwelche Leaks von irgendwelchen Dienstleistern.
1:08:46
Bianca Kastl: Bei Bitmark sind immer so Kartennummern mit ICSSN weggekommen.
1:08:49
Bianca Kastl: Das ist ja auch doof. Jetzt sind diese, wenn wir diesen Zugriffsschutz jetzt
1:08:53
Bianca Kastl: so bauen, dass wir neben der Kartennummer, die Krankenversicherungsnummer,
1:08:57
Bianca Kastl: neben, naja, das ist vielleicht auch Public Knowledge.
1:08:59
Bianca Kastl: Hm, was machen wir denn jetzt? Und dann kam jemand auf die Idee und meinte,
1:09:04
Bianca Kastl: naja, wir brauchen noch so eine Prüfsumme, eine Hashtag-Value.
1:09:09
Bianca Kastl: Weil da können wir jetzt noch einen Faktor einbauen, den kennt bestimmt niemand.
1:09:13
Bianca Kastl: Und er hat gesagt, naja, dann nehmen wir dann einen Teil der Straße,
1:09:18
Bianca Kastl: also den ersten Buchstaben der Straße, dann die Hausnummer.
1:09:24
Bianca Kastl: Den ersten Buchstaben nur der Straße? Ja.
1:09:29
Tim Pritlove: Komm, da gibt es mindestens 26 verschiedene.
1:09:33
Linus Neumann: 26, ja, und Hausnummern gehen auch schon mal locker in den dreistelligen Bereich.
1:09:38
Tim Pritlove: Ja.
1:09:38
Bianca Kastl: Ja, man musste irgendwie, keine Ahnung, beides sparen, warum auch immer.
1:09:41
Bianca Kastl: Genau, also man nimmt die Adresse, teilt die Adresse, herrscht die Adresse und
1:09:45
Bianca Kastl: man nimmt dann das Datum des Versicherungsbeginns.
1:09:50
Linus Neumann: Müsste man jetzt, okay, 26, dann sagen wir mal so vielleicht 999,
1:09:54
Linus Neumann: das wird sich aber auch im Bereich unter 100 bündeln und dann Versicherungsbeginn,
1:10:01
Linus Neumann: okay, kann bis zu 70 Jahre wahrscheinlich zurückliegen, aber.
1:10:07
Linus Neumann: Ja, okay, also wahrscheinlich auch ausreichend für um massenhaftes Brutforcing
1:10:15
Linus Neumann: auf jeden Fall nicht ökonomisch zu machen, aber für einen gezielten Zugriff
1:10:20
Linus Neumann: wäre er komplett überschaubar.
1:10:22
Bianca Kastl: Also man hat wirklich versucht, Massenangriffe zu verhindern,
1:10:25
Bianca Kastl: das war auch das, was so ein bisschen wirklich der Worst Case war im Bundesgesundheitsministerium.
1:10:29
Bianca Kastl: Das, was man nicht wollte, ist, man will keine Schlagzeile U70 Millionen Akten
1:10:32
Bianca Kastl: abgeflossen, sondern in zwei, drei, fünf weggehen, das ist noch toleriert,
1:10:36
Bianca Kastl: aber Massenangriffe will man nicht.
1:10:39
Bianca Kastl: Also dämpft man das ein.
1:10:41
Linus Neumann: Okay. Weitere Maßnahmen?
1:10:45
Bianca Kastl: Weitere Maßnahmen, es gab noch diese Awareness-Maßnahmen und so weiter.
1:10:48
Bianca Kastl: Also dieses Hashtag-Value ist...
1:10:50
Linus Neumann: Wenn du eine Awareness-Maßnahme hast, dann weißt du wirklich,
1:10:53
Linus Neumann: dass du ein unlösbares Problem hast.
1:10:55
Bianca Kastl: Also für die Testphase gab es dann tatsächlich auch noch,
1:11:00
Bianca Kastl: Die Testphase war ursprünglich so gedacht, am 15. Januar in drei Regionen,
1:11:03
Bianca Kastl: Franken, Hamburg und Teile NRWs, auf der Breite mit allen Institutionen online zu gehen.
1:11:10
Linus Neumann: Das wurde um einen Monat verschoben, meine ich, ne?
1:11:13
Bianca Kastl: Ne, die Testphase nicht. Aber man hat die Testphase radikal gekürzt,
1:11:19
Bianca Kastl: weil ursprünglich war es so,
1:11:20
Bianca Kastl: wenn du zum Beispiel in Franken in der Praxis hast, dann kannst du in Franken
1:11:24
Bianca Kastl: dort, weil du ja in Franken bist, kriegen alle da den Zugang zu diesem EPA, EPA,
1:11:30
Bianca Kastl: Rollout, Prilod, wie auch immer. Genau.
1:11:33
Bianca Kastl: Und das hat man erstmal sehr radikal zurückgekürzt auf, es sind nur noch 300
1:11:37
Bianca Kastl: händisch ausgewählte Institutionen.
1:11:39
Bianca Kastl: Da gab es dann irgendwo in bestimmten Regionen nur bestimmte Krankenhäuser.
1:11:44
Bianca Kastl: In Hamburg gab es dann nur bestimmte Ärztegruppen und in der anderen Region
1:11:49
Bianca Kastl: gab es dann nur die Apotheken oder so ungefähr.
1:11:51
Linus Neumann: Und die waren mit einer ACL oder mit einer Allowlist.
1:11:53
Bianca Kastl: Genau, es gab eine Allowlist und da waren 300 händisch ausgewählte Institutionen.
1:11:59
Bianca Kastl: Wahrscheinlich sind da noch Leute, ein paar sind da auch persönlich gefahren
1:12:03
Bianca Kastl: mit Pressetermin und jetzt geht es endlich los und so weiter.
1:12:07
Bianca Kastl: Und dann gab es diese 300 Institutionen, dann gab es eine Allowlist und alle
1:12:10
Bianca Kastl: anderen Konten hatten keinen Zugriff.
1:12:12
Bianca Kastl: Das heißt, um jetzt, während man hier noch diese Sachen hin und her fixen,
1:12:17
Bianca Kastl: schon teilweise gefixt hat, wäre es halt der Impact nur 300 Institutionen.
1:12:22
Bianca Kastl: Das heißt, du musst eigentlich schon sehr, sehr genau vorgehen.
1:12:25
Bianca Kastl: Die hat man, glaube ich, auch noch irgendwie validiert. Man hat sie quasi nochmal
1:12:29
Bianca Kastl: nachvalidiert, ob die auch wirklich diese Institutionen sind und so.
1:12:32
Bianca Kastl: Und mit 300 kann man das ja noch machen.
1:12:36
Bianca Kastl: Ja, und währenddessen hat man halt versucht, dieses Rate-Limiting auch zu sehen.
1:12:42
Bianca Kastl: Es dauert ja auch ein bisschen, Logging und so weiter, Monitoring hochzuziehen,
1:12:48
Bianca Kastl: Das lässt sich ja nicht von heute auf morgen einrichten, aber man hat glaube
1:12:51
Bianca Kastl: ich, wenn man so auf die Zulassungen guckt und die Veröffentlichung der ganzen
1:12:56
Bianca Kastl: Aktensysteme und der Apps der Krankenkassen so irgendwie zum 15.
1:13:01
Bianca Kastl: Januar glaube ich sogar auch diesen Zugriffsweg über diese Hashtag Value plus
1:13:07
Bianca Kastl: eben noch Krankenversicherungsnummer und KVNR irgendwie umgesetzt und ist dann
1:13:14
Bianca Kastl: in diesen Rollout gegangen in den Testregionen. Aber eben mit 300 Institutionen.
1:13:18
Linus Neumann: Das war in der Test, also in diesen Regionen waren auch diese Sicherheitsmaßnahmen schon drin.
1:13:24
Linus Neumann: Also auch der Hashtag-Value, das hatte ich so nicht verstanden.
1:13:29
Bianca Kastl: Das meines Wissens schon. Das Thema ist aber halt, es haben sich währenddessen
1:13:33
Bianca Kastl: halt noch andere Dinge irgendwie mit subsumiert.
1:13:37
Bianca Kastl: Also Rate-Limiting hat man glaube ich erst nachher eingebaut,
1:13:39
Bianca Kastl: weil das natürlich auch schwierig ist aufzusetzen.
1:13:41
Bianca Kastl: Aber dieses Hashtag-Value-Thema, um das halt auch tatsächlich nicht irgendwie
1:13:47
Bianca Kastl: in den Testregionen verschiedene Aktensystem-Versionen zu nutzen,
1:13:51
Bianca Kastl: weil man will ja aus den Testergebnissen auch rausfinden, ob das irgendwie funktioniert,
1:13:56
Bianca Kastl: hat man das schon relativ schnell auch irgendwie mit eingebaut.
1:13:59
Bianca Kastl: Ich glaube, da haben Menschen auch ihren Weihnachtsurlaub sehr verkürzt.
1:14:04
Bianca Kastl: Ja, Menschen von Krankenhassen meinten zu mir, naja, danke, wegen dir habe ich
1:14:08
Bianca Kastl: jetzt meinen Skiurlaub auch verkürzen müssen.
1:14:12
Linus Neumann: Das Gesundheitssystem dankt, dass du mich mit der Sprunggelenktrümmerfraktur,
1:14:17
Linus Neumann: obwohl die Sprunggelenke gehen beim Stiel nicht drauf. Aber die technische Lösung
1:14:24
Linus Neumann: muss man trotzdem einmal beurteilen.
1:14:25
Linus Neumann: Es wird jetzt weiteres Wissen vorausgesetzt.
1:14:33
Linus Neumann: Keiner dieser Wissensfaktoren, der hier mit dazu genommen wird,
1:14:38
Linus Neumann: betrifft überhaupt etwas sonderlich Geheimes.
1:14:43
Linus Neumann: Also es gibt ja einen Unterschied zwischen beispielsweise einem Namen oder einer Nummer,
1:14:53
Linus Neumann: einer Identifikationsnummer und einem Passwort, wo das nur die Patientin kennt
1:14:59
Linus Neumann: oder dass es in irgendeiner Weise überhaupt ein Datum, ein Wissensdatum ist,
1:15:05
Linus Neumann: das gefleckt ist als sensibel.
1:15:07
Linus Neumann: Das heißt, noch nicht einmal Passwortcharakter findet hier Anwendung.
1:15:16
Linus Neumann: Was so noch das Mindeste wäre und schon auch nicht ausreichend,
1:15:21
Linus Neumann: weil wir ja zum Beispiel für unser E-Mail schon sagen, ein Passwort ist nicht
1:15:24
Linus Neumann: ausreichend, man hätte gerne einen zweiten Faktor.
1:15:27
Linus Neumann: Aber wir haben hier noch nicht einmal
1:15:29
Linus Neumann: ein Passwort. Es müssen also mehrere Wissensfaktoren zusammenkommen.
1:15:35
Linus Neumann: Jeder Wissensfaktor, den ich dazu nehme, erschwert natürlich das Sammeln der Informationen.
1:15:42
Linus Neumann: Ich muss jetzt die Kartennummer und die Adresse und das Datum des Versicherungsbeginns
1:15:52
Linus Neumann: herausfinden zu einer Person und das erschwert es praktisch,
1:15:57
Linus Neumann: auf jeden Fall massenhaft das zu machen.
1:15:59
Linus Neumann: Aber wenn ich weiß, wo du wohnst und irgendwann mal Gelegenheit hatte,
1:16:03
Linus Neumann: eventuell deine Kartennummer zu sehen oder sich irgendwo doch etwas auftut,
1:16:09
Linus Neumann: wo ich zu einer Kartennummer einen Namen finde und sich am Ende mein Problem
1:16:12
Linus Neumann: reduziert auf deinen Versicherungsbeginn, das sind ja die Konstellationen,
1:16:17
Linus Neumann: die so etwas wieder kaputt machen.
1:16:18
Linus Neumann: Und deswegen ist so etwas auch, ich muss das nochmal betonen,
1:16:22
Linus Neumann: weil du so diplomatisch bist, fundamental ungeeignet zur Lösung des Problems.
1:16:27
Linus Neumann: Man könnte auch noch sagen, Name des ersten Haustiers, Grundschule,
1:16:33
Linus Neumann: Lieblingsfilm, das kann man alles machen, aber das sind alles noch nicht einmal Passwörter.
1:16:41
Linus Neumann: Und selbst Passwörter wären nicht ausreichend. Vor allem, weil jetzt in dieser
1:16:45
Linus Neumann: Kommunikation auch immer gesagt, man braucht jetzt einen weiteren Faktor.
1:16:50
Linus Neumann: Nein, braucht man nicht.
1:16:52
Linus Neumann: Es ist immer noch eine Ein-Faktor-Authentifizierung, nämlich Wissen. Man braucht ein Wissen.
1:16:57
Linus Neumann: Dieses Wissen speist sich aus unterschiedlichen Domänen, aber am Ende ist es
1:17:01
Linus Neumann: alles ein Faktor, nämlich Wissen über Versicherungsbeginn und so weiter.
1:17:04
Linus Neumann: Das kann man alles auf einem Blatt Papier schreiben und deswegen ist es auch
1:17:07
Linus Neumann: nur ein Faktor, ein Wissensfaktor.
1:17:10
Linus Neumann: Ein Haben-Faktor wäre geeignet. Was könnte man dann nehmen? Ha,
1:17:15
Linus Neumann: vielleicht den Chip auf der Karte.
1:17:18
Linus Neumann: Aber nee, lassen wir das.
1:17:20
Tim Pritlove: Zu kompliziert.
1:17:22
Linus Neumann: Zu kompliziert.
1:17:23
Tim Pritlove: Seit 30 Jahren auf dem Markt.
1:17:24
Linus Neumann: Ja, wer weiß, was die sich da wieder einfallen lassen, diese Hacker.
1:17:28
Linus Neumann: Also da muss man auch aufpassen.
1:17:30
Linus Neumann: Also Gold, es ist nicht alles Gold, was glänzt.
1:17:35
Linus Neumann: Also nee, das macht man nicht. und einen Seinfaktor Biometrie hätte man noch nehmen können.
1:17:41
Linus Neumann: Okay, auch das fällt hier, glaube ich, aus.
1:17:44
Linus Neumann: Aber ich glaube, zu sagen, das ist,
1:17:49
Linus Neumann: Wieder nicht so, wie es einem IT-Security-Prinzipien lehren würde.
1:17:56
Linus Neumann: Du sagst, du verrätst einmal aus Versehen den Beginn deiner Versicherung und jemand kann quasi,
1:18:09
Linus Neumann: brauchen wir die Karten nochmal, aber es ist ein lösbares Problem.
1:18:13
Linus Neumann: Und das sieht man, das ist so ein Hütchenspiel.
1:18:16
Linus Neumann: Es ist und bleibt ein lösbares Problem, während hier ist ein Chip auf der Karte,
1:18:22
Linus Neumann: du brauchst einen Pin, du musst wieder reinstecken und einen Pin eingeben.
1:18:24
Linus Neumann: Das ist ein nicht mehr lösbares Problem, solange es nicht diese Karte gibt.
1:18:30
Linus Neumann: Und damit, die Karte kann invalidiert werden, wenn ich die verliere,
1:18:34
Linus Neumann: das heißt, hier werden Zugriffe unmöglich gemacht und nicht,
1:18:40
Linus Neumann: also ganz schön schwierig, den Aufwand muss ja erstmal jemand betreiben und
1:18:47
Linus Neumann: dann machst du am Ende Martin und du irgendwie in eurer Freizeit.
1:18:50
Linus Neumann: Jetzt habt ihr aber dieses neue System ging dann in der Breite an den Start.
1:18:55
Bianca Kastl: Ja, genau. Also 15 Ländler Modellregionen haben da Dinge nicht funktioniert, wie zu erwarten war,
1:19:02
Bianca Kastl: weil die ganzen Softwarehersteller von diesen ganzen Praxiserwaltungssystemen,
1:19:05
Bianca Kastl: die sie in Modulien nicht fertig hatten und mit 300 Institutionen,
1:19:09
Bianca Kastl: naja, da hatten wir jetzt auch nicht so viele Erkenntnisse.
1:19:11
Bianca Kastl: Man hat ja dann politisch den offiziellen Launch immer weiter nach hinten geschoben,
1:19:17
Bianca Kastl: war dann irgendwann mal beim 29.
1:19:20
Bianca Kastl: April und auch mit so einem phasenweisen Rollout, weil man dann sagte,
1:19:25
Bianca Kastl: naja, okay, nicht sofort für alle verpflichtend als Leistungserbringungsinstitution
1:19:29
Bianca Kastl: oder medizinische Einrichtungen, sondern wir machen das erst im Oktober,
1:19:32
Bianca Kastl: weil bis dahin läuft das vielleicht erstmal stabil. So.
1:19:35
Bianca Kastl: Und jetzt ist es halt so, dass am 29.
1:19:40
Bianca Kastl: Es so war, dass es diese Hashtag-Value gab.
1:19:46
Linus Neumann: Mhm. Und 29.
1:19:51
Bianca Kastl: April.
1:19:52
Linus Neumann: April, genau.
1:19:53
Bianca Kastl: Also, 29. April, diese Woche, ja, diese Woche, genau.
1:20:00
Bianca Kastl: Und, so lange ist es ja, nee, naja.
1:20:03
Bianca Kastl: Es fühlt sich an, als wäre es ein.
1:20:04
Linus Neumann: It's Wednesday.
1:20:06
Bianca Kastl: Ja, es war eine wilde Woche. Nein, also, Historie dahinter ist,
1:20:12
Bianca Kastl: Hashtag Value, okay, was brauche ich? Ich brauche Wissensfaktoren.
1:20:15
Bianca Kastl: Jetzt ist die Frage, gibt es irgendwo in diesem System der Telematik-Infrastruktur
1:20:19
Bianca Kastl: vielleicht einen Bereich, wo es diese Wissensfaktoren gibt, stellt sich heraus, ja, den gibt es.
1:20:25
Bianca Kastl: Denn es gibt nämlich aus fachlich nachvollziehbaren Gründen für Leistungserbringungsinstitutionen
1:20:32
Bianca Kastl: die Möglichkeit, dass man sagt, ja, ich habe ja jemanden,
1:20:36
Bianca Kastl: die Person hatte ihre Krankenkassenkarte nicht dabei, ich möchte die jetzt aber
1:20:41
Bianca Kastl: gerne abrechnen, ist die bei euch versichert?
1:20:45
Bianca Kastl: Deswegen gibt es die sogenannte elektronische Ersatzbescheinigung.
1:20:48
Bianca Kastl: Die Personische Ersatzbescheinigung.
1:20:50
Bianca Kastl: Gibt Menschen die Möglichkeit zu sagen, ich habe gerade meine Krankenkassenkarte
1:20:53
Bianca Kastl: verloren oder keine Ahnung oder irgendwas, gerade Notfall, ich musste irgendwie abrechnen.
1:20:58
Bianca Kastl: Ist die Person überhaupt irgendwo versichert? Ja. Also gibt es da zwei verschiedene
1:21:02
Bianca Kastl: Aufrufe. Man kann einerseits bei einer Person bestimmten persönlichen Informationen,
1:21:07
Bianca Kastl: Name und irgendwie Adresse oder Eingrenzen herausfinden, wo die versichert ist.
1:21:12
Bianca Kastl: Und dann kann man mit einer KVNR, also einer Krankenversicherungsnummer,
1:21:17
Bianca Kastl: an die entsprechend richtige Krankenkasse sagen, übrigens, hier ist eine Person
1:21:22
Bianca Kastl: mit dieser Nummer von euch bei mir.
1:21:27
Bianca Kastl: Ich brauche doch mal einen Nachweis, dass die bei euch versichert ist.
1:21:30
Bianca Kastl: Und dann schickst du an diese Krankenkasse diese Informationen und dann kommt...
1:21:35
Linus Neumann: Ja, ist bei uns seit dann und dann versichert.
1:21:39
Bianca Kastl: Da wird es ein bisschen obskur, weil die Telematik-Infrastruktur ein bisschen obskur ist.
1:21:44
Bianca Kastl: Also man schickt über einen Webservice diese Anfragen, bekommt dann eine sogenannte
1:21:48
Bianca Kastl: KIM-Nachricht, also eine verschlüsselte E-Mail in diese ganzen Telematik-E-Mail-Logik.
1:21:53
Bianca Kastl: Also das ist eigentlich nur ein normales S-Malm. Und da hängt ein XML-File dran.
1:21:57
Bianca Kastl: Und in diesem XML-File stehen total tolle Sachen drin, wie die Adresse der Person
1:22:02
Bianca Kastl: und eben auch das Datum des Versicherungsbeginns.
1:22:12
Linus Neumann: Deswegen hat man sich in der IT vor ein paar Jahren, Jahrzehnten verzeihung,
1:22:17
Linus Neumann: das Konzept Passwort ausgedacht, um zu sagen, das hier ist etwas...
1:22:22
Linus Neumann: Uffpasse, nicht verraten. Wir werden sie nie auch am Telefon nicht danach fragen.
1:22:28
Linus Neumann: Wir speichern einen Hash davon.
1:22:30
Linus Neumann: Das ist etwas, das ist Passwort. Geheim.
1:22:34
Linus Neumann: Wenn man natürlich nicht geheime Daten nimmt, dann passiert nämlich genau sowas.
1:22:39
Linus Neumann: Vor allem, wenn man ein System gebaut hat, das so groß und so komplex ist,
1:22:44
Linus Neumann: dass eine Fraunhofer eine KI damit trainiert, statt sich das selber durchzulesen.
1:22:48
Linus Neumann: Dann sowas kommt von sowas.
1:22:50
Linus Neumann: Also habt ihr jetzt eine EEB angefragt, hattet dann wieder alle Daten und konntet
1:22:55
Linus Neumann: wieder drauf zugreifen.
1:22:56
Bianca Kastl: Genau, und dann sind wir wieder bei dem, wir bauen uns wieder theoretisch zusammen,
1:22:59
Bianca Kastl: dass das irgendwie funktioniert, daraus eine Zugangsberechtigung sich zu erzeugen.
1:23:02
Bianca Kastl: Ja, hier ist der Weg, um diese Daten zu kriegen.
1:23:06
Tim Pritlove: Gut, also das System spuckt selber auf Anfrage die Daten raus,
1:23:11
Tim Pritlove: die man braucht, um so zu tun, als wäre man irgendein anderer Patient.
1:23:16
Bianca Kastl: Ja, genau.
1:23:18
Tim Pritlove: Sorry, ich habe das Passwort nicht, kannst du mir das mal kurz sagen. Ja, hier.
1:23:22
Bianca Kastl: Ja, das ist es eigentlich. Ja, genau.
1:23:26
Bianca Kastl: Und ja, das war dann wieder das, was jetzt in dieser Woche passiert ist.
1:23:32
Bianca Kastl: Wir waren natürlich da auch wieder verantwortungsbewusst, muss auch sagen,
1:23:35
Bianca Kastl: hat uns der Christoph Sauriö noch mal gut geholfen, der auch in dem Thema Telematik-Infrastruktur
1:23:40
Bianca Kastl: lange mit beschäftigt ist, schon viel mit diesem KIM-System gemacht hat,
1:23:46
Bianca Kastl: Dinge auch auf dem Kongress präsentiert hat.
1:23:50
Bianca Kastl: Und wir brauchten halt jemanden, der gerade geeigneten Zugang hatte,
1:23:54
Bianca Kastl: um zu demonstrieren, dass dort wirklich auch die Daten zurückkommen, die wir brauchen.
1:23:59
Bianca Kastl: Also das Ganze natürlich auch nochmal evaluiert, auch mit verschiedenen Krankenkassen
1:24:03
Bianca Kastl: festgestellt, dass die Krankenkassen andere lustige Implementierungen haben von dem Verfahren.
1:24:07
Bianca Kastl: Dass bei bestimmten Konnektoren man Dinge groß oder klein schreiben muss und
1:24:11
Bianca Kastl: dass die Implementierungen zwar nach Spezifikationen so und so funktionieren,
1:24:15
Bianca Kastl: aber dass die natürlich alle in der Praxis komplett unterschiedlich sind und wie halt immer so ist.
1:24:19
Bianca Kastl: Auf jeden Fall mehrere Krankenkassen, mehrere Anfragen, mehrere erfolgreiche
1:24:25
Bianca Kastl: Rückgaben von den benötigten Hashtag-Value-Informationen.
1:24:32
Bianca Kastl: Das Ganze auch nochmal demonstriert mit dem Spiegel zusammen, eine beliebige.
1:24:40
Bianca Kastl: Krankenversicherungsnummer genommen und sagen, übrigens wohnst du da und bist
1:24:43
Bianca Kastl: du seit dann bei der Krankenkasse? Oh ja, wie ist der denn das?
1:24:46
Bianca Kastl: Ach ja, wir haben da sowas gefunden.
1:24:49
Bianca Kastl: Und damit war es dann auch plausibel und bestätigt, dass das ein Problem ist.
1:24:53
Bianca Kastl: Ja, und dann sind wir wieder bei dem Thema Hallo liebes PSI,
1:24:57
Bianca Kastl: haben da so eine Meldung?
1:25:01
Bianca Kastl: Ja, und dann muss man sagen, ist schon schnell was passiert in der Reaktion.
1:25:08
Bianca Kastl: Also die Zertmeldung war am 29.
1:25:12
Bianca Kastl: Abends und dann ist über den Tag, den nächsten Tag innerhalb von weniger als
1:25:16
Bianca Kastl: 24 Stunden sind diese Endpunkte komplett abgeschaltet worden.
1:25:19
Linus Neumann: Aber es ist auch, also...
1:25:23
Linus Neumann: Genau, das ist das, was als Sofortmaßnahme passieren musste, ja,
1:25:28
Linus Neumann: weil jetzt hast du etwas zum Geheimwert oder zum Authentifizierungswert gemacht,
1:25:33
Linus Neumann: was du an anderer Stelle bereitwillig leakst,
1:25:36
Linus Neumann: also schaltest du dieses Leak ab, aber bei der Komplexität dieses Systems ist
1:25:42
Linus Neumann: ja nicht ausgeschlossen, dass das an anderer Stelle auch nochmal irgendwo rausflattert,
1:25:45
Linus Neumann: ja, also das, oder wahrscheinlich kann ich da anrufen und sagen,
1:25:49
Linus Neumann: ich stehe hier gerade an einer Dönerbude, der will irgendwie wissen,
1:25:52
Linus Neumann: die wissen wir nicht an, Versicherung.
1:25:55
Linus Neumann: Also es ist, es funktioniert halt nicht.
1:25:59
Linus Neumann: Also selbst ein Passwort wäre nicht genug, das sind noch nicht einmal welche und es ist,
1:26:06
Linus Neumann: werde nicht müde zu betonen, ich würde nicht ausschließen, dass es ähnliche,
1:26:10
Linus Neumann: ähnlich gelagerte Probleme weiterhin gibt und auch genau deswegen macht man sowas ja auch nicht so.
1:26:20
Linus Neumann: Werden Sie es denn irgendwann einmal richtig machen?
1:26:23
Bianca Kastl: Also die Grundsicherheitsarchitektur, die wir haben mit der elektronischen Patientenakte,
1:26:29
Bianca Kastl: ist ja eine, die ganz bewusst von einer Indoor-Ende-zu-Ende-Verschlüsseln-Akte wegging zu,
1:26:34
Bianca Kastl: wir machen jetzt Confidential Computing und Clouds-Verschlüsseln und sowas.
1:26:38
Bianca Kastl: Das heißt, inhärent ist in dieser Architektur, unabhängig davon,
1:26:42
Bianca Kastl: ob man etwas richtig macht, man kann es immer noch falsch implementieren und
1:26:46
Bianca Kastl: irgendwelche Fehler einbauen, ist der Impact von diesen Fehlern,
1:26:50
Bianca Kastl: die passieren, einfach immer immens.
1:26:51
Bianca Kastl: Der ist immer im Millionenbereich, wenn irgendwas da nicht richtig funktioniert,
1:26:56
Bianca Kastl: unabhängig davon, ob man es jetzt richtig macht.
1:26:58
Bianca Kastl: Das ist das, was man dazu sagen muss, diese eigentlich unsere gemeinsame öffentliche
1:27:03
Bianca Kastl: Infrastruktur, digitale Art,
1:27:04
Bianca Kastl: ist so gebaut, dass sie extreme Risiken erzeugt. Das war vorher besser.
1:27:11
Bianca Kastl: Obwohl die E-Parte halt nicht wirklich genutzt war, der war aber des Schadensausnahms geringer.
1:27:15
Bianca Kastl: Zu dem spezifischen Thema des Zugangs. Gibt es tatsächlich eine Lösung,
1:27:20
Bianca Kastl: die in der Spezifikation sinnvoll ist?
1:27:24
Bianca Kastl: Proof of Patient Presence heißt das System. Das heißt, dann kann man auch wirklich
1:27:28
Bianca Kastl: nachweisen, dass diese Person da irgendwie bei mir ist irgendwie.
1:27:32
Bianca Kastl: Also da fängt man dann an, irgendwie auch von der Krankenversicherungskarte den Chip zu benutzen.
1:27:38
Bianca Kastl: Aber es gibt halt dann auch modernere Methoden, um zum Beispiel mit dem Smartphone
1:27:42
Bianca Kastl: vor Ort einen QR-Code abzuscannen und zu sagen, ich bin jetzt in der Praxis
1:27:45
Bianca Kastl: zum Beispiel und kann dann einen Kanal mit dem Smartphone aufbauen
1:27:50
Bianca Kastl: um halt den Leuten auch irgendwie die Möglichkeit zu geben sich auf dem Smartphone
1:27:53
Bianca Kastl: da aufzuweisen und so weiter,
1:27:55
Bianca Kastl: dieses Verfahren setzt im Hintergrund auch irgendwie nicht mehr auf Konnektoren,
1:27:59
Bianca Kastl: sondern hat dann auch zeitgemäßes Zero Trust,
1:28:02
Bianca Kastl: Eigenschaften, also so wie man es halt heute eher macht, weil die Komplexität
1:28:06
Bianca Kastl: von Hardware halt irgendwann da auch schwierig wird.
1:28:10
Bianca Kastl: So, und das Verfahren soll kommen Anfang 2026.
1:28:14
Bianca Kastl: Ich sage deswegen soll kommen, weil wir natürlich in der Telematik-Infrastruktur,
1:28:18
Bianca Kastl: immer wieder Verzögerungen haben und wenn wir jetzt feststellen,
1:28:20
Bianca Kastl: dass die EPA dann in der Breite dann doch nicht so skaliert,
1:28:22
Bianca Kastl: dann wird man da erst wahrscheinlich daran rumdoktern,
1:28:25
Bianca Kastl: um dann vielleicht andere Dinge zu verschieben, wie es immer so läuft.
1:28:29
Linus Neumann: Ja, also jeder ist ein Projektplan, der ist da, um geändert zu werden.
1:28:32
Linus Neumann: Aber aktuell ist der Der Fall Anfang 2026, Verzögerungen muss man da schon wahrscheinlich
1:28:41
Linus Neumann: ein bisschen mit einrechnen, aber es hat irgendwo jemand mal hingeschrieben.
1:28:44
Bianca Kastl: Ja, genau.
1:28:48
Linus Neumann: Vielleicht sollten wir nochmal beleuchten, wieso denn überhaupt diese Daten
1:28:57
Linus Neumann: nicht Ende zu Ende verschlüsselt sind.
1:29:00
Linus Neumann: Also es ist tatsächlich kein triviales Problem, einen solchen Datensatz zu pflegen.
1:29:06
Linus Neumann: Er soll ja auch immer zugreifbar sein für diese Ärztinnen und Ärzte und sicherlich
1:29:12
Linus Neumann: sind diese Daten irgendwo immer verschlüsselt gespeichert.
1:29:15
Linus Neumann: Das ist ja immer so der wunderbare Zauberbegriff, dass irgendetwas verschlüsselt
1:29:21
Linus Neumann: gespeichert ist, was aber alle problemlos zugreifen können. Dann bringt dir
1:29:25
Linus Neumann: diese verschlüsselte Speicherung nichts.
1:29:29
Linus Neumann: Was sind die Gründe? Also das naheliegendste wäre, man verschlüsselt die Daten
1:29:34
Linus Neumann: so, dass sie nur mit der Karte zu entschlüsseln sind.
1:29:37
Linus Neumann: Dann hast aber das Problem, hier soll ja eine Zugriffsberechtigung delegiert
1:29:41
Linus Neumann: werden können, nämlich an Ärztinnen und Ärzte.
1:29:43
Linus Neumann: Also musst du so oder so irgendwie die Krypto-Keys mal rausgeben. Ja.
1:29:51
Bianca Kastl: Also die Gründe dafür, warum man das System genau in diese Richtung gebaut hat,
1:29:56
Bianca Kastl: haben mit zwei Dingen zu tun primär.
1:29:58
Bianca Kastl: Das Thema ist eine Opt-out-EPA. Das heißt...
1:30:01
Bianca Kastl: Wenn ich jetzt eine Ende-zu-Ende-verschlüsselte EPA hätte, dann ist ja immer
1:30:05
Bianca Kastl: die Sache, idealerweise wird an dem Ende jeweils exklusiv Schlüssel generiert,
1:30:10
Bianca Kastl: damit wir wirklich unter exklusiver Hoheit der jeweiligen Enden sind.
1:30:14
Bianca Kastl: So, jetzt haben wir das Szenario, dass wir natürlich jetzt allen Menschen in
1:30:20
Bianca Kastl: der Bundesrepublik eine EPA angedeihen wollen.
1:30:23
Bianca Kastl: Und dann können wir jetzt nicht anfangen zu sagen, übrigens,
1:30:26
Bianca Kastl: ja, ihr kriegt jetzt alle eine E-Paar, ihr müsst bitte irgendwie noch ein Kryptomaterial
1:30:31
Bianca Kastl: würfeln und das ist natürlich ein bisschen schwierig, wenn man das sauber machen wollte.
1:30:35
Bianca Kastl: Also hat man gesagt, okay, das ist eine Ende-zu-Ende-Nummer,
1:30:39
Bianca Kastl: die wir anders machen, eine Opt-out-E-Paar, wir legen die irgendwie in so Confidential-Cloud-Dinge,
1:30:45
Bianca Kastl: und halten die halt vor und machen dann noch Zugangsberechtigungen,
1:30:48
Bianca Kastl: die wir dazu haben und wir können dann entspannter, sagen wir mal,
1:30:51
Bianca Kastl: Leuten irgendwie das managen. Das ist das Erste.
1:30:54
Bianca Kastl: Es ist mit Opt-Out halt gekommen, um zu sagen, wir brauchen jetzt irgendwie
1:30:58
Bianca Kastl: ganz schnell irgendwie handhabbar viel, viel Dinge auf einmal.
1:31:01
Linus Neumann: Weil noch kein Schlüsselmaterial auf den Karten drauf ist oder was?
1:31:04
Linus Neumann: Weil ich meine bei den, also es gibt ja Beispiele von, wo mir ein Schlüsselmaterial
1:31:10
Linus Neumann: zugeteilt wird, von dem ich auch jetzt nicht unbedingt Opt-Outen kann.
1:31:14
Linus Neumann: Doch, genau, wo ich auch eine Opt-Out-Lösung habe und werde elektronische Personalausweis,
1:31:19
Linus Neumann: neue Personalausweis, Das heißt ja nicht mehr Epa.
1:31:22
Bianca Kastl: Nee, also das Material gibt es. Aber ich glaube,
1:31:25
Bianca Kastl: was man nicht wollte, ist, dass man so Szenarien hat, wie okay,
1:31:29
Bianca Kastl: wenn du jetzt deine Epa nutzen willst, musst du erst irgendwie vor Ort mit dem
1:31:35
Bianca Kastl: Smartphone, irgendwie mit deiner EGK irgendwas initialisieren.
1:31:39
Bianca Kastl: Sondern man wollte halt sagen, okay, guck mal, ist in dem Moment schon verfügbar.
1:31:43
Bianca Kastl: Wenn du in die Praxis kommst, ist sie schon da.
1:31:45
Linus Neumann: Ah ja, okay, verstanden. Also man müsste jetzt, man hätte sonst irgendwie Schlüsselmaterial
1:31:49
Linus Neumann: onboarden müssen. Okay.
1:31:54
Bianca Kastl: Das ist ein technischer Grund, der noch halbwegs plausibel ist und ich meine
1:31:58
Bianca Kastl: der andere politische Grund ist eigentlich relativ einfach.
1:32:01
Bianca Kastl: Ich sage jetzt einfach KI. Deswegen war halt medizinische Forschung.
1:32:05
Bianca Kastl: Der Gedanke ist auch ganz offensiv gewesen zu sagen, naja gut,
1:32:10
Bianca Kastl: wir brauchen das irgendwie besser in Massen zugreifbar für Forschung.
1:32:15
Bianca Kastl: Jetzt ist Ende-zu-Ende-Verschlüsselung und Datenaggregieren nicht so ganz trivial.
1:32:19
Bianca Kastl: Also machen wir es anders. Wir bauen es in zentralisierte Clouds,
1:32:22
Bianca Kastl: wo wir mit Zugangsbefugungen dann einfacher auch große Datenmengen zusammenführen können,
1:32:27
Bianca Kastl: was tatsächlich auch dann passiert mit dem Forschungsdatenzentrum Gesundheit,
1:32:30
Bianca Kastl: wo diese Daten aus den e-Pass pseudonym, das ist auch immer komplett wichtig, dass das pseudonym ist.
1:32:37
Bianca Kastl: Das heißt, jemand kriegt halt einen gewürfelten Identifier von einer sogenannten
1:32:42
Bianca Kastl: Vertrauensstelle, aber diese Gesundheitsdaten sind in ihren Datenwerten und
1:32:47
Bianca Kastl: auch damit der individuellen Datensignatur immer noch nachvollziehbar.
1:32:51
Bianca Kastl: Auch wenn da mein Name nicht mehr dran steht, ist es relativ klar,
1:32:56
Bianca Kastl: dass ein gewisses medizinisches Profil die und die Person sein wird.
1:32:59
Bianca Kastl: Und die werden aber halt jetzt massenhaft tatsächlich auch in Vorbereitung,
1:33:03
Bianca Kastl: das läuft noch nicht, aber das wird 2026 kommen, Richtung Forschungsdatenzentrum transferiert.
1:33:09
Bianca Kastl: Und weil man das relativ häufig und in großen Massen machen möchte,
1:33:13
Bianca Kastl: hat man gesagt, man setzt eine andere Art von Verschlüsselung auf eher Cloud-Ebene
1:33:18
Bianca Kastl: ein und spart sich diesen Ende-zu-Ende-Gedanken
1:33:22
Bianca Kastl: etwas, weil das halt viel Interaktion mit Leuten ist.
1:33:24
Linus Neumann: Er wäre natürlich auch, also was dann natürlich auch nochmal eine Rolle spielen
1:33:28
Linus Neumann: würde bei so einer richtigen Ende-zu-Ende-Verschlüsselung, wenn es jetzt wirklich
1:33:32
Linus Neumann: auf dem Schlüsselmaterial der Karte basieren lässt,
1:33:38
Linus Neumann: Kartenverlust wird ein größeres Problem und ich glaube so ein Kartenverlust
1:33:42
Linus Neumann: findet wahrscheinlich mehrmals am Tag statt.
1:33:44
Linus Neumann: Das heißt, du brauchst irgendeine Recovery-Lösung, die zumindest den tatsächlich
1:33:53
Linus Neumann: dann genutzten Schlüssel irgendwie wieder von deiner,
1:33:56
Linus Neumann: dass das auf jeden Fall nicht der ist, den du auf der Karte hast.
1:34:00
Linus Neumann: Aber dafür könntest du ja eigentlich einfach jede Datei, die da drin liegt,
1:34:03
Linus Neumann: symmetrisch verschlüsseln und das wieder an, Ärztinnen, Ärzte und so weiter.
1:34:09
Linus Neumann: Okay, da gehen wir jetzt ins Detail.
1:34:14
Linus Neumann: Aber letztendlich ist es so, dass ich richtig verstanden habe,
1:34:18
Linus Neumann: dass es letztendlich eigentlich immer Zugriff auf alle diese Daten geben kann,
1:34:24
Linus Neumann: aus der dünnen Luft also mit anderen Worten, sie sind nicht,
1:34:30
Linus Neumann: wirksam verschlüsselt, es gibt keine Möglichkeit dass ich durch Zerstörung einer Karte,
1:34:38
Linus Neumann: wirklich sicherstellen kann, dass diese Daten nicht mehr zugreifbar sind.
1:34:46
Linus Neumann: Es ist so tragisch also ich muss wirklich sagen Bianca, ich finde das so tragisch dass,
1:34:53
Linus Neumann: Man kann ja dann, man kann vielleicht über diejenigen Länder lachen,
1:34:58
Linus Neumann: die dann vielleicht irgendwie schnell in so eine Digitalisierung rein stolpern,
1:35:05
Linus Neumann: auf dem Weg lächerliche Fehler machen und die Sachen dann irgendwie,
1:35:08
Linus Neumann: wenn man sagt, guck mal hier, das hast du davon, dass du Early Adopter bist,
1:35:11
Linus Neumann: jetzt hast du das Problem oder so.
1:35:13
Linus Neumann: Aber dann das Land zu sein, was halt wirklich mit einer absoluten Behäbigkeit
1:35:18
Linus Neumann: hinterher trottet und dann irgendwie gegen alles,
1:35:22
Linus Neumann: was andere Menschen auf dem Weg dahin mit dem Absichern sehr viel kleinerer Risiken gelernt haben,
1:35:31
Linus Neumann: irgendwie blasiert zu ignorieren und mit so einem Mist anzutreten.
1:35:34
Linus Neumann: Oder mit so Schwielen an der Stirn Gesundheitsrisiken zu induzieren.
1:35:45
Linus Neumann: Für mich ist das wirklich sehr, sehr, sehr bedauerlich.
1:35:51
Linus Neumann: Also ich kann es nicht anders sagen. Ich muss da auch wirklich sagen,
1:35:55
Linus Neumann: mir tut da ernsthaft, unpopular opinion vielleicht, der Karl Lauterbach auch leid.
1:36:01
Linus Neumann: Weil der sich nun wirklich, also ich weiß nicht, wie dein Eindruck war, widersprich mir gerne.
1:36:07
Linus Neumann: Ich habe schon den Eindruck, dass der sich für einen Minister...
1:36:14
Linus Neumann: Dann doch sehr in die Sachen reingefuchst hat. Wenn man dann mal von Kryptoschlüsseln
1:36:19
Linus Neumann: redet, dann sagt er so, ja, natürlich wäre das mit RSA.
1:36:22
Linus Neumann: Man merkt schon gut, aber er hat weitergelesen, weil wir haben sicherlich nicht RSA empfohlen.
1:36:29
Linus Neumann: Da ist doch so ein bisschen Kompetenz durchgeleuchtet.
1:36:33
Linus Neumann: Nicht Kompetenz, also der kann Engagement sich in das Thema reinzufuchsen.
1:36:39
Tim Pritlove: Dafür ist er dann jetzt auch gekickt worden. Jetzt ist er auch kein Gesundheitsminister.
1:36:42
Linus Neumann: Genau, deswegen wurde er jetzt ersetzt durch irgendjemand, wo kein Risiko besteht,
1:36:46
Linus Neumann: dass sie sich in irgendwas reintrugst.
1:36:48
Bianca Kastl: Ja, nee, also ich glaube in der Genese, also zur Person von Karl-Heart aber
1:36:52
Bianca Kastl: von seiner Digitalkompetenz, nennen wir es mal so.
1:36:56
Bianca Kastl: Ich glaube ja schon von allen Ministern, mit denen ich,
1:36:59
Bianca Kastl: oder Ministern, Staatssekretär oder was auch immer, ich habe ja so ein bisschen
1:37:01
Bianca Kastl: Kontakt jetzt zu der ganzen Bubble, sowohl in Verwaltung als auch in Gesundheit,
1:37:13
Bianca Kastl: Interesse dafür hat.
1:37:15
Bianca Kastl: Das Problem ist aber auch, er ist halt eine Person, die ist gleichzeitig auch
1:37:19
Bianca Kastl: ein bisschen getrieben von diesem A-Modus, Dinge zu vollenden,
1:37:23
Bianca Kastl: die er seit 20 Jahren vor sich her schiebt.
1:37:25
Bianca Kastl: Also auch unter Ulla Schmidt, so, ja, das machen wir schon seit 20 Jahren,
1:37:29
Bianca Kastl: es muss jetzt irgendwann mal in den Start gehen.
1:37:31
Bianca Kastl: Und die gefährliche Kombination mit dem dem KI Forschungstrend,
1:37:37
Bianca Kastl: der gerade passiert, der dazu sagt halt, Ich meine es ja an Supervised Learning
1:37:41
Bianca Kastl: auf massenhafte Daten und er kann dann irgendwie Krankheiten erkennen,
1:37:45
Bianca Kastl: was wissenschaftlich auch kompletter Humbug ist, aber was gerade so der,
1:37:49
Bianca Kastl: nennen wir es mal Vibe, im Gesundheitsministerium ist.
1:37:54
Linus Neumann: Was ja auch naheliegend oder erklärbar ist, weil der Mann ist ja Epidemiologe
1:37:58
Linus Neumann: und er hat ja seine komplette Wissenschaftlerkarriere davon geträumt,
1:38:04
Linus Neumann: massenhafte Daten explorativ zur Verfügung zu haben.
