39C3, Nachträge v.a. zu KIM, ePA, gematik von zuhause

A first: zweieinhalb Stunden Verspätung bei der Bahn, und weil dann kein Zug mehr fuhr, kriegte ich einen Taxigutschein von Essen nach Wuppertal. Einmal mehr: ich habe einen Heidenrespekt vor allen Leuten, die dort was am Laufen halten, was seit über 20 Jahren politisch gewollt kaputtgespart wurde.

Ich hab das vage Gefühl, mich für den 40C3 in der Wiki-Area als Freiwilliger gemeldet zu haben, aber fühlt sich nicht schlecht an. Weiter habe ich leider ein paar Leute verpasst, denen ich gern über den Weg gelaufen wäre, war einmal mehr geflasht von einer unglaublich angenehmen und anregenden Community und ansonsten normal übermüdet, unterzuckert und überkoffeiniert.

Medtech, gematik, ePA und Konsorten. Ich nutzte Verspätung und ICE-Wlan, um ein paar verpasste Talks im Bereich Medizintechnik, Digitalisierung, ePA, KIM etc. nachzugucken. Das war einmal die KIM-Analyse von Christoph und natürlich die neuerliche ePA-Zerlegung von Bianca. Beide Talks wurden recht breit rezipiert und meiner Ansicht nach medial auch ziemlich gut eingeordnet.

Dszu einige persönliche Anmerkungen.

Usability, Hektik und Pragmatismus

Regelmäßig wird eingeordnet, dass bei allen Problemen der gematik-Plattformen alte Lösungen (Fax!) noch bei weitem unsicherer sind. Stand jetzt würde ich aber auf dem Hügel sterben, dass sie nicht wegen gefühlt höherer Sicherheit verwendet werden, sondern weil sie praktischer und zuverlässiger sind. Faxen geht immer. Für KIM etc. muss man Karten in ein (freies) Terminal stecken, Kram machen, hoffen, dass die Infrastruktur funktioniert, abwarten, Erfolg prüfen. Fax legste auf die Scheibe, drückst Kurzwahl und rennst zum nächsten Patienten. Das ist der Usecase und die Usability, die man vor Ort braucht.

Um das wiederum einzuordnen: Letztens bloggte ich über die Usability meiner AOK-ePA-App. Bzw. ihr Nichtvorhandensein. Wenn Bianca jetzt sagt, die gematik-infrastruktur bestehe aus einer Unzahl einzelner Module, dann nicke ich heftig. Wenn sie dann von immerhin 96% Verfügbarkeit zwischen Apr-Jul 2025 spricht, nicke ich weiter, und wenn sie das zu „über zwei Wochen Ausfall pro Jahr“ hochrechnet, ebenso. Wer das mal nachempfinden will: Ich schubste mal ti-monitoring.de auf Arbeit in unsere News und installierte mir die Notifications in dem Zug auch selber. Seit September kriege ich jedes ausfallende Modul der TI auf mein Handy gemeldet und ich sag mal so: Cloudflare ist ein Scheiß dagegen.

Nochmal: Usability, Zuverlässigkeit und Geschwindigkeit sind die chronisch unterbelichteten Aspekte an der ganzen Kiste.

Ich bin überzeugtes Mitglied im Team Zynismus und japanische Pornografie, aber selbst ich kann mir vorstellen, dass sich die gematik irgendwann ein widerwillig-anerkennendes „sieht langsam ok aus“ nach einem Congresstalk abholen kann. Ich tu mich massiv schwerer mit der utopischen Vision, dass Beschäftigte in Arztpraxen und Apotheken froh an die Kiste sitzen, ihren eHBA scharfschalten und sich über die einfach und reibungslos funktionierende IT freuen, die ihnen Arbeit abnimmt und Zeit spart. I WANT TO BELIEVE, alleine, nun ja.

Datenschutzanforderungen, Intermediäre und Bad Actors

Blinder Fleck auf meiner Seite. Mir war und ist vollkommen unklar, wie weit die TI-Infrastruktur auch beteiligte Akteure voreinander schützt bzw. schützen muss. Die KVen sollen aus Datenschutzgründen beispielsweise nicht mitbekommen, wann wer in einer Arztpraxis arbeitet. Dafür wirds gute Gründe geben, und wenn man mich fragt, wie das strukturell gewährleistet werden kann, wenn gleichzeitig alle Prozesse zertifiziert, sicher und auf berechtigte Akteure prüfbar sein müssen, ahne ich, dass das geht, aber nichttrivial ist. Hier werden Module und Prozesse voneinander absichtsvoll entkoppelt, sollen aber schnell, sicher und zuverlässig sein. Hinzu kommt, dass das ganze natürlich ständig im (rechtlichen/administrativen) Fluss ist.

Auch hier rechne ich mit Lösungen. Und weil alle anderen Bereiche rechtlich und securitytechnisch mit Brettern vernagelt sind, ahne ich aber Kompromisse insbesondere im Bereich Geschwindigkeit und Usability. Wer wird sich damit rumschlagen müssen? Wer konnte stattdessen bislang einfach einen Zettel aufs Faxgerät legen und einen Knopf drücken? Eben. Abgeschwiffen an der Stelle: meine Wahrnehmung ist die, dass wir eine unglaubliche Idealistendichte im Gesundheitