🇩🇪 Dieser Beitrag betrifft Deutschland. In Österreich und der Schweiz gelten andere Gesetze (NISG bzw. ISG/DSG).

Von Frank Becker, Externer ISB / DSB, BPC GmbH
Aktualisiert am 31.08.2026

ePA Datensicherheit: Faktencheck 2026

Patientinnen und Patienten fragen immer häufiger: Wer kann eigentlich meine ePA einsehen? Und ist das wirklich sicher? Die gematik hat am 25. August 2026 (Dienstag) einen Faktencheck veröffentlicht, der diese Fragen direkt beantwortet. Dieser Artikel fasst zusammen, was darin steht — und was das für Praxen, Apotheken und Pflegeeinrichtungen bedeutet.

Betrifft mich das?

Die gematik richtet ihr Informationsangebot zur Telematikinfrastruktur (TI) laut ihrer Sektoren-Übersicht an folgende Einrichtungstypen: Praxen, Privatpraxen, Psychotherapiepraxen, Zahnarztpraxen, Apotheken, Krankenhäuser, Pflege, Rehabilitation, Hebammen, Heilmittelerbringende, Hilfsmittelerbringende sowie den Öffentlichen Gesundheitsdienst (ÖGD) — und an Versicherte selbst (gematik, Sektoren-Übersicht, abgerufen 27.08.2026).

Der Faktencheck vom 25. August 2026 ist keine sektorspezifische Handlungsanweisung, sondern eine allgemeine Darstellung der ePA-Sicherheitsarchitektur. Er liefert Ihnen die Grundlage, um Patientenfragen sachlich zu beantworten.

Wer darf in die ePA schauen?

Laut dem gematik-Faktencheck vom 25. August 2026 ist die Sicherheitsarchitektur der ePA so konzipiert, dass nur die Patientin bzw. der Patient selbst sowie das berechtigte medizinische Personal in die jeweilige ePA schauen kann. Versicherte können dabei selbst entscheiden, ob eine Einrichtung auf ihre ePA zugreifen darf (gematik, Faktencheck, 25.08.2026).

Zur Frage der Krankenkassen hält der gematik-Faktencheck fest: Krankenkassen haben aufgrund technischer und gesetzlicher Regelungen keine Möglichkeit, Inhalte einer ePA einzusehen. Welche gesetzlichen Regelungen konkret gemeint sind, nennt der Faktencheck nicht — in den ausgewerteten Quellen (Stand 27.08.2026) finden sich dazu keine Paragraphenangaben.

Wie ist das Notfalldatenmanagement geregelt?

Das Notfalldatenmanagement (NFDM) ist laut gematik eine freiwillige, kostenlose Servicefunktion in der Telematikinfrastruktur. Es umfasst zwei Bestandteile: den Notfalldatensatz (NFD) und den Datensatz Persönliche Erklärungen (DPE) (gematik, Notfalldaten-Seite, abgerufen 27.08.2026).

Wer entscheidet über den Notfalldatensatz? Laut gematik entscheidet der Versicherte, ob er einen Notfalldatensatz anlegen will. Er legt fest, wer diesen wann einsehen kann und wer im Notfall zu benachrichtigen ist — etwa Lebenspartner oder behandelnde Fachärztin. Er kann zudem weitere Informationen ergänzen lassen, etwa ob und wo ein Organspendeausweis vorliegt (gematik, Notfalldaten-Seite, abgerufen 27.08.2026).

Wer darf den NFD lesen? Neben Ärztinnen und Ärzten dürfen in Notfällen auch Psychotherapeutinnen und Psychotherapeuten sowie Apothekerinnen und Apotheker die Daten lesen (gematik, Notfalldaten-Seite, abgerufen 27.08.2026).

Wie lesen Leistungserbringer den NFD aus? Die gematik beschreibt drei Schritte (gematik, Notfalldaten-FAQ, abgerufen 27.08.2026):

  1. Einwilligung einholen: Holen Sie die Einwilligung der Patientin oder des Patienten ein. Ausnahme: In einer Notfallsituation dürfen Sie den Notfalldatensatz einer nicht zustimmungsfähigen Person auch ohne Zustimmung einsehen. Die Zustimmung bzw. die gegebenenfalls fehlende Zustimmungsfähigkeit sollten Sie stets dokumentieren.
  2. Auslesegrund angeben: Rufen Sie in Ihrem Praxisverwaltungssystem oder Krankenhausinformationssystem den Notfalldatensatz auf und geben Sie einen der folgenden Auslesegründe an: Notfall / Aktualisierung / Abruf ohne Notfallhintergrund.
  3. NFD einsehen: Auslesegrund, Zugriffszeitpunkt und zugreifende Person werden auf der Gesundheitskarte protokolliert.

Aus Beratungssicht empfehlen wir, diese drei Schritte in der Praxis schriftlich festzuhalten und bei der Einarbeitung neuer Mitarbeitender zu vermitteln — damit die Dokumentationspflicht im Alltag nicht untergeht.

Wie sichert die gematik die TI ab?

Die gematik beschreibt auf ihrer Datensicherheits-Seite ein dreistufiges Sicherheitskonzept für die Telematikinfrastruktur (gematik, Datensicherheit, abgerufen 27.08.2026):

  1. Konzeption und Spezifikation der verwendeten Dienste, Anwendungen und Komponenten
  2. Prüfung und Zulassung der verwendeten Dienste, Anwendungen und Komponenten
  3. Überwachung des laufenden Betriebes und der Identifikation bzw. Abwehr von Bedrohungen

Für die laufende Überwachung ist das gematik CERT zuständig. Seine Aufgaben umfassen laut gematik: regelmässige Schwachstellenscans, Entgegennahme und Analyse von Schwachstellenmeldungen, Auswertung von Logdaten im Rahmen des Security Monitorings, Entgegennahme sicherheitsrelevanter Meldungen sowie Eskalation und Nachverfolgung von erkannten Schwachstellen, Sicherheitsvorfällen und Anomalien. Das gematik CERT ist im Rahmen von UP KRITIS unter der ID 227aa als gemeinsame übergeordnete Ansprechstelle (GÜAS) für die Telematikinfrastruktur registriert (gematik, Datensicherheit, abgerufen 27.08.2026).

Auf ihrer Datensicherheits-Seite stellt die gematik zudem folgende Dokumente zum Download bereit (abgerufen 27.08.2026): - Whitepaper «Datenschutz und Informationssicherheit in der Telematikinfrastruktur» (PDF, 1 MB, Stand 7. Januar 2026) - Leitlinie Informationssicherheit (PDF, 892 KB, Stand 6. Januar 2026) - Abschlussbericht zur Sicherheitsanalyse des Gesamtsystems ePA für alle vom Fraunhofer SIT (PDF, 1 MB, Stand 10. Oktober 2024)

Coordinated Vulnerability Disclosure: Schwachstellen melden

Die gematik betreibt ein Coordinated Vulnerability Disclosure Programm. Dessen Geltungsbereich umfasst laut gematik (Datensicherheit, abgerufen 27.08.2026):

  • Schwachstellen an zentralen Diensten der TI (z. B. VPN-Zugänge, OCSP-Responder, Beantragungs- und Freigabeportale)
  • Schwachstellen innerhalb von TI-Anwendungen (z. B. ePA, E-Rezept, Kommunikationsdienst KIM)
  • Schwachstellen bei dezentralen Komponenten wie Konnektoren, Kartenterminals und Smartcards
  • Schwachstellen an Systemen im sonstigen Verantwortungsbereich der gematik (z. B. DEMIS, gematik-Webseiten)

Die gematik gibt in ihrem Programm folgende Zusagen: Sie meldet sich schnellstmöglich nach Eingang einer Meldung, nimmt jede Meldung ernst, behandelt sie vertraulich, arbeitet auf das Schliessen der Schwachstelle hin, wirkt auch dann auf eine Lösung hin, wenn die Schwachstelle nicht in ihrer operativen Verantwortung liegt, stimmt das weitere Vorgehen mit dem Melder ab und leitet Meldungen nicht an Strafverfolgungsbehörden weiter — sofern keine deutlichen Hinweise auf Straftatbestände vorliegen (gematik, Datensicherheit, abgerufen 27.08.2026).

Ob das Programm eine Vergütung (Bug Bounty) für Schwachstellenmeldungen vorsieht, lässt sich aus den ausgewerteten Quellen (Stand 27.08.2026) nicht entnehmen.

Checkliste für Ihre Praxis

  • Patientenfragen zur ePA-Sicherheit beantworten: Halten Sie fest, dass laut gematik-Faktencheck (25.08.2026) nur Patientinnen und Patienten selbst sowie berechtigtes medizinisches Personal Zugriff auf die ePA haben — und dass Krankenkassen keinen Einblick in die Inhalte haben.
  • Zugriffssteuerung kommunizieren: Informieren Sie Patientinnen und Patienten, dass sie selbst entscheiden, welche Einrichtung auf ihre ePA zugreifen darf (gematik, Faktencheck, 25.08.2026).
  • NFD-Ausleseschritte kennen: Stellen Sie sicher, dass die in Ihrer Einrichtung tätigen Leistungserbringer die drei Ausleseschritte kennen — Einwilligung, Auslesegrund, Protokollierung auf der Gesundheitskarte (gematik, Notfalldaten-FAQ, abgerufen 27.08.2026). Aus Beratungssicht empfehlen wir, dies in einer kurzen Verfahrensanweisung festzuhalten.
  • Notfallausnahme dokumentieren: Im Notfall darf der NFD auch ohne Zustimmung eingesehen werden — die fehlende Zustimmungsfähigkeit sollte stets dokumentiert werden (gematik, Notfalldaten-FAQ, abgerufen 27.08.2026).
  • Sicherheitsdokumente der gematik sichten: Das Whitepaper zur Datensicherheit in der TI (Stand 7. Januar 2026) und der Fraunhofer-SIT-Abschlussbericht (Stand 10. Oktober 2024) stehen auf der gematik-Datensicherheits-Seite zum Download bereit — nützlich, wenn Sie gegenüber Patientinnen und Patienten oder Trägern Rechenschaft ablegen müssen.

Wie Praxen die Digitalisierung insgesamt angehen, zeigt der Artikel Digitalisierung Arztpraxis 2026: Was bringt die KBV-Befragung? mit konkreten Befunden aus der Praxis.

Quellen

Dieser Artikel stellt keine Rechtsberatung dar. Für rechtliche Beratung wenden Sie sich an einen Anwalt.

Kostenlose NIS2-Bestandsaufnahme starten →
Weitere Artikel im Wissensbereich Aktuelle Sicherheitswarnungen für das Gesundheitswesen