1:38:07
Linus Neumann: Ich meine, es ist schon verständlich, dass er Überzeugungstäter ist.
1:38:17
Linus Neumann: Weil der Mann, wie alt wird der sein, irgendwo über 50, das heißt mindestens
1:38:20
Linus Neumann: 30 Jahre leidet der in seiner wissenschaftlichen Disziplin am Ende immer unter Datenmangel.
1:38:30
Linus Neumann: Oder?
1:38:31
Bianca Kastl: Zu Hause, ja. Also ich kann das ja beruflich nachvollziehen.
1:38:36
Bianca Kastl: Ich meine, ich versuche Gesundheitsämter und Software zu entwickeln,
1:38:38
Bianca Kastl: weil die haben ja genau das gleiche Problem mit Pandemie gemerkt.
1:38:41
Bianca Kastl: Aber auf der anderen Seite ist halt die Art und Weise, wie du so Systeme baust,
1:38:45
Bianca Kastl: auch die hat ein Menschenbild in gewisser Weise inhärent inne.
1:38:49
Bianca Kastl: Da ist ein System, was einfach nur massenhaft Daten abgreift,
1:38:53
Bianca Kastl: aber sich nicht um die Risiken schert.
1:38:55
Bianca Kastl: Es ist kein System für, keine EPA für alle, sondern eigentlich eine EPA gegen alle.
1:39:01
Bianca Kastl: Und das ist halt das Schlimme eigentlich. Das ist eine Opt-out-EPA mit der Sicherheitsarchitektur
1:39:07
Bianca Kastl: und diesen handwerklichen Mängeln, die sich auch wiederholen.
1:39:11
Bianca Kastl: Und da kommt nicht das Menschenbild raus, wir versuchen ein System für Menschen
1:39:14
Bianca Kastl: zu bauen, sondern wir versuchen ein System zu bauen, was einfach Daten abgreift.
1:39:18
Bianca Kastl: Und das ist bei einem Gesundheitssystem fatal eigentlich.
1:39:21
Bianca Kastl: Was wir brauchen, ist ein System, was Menschen das Gefühl gibt,
1:39:24
Bianca Kastl: befähigt zu werden, im Gesundheitswesen digital zu interagieren und dann auch
1:39:27
Bianca Kastl: vertraulich sichern und was auch immer.
1:39:29
Bianca Kastl: Aber auch meiner Meinung nach gerne eine Forschung, Daten zur Verfügung zu stellen
1:39:32
Bianca Kastl: oder irgendwie verteilte Berechnungen durchzuführen, whatever.
1:39:35
Bianca Kastl: Aber das haben wir ja nicht, sondern wir wollten politisch gesehen und da ist
1:39:38
Bianca Kastl: Karl Lauterbach auch ganz maßgeblich schnell in die Größe kommen,
1:39:44
Bianca Kastl: dort explodativ irgendwas zu machen auf der gesamten Bevölkerung und dann irgendwie.
1:39:49
Bianca Kastl: Mit strahlenden Augen zu sagen, ich habe Krankheiten herausgefunden,
1:39:53
Bianca Kastl: Zusammenhänge oder sonstige Dinge und guck mal, wie schnell ich das gemacht habe.
1:39:56
Bianca Kastl: Da ging es nicht um Qualitäts, dann ging es um massives nach oben skalieren
1:40:00
Bianca Kastl: in kurzer Zeit. Das ist ein Problem.
1:40:06
Tim Pritlove: Wie lässt sich denn das jetzt vielleicht retten alles?
1:40:09
Tim Pritlove: Ich meine, wir sind ja immer schnell so, warum das alles kaputt ist und so und
1:40:15
Tim Pritlove: am Ende wollen wir ja eigentlich alles irgendwie funktioniert,
1:40:20
Tim Pritlove: dass wir nicht Digitalisierung haben, sondern Digitalisierung.
1:40:26
Tim Pritlove: Hast du da irgendwie eine Perspektive, wie man jetzt das Schiff dann noch gedreht bekommt?
1:40:31
Bianca Kastl: Also eigentlich sind wir von diesem Architekturgedanken, müssten wir eigentlich
1:40:38
Bianca Kastl: komplett von vorne anfangen, weil diese EPA ja Themen Ende-zu-Ende-Verschlüsselung,
1:40:44
Bianca Kastl: verteilte Forschung, sonstige Themen, Notfalldatenzugriff und so weiter eigentlich
1:40:47
Bianca Kastl: falsch konstruiert ist.
1:40:49
Bianca Kastl: Weil so ein Gesundheitssystem hat ja mehr oder weniger drei wichtige Eigenschaften.
1:40:53
Bianca Kastl: Notfalldaten, das ist etwas, wo du sagst, ja, das muss immer funktionieren,
1:40:58
Bianca Kastl: auch wenn das Smartphone abbraucht und sonst irgendwie.
1:41:02
Tim Pritlove: Nicht gedauert und kaputt ist.
1:41:03
Bianca Kastl: Das ist eher so, okay, hast du vielleicht noch eine Karte, wo es auf der Karte
1:41:07
Bianca Kastl: ist, physikalisch gesehen?
1:41:08
Bianca Kastl: Hat man aber nicht gemacht, sondern man sagt jetzt nur, voll Daten müssen in
1:41:10
Bianca Kastl: die Cloud. Weiß nicht, ob das eine gute Idee ist.
1:41:14
Bianca Kastl: Dann hat man halt einen normalen Versorgungskontext, da hat man irgendwie ganz
1:41:17
Bianca Kastl: andere Szenarien, da hat man auch eine andere Art von Möglichkeiten,
1:41:20
Bianca Kastl: die man einstellen soll. und man hat den Forschungsbereich.
1:41:23
Bianca Kastl: Und der Forschungsbereich ist ja von der Dateninteraktionsrate und wie Daten
1:41:29
Bianca Kastl: sich verändern und so weiter, etwas, was komplett anders ist wie das vorherige.
1:41:34
Bianca Kastl: Was wir aber gebaut haben, wir haben ein System gebaut für alles und das soll
1:41:37
Bianca Kastl: dann für alles super funktionieren.
1:41:38
Bianca Kastl: Und das kann halt nicht funktionieren, weil das Gesundheitswesen so unterschiedlich
1:41:42
Bianca Kastl: ist in seiner Art und Weise.
1:41:44
Bianca Kastl: Das auf der Haben-Seite, was wir haben, wir haben eigentlich.
1:41:48
Bianca Kastl: Für ein Digitalsystem in Deutschland, ich habe ein paar Ressorts im Blick,
1:41:53
Bianca Kastl: Verwaltung und Gesundheit im Digitalbereich.
1:41:57
Bianca Kastl: Wir haben dort tatsächlich konsequenterweise diesen ganzen Identitätskram,
1:42:01
Bianca Kastl: der ja sonst immer ein Pain ist, schon sehr konsequent als Basis, die wir haben.
1:42:06
Bianca Kastl: Also wir haben Identitäten auf Basis von Karten für alle Leistungsberechtigung,
1:42:12
Bianca Kastl: wir haben für alle wichtigen handelnden Personen Heilberufsausweise.
1:42:17
Bianca Kastl: Wir haben damit eine Basis, wo wir schon mal viel geschafft haben,
1:42:19
Bianca Kastl: was wir in der Verwaltung zum Beispiel nicht haben.
1:42:20
Bianca Kastl: Also Verwaltungen wären ja nicht irgendwie Behörden irgendwie sinnvoll,
1:42:24
Bianca Kastl: die haben irgendwie eigene PKIs und nicht irgendwie, das ist da vollkommen heterogen,
1:42:31
Bianca Kastl: wohingegen im Gesundheitswesen man diese Kette von den beteiligten Leuten,
1:42:36
Bianca Kastl: denen auch digitale Mittel an die Hand zu geben, sich auszuweisen,
1:42:39
Bianca Kastl: irgendwas berechtigt zu sein, die hat man eigentlich sinnvoll gemacht.
1:42:43
Bianca Kastl: Wir gehen jetzt aber halt in die Richtung, dass wir darauf Architekturen bauen,
1:42:47
Bianca Kastl: die dann wieder komisch werden und handwerklich wild und ich glaube,
1:42:53
Bianca Kastl: man muss schrittweise diese eigentlich gute Basis von, wir haben versucht,
1:42:58
Bianca Kastl: einen ganzen Sektor von 100.000 bis zu 1.000.000 Millionen Leuten digital auszuweisen,
1:43:07
Bianca Kastl: in so ein System einzubinden.
1:43:09
Bianca Kastl: Das müsste man jetzt glaube ich nochmal eine neue Komposition davon machen,
1:43:14
Bianca Kastl: die schrittweise in den Modus kommt.
1:43:18
Bianca Kastl: Das werden nicht mehr diese ja holzernen,
1:43:24
Bianca Kastl: Architekturentscheidungen und dieses handwerkliche Rumgeschnitze da irgendwie
1:43:27
Bianca Kastl: haben, was meistens immer ins Auge geht.
1:43:29
Tim Pritlove: Aber ich meine, ist das auch realistisch, wenn du jetzt irgendwie Chefin wärst,
1:43:35
Tim Pritlove: von dem ganzen Projekt, So, du kannst jetzt machen, was du willst.
1:43:40
Tim Pritlove: Was wäre so der konkrete Schritt?
1:43:46
Tim Pritlove: Entkopplung der Komponenten.
1:43:48
Bianca Kastl: Ich glaube, meines Eindrucks nach hat die Gematik im Speziellen,
1:43:57
Bianca Kastl: aber vielleicht auch eher von dem, wie das Gesundheitsministerium steuert,
1:44:02
Bianca Kastl: man hat dort ein Prozessproblem, wie dieses Thema entsteht.
1:44:06
Bianca Kastl: Weil üblicherweise entstehen Spezifikationen
1:44:09
Bianca Kastl: irgendwo in irgendwelchen Gesellschafterentscheidungen bei der Gematik.
1:44:12
Bianca Kastl: Dann wird irgendwas entschieden, dann wird irgendwas entschieden,
1:44:14
Bianca Kastl: dass man es so macht, dass man es irgendwie in Klaus speichert und sonst irgendwas.
1:44:17
Bianca Kastl: Was man aber eigentlich machen müsste, man müsste halt transparent,
1:44:20
Bianca Kastl: so ähnlich wie bei der Corona-Warn-App sagen, übrigens das ist das System, was wir bauen wollen.
1:44:23
Bianca Kastl: Ihr seid alle davon betroffen, weil das ist unser Gesundheitssystem.
1:44:26
Bianca Kastl: Das ist das, was wir wollen. Wir legen den Weg dorthin transparent da und dann
1:44:31
Bianca Kastl: können alle nochmal drauf gucken und Veto einlegen und sagen hier übrigens,
1:44:35
Bianca Kastl: für die Gruppe ist es schlecht, gibt es eine andere Lösung.
1:44:37
Bianca Kastl: Wir werden dort nicht auch immer die perfekten Lösungen für alles finden.
1:44:40
Bianca Kastl: Es sind immer Aushandlungen für verschiedenen Vor- und Nachteilen.
1:44:44
Bianca Kastl: Aber bisher läuft es halt so, es gibt eine politische Entscheidung,
1:44:46
Bianca Kastl: da macht die Gematik davon irgendeine Spezifikation.
1:44:48
Bianca Kastl: Die ist dann irgendwie aus irgendwelchen Zwängen seltsam.
1:44:52
Bianca Kastl: Aber es gibt diese Zwänge.
1:44:54
Bianca Kastl: Die Zwänge sind aber nicht transparent. Und dann kommt halt das handwerkliche
1:44:57
Bianca Kastl: Rumgeeier von der ganzen nachgeleiteten Kette von Unternehmen,
1:45:04
Bianca Kastl: die daran rumdoktern, weil woran wir immer diese Mängel sehen,
1:45:08
Bianca Kastl: ist tatsächlich, wir lesen Spezifikationen und gucken ein paar Endpunkte,
1:45:11
Bianca Kastl: wie die eigentlich implementiert sind und schauen halt dann an,
1:45:13
Bianca Kastl: was dann so von dieser Theorien-Spezifikation in der Praxis nutzbar ist,
1:45:16
Bianca Kastl: irgendwas kaputt zu machen.
1:45:18
Bianca Kastl: Das heißt nicht, dass wir in alle Software-Konstellationen in Krankenkassen
1:45:22
Bianca Kastl: reingucken, sondern wirklich nur in diese Linie, die uns irgendwie öffentlich verfügbar ist.
1:45:28
Tim Pritlove: Ja, und? Also ist nicht zu retten, sagst du?
1:45:31
Bianca Kastl: Nee.
1:45:34
Linus Neumann: Ja, aber okay. Danke.
1:45:37
Tim Pritlove: Dann haben wir versucht, hier eine goldene Brücke zu bauen oder so. Nee, aber ich meine.
1:45:41
Bianca Kastl: Ich glaube, das Entscheidende ist tatsächlich, also es zu retten,
1:45:44
Bianca Kastl: natürlich gibt es Wege, das zu retten, aber ich glaube, da muss erst ein Prozess
1:45:49
Bianca Kastl: kommen, der das Retten ja überhaupt ermöglicht.
1:45:50
Tim Pritlove: Naja, gut, aber das ist das Problem.
1:45:54
Tim Pritlove: Kritisieren ist ja immer gut, aber man muss ja jetzt da auch irgendwie einen
1:45:57
Tim Pritlove: Ausweg bieten, sonst geht das ja ja ewig so weiter.
1:46:02
Bianca Kastl: Ja, also ich glaube, es ist nicht alles schlecht, was sich jetzt auftut an neuen Dingen, also dieses,
1:46:08
Bianca Kastl: Thema mit Proof of Patience ist schon solide, auch was Digimati Richtung Zero
1:46:15
Bianca Kastl: Trust und so weiter macht an Konzepten, ist für die Größe, glaube ich,
1:46:20
Bianca Kastl: im Konzept grundsätzlich gut angelegt, man muss aber halt jetzt überlegen,
1:46:24
Bianca Kastl: was man bisher in der Art und Weise gemacht hat, was man nicht so weiter tun
1:46:29
Bianca Kastl: kann und das ist, glaube ich, das Problem.
1:46:31
Bianca Kastl: Die Veränderung zu sagen, nee, sorry, das haben wir das letzte Mal schon komplett
1:46:35
Bianca Kastl: gegen die Wand gefahren, das können wir nicht wieder so machen.
1:46:38
Tim Pritlove: Aber wenn jetzt die richtigen Maßnahmen, TM,
1:46:42
Tim Pritlove: eingeführt werden, wie schnell könnte man quasi auch aus dem,
1:46:47
Tim Pritlove: was man jetzt hat, ein akzeptables,
1:46:50
Tim Pritlove: betreibbares System bauen, was auch irgendwie, wo man sagen kann, so ja,
1:46:57
Tim Pritlove: ist nicht optimal, aber passt jetzt erstmal und bietet vielleicht auch einen Weg an,
1:47:04
Tim Pritlove: wo man jetzt über einen Parallelbetrieb in ein, zwei Jahren vielleicht zu einem
1:47:10
Tim Pritlove: Modell hinkommen kann, wo die Dinge, die entkoppelt gehören,
1:47:13
Tim Pritlove: auch entkoppelt sind und dann geht alles in die richtige Richtung.
1:47:17
Bianca Kastl: Also die übliche Zeit, die man die man in diesem ganzen TI-Kontext braucht,
1:47:22
Bianca Kastl: um auch nur kleinere Änderungen durchzukriegen, sind wir sechs Monate und drunter geht eigentlich kaum.
1:47:27
Bianca Kastl: Und das heißt, wenn man jetzt akzeptabel größere Baustellen umbauen möchte,
1:47:32
Bianca Kastl: ist man im Bereich von Jahren.
1:47:34
Bianca Kastl: Also ich glaube, unter zwei Jahren sind so größere Veränderungen nicht durchzuführen.
1:47:39
Bianca Kastl: Und da wird man auch nicht alles auf einmal einreißen können,
1:47:42
Bianca Kastl: sondern wird schrittweise anfangen
1:47:44
Bianca Kastl: müssen, vor allem jetzt erstmal dieses Zugriffsthema irgendwie zu regeln.
1:47:50
Bianca Kastl: Ob das Thema 2026 dann schon zufriedenstellend gelöst sein wird,
1:47:54
Bianca Kastl: wissen wir nicht, weil es immer so eine Wundertüte ist. Aber mal gucken.
1:47:59
Bianca Kastl: Dann kann man so schrittweise dann halt die anderen Baustellen aufbauen und
1:48:02
Bianca Kastl: dann stellt man fest, okay, müsste man vielleicht irgendwie den Baustein,
1:48:09
Bianca Kastl: den Baustein, den Baustein machen.
1:48:11
Bianca Kastl: Man kann nicht alles gleichzeitig machen, weil es ist schon sehr,
1:48:13
Bianca Kastl: sehr viel auch ausgerollt. Und wenn man jetzt zum Beispiel an dem E-Rezept-Dienst
1:48:16
Bianca Kastl: irgendwie rumdoktet, dann ist ja plötzlich das gesamte E-Rezept in Deutschland betroffen.
1:48:20
Bianca Kastl: Das macht die Geschwindigkeit der Veränderung also langsamer.
1:48:23
Bianca Kastl: Ich glaube, eigentlich ist das, was man jetzt in die Richtung entwickelt hat,
1:48:26
Bianca Kastl: um es wirklich umzubauen, sind wir eher bei mindestens fünf Jahren.
1:48:32
Tim Pritlove: Und jetzt reden wir ja die ganze Zeit über die deutsche Lösung,
1:48:38
Tim Pritlove: und eigentlich muss sowas
1:48:42
Tim Pritlove: ja auch in irgendeiner Form europäisch mindestens europäisch gedacht werden
1:48:47
Tim Pritlove: weil man geht ja man ist ja auch mal im Urlaub und dann geht man auch mal woanders
1:48:52
Tim Pritlove: zum Arzt und so ist eigentlich in irgendeiner Form hier schon eine Interoperabilität,
1:49:00
Tim Pritlove: eine europäische oder gar internationale Perspektive an irgendeiner Stelle verankert?
1:49:06
Bianca Kastl: Ja, das ist tatsächlich verankert, tatsächlich auch gesetzlich europäisch verabschiedet.
1:49:13
Bianca Kastl: Es gibt den europäischen Gesundheitsdatenraum, IHDS, European Health Data Space,
1:49:17
Bianca Kastl: der auch tatsächlich das als Ziel hat, der natürlich auch bestimmte problematische
1:49:21
Bianca Kastl: Dinge hat, wie Datennutzung für wen auch immer, Big Tech und sonst was ermöglicht.
1:49:27
Bianca Kastl: Aber der auch zum Ziel auch diese Interoperabilität hat, wo man dann sagt,
1:49:31
Bianca Kastl: okay, guck mal, wenn ich jetzt in Spanien ein Rezept einlöse,
1:49:33
Bianca Kastl: das elektronisch, dann muss es auch in Deutschland funktionieren,
1:49:36
Bianca Kastl: wenn ich in die Apotheke gehe.
1:49:38
Bianca Kastl: Der IHDS als solches ist jetzt in dieser gesetzlichen Formulierung durch.
1:49:43
Bianca Kastl: Jetzt kommen diese ganzen technischen Spezifizifikationen, die meistens in einem
1:49:47
Bianca Kastl: Zeitraum von zwei Jahren umgesetzt werden. Und dann,
1:49:52
Bianca Kastl: Ja, ist aber da immer die Schwierigkeit, wenn du ein Gesundheitssystem hast,
1:49:56
Bianca Kastl: was bei dir im Land noch gerade im Wandel ist und was du dann noch irgendwie
1:49:59
Bianca Kastl: in europäische Interoperabilität reinkriegen musst, ist halt noch mehr Stress
1:50:03
Bianca Kastl: auf dem System, um Veränderungen reinzukriegen.
1:50:06
Bianca Kastl: Da werden zwar Dinge vorbereitet, aber ich glaube, da wird es auch noch Veränderungen
1:50:09
Bianca Kastl: brauchen, um irgendwas interoperabil europäisch zu machen und das ist halt in
1:50:12
Bianca Kastl: kurzer Zeit viel Veränderung, die nicht unbedingt gut ist für etwas, was nicht stabil läuft.
1:50:22
Linus Neumann: Ach, schade.
1:50:23
Tim Pritlove: Das wäre doch so schön gewesen.
1:50:25
Linus Neumann: Aber wir haben doch jetzt bald einen neuen Digitalminister.
1:50:32
Tim Pritlove: Ja, also genau, also haben wir jetzt das Gesundheitsthema erstmal abgearbeitet.
1:50:40
Linus Neumann: Also ich dachte, das ist jetzt dramatisch traurig genug. Wir könnten uns noch
1:50:43
Linus Neumann: ganz kurz mit dem neuen Innenminister und Digitalminister auseinandersetzen, um das abzurunden.
1:50:51
Tim Pritlove: Ja, also noch haben wir den Digitalminister nicht, aber es sieht so aus,
1:50:55
Tim Pritlove: als ob feststeht, wer es werden wird.
1:50:58
Tim Pritlove: Und vor allem steht fest, wie dieses neue Digitalministerium heißt.
1:51:06
Bianca Kastl: BDSM.
1:51:06
Linus Neumann: BDSM, das ist doch ein richtig guter Name, dass ich da nicht selber drauf gekommen bin.
1:51:15
Tim Pritlove: Oh Gott, also das Bundesministerium für Digitalisierung und Staatsmodernisierung.
1:51:22
Linus Neumann: Ja.
1:51:23
Tim Pritlove: Ich meine, das ist ja ein sehr hoffnungsfroher Name, aber mit der Abkürzung
1:51:27
Tim Pritlove: hat man es natürlich, ist das eigentlich die offizielle Abkürzung oder ist das
1:51:30
Tim Pritlove: nur das, was wir da reinlesen oder nennen die das dann BDS?
1:51:34
Tim Pritlove: BDS klingt doch ein bisschen wie Stasi.
1:51:37
Linus Neumann: Also ich denke, das BDSM ist ja völlig eindeutig. Wahrscheinlich werden sie
1:51:42
Linus Neumann: versuchen, sich über BMDS irgendwie aus der Nummer rauszuholen.
1:51:45
Tim Pritlove: Bei uns wird es so heiß.
1:51:46
Linus Neumann: Das ist das BDSM.
1:51:47
Tim Pritlove: Ja, das BDSM.
1:51:49
Linus Neumann: Nicht zu verwechseln mit der Sammelbezeichnung für eine Gruppe von Sexualpräferenzen,
1:51:54
Linus Neumann: die oft unschärfer auch als Sadomasochismus bezeichnet werden.
1:51:58
Linus Neumann: Das mehrschichtige Akronym wird aus den Anfangsbuchstaben der englischen Bezeichnung
1:52:03
Linus Neumann: für Bundesministerium, Digitalisierung und Staatsmodernisierung gewählt.
1:52:08
Linus Neumann: Nein, Bondage, Discipline, Dominance and Submission.
1:52:12
Linus Neumann: Und das ist doch wunderbar, das passt doch absolut.
1:52:15
Tim Pritlove: Also sag du mal, Masochismus und Digitalisierung in Deutschland,
1:52:18
Tim Pritlove: das geht wirklich Hand in Hand.
1:52:21
Linus Neumann: Endlich greift das Thema mal jemand so auf, wie es sich gehört,
1:52:25
Linus Neumann: als hätte ich nicht mal verstanden, wovon die Rede ist.
1:52:28
Tim Pritlove: Naja, also die voraussichtliche Besetzung dieses neuen Postens ist Carsten Wildberger.
1:52:38
Tim Pritlove: Haben wir wahrscheinlich alle noch nie gehört. Seines Zeichens Physiker,
1:52:43
Tim Pritlove: war dann irgendwie Wirtschaftsberater unterschiedlichen Organisationen und ist
1:52:49
Tim Pritlove: halt auch im CDU-Wirtschaftsrat vertreten, der ja,
1:52:53
Tim Pritlove: anders als der Name vielleicht implizieren mag, keine Organisation der CDU ist,
1:52:59
Tim Pritlove: sondern so eine Art Lobbyverein,
1:53:03
Tim Pritlove: der mehr oder weniger so die Wirtschaftsvertreter zusammen beruft und wird dann so rumlobbyiert.
1:53:12
Tim Pritlove: Aber es ist jetzt nicht wirklich ein Gremium der Partei.
1:53:17
Tim Pritlove: Da war er dann Vizepräsident, hat glaube ich März sogar in dieser Rolle abgelöst.
1:53:23
Tim Pritlove: Und ist aktuell noch Vorstandsvorsitzender von Seekonomy, was ich noch nie gehört
1:53:32
Tim Pritlove: habe. Hast du das schon mal gehört?
1:53:33
Linus Neumann: Habe ich jetzt gelesen.
1:53:36
Tim Pritlove: Im Prinzip ist das der Rapper um eine deutsche Technikberatung und die Media
1:53:41
Tim Pritlove: Markt Saturn Gruppe, deren Geschäftsführer er auch ist.
1:53:46
Tim Pritlove: Also das ist sozusagen aus dem Einzelhandel jetzt. Die haben auch so Online-Shops und Apps und so.
1:53:55
Tim Pritlove: Da ist also auf jeden Fall schon mal was passiert.
1:54:00
Tim Pritlove: Ja, laut Netzpolitik.org waren seine bemerkenswertesten politischen Vorschläge,
1:54:06
Tim Pritlove: die er bisher im Rahmen seiner Lobby-Tätigkeit gemacht hat, die Sonntagsöffnung
1:54:11
Tim Pritlove: von Läden und eine Abwrackprämie für Elektrogeräte.
1:54:20
Tim Pritlove: Wo man vielleicht auch noch drüber diskutieren kann. Ich meine,
1:54:23
Tim Pritlove: Energie, Ökonomie, bla bla bla und so weiter.
1:54:27
Linus Neumann: Also ich würde gerade sagen, da wäre eigentlich eine Benutzt,
1:54:31
Linus Neumann: das Ding länger Prämie wäre, das was man als sinnvoll erachten könnte.
1:54:36
Tim Pritlove: Auf jeden Fall sorgt er sich um die geschundene Wirtschaft, die sonntags nicht
1:54:40
Tim Pritlove: aufmachen kann und die irgendwie Probleme hat, ihre Elektrogeräte an den Mann
1:54:45
Tim Pritlove: zu bringen oder die Frau.
1:54:46
Tim Pritlove: Naja, gut, vielleicht ist er ja ein kluger Kerl, was natürlich ein Problem sein
1:54:55
Tim Pritlove: wird, ist wie immer, wenn du ein komplett neues Digital,
1:54:58
Tim Pritlove: also überhaupt ein neues Ministerium erstmal hochziehen musst,
1:55:02
Tim Pritlove: dann brauchst du natürlich eine Verwaltung.
1:55:05
Tim Pritlove: Also du musst ja im Prinzip die ganze, nicht nur im Prinzip,
1:55:09
Tim Pritlove: sondern auch ganz konkret musst du da überhaupt erstmal Leute hinkriegen,
1:55:13
Tim Pritlove: die brauchen einen Ort, die müssen sich irgendwie etablieren,
1:55:17
Tim Pritlove: die müssen sich ihre Regeln schreiben.
1:55:19
Tim Pritlove: Also das wird wahrscheinlich einfach erstmal ein, zwei Jahre dauern,
1:55:22
Tim Pritlove: bis überhaupt dieser Apparat steht, wenn überhaupt, keine Ahnung,
1:55:26
Tim Pritlove: was da so die typischen Erfahrungen bisher sind.
1:55:29
Tim Pritlove: Aber davon ist natürlich auf jeden Fall auszugehen und dann wird natürlich auch
1:55:33
Tim Pritlove: dieses ganze Zuständigkeits-Hickhack losgehen mit, okay,
1:55:37
Tim Pritlove: wofür bist du denn jetzt eigentlich zuständig und was muss jetzt das Innenministerium
1:55:43
Tim Pritlove: abgeben, was muss das Wirtschaftsministerium abgeben, was muss das Verkehrsministerium abgeben.
1:55:47
Tim Pritlove: Alles ja so Player, die bisher in irgendeiner Form versucht haben, da mitzuspielen.
1:55:52
Tim Pritlove: Und was aus meiner Warte bisher auch noch vollkommen unklar ist,
1:55:56
Tim Pritlove: ist, was hat sozusagen dieses Digitalministerium nicht nur für Zuständigkeit,
1:56:00
Tim Pritlove: sondern auch für Eingriffsmöglichkeiten.
1:56:02
Tim Pritlove: Wir haben ja schon darüber gesprochen, dass es ja vielleicht so eine Art Digitalvorbehalt
1:56:07
Tim Pritlove: geben sollte, sprich so wie ein Finanzministerium anderen Ministerien sagen kann, so ja,
1:56:14
Tim Pritlove: schöne Pläne habt ihr da, aber Kohle ist nicht dafür da.
1:56:18
Tim Pritlove: Müsste im Prinzip ja auch so ein Digitalministerium sagen können,
1:56:21
Tim Pritlove: hier wir haben ja so eine bundesweite, vielleicht eben auch europäische Digitalstrategie,
1:56:29
Tim Pritlove: die hat die und die Anforderungen.
1:56:30
Tim Pritlove: Wir wollen sicherstellen, dass wir eben nicht nur
1:56:33
Tim Pritlove: so eine Ansammlung von singulären Digitallösungen haben für dieses und für jenes
1:56:41
Tim Pritlove: und nichts arbeitet mit irgendwas anderem zusammen und wir haben 31 Millionen
1:56:46
Tim Pritlove: verschiedene Authentication-Systeme und Zugangskarten und was weiß ich noch alles,
1:56:53
Tim Pritlove: Infrastrukturen, APIs, die vielleicht nach unterschiedlichen Prinzipien funktionieren,
1:56:58
Tim Pritlove: sondern wir wollen ja eigentlich eher die Digitalisierung des Staates,
1:57:02
Tim Pritlove: hier heißt es ja auch Staatsmodernisierung und jeder, der sich ein bisschen
1:57:05
Tim Pritlove: mit Digitalisierung mal beschäftigt hat, weiß, das ist halt sehr wichtig,
1:57:09
Tim Pritlove: dass man einfach in gewisser Hinsicht auch eine Wiedererkennbarkeit hat,
1:57:13
Tim Pritlove: dass da auch so ein Lerneffekt eintritt, so nach dem Motto, ich weiß,
1:57:16
Tim Pritlove: wie ich hier irgendwie mit dem Verkehrsministerium meine Daten abrufe,
1:57:19
Tim Pritlove: dann kann ich wahrscheinlich auch beim Wirtschaftsministerium mehr oder weniger
1:57:23
Tim Pritlove: im selben, also nicht vollständig identisch, aber zumindest in derselben Denkweise da rangehen.
1:57:30
Tim Pritlove: Und das sind alles diese Dinge, die diese Person und dieses Digitalministerium
1:57:36
Tim Pritlove: im Prinzip einführen müsste.
1:57:40
Tim Pritlove: Ja, mal gucken, was er mit seinem Mediamarktwissen da einbringen kann.
1:57:46
Linus Neumann: Also ich meine, die,
1:57:51
Linus Neumann: Es ist ja, also ich finde es jetzt nicht so blöd, zu sagen, lass uns mal jemanden
1:57:58
Linus Neumann: aus der Wirtschaft nehmen,
1:57:59
Linus Neumann: der noch nicht durch dieses ganze Ministeriums- und Verwaltungsgedöns ruiniert
1:58:06
Linus Neumann: wurde und das alles völlig normal findet,
1:58:08
Linus Neumann: sondern der wahrscheinlich einfach, sobald der Erste irgendwie anfängt mit irgendeiner
1:58:11
Linus Neumann: dummen Scheiße was zu blockieren, einfach den anschreit und schlägt.
1:58:15
Linus Neumann: Ja, und das wäre vielleicht erstmal so, das wäre Hoffnung,
1:58:19
Linus Neumann: dass wir da irgendwie jemanden, der noch nicht weiß oder der vielleicht noch
1:58:25
Linus Neumann: nicht am eigenen Leib erfahren hat und noch nicht zerrieben wurde darin,
1:58:29
Linus Neumann: wie man alles kaputt macht, sondern jemand, der sein Leben unter einem Leistungsdruck
1:58:34
Linus Neumann: verbracht hat oder damit verbracht hat, anderen Leuten Leistungsdruck zu machen,
1:58:40
Linus Neumann: damit sie Geld verdienen.
1:58:41
Tim Pritlove: Du meinst wie Elon Musk?
1:58:43
Linus Neumann: Nein, also irgendetwas, also naja, immerhin also aber ich,
1:58:50
Linus Neumann: ich mag du hast recht, das kann in die andere Richtung auch sehr schief gehen
1:58:55
Linus Neumann: das kann in die andere Richtung sehr schief gehen aber in die Richtung,
1:58:58
Linus Neumann: in die wir gerade galoppieren geht es gerade schon schief, vielleicht können
1:59:01
Linus Neumann: wir jetzt mal eine andere Richtung nehmen.
1:59:03
Tim Pritlove: In der es schief geht Ja, mal kurz, ja okay vielleicht, ich weiß nicht,
1:59:06
Tim Pritlove: Anke Domscheit-Berg meint irgendwie, mit Wirtschaftsdenke kommt man,
1:59:11
Tim Pritlove: in dem System nicht weit, weil man eben nicht so aus einem singulären Interessen
1:59:17
Tim Pritlove: Ding von oben herab einfach mal was rein diktieren kann, sondern man muss halt
1:59:20
Tim Pritlove: im Verwaltungskontext und im
1:59:22
Tim Pritlove: politischen Kontext halt schon irgendwie auch einen Blick für alles haben.
1:59:26
Linus Neumann: Okay, das ist eine gute Stimme, weil sie ja aus der Wirtschaft dorthin kam.
1:59:34
Linus Neumann: Sie hat diesen Teil ja gelernt. War sie nicht bei McKinsey oder sogar?
1:59:39
Tim Pritlove: Microsoft glaube ich.
1:59:40
Linus Neumann: Microsoft, auf jeden Fall bei, genau, also Anke kam,
1:59:45
Linus Neumann: aus einem einflussreichen IT-Wirtschaftsbereich in ihre politische Tätigkeit.
1:59:54
Linus Neumann: Aber gleichzeitig jetzt irgend so einen erfahrenen, also wem würdest du denn nehmen?
1:59:58
Linus Neumann: Da hat das mit Thinking Outside the Box hat der hier mal Keine Ahnung.
2:00:05
Tim Pritlove: Ich meine am Ende wird es eine Stilfrage sein und da muss man halt einfach die
2:00:12
Tim Pritlove: richtigen Skills an den Start bringen.
2:00:13
Tim Pritlove: Ich meine generell denke ich, ein bisschen Erfahrung zu haben mit einem konkreten
2:00:18
Tim Pritlove: Digitalaufbau, das ist ja durchaus etwas,
2:00:21
Tim Pritlove: was jetzt gerade diese Läden mit Online und so weiter, Zugänge,
2:00:29
Tim Pritlove: Betrieb von Infrastrukturen und so, das steckt da jetzt drin.
2:00:33
Tim Pritlove: Ob die Person da jetzt die richtige ist, das werden wir sehen, keine Ahnung.
2:00:39
Linus Neumann: Also genau, ob die Person die richtige ist, auf jeden Fall werden wir sehen.
2:00:44
Tim Pritlove: Mehr Erfahrung bringt ja das Innenministerium jetzt ein.
2:00:47
Linus Neumann: Ja.
2:00:49
Linus Neumann: Das Dobrindt.
2:00:51
Bianca Kastl: Das Dobrindt.
2:00:56
Tim Pritlove: Du immerhin nicht Jens Spahn. Ja.
2:01:01
Tim Pritlove: Alexander Dobrindt soll Innenminister werden.
2:01:06
Tim Pritlove: Also wir haben hier eine CSU,
2:01:10
Tim Pritlove: geführtes Innenministerium. What could possibly go wrong?
2:01:15
Tim Pritlove: Und er war ja der erste deutsche digitale Infrastrukturminister im Verkehrsministerium.
2:01:21
Tim Pritlove: Das hat ja auch schon super funktioniert.
2:01:24
Tim Pritlove: Ich weiß gar nicht, was du hast. Ist doch geil. Endlich mal jemand mit Erfahrung. Linus.
2:01:38
Tim Pritlove: Ich kann da nicht sehr viel zu sagen. Also ich meine, das ist halt,
2:01:42
Tim Pritlove: wir haben ja hier alle CDU, CSU, Rans eigentlich schon gebracht und die müssen halt jetzt liefern.
2:01:51
Tim Pritlove: So und normalerweise ist es halt so,
2:01:56
Tim Pritlove: wie heißt es so schön Konservative wehren sich so lange gegen die Realität bis
2:02:01
Tim Pritlove: es sich nicht mehr vermeiden lässt so und in dem Zusammenhang heißt es einfach jetzt wait and see,
2:02:10
Tim Pritlove: also ob die jetzt wieder in so einen,
2:02:13
Tim Pritlove: Ablehnungsmoment reingehen ich meine das Bemerkenswerte an Merz ist ja wahrscheinlich so der erste,
2:02:20
Tim Pritlove: Bundeskanzler der schon vor seinem
2:02:23
Tim Pritlove: Amtsantritt im Prinzip sämtliche Wahlversprechen vorher abgelegt hat.
2:02:33
Tim Pritlove: Und nachdem er die Wahl gewonnen hat, so wie der Habeck das will,
2:02:39
Tim Pritlove: das machen wir auf gar keinen Fall. Wir machen das jetzt alle rückgängig.
2:02:43
Tim Pritlove: Und jetzt ist schon vorher klar, dass alles genauso gemacht wird,
2:02:47
Tim Pritlove: wie Habeck das eigentlich gesagt hat.
2:02:52
Tim Pritlove: So Staatsverschuldung und ich werde auch dieses Heizungsgesetz nicht zurücknehmen,
2:02:57
Tim Pritlove: weil wir werden es ja wahnsinnig so, weil das sind alles so Realitäten,
2:03:01
Tim Pritlove: gegen die kann man jetzt eigentlich gar nicht mehr ankämpfen,
2:03:03
Tim Pritlove: das kann sich ein Trump noch leisten,
2:03:06
Tim Pritlove: gut, aber ich kann mir durchaus vorstellen, dass Herr Dobrindt sagt, hier holt mal Bier,
2:03:13
Tim Pritlove: irgendwas kriegen wir schon noch zurückgedreht keine Ahnung Schauen.
2:03:18
Linus Neumann: Wir uns mal kurz zu Dobrindt an, der ist ja immer der Kontroversen- und Kritik-Anteil
2:03:22
Linus Neumann: in der Wikipedia, spannend, ja, ähm.
2:03:27
Linus Neumann: Dobrindt versuchte Einflussnahme auf das ZDF-Programm zu nehmen im Rahmen der Medienaffäre der CSU.
2:03:42
Linus Neumann: Der hat Volker Beck als Vorsitzenden der Pädophilen AG bei den Grünen bezeichnet.
2:03:53
Linus Neumann: Er hat verhindert, dass eine Sammelklage im Rahmen des VW-Abgangsskandals durchkam
2:04:06
Linus Neumann: oder sich dagegen engagiert.
2:04:08
Linus Neumann: Er hat das Unwort des Jahres 2018 geprägt, nämlich die Anti-Abschiebe-Industrie.
2:04:14
Linus Neumann: Wir kennen ja die Milliardenindustrie in Deutschland.
2:04:18
Linus Neumann: Und er hat die Klimakaoten vor den Klimakaoten gewandt, die jetzt bald zu Klima-Raff werden.
2:04:30
Linus Neumann: Also da weißt du woher der, also ungefähr,
2:04:34
Linus Neumann: das sind ja jetzt nur so Sachen, die er sagt, aber natürlich hat er,
2:04:40
Linus Neumann: das ist jetzt kein progressiver Mensch,
2:04:48
Linus Neumann: der für irgendwie eine Rolle sieht im sinnvollen Schutz einer sich weiterentwickelnden Gesellschaft.
2:05:00
Tim Pritlove: Was sind deine Lieblingsministerin irgendwie aus dem neuen Kabinett?
2:05:05
Tim Pritlove: Danke, hast du da vorlieben?
2:05:07
Linus Neumann: Guck mal kurz auf die Liste.
2:05:10
Linus Neumann: Hier hast du die Liste.
2:05:13
Tim Pritlove: Schön finde ich ja auch, dass sie jetzt die Bildung gestrichen haben aus dem
2:05:16
Tim Pritlove: Bildungsministerium und das ist jetzt nur noch für Forschung.
2:05:19
Tim Pritlove: Ist dafür aber Raumfahrt reingeschrieben.
2:05:22
Bianca Kastl: Ich muss glaube ich jetzt leider sagen, dass Carsten Wildberger noch der unverbrauchteste
2:05:25
Bianca Kastl: ist, bei dem ich noch nicht die schlimmsten,
2:05:30
Bianca Kastl: Assoziationen habe. Also bei Doro Beer, ich bin froh, dass Doro Beer nicht digital
2:05:33
Bianca Kastl: benutzt, dann wurde das schon mal Erfolg. Das können wir so mal sehen.
2:05:36
Linus Neumann: Ist nicht gerade dieser Flugtaxi-Hersteller pleite gegangen?
2:05:40
Bianca Kastl: Der wurde ja, wie war der, der wurde erst wieder gekauft. Das ist so ein Zyklus,
2:05:45
Bianca Kastl: der wird dann immer gerettet, dann geht er pleite.
2:05:49
Linus Neumann: Doro Beer für Forschung, Technologie und Raumfahrt.
2:05:53
Bianca Kastl: Ja, das mit Flugtaxi ist doch gut.
2:05:55
Linus Neumann: Dann gibt es sehr viele Diskussionen um den Wolfgang Weimar,
2:05:59
Linus Neumann: den Kulturstaatsminister.
2:06:03
Linus Neumann: Also auch ein irgendwie erzkonservativer, der irgendwie Cicero gegründet hat,
2:06:11
Linus Neumann: Chefredakteur bei Welt und Fokus war.
2:06:13
Linus Neumann: Also Fokus ist ja auch so ein wirklich sehr anstrengendes Magazin.
2:06:22
Linus Neumann: Ja,
2:06:24
Linus Neumann: Erstaunlich viele, wo ich noch nicht so viel Bezug zu habe. Es ist eine sehr interessante Auswahl.
2:06:30
Linus Neumann: Und ich glaube, wer ja dann unter dem, wer im BDSM arbeiten wird,
2:06:36
Linus Neumann: ist ja dann Philipp Amthor.
2:06:40
Tim Pritlove: Als Staatssekretär. Als Staatssekretär.
2:06:43
Linus Neumann: Und Thomas Jatzombeck, der auch aus der Digitalwirtschaft irgendwann mal in
2:06:51
Linus Neumann: die CDU-Bundestagspolitik gegangen ist.
2:06:55
Tim Pritlove: Der steht aber im Verdacht ein bisschen Kompetenz.
2:06:57
Linus Neumann: Jaja, das ist ein Risiko. Also da ist Kompetenz.
2:07:02
Linus Neumann: Der steht im Verdacht zumindest inhaltlich kompetent zu sein.
2:07:08
Linus Neumann: Insofern bin ich da,
2:07:11
Linus Neumann: Ich finde es jetzt auch schwierig, außer jetzt bei so völlig offensichtlichen
2:07:16
Linus Neumann: Leuten mit einer langen Historie, wie jetzt irgendwie Dobrindt oder Doro Bär,
2:07:19
Linus Neumann: Personalien zu beurteilen.
2:07:22
Linus Neumann: Und bin mal sehr gespannt.
2:07:24
Tim Pritlove: Komm, wait and see. So, jetzt machen wir Schluss.
2:07:27
Tim Pritlove: Vielen Dank, Birka, für die ausführliche Auskunft zu dem Digital-Desaster,
2:07:32
Tim Pritlove: das unser Gesundheitssystem leider immer noch darstellt.
2:07:36
Linus Neumann: Ja, danke für dein Engagement in dem Bereich.
2:07:41
Linus Neumann: Lass uns noch kurz erwähnen, also viel drüber gesprochen, du hast die Namen
2:07:46
Linus Neumann: auch erwähnt, Martin Schiersig, mit dem hast du das meistens zusammen gemacht
2:07:49
Linus Neumann: und jetzt dieses zweite Ding, Christoph Saathjohann.
2:07:52
Linus Neumann: Also ihr drei habt das da jetzt so in eurer Freizeit mal so ein bisschen gemacht,
2:07:57
Linus Neumann: was sehr unwahrscheinlich war.
2:08:02
Linus Neumann: Und man kann dir folgen im Internet.
2:08:08
Linus Neumann: Fili, links haben wir alle deine Kolumne bei Netzpolitik unter dem wunderschönen
2:08:13
Linus Neumann: Titel Digitalisierung.
2:08:16
Linus Neumann: Und das uns eingangs erzählt, dass der Titel ist richtig gut.
2:08:20
Linus Neumann: Da bin ich ein bisschen neidisch.
2:08:21
Linus Neumann: Und dann kommen Leute und sagen, er hat mich vertippt.
2:08:25
Linus Neumann: Digitalisierung finde ich enorm gut. Also das werden wir auch in den Sprachgebrauch
2:08:31
Linus Neumann: aufnehmen, diesen Begriff.
2:08:33
Tim Pritlove: Alright. Dann war es das erstmal. Leute, viel Spaß noch und wir hören uns die Tage gern.
2:08:40
Linus Neumann: Ciao, ciao.
2:08:41
Bianca Kastl: Tschüss.