Connect with us

Künstliche Intelligenz

Scharfe Abrechnung an der ePA: Kelber kritisiert Sicherheit und Reklamekampagne


Als unsicher und intransparent bezeichnet der ehemalige Bundesdatenschutzbeauftragte, Prof. Ulrich Kelber, die Digitalisierung des deutschen Gesundheitswesens und insbesondere die elektronische Patientenakte (ePA). In einem Vortrag bei einer Veranstaltung der freien Ärzteschaft warf er der Politik vor, Vertrauen durch oberflächliche Werbung zu verspielen und grundlegende Sicherheitsstandards zu ignorieren.

Weiterlesen nach der Anzeige

Reklame statt Aufklärung und hohe Widerspruchsquote

Kelber kritisierte die Kommunikationsstrategie des Bundesgesundheitsministeriums zur ePA scharf. Anstatt Bürgerinnen und Bürger umfassend über Risiken und notwendige Abwägungen aufzuklären, setze das Ministerium auf eine „reine Reklamekampagne“, die das Projekt lediglich als „super und „toll“ anpreise. Wer nur versuche „zu überreden, anstatt zu überzeugen“, so Kelber, der werde auf Dauer nicht vorwärtskommen.

Diese Vorgehensweise führe zu einem Vertrauensverlust, der sich bereits in den Zahlen zeige: Die Widerspruchsquoten gegen die ePA seien mit fünf bis zehn Prozent für ein Opt-out-System ungewöhnlich hoch. Außerdem sei die Gruppe der überzeugten Gegner, die aktiv widersprechen, fast genauso groß oder sogar größer als die Gruppe der überzeugten Befürworter, die sie aktiv nutzen. Die offiziellen Zahlen zur Nutzung schwanken stark zwischen drei und zwölf Prozent. Dies untergrabe laut Kelber auch die Repräsentativität der Daten, die für die Forschung so wichtig sein sollen. Zudem sei die Qualität der Daten, etwa der Abrechnungsdaten, oft unzureichend.

Technische Mängel und instabiler Betrieb

Auch technisch sei das System alles andere als ausgereift. Kelber rechnete vor, dass die offiziell angegebene Betriebsstabilität von 96 Prozent „eine Stunde Ausfall pro Tag“ bedeute. Diese Ausfälle fänden höchstwahrscheinlich nicht nachts, sondern unter Last während der Praxiszeiten statt. Er kritisierte die Haltung der Gematik, die sich zwar unzufrieden zeige, aber auf die Zuständigkeit privater Dienstleister verweise. Das sei „mindestens eine Lücke in dem System“. Bei einem staatlich gelenkten Projekt müsse es wirksame Sanktionsmöglichkeiten gegen unzuverlässige Anbieter geben.

Zusätzlich werde der sichere Zugang für Versicherte systematisch erschwert, nicht nur aufgrund der schwierigen Ersteinrichtung. Die Politik habe dazu ihren Beitrag geleistet. Unter anderem, weil sie es den Krankenkassen durchgehen lasse, die PIN für die elektronische Gesundheitskarte (eGK) nicht zu versenden. „In Wirklichkeit“ lasse sie das Kelber zufolge „auch durchgehen, weil sie auf Dauer das ja gar nicht mehr so haben will“. Gleichzeitig wurde der kostenlose PIN-Rücksetzbrief für den elektronischen Personalausweis aus Kostengründen abgeschafft, was auch diese sichere Alternative unattraktiv mache. Stattdessen würden Nutzer zu unsichereren Methoden wie der biometrischen Anmeldung gedrängt.

Weiterlesen nach der Anzeige

Überhasteter Rollout ohne echte Testphasen

Kelber prangerte zudem den grundlegenden Entwicklungsprozess der Digitalisierungsprojekte an. Er forderte, IT-Systeme im Gesundheitswesen endlich so zu entwickeln, wie es professioneller Standard sei. „Pilotieren, evaluieren, eventuell wieder zurückgehen und nur wenn der Evaluierungsprozess gelaufen ist, dann skalieren, also ausrollen.“ Stattdessen gebe es überhastete Einführungen, die als Tests deklariert werden, aber keine sind. Als Beispiel nannte er die Testphase der ePA in den Modellregionen. Direkt danach sollten sie alle nutzen. Ein solches Vorgehen lasse keine Zeit, „die Ergebnisse zu prüfen“ oder Fehler zu korrigieren. Angesichts von 25 Jahren Versäumnis, so Kelber, komme es auf ein weiteres halbes Jahr für eine qualitativ hochwertige Einführung nicht an.

Sicherheitslücken und „Flickenteppich“-Mentalität

Den Kern seiner Kritik bildeten die massiven Sicherheitsbedenken. Die ePA sei in ihrem jetzigen Zustand nicht sicher. Anstatt Sicherheitslücken grundlegend zu schließen, würden sie oft nur notdürftig „gestopft“. Kelber bemängelte, dass die Sicherheitsarchitektur nicht transparent gemacht werde und Angriffe, die mit den „Ressourcen eines Staates“ durchgeführt werden, bei der Prüfung von vornherein ausgeschlossen würden. Das sei ein Unding bei einer Datenbank mit den Gesundheitsdaten von rund 70 Millionen Menschen.

Besonders alarmierend sei, dass die Schlüssel zur Verschlüsselung der Gesundheitsdaten bei den Betreibern liegen. Kelber nannte hier explizit die Anbieter: IBM, die dem US-Recht unterliegt und Daten an US-Sicherheitsbehörden herausgeben muss, sowie die österreichische Firma RISE, „die in Österreich vom öffentlichen Dienst wegen ihrer Beziehung zu Wirecard und den russischen Geheimdiensten keine Aufträge mehr bekommt“. Nach wie vor sei nicht geklärt, „ob das wirklich vollständig gestoppt ist“. Dass solche Anbieter Zugriff auf die Schlüssel haben, sei „überhaupt nicht state of the art“.

Auch die geplante Umsetzung des European Health Data Space (EHDS) in Deutschland sieht Kelber kritisch. Insbesondere die Entscheidung, das Bundesinstitut für Arzneimittel und Medizinprodukte (BfArM) zum zentralen „Health Data Access Body“ zu machen, hält er für „nicht glücklich“. Das Problem sei ein massiver Interessenkonflikt: Da das BfArM eigene Forschungsinteressen habe, würde es damit gleichzeitig über seine eigenen Forschungsanträge entscheiden. Kelber warnte davor, dass „nicht jemand selber seine eigenen Forschungsanträge in einem Haus bewährt“. Eine klare Trennung von Aufsicht und Forschung sei keine unnötige Bürokratie, sondern essenziell, um Vertrauen zu schaffen.

Als weiteren Beleg für die Aushöhlung des Datenschutzes nannte Kelber das geplante EU-Omnibusgesetz. Dieses Gesetz sei „nochmal gefährlicher“ und ein Beispiel für übereilte Gesetzgebung. Kelber kritisierte den Entstehungsprozess scharf. Der Datenschutzteil sei nach seinem Kenntnisstand „innerhalb von fünf Tagen“ geschrieben worden – ohne Folgenabschätzung, ohne Evidenzprüfung und ohne jegliche Debatte oder Beteiligung von Stakeholdern. Das Ergebnis sei ein Gesetz, das grundlegende Definitionen aufweiche: So sollen Daten, die einmal anonymisiert wurden, selbst dann nicht mehr unter die Datenschutzgrundverordnung fallen, wenn sie von Dritten später wieder re-identifiziert werden könnten.

Zudem werde der Begriff der Gesundheitsdaten aufgeweicht. Während die Behandlungsdaten einer Onkologie-Patientin geschützt blieben, würden ihre bloßen Aufenthaltsdaten im Onkologiezentrum nicht mehr als Gesundheitsdaten gelten – derartige Daten entstehen beispielsweise bei Terminbuchungen. Besonders kritisch sah Kelber, dass Training von KI pauschal zu einer Rechtsgrundlage für Datenverarbeitung werden soll – ohne weitere Abwägung, selbst bei hochsensiblen Daten.

Deutschlands Abstieg zur „dunklen Kraft“

Während der geplante European Health Data Space (EHDS) die EU-Staaten auf ein gemeinsames Mindestniveau bei der Datensicherheit zwinge, liege Deutschland aktuell darunter. Seinen Vortrag schloss Kelber mit einer düsteren Anspielung auf J.R.R. Tolkiens „Herr der Ringe“: Anstatt wie früher ein Vorreiter im Datenschutz zu sein, sei Deutschland durch solche Vorhaben zu „einer der dunklen Kräfte in Mittelerde geworden“, die aktiv versuche, europäische Standards zu senken. Die Reise in die Digitalisierung des Gesundheitswesens sei, so Kelber in Anlehnung an Bilbo Beutlin, „eine gefährliche Sache“, bei der man genau aufpassen müsse, wohin die Füße einen tragen.


(mack)



Source link

Verwandte Themen:
Weiterlesen

Künstliche Intelligenz

Machine-Learning-Dienste der Hyperscaler – ein Überblick


Wer nach Machine-Learning-Diensten sucht, landet schnell bei den Angeboten der US-amerikanischen Hyperscaler. Mit AWS SageMaker, Googles Vertex AI und Azure Machine Learning bieten alle drei Plattformen eine Vielzahl an Diensten und wollen so End-to-End-ML-Workflows abbilden, Dienste automatisieren oder auf der Plattform managen und alle gängigen Frameworks in ihr Cloud-Ökosystem einbinden. Dabei haben die Produktpaletten im Laufe der Jahre ein unübersichtliches Ausmaß angenommen.

AWS SageMaker: Vor- und Nachteile im Überblick

AWS könnte den perfekten Werkzeugkasten bieten, der sich genau an die spezifischen Bedürfnisse seiner Nutzer anpasst. Leider kommt die Amazon-Tochter den Nutzern in der Konfiguration in keiner Weise entgegen und lässt sie relativ allein mit dem enormen Angebot. Die diversen Tutorials, die Einsteiger unterstützen sollen, sind über verschiedene Plattformen verteilt, sodass zusätzlich zum zeitintensiven Einrichten der Workflows eine längere Recherche der korrekten Hilfen für das jeweilige Problem eingeplant werden muss. Weitere Hürden sind das für Anfänger eher verwirrende UI und die überwältigende Serverkonfiguration, die erfahrene User voraussetzt.

  • Die großen Cloud-Anbieter AWS, Google und Microsoft bieten umfangreiche, aber teils unübersichtliche ML- und KI-Dienste für unterschiedliche Zielgruppen an, von Einsteigern bis Enterprise.
  • AWS punktet mit der größten und flexibelsten Servicepalette, erfordert jedoch tiefere Einarbeitung und ein komplexes Kostenmanagement.
  • Googles Plattform Vertex AI ist mit didaktisch aufbereiteten und interaktiven Tutorials die einsteigerfreundlichste Wahl. Kleine, datengetriebene Gelegenheitsprojekte lassen sich hier am besten designen.
  • Azure legt den Fokus auf schnelle, geschäftsorientierte Nutzung und Integration in bestehende Microsoft-Stacks, wobei fortgeschrittene Features oft spezielles Fachwissen verlangen.

Geübte Nutzer finden ein konsistentes Interface vor, das sich in allen Bereichen personalisieren lässt und auch tiefere Einstellungen transparent aufbereitet.


Das war die Leseprobe unseres heise-Plus-Artikels „Machine-Learning-Dienste der Hyperscaler – ein Überblick“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.



Source link

Weiterlesen

Künstliche Intelligenz

Europäische Temu-Büros durchsucht | heise online


Temus Europaniederlassung ist vergangene Woche von Ermittlern im Auftrag der Europäischen Kommission durchsucht worden. Das berichtet Reuters unter Berufung auf einen Eingeweihten. Die EU-Kommission bestätigt das indirekt, ohne jedoch den Namen der chinesischen Einzelhandelsplattform zu nennen.

Weiterlesen nach der Anzeige

„Wir können bestätigen, dass die Kommission eine nicht angekündigte Inspektion in den Räumlichkeiten einer im Online-Handel in der EU tätigen Firma durchgeführt hat”, sagte ein Sprecher zu der Nachrichtenagentur, „unter der Verordnung über den Binnenmarkt verzerrende drittstaatliche Subventionen.” Daraus lässt sich schließen, dass die EU-Kommission den Verdacht hegt, Temu werde von der Volksrepublik China in unzulässiger Weise subventioniert.

Parallel wirft die EU-Kommission Temu vor, Pflichten aus dem Digital Services Act (DSA) unzureichend nachzukommen. Eine Untersuchung hat hohes Risiko illegaler Produkte aufgezeigt. Auch das deutsche Bundeskartellamt ermittelt gegen Temu. Dabei geht es um die auf dem Onlinemarktplatz für Deutschland verwendeten Konditionen für Händler, sowie tatsächliches Verhalten Temus gegenüber den Händlern. Diese könnten, so die Befürchtung, das allgemeine Preisniveau zu Lasten der Verbraucher anheben.

Foreign Subsidies Regulation gilt seit 2023

Solche Subventionen können einem Unternehmen Vorteile im Wettbewerb verschaffen. Beispielsweise könnten künstlich niedrige Preise andere Anbieter, die nicht subventioniert werden, aus dem Markt drängen. Staatliche Subventionen können auch direkt zur Beseitigung von Konkurrenten genutzt werden, indem sie die Übernahme anderer Unternehmen finanzieren.

Solche Verzerrungen kosten nicht nur Arbeitsplätze und reduzieren Steueraufkommen, sondern können langfristig auch Verbrauchern schaden. Denn hat das subventionierte Unternehmen einmal erhebliche Marktmacht erreicht, kann es die Preise anheben, ohne fürchten zu müssen, viel Geschäft an starke Konkurrenten zu verlieren, denn diese gibt es ja dann nicht mehr. Als Gegenmaßnahme ist Mitte 2023 die EU-Verordnung über den Binnenmarkt verzerrende drittstaatliche Subventionen in Kraft getreten (Foreign Subsidies Regulation, FSR).

heise online hat Temu gefragt, welche Subventionen es erhält, seit wann es von der Untersuchung Kenntnis hat, und wie es auf die Untersuchung sowie die Hausdurchsuchung reagiert. Das Unternehmen tritt selbst nicht als Verkäufer auf, sondern betreibt seine Webseite als Plattform für Dritte. Temu gehört zur chinesischen Pinduoduo-Gruppe (PDD Holdings).

Weiterlesen nach der Anzeige


(ds)



Source link

Weiterlesen

Künstliche Intelligenz

Gutachten: US-Behörden haben weitreichenden Zugriff auf europäische Cloud-Daten


Die Debatte um die digitale Souveränität Europas und den strategischen Einsatz US-amerikanischer Cloud-Infrastrukturen in sensiblen Bereichen erhält neuen Zündstoff. Ein bisher unveröffentlichtes Gutachten, das Rechtswissenschaftler der Uni Köln im Auftrag des Bundesinnenministeriums erstellten, ist nun im Zuge einer Anfrage nach dem Informationsfreiheitsgesetz (IFG) öffentlich zugänglich geworden. Es kommt zu dem Schluss, dass US-Behörden weitreichenden Zugriff auch auf Daten haben, die in europäischen Rechenzentren gespeichert sind.

Weiterlesen nach der Anzeige

Zugriff durch Geheimdienste

Die Gutachter sollten klären, ob und in welchem Umfang US-Geheimdienste und andere staatliche Stellen ein rechtliches Zugriffsrecht auf Daten in der Cloud besitzen, selbst wenn die Infrastrukturen außerhalb der Vereinigten Staaten betrieben werden. Laut dem Gutachten erlauben insbesondere der Stored Communications Act (SCA), der durch den Cloud Act erweitert wurde, sowie Abschnitt 702 des Foreign Intelligence Surveillance Act (FISA) US-Behörden, Cloud-Anbieter zur Herausgabe von Daten zu verpflichten.

Ein brisanter Punkt ist die Feststellung zur Reichweite der US-Jurisdiktion. Unternehmen sind demnach angehalten, Daten auch dann herauszugeben, wenn diese außerhalb der USA gespeichert sind. Entscheidend ist demnach nicht der physikalische Speicherort der Informationen, sondern die Kontrolle darüber durch die betroffene Firma. Das impliziert, dass selbst Daten, die in Rechenzentren auf europäischem Boden liegen und über deutsche Tochtergesellschaften verwaltet werden, dem Zugriff unterliegen. Voraussetzung ist, dass die US-Muttergesellschaft die letztliche Kontrolle ausübt.

Reichweite der US-Jurisdiktion

Die Reichweite der US-Gesetze endet hier jedoch nicht. Die Jurisdiktion der Vereinigten Staaten kann laut dem Gutachten nicht nur europäische Tochtergesellschaften US-amerikanischer Unternehmen erfassen. Sie hat auch das Potenzial, rein europäische Unternehmen zu treffen, sofern diese relevante geschäftliche Verbindungen in die USA unterhalten. Damit wird die Gefahr eines indirekten oder direkten Datenzugriffs auf einen weiten Kreis von Unternehmen ausgedehnt, die im europäischen Binnenmarkt operieren.

Obwohl ein Cloud-Anbieter technisch etwa durch Verschlüsselung verhindern könnte, selbst auf die Daten zuzugreifen, vermeidet dies die Herausgabepflicht nicht zwingend. Das US-Prozessrecht verlangt von Parteien, verfahrensrelevante Informationen schon vor Beginn eines Rechtsstreits zu speichern. Ein Cloud-Dienstleister, der regelmäßig mit Herausgabeverlangen konfrontiert ist, könnte daher zur Aufbewahrung von Daten verpflichtet sein. Schließt er sich durch technische Maßnahmen vom Zugang aus, riskiert er erhebliche Bußgelder oder strafrechtliche Konsequenzen.

In Europa dürfen Aufsichtsbehörden auf Basis der Datenschutz-Grundverordnung (DSGVO) Offenlegungen von Informationen an Behörden in Drittstaaten untersagen. Datenübermittlungen in die USA können derzeit auf den wackeligen Angemessenheitsbeschluss der EU-Kommission – das EU-US Data Privacy Framework – gestützt werden. Das Gutachten verdeutlicht aber die rechtlichen Spannungsfelder, die durch die globale Reichweite der US-Gesetze entstehen. Es verweist auf die Notwendigkeit, europäische Alternativen zur Stärkung der digitalen Souveränität zu entwickeln.

Weiterlesen nach der Anzeige

Was heißt das für MS 365 & Co.?

Die Rechtsanwälte Stefan Hessel, Christina Ziegler-Kiefer und Moritz Schneider kommen in einer aktuellen Analyse trotzdem zum Schluss, dass ein datenschutzkonformer Einsatz der cloudbasierten Lösung Microsoft 365 grundsätzlich weiterhin möglich sei. Das abstrakte Risiko, das sich aus den extraterritorialen US-Befugnissen speise, begründe allein keine automatische Unzuverlässigkeit des Auftragsverarbeiters, solange keine systematischen Verstöße gegen europäisches Recht belegt seien. Verantwortliche müssten sich auf ihre Compliance-Pflichten konzentrieren und bei hohem Risiko eine Datenschutz-Folgenabschätzung durchführen. Andere Experten sehen das nicht so.


(vbr)



Source link

Weiterlesen

Beliebt