Le dossier patient numérique pour tous a commencé comme un test. Son objectif est de rendre la visite chez le médecin moins compliquée. Mais les données sensibles sur la santé sont tout sauf sécurisées. Les experts informatiques montrent que les pirates informatiques ou les services secrets peuvent facilement accéder à toutes les données des patients en Allemagne.
Lettres du médecin, radiographies, analyses de sang ou estimations des coûts des traitements : au cours de votre vie, vous accumulez des dossiers remplis de documents médicaux. Pour que vous n’ayez pas à tout emporter avec vous et que chaque nouveau médecin connaisse vos antécédents médicaux, le dossier patient numérique pour tous, l’ePA, a été lancé à la mi-janvier après des années de retard. Le dossier de santé numérique pour les assurés obligatoires.
Cela permet aux cabinets médicaux et aux hôpitaux d’échanger et de consulter plus facilement des documents et de savoir quels médicaments vous prenez. De plus, les examens en double sont évités et un deuxième avis médical peut être obtenu plus facilement.
Le dossier patient électronique est dans un premier temps testé à Hambourg, en Franconie et dans certaines régions de Rhénanie du Nord-Westphalie. Si tout fonctionne dans ces régions modèles, l’ePA sera automatiquement distribuée à tous les patients en Allemagne, au plus tôt en mars. Si vous ne le souhaitez pas, vous devez agir vous-même et vous opposer à la caisse d’assurance maladie.
« De meilleurs traitements et une meilleure recherche pour tous »
«Le dossier électronique du patient est sécurisé et permet à chacun de bénéficier d’un meilleur traitement et d’une meilleure recherche», a promis dès le début le ministre fédéral de la Santé, Karl Lauterbach. En matière de numérisation, l’Allemagne est à la traîne dans de nombreux domaines – avec l’ePA, elle fait un bond en avant.
Le fichier fait du patient un « patient plus responsable », affirme Lauterbach – et cela est certainement vrai, car vous pouvez accéder vous-même à toutes vos données médicales. Mais d’autres personnes peuvent également le faire – à condition qu’elles disposent des « outils » adéquats. Les spécialistes de la sécurité informatique Bianca Kastl et Martin Tschirsich ont démontré à quel point cela est simple lors du congrès du Chaos Computer Club (CCC) à Hambourg fin décembre.
En fait, outre un environnement de test ePA, ils n’avaient besoin que de trois éléments pour obtenir les données du patient : une carte de santé, un lecteur de carte et une carte de pratique, rapporte Bianca Kastl dans le podcast de ntv « J’ai encore appris quelque chose ».
« Accès aux 70 millions de dossiers électroniques des patients »
L’équipe a pu acheter des lecteurs de cartes d’occasion, notamment des cartes d’entraînement et des codes PIN, grâce à des petites annonces. Les appareils sont connectés à un type de routeur. Cela a amené les experts en informatique à s’intéresser à l’infrastructure télématique : le réseau de données de santé.

Ils ont alors découvert la déficience technique de l’infrastructure télématique. « Cela signifie que nous pouvons également accéder à tous les dossiers électroniques des patients. La particularité est que la personne n’a pas besoin d’être physiquement dans le cabinet et d’insérer sa carte de santé. Nous pouvons simuler que n’importe quelle personne se trouve dans notre faux cabinet. De là, nous aurions pu avoir accès à l’ensemble des 70 millions de dossiers électroniques de patients », explique Kastl.
90 jours d’informations pour les médecins
Vous pouvez gérer vous-même votre dossier patient à l’aide d’une application spéciale de la caisse d’assurance maladie légale auprès de laquelle vous êtes assuré. Il est également possible d’y accéder via un PC ou un ordinateur portable, mais vous avez également besoin d’un lecteur de carte avec clavier. Selon le centre de conseil aux consommateurs, toute personne ne disposant pas de tels appareils ne peut utiliser l’ePA que de manière passive et ne peut visualiser, télécharger ou gérer aucune donnée.
Pour que les médecins puissent consulter l’ePA, vous insérez votre carte de santé dans le lecteur de carte du cabinet du dentiste ou du médecin généraliste – cela donne au cabinet un accès automatique à l’ePA pendant 90 jours. Les pharmacies ne peuvent examiner l’intérieur que pendant trois jours.
En fait, chaque cabinet ne devrait consulter que les données des patients qui y sont traités. Cependant, l’équipe de Bianca Kastl a prouvé qu’elle pouvait théoriquement accéder à plus de 70 millions de données de patients provenant de tous ceux qui n’ont pas rejeté l’ePA. Non seulement avec un accès en lecture, mais également avec un accès en écriture.
Problème de carte de santé
Le point faible, c’est la carte santé. Deux numéros d’identification y sont stockés. Un seul d’entre eux est sécurisé, explique Kastl – mais celui qui n’est pas sécurisé est utilisé pour l’ePA : « Je peux, par exemple, utiliser un nombre aléatoire pour prouver que je suis bien cette carte. Cela se fait à l’aide d’opérations cryptographiques. Ce que nous avons nous-mêmes Je ne comprends pas pourquoi la procédure plus simple a été utilisée pour contrôler l’accès au dossier électronique du patient, qui dit simplement : Voici mon numéro.
Il y a quelques années, des experts en sécurité informatique, dont Tschirsich du Chaos Computer Club, ont identifié un problème avec les cartes de santé : il n’est même pas nécessaire de les falsifier pour accéder aux dossiers numériques des patients de quelqu’un d’autre. Vous pouvez les commander légalement auprès de votre caisse d’assurance maladie.
Tout ce dont vous avez besoin, ce sont trois informations sur la personne : son nom, sa date de naissance et son numéro d’assurance maladie, explique Kastl dans le podcast. Par exemple, le numéro d’assurance est disponible auprès des employeurs. « Une fois que j’ai cette information, j’appelle une compagnie d’assurance maladie et je lui dis que je voudrais une nouvelle carte – et cela a fonctionné de temps en temps pendant quelques années. »
Les pirates informatiques accèdent à des millions de dossiers médicaux
Les données sensibles et très personnelles sont stockées dans le dossier patient numérique. Vous ne voudriez peut-être pas que d’autres personnes regardent certains d’entre eux. L’ex-partenaire, par exemple, des criminels ou des services secrets. Mais c’est précisément ce qui n’est pas empêché, critiquent les délégués à la protection des données.
Ce n’est pas déraisonnable : aux États-Unis, des pirates informatiques ont accédé aux données médicales de 100 millions de personnes début 2024 grâce à une faille de sécurité. Au Royaume-Uni, des pirates informatiques russes ont volé des millions de dossiers médicaux à la mi-2024. En Allemagne également, les cyberattaques contre les hôpitaux ou d’autres infrastructures critiques sont de plus en plus nombreuses. Les pirates exigent une rançon, que les cliniques paient souvent volontiers.
De plus, quiconque le souhaite peut non seulement accéder aux données du patient, mais également les modifier, par exemple réécrire complètement le plan de traitement.
Données de Gardiens du secret en voie de disparition
L’Institut Fraunhofer pour les technologies de l’information sécurisées (SIT) a examiné le concept de sécurité de l’ePA et l’a présenté dans son rapport pour approprié, mais qui a également besoin d’être amélioré. Cependant, à la demande de l’agence responsable Gematik, les chercheurs n’ont pas testé les dossiers des patients pour détecter les attaques des services secrets.
Kastl envisage différents scénarios d’attaque possibles. Une possibilité est celle des attaques indirectes. « Par exemple, vous recherchez des données de santé auprès de personnes qui gardent des secrets, de politiciens ou de personnes qui s’occupent d’infrastructures critiques, puis essayez d’obtenir des informations dans les environs immédiats. Cela signifie que je peux également accéder à d’autres informations en dehors du système de santé. »
Une autre possibilité consiste à faire chanter les personnes présentant des diagnostics stigmatisants, tels que des diagnostics de VIH, d’avortement ou de maladie mentale.
Gematik a réagi tardivement à l’information
Malgré ces failles de sécurité, l’ePA est désormais lancée. Un peu cahoteux, dit Kastl dans le podcast « J’ai encore appris quelque chose ». Vos informations au congrès du CCC ont permis de reconstruire quelques éléments peu avant le départ. Et que moins de cabinets participent aux régions modèles comme prévu.
Cependant, elle et Tschirsich ont signalé les lacunes à Gematik bien plus tôt, en août dernier. Mais rien ne s’est produit pour le moment, explique Kastl. « Ce n’est que lorsque nous avons pu prouver que nous avions accès aux cartes d’entraînement et que nous pouvions également mener cette attaque que nous avons réagi vraiment, très rapidement. Après cela, c’était très mouvementé au début de l’année. Nous aurions pu sauver nous-mêmes cela.
Dans une lettre ouverte adressée au ministre de la Santé Karl Lauterbach, le centre de conseil aux consommateurs, Aidshilfe et le Paritätische Wohlfahrtsverband, entre autres, demandent que les problèmes de sécurité soient résolus. Gematik l’avait également promis fin décembre. Après la phase pilote de quatre semaines, l’ensemble sera évalué – avant que l’ePA ne démarre pour tout le monde dans toute l’Allemagne, probablement au printemps.
« J’ai encore appris quelque chose » est un podcast destiné aux curieux : pourquoi un cessez-le-feu ne serait-il probablement qu’une pause pour Vladimir Poutine ? Pourquoi l’OTAN craint-elle le fossé Suwalki ? Pourquoi la Russie a-t-elle encore des iPhones ? Quels petits changements de comportement peuvent permettre d’économiser 15 % d’énergie ? Écoutez et devenez un peu plus intelligent trois fois par semaine.
Vous pouvez retrouver tous les épisodes dans l’application ntv, sur RTL+, Amazon Music, Apple Podcasts et Spotify. Pour toutes les autres applications de podcast, vous pouvez utiliser le flux RSS.
Avez-vous une question? Veuillez nous envoyer un e-mail à [email protected]