Ist das elektronische Patientendossier (EPD) sicher vor Hackerangriffen?

Die Digitalisierung von Gesundheitsdaten ist in der Schweiz ein Thema, das ebenso viele Hoffnungen wie Ängste weckt. Im Zentrum dieser Debatte steht das elektronische Patientendossier (EPD). Viele Schweizer Bürgerinnen und Bürger fragen sich zu Recht: Sind meine intimsten Gesundheitsinformationen in einer digitalen Akte wirklich sicher? Die Sorge vor Hackerangriffen, unbefugtem Zugriff oder schlicht dem Verlust der Kontrolle ist omnipräsent und wird durch die Komplexität der Technologie noch verstärkt.

Die üblichen Antworten auf diese Sorgen klingen oft beruhigend, bleiben aber an der Oberfläche. Man hört von „modernster Verschlüsselung“, der „vollen Kontrolle durch den Patienten“ und dem strengen Schweizer Datenschutzgesetz. Diese Punkte sind zwar korrekt, zeichnen aber ein unvollständiges Bild. Sie verschleiern die Nuancen und die praktischen Herausforderungen, die im Alltag mit dem EPD auftreten können. Die Diskussion beschränkt sich oft auf die theoretische Abwehr von externen Cyberkriminellen.

Aber was, wenn die grössten Schwachstellen nicht in der Technologie selbst, sondern in ihrer Anwendung und in den systemischen Lücken des Gesundheitssystems liegen? Dieser Artikel wählt bewusst eine andere Perspektive. Als IT-Sicherheitsanalyst im Gesundheitswesen schaue ich hinter die Marketingversprechen und analysiere das EPD aus einer kritischen, aber fairen Optik. Es geht nicht darum, das System zu verdammen, sondern seine Architektur zu verstehen – die starken Mauern ebenso wie die bewusst offen gelassenen Tore. Wir werden die theoretische Sicherheit der praktischen Anwendung gegenüberstellen und aufdecken, wo Ihre aktive Steuerung als Patient entscheidend ist.

Wir analysieren den Eröffnungsprozess, tauchen tief in die Mechanik der Zugriffsrechte ein, beleuchten die Gründe für fehlende Dokumente und prüfen die Realität des Notfallzugriffs. Weiter vergleichen wir die Sicherheit des EPD mit anderen digitalen Werkzeugen und zeigen auf, warum der Speicherort der Daten in der Schweiz ein entscheidender Vorteil ist. Ziel ist es, Ihnen ein realistisches Verständnis der Chancen und Risiken zu vermitteln, damit Sie eine fundierte Entscheidung treffen können.

Dieser Artikel bietet eine detaillierte Analyse der verschiedenen Aspekte des EPD. Der folgende Überblick führt Sie durch die zentralen Themen, die wir behandeln werden, um Ihnen eine umfassende Grundlage für Ihre Auseinandersetzung mit der digitalen Gesundheitsakte zu geben.

Wie eröffnen Sie ein EPD in Ihrem Kanton, ohne im Papierkram zu ersticken?

Die Eröffnung eines elektronischen Patientendossiers (EPD) in der Schweiz wurde konzipiert, um den traditionellen Papierkrieg zu umgehen, doch der Prozess erfordert eine bewusste Vorbereitung. Der erste Schritt ist die Wahl einer sogenannten Stammgemeinschaft – des zertifizierten Anbieters Ihres EPD. Die Auswahl hängt oft vom Wohnkanton ab. Anbieter wie Post Sanela (ehemals Axsana) sind primär in Zürich und der Ostschweiz tätig, während Abilis schweizweit über Partnerapotheken agiert und CARA die Westschweiz abdeckt.

Der Schlüssel zu einer rein digitalen Eröffnung ist eine verifizierte elektronische Identität (e-ID). Das Bundesgesetz schreibt vor, dass jede Person, die online ein EPD eröffnet, über eine solche Identität verfügen muss. Die gängigste Option ist die SwissID. Mit einem biometrischen Schweizer Pass oder einer Identitätskarte kann die Identitätsprüfung vollständig digital von zu Hause aus erfolgen. Ohne biometrischen Ausweis ist ein physischer Identitätscheck notwendig, beispielsweise in einer Apotheke oder einer speziellen Eröffnungsstelle.

Sobald Ihre e-ID verifiziert ist, verknüpfen Sie diese mit dem gewählten EPD-Anbieter, indem Sie das Einwilligungsformular digital signieren. Nach einer kurzen Bearbeitungszeit erhalten Sie Ihre Zugangsdaten. Ein entscheidender letzter Schritt ist die sofortige Aktivierung der Zwei-Faktor-Authentifizierung (2FA). Diese Massnahme stellt sicher, dass selbst bei einem Diebstahl Ihres Passworts niemand ohne Ihr zweites Gerät (z.B. Ihr Smartphone) auf Ihr Dossier zugreifen kann. Sie ist ein fundamentaler Baustein der persönlichen Sicherheitsarchitektur Ihres EPD.

Wer darf Ihre psychologischen Gutachten sehen und wie sperren Sie den Zugriff?

Die zentrale Sicherheitsfunktion des EPD ist nicht eine undurchdringbare Mauer, sondern ein präzises System der Zugriffskontrolle, das vollständig in Ihren Händen liegt. Sie als Patientin oder Patient definieren, welche Gesundheitsfachperson welche Dokumente einsehen darf. Dies geschieht über drei Vertraulichkeitsstufen. Dokumente, die Sie als „normal“ einstufen, sind für alle von Ihnen berechtigten Gesundheitsfachpersonen zugänglich. Die Stufe „eingeschränkt“ macht Dokumente nur für spezifisch von Ihnen ausgewählte Personen sichtbar. Die höchste Stufe, „geheim“, bedeutet, dass nur Sie selbst das Dokument sehen können. Psychologische Gutachten oder andere sensible Berichte sollten Sie daher standardmässig als „eingeschränkt“ oder „geheim“ klassifizieren.

Diese proaktive Klassifizierung ist der Kern Ihrer Datenhoheit. Die wahre Stärke des EPD-Sicherheitskonzepts liegt jedoch in der Kombination von präventiver Kontrolle (Zugriffsrechte) und lückenloser Transparenz (Zugriffsprotokoll). Jeder einzelne Zugriff – sei es ein Lesezugriff oder das Hochladen eines neuen Dokuments – wird namentlich und mit Zeitstempel protokolliert. Diese Protokolle können nicht manipuliert oder gelöscht werden und bleiben gemäss den gesetzlichen Vorgaben des EPDG 10 Jahre lang sichtbar. Dies schafft eine starke Abschreckung gegen unbefugte Neugier.

Wie die offizielle EPD-Informationsplattform patientendossier.ch hervorhebt, sorgt dieses System für maximale Nachvollziehbarkeit:

Im Zugriffsprotokoll wird namentlich festgehalten, wer zu welchem Zeitpunkt Dokumente abgerufen oder neue Dokumente abgelegt hat: der Physiotherapeut Müller, die Apothekerin Gerber oder ihre Assistentin Meier. So können Sie nicht nur prüfen, wer Zugriff auf Ihr EPD hatte, sondern sehen auch die Änderungen, die Sie an Ihrem EPD vorgenommen haben.

– patientendossier.ch, Offizielle EPD-Informationsplattform

Die Sicherheit sensibler Daten hängt also nicht von einem anonymen System ab, sondern von Ihrer aktiven Verwaltung der Vertraulichkeitsstufen und der regelmässigen Kontrolle des Zugriffsprotokolls. Dies ist ein Paradigmenwechsel von passiver Hoffnung auf Sicherheit zu aktiver Steuerung.

Warum fehlen oft wichtige Berichte im EPD, obwohl der Arzt verpflichtet wäre, sie hochzuladen?

Eine der grössten Quellen für Frustration bei EPD-Nutzern ist ein scheinbar leeres oder unvollständiges Dossier. Man erwartet eine lückenlose digitale Krankengeschichte, findet aber oft nur wenige Dokumente vor. Dies liegt an einer systemischen Lücke, die den Unterschied zwischen theoretischer Pflicht und praktischer Realität verdeutlicht. Zwar sind Spitäler und Pflegeheime laut Bundesgesetz über das elektronische Patientendossier seit 2020 bzw. 2022 verpflichtet, sich dem EPD-System anzuschliessen und relevante Dokumente hochzuladen. Dasselbe gilt für neu zugelassene Arztpraxen.

Das entscheidende Problem ist jedoch: Für alle vor 2022 niedergelassenen Ärztinnen und Ärzte ist die Teilnahme am EPD freiwillig. Ein grosser Teil der ambulant tätigen Gesundheitsfachpersonen in der Schweiz ist also (noch) nicht an das System angeschlossen. Wenn Ihr Hausarzt oder Spezialist zu dieser Gruppe gehört, werden dessen Berichte nicht automatisch in Ihrem EPD erscheinen. Diese Lücke in der Teilnahmepflicht ist der Hauptgrund für die oft lückenhafte Befüllung der Dossiers.

Ein weiterer, oft missverstandener Punkt ist der Zweck des EPD. Es ist nicht als vollständiges Duplikat der ärztlichen Krankengeschichte konzipiert. Gesundheitsfachpersonen sind angehalten, nur diejenigen Informationen hochzuladen, die für die Weiterbehandlung durch andere Spezialisten relevant sind. Interne Notizen oder Zwischenbefunde, die für die Behandlungskontinuität nicht zwingend erforderlich sind, bleiben oft in der lokalen Praxissoftware. Das EPD ist also per Definition ein „Best-of“ der wichtigsten Dokumente, nicht eine lückenlose Chronik.

Was können Sie also tun? Sprechen Sie Ihre Ärzte aktiv auf das EPD an. Bitten Sie sie, Ihnen wichtige Berichte digital (z.B. per E-Mail) zur Verfügung zu stellen, damit Sie diese selbst in Ihr Dossier hochladen können. Diese Eigeninitiative ist derzeit der einzige Weg, um die Lücken zu schliessen, die durch nicht teilnehmende Praxen entstehen. Sie unterstreicht erneut das Prinzip, dass die Qualität des EPD stark von der aktiven Mitwirkung des Patienten abhängt.

Der Fehler, im Notfall darauf zu vertrauen, dass der Rettungssanitäter Ihren Code kennt

Ein häufiges Missverständnis ist die Annahme, das EPD diene als primärer Informationskanal in einem akuten medizinischen Notfall. Die Vorstellung, dass der Rettungssanitäter bei Bewusstlosigkeit einfach auf das EPD zugreift, um über Allergien oder Vorerkrankungen informiert zu sein, ist in der Praxis leider eine Illusion. Technisch und rechtlich haben Rettungsdienste in der Schweiz standardmässig keinen direkten Zugriff auf das EPD. Die Hürden zur Verhinderung von Missbrauch eines solchen “ Generalschlüssels“ sind hoch, und eine landesweite, sichere Lösung existiert noch nicht, auch wenn Pilotprojekte laufen.

In der Realität greifen Rettungssanitäter auf etabliertere Informationsquellen zurück. Die erste Anlaufstelle ist oft die Krankenversichertenkarte, auf der Basisinformationen wie Blutgruppe oder Allergien gespeichert sein können. Ebenso wichtig sind Informationen, die direkt am Körper oder bei den persönlichen Gegenständen gefunden werden. Das Vertrauen ausschliesslich auf das EPD im Notfall ist daher nicht nur unzuverlässig, sondern potenziell gefährlich. Es offenbart eine kritische Lücke zwischen dem allumfassenden Anspruch der Digitalisierung und der analogen Realität der Notfallmedizin.

Anstatt sich auf eine nicht existierende Funktionalität zu verlassen, sollten Sie proaktiv für Redundanz sorgen. Es gibt mehrere bewährte Methoden, um sicherzustellen, dass lebenswichtige Informationen im Ernstfall verfügbar sind. Diese Alternativen ersetzen das EPD nicht, sondern ergänzen es für den spezifischen Kontext des Notfalls:

• Erstellen Sie einen laminierten Notfallausweis für Ihr Portemonnaie, der die wichtigsten Diagnosen, Medikamente, Allergien und Notfallkontakte enthält.
• Nutzen Sie die „Notfallpass“- oder „Medical ID“-Funktion Ihres Smartphones, die auch bei gesperrtem Bildschirm zugänglich ist.
• Fragen Sie Ihren Hausarzt, ob relevante Daten auf Ihrer Versichertenkarte gespeichert werden können.
• Informieren Sie Ihre engsten Angehörigen genau über Ihre gesundheitliche Situation und wo wichtige Dokumente zu finden sind.

Die Sicherheit im Notfall wird nicht durch eine einzelne Technologie, sondern durch ein Netz von sich ergänzenden Massnahmen gewährleistet.

Wann können Sie Ihr Zürcher Dossier problemlos einem Arzt im Tessin zeigen?

Die föderale Struktur der Schweiz spiegelt sich auch in der Architektur des EPD wider, mit verschiedenen Anbietern (Stammgemeinschaften) in unterschiedlichen Regionen. Dies führt oft zur Frage: Funktioniert mein EPD von Post Sanela aus Zürich auch bei einem Arzt im Tessin, der vielleicht e-Health Ticino nutzt? Die Antwort ist ein klares Ja. Die nationale Interoperabilität ist eine der zentralen, gesetzlich verankerten Säulen des EPD-Systems.

Das Bundesgesetz über das elektronische Patientendossier (EPDG) schreibt zwingend vor, dass alle zertifizierten Stammgemeinschaften technisch kompatibel sein müssen. Wie patientendossier.ch in seinen FAQs bestätigt, stellt das Gesetz sicher, dass das System in der ganzen Schweiz funktioniert, unabhängig davon, welchem Anbieter Patient und Gesundheitsfachperson angehören. Ein Arzt im Tessin kann also mit Ihrer expliziten Zugriffsberechtigung die von Ihrem Zürcher Spezialisten hochgeladenen Dokumente einsehen. Diese Vernetzung ist der entscheidende Mehrwert des EPD gegenüber isolierten, lokalen Praxis-Systemen und ermöglicht eine überregionale Behandlungskontinuität.

Die folgende Tabelle gibt einen Überblick über die grössten Stammgemeinschaften und bestätigt deren vollständige Interoperabilität, die eine reibungslose Kommunikation über Kantons- und Sprachgrenzen hinweg sicherstellt.

Dieses interoperable Netzwerk ist ein wesentlicher Vorteil, sei es bei einem Notfall in den Ferien, beim Einholen einer Zweitmeinung in einem anderen Kanton oder bei einem Umzug. Die Datenhoheit bleibt dabei stets bei Ihnen: Kein Arzt kann ohne Ihre aktive Freigabe auf Ihr Dossier zugreifen, egal wo in der Schweiz er sich befindet.

Warum ist die ‚Swiss Cloud‘ für Anwälte und Banken die sicherere Alternative zu US-Anbietern?

Eine der fundamentalsten, aber oft übersehenen Sicherheitsgarantien des EPD ist rein geografischer und juristischer Natur: der Speicherort der Daten. Das Bundesgesetz schreibt unmissverständlich vor, dass 100% der EPD-Daten physisch in der Schweiz gespeichert werden müssen. Dies mag wie ein technisches Detail klingen, ist aber aus Sicht des Datenschutzes ein entscheidender Schutzwall, der weit über reine Verschlüsselung hinausgeht. Alle Daten unterstehen damit ausschliesslich dem strengen Schweizer Recht.

Dieser „Swiss Cloud“-Ansatz schützt die Daten vor dem Zugriff ausländischer Behörden, insbesondere jener aus den USA. Der sogenannte US CLOUD Act erlaubt es US-Behörden, auf Daten von US-amerikanischen Unternehmen (wie Amazon, Google, Microsoft) zuzugreifen, selbst wenn diese Daten auf Servern im Ausland – also auch in der Schweiz – gespeichert sind. Würden Gesundheitsdaten bei einem US-Hyperscaler liegen, bestünde ein rechtliches Einfallstor, das die Schweizer Gesetzgebung umgehen könnte. Genau dieses Risiko wird durch die exklusive Nutzung von zertifizierter Schweizer Infrastruktur für das EPD eliminiert.

Diese Regelung ist identisch mit den Anforderungen, die Anwaltskanzleien, Banken und andere Träger von Berufsgeheimnissen an ihre IT-Infrastruktur stellen. Sie lagern ihre sensibelsten Daten ebenfalls bevorzugt bei Schweizer Anbietern, um sich der alleinigen Jurisdiktion des Schweizer Rechts zu unterstellen. Das EPD geniesst somit denselben hohen Schutzstatus wie ein Bankgeheimnis oder Anwaltsgeheimnis in Bezug auf den physischen und rechtlichen Zugriffsort. Dies ist ein fundamentaler Unterschied zu vielen kommerziellen Gesundheits- oder Fitness-Apps, deren Daten oft auf global verteilten Servern von US-Konzernen liegen.

Die Kombination aus starker Ende-zu-Ende-Verschlüsselung und der rechtlichen Festung des Schweizer Speicherorts bildet das äussere Fundament der EPD-Sicherheit. Sie schützt das System als Ganzes vor grossflächigen, staatlich legitimierten Zugriffen aus dem Ausland. Der Schutz vor einem Hackerangriff ist somit nicht nur eine Frage der Firewall, sondern auch des Passes, den der Cloud-Anbieter besitzt.

TWINT oder Bargeld: Welches Zahlungsmittel schützt Ihre Privatsphäre wirklich besser?

Um die Datenschutz-Eigenschaften des EPD besser einordnen zu können, hilft ein Vergleich mit alltäglichen Vorgängen wie dem Bezahlen. Die Wahl zwischen TWINT und Bargeld ist eine gute Analogie, um das Konzept der Datenspuren und der Kontrolle zu illustrieren. Bargeld ist anonym. Eine Transaktion hinterlässt keine digitale Spur, die direkt mit Ihrer Identität verknüpft ist. Der Nachteil: Bei Verlust oder Diebstahl ist das Geld unwiederbringlich weg, und es gibt keinerlei Nachweis über den Vorgang.

TWINT hingegen ist das genaue Gegenteil. Jede Zahlung wird lückenlos digital erfasst und ist klar Ihrer Person zugeordnet. Dies bietet Komfort und Sicherheit bei Rückerstattungen, schafft aber auch ein detailliertes Profil Ihres Kaufverhaltens, das von der Bank oder der TWINT AG analysiert werden kann. Sie tauschen Privatsphäre gegen Bequemlichkeit und Nachvollziehbarkeit. Die Kontrolle über die gesammelten Daten liegt nicht bei Ihnen, sondern beim Dienstanbieter, wenn auch im Rahmen des Schweizer Datenschutzgesetzes.

Das EPD positioniert sich als ein dritter Weg, der versucht, die Vorteile beider Welten zu kombinieren: Nachvollziehbarkeit unter Ihrer alleinigen Kontrolle. Wie bei TWINT wird jede Aktion – jeder Zugriff auf ein Dokument – lückenlos protokolliert. Anders als bei TWINT sind jedoch nicht Dritte (wie eine Bank) die primären Beobachter dieses Protokolls, sondern Sie selbst. Sie haben jederzeit die volle Einsicht, wer wann auf welche Daten zugegriffen hat. Gleichzeitig bestimmen Sie, im Gegensatz zur Anonymität des Bargelds, proaktiv, wer überhaupt eine „Transaktion“ (einen Datenzugriff) durchführen darf. Der folgende Vergleich verdeutlicht die Unterschiede.

Das EPD ist also kein anonymer Raum, sondern ein transparenter Tresor. Das Risiko ist nicht die heimliche Analyse Ihrer Daten, sondern ein unbefugter Zugriff – der aber dank der Protokollierung sofort bemerkt und nachverfolgt würde. Diese Architektur setzt auf Abschreckung durch Transparenz.

Warum sparen Sie 15% Krankenkassenprämie mit dem Telmed-Modell?

Neben dem EPD gibt es weitere digitale Gesundheitsangebote in der Schweiz, die oft finanzielle Anreize bieten. Das prominenteste Beispiel ist das Telmed-Modell der Krankenkassen. Versicherte in diesem Modell verpflichten sich, vor jedem Arztbesuch zuerst eine telefonische oder per App betriebene medizinische Beratungsstelle zu kontaktieren. Diese Triage durch medizinisches Fachpersonal soll unnötige Arztbesuche vermeiden und die Gesundheitskosten senken. Als Belohnung gewähren die Kassen laut aktuellen Vergleichen der Schweizer Krankenkassen einen Prämienrabatt von 15-20% gegenüber der freien Arztwahl.

Aus Sicherheitsperspektive ist der Vergleich zwischen einer Telmed-App und dem EPD aufschlussreich. Während beide digitale Gesundheitsdaten verarbeiten, unterliegen sie völlig unterschiedlichen Regulierungen. Das EPD ist durch ein strenges Bundesgesetz (EPDG) bis ins Detail geregelt: Ende-zu-Ende-Verschlüsselung, Datenspeicherung ausschliesslich in der Schweiz, granulare Zugriffskontrolle durch den Patienten und lückenlose Protokollierung sind gesetzlich vorgeschrieben und für alle Anbieter bindend.

Telmed-Apps hingegen unterliegen den allgemeinen Datenschutzbestimmungen und den individuellen Geschäftsbedingungen der jeweiligen Krankenkasse. Die Sicherheitsarchitektur ist nicht gesetzlich standardisiert. Daten könnten potenziell an Drittanbieter weitergegeben oder auf Servern ausserhalb der Schweiz gespeichert werden, je nach Ausgestaltung des Dienstes. Der Datenaustausch erfolgt zwischen Ihnen und der Krankenkasse (bzw. ihrem Dienstleister), nicht in einem vernetzten System von Gesundheitsfachpersonen, das Sie steuern. Sie tauschen einen Teil Ihrer informationellen Selbstbestimmung und potenziell ein geringeres Sicherheitsniveau gegen eine signifikante Prämienersparnis.

Dies zeigt, dass „digitale Gesundheit“ kein monolithischer Begriff ist. Das EPD stellt mit seinem Fokus auf maximale Patientenkontrolle und gesetzlich verankerte Sicherheitsstandards ein einzigartiges, aber auch komplexeres und (bisher) nicht finanziell incentiviertes System dar. Telmed-Modelle sind pragmatischer, kostenorientierter und verlagern die Datenkontrolle stärker zum Anbieter. Die Entscheidung für oder gegen ein solches Modell ist daher auch eine Abwägung zwischen Kosten, Bequemlichkeit und dem Grad der gewünschten Datenhoheit.

Die Analyse zeigt, dass das elektronische Patientendossier ein mächtiges, aber auch anspruchsvolles Werkzeug ist. Seine Sicherheit gegen externe Hackerangriffe ist durch die dezentrale Architektur, die starke Verschlüsselung und den Schweizer Rechtsrahmen sehr hoch. Die grösseren Risiken liegen im Inneren des Systems und in seiner Anwendung. Ein unachtsam vergebenes Zugriffsrecht oder das blinde Vertrauen in eine lückenlose Befüllung sind realistischere Gefahren als ein grossangelegter Cyberangriff. Die ultimative Sicherheit des EPD hängt somit untrennbar von Ihrer Bereitschaft ab, die Rolle des aktiven und kritischen Managers Ihrer eigenen Gesundheitsdaten zu übernehmen. Beginnen Sie noch heute damit, die Kontrolle über Ihre digitalen Gesundheitsdaten bewusst zu gestalten, indem Sie ein EPD eröffnen und dessen Sicherheitseinstellungen aktiv verwalten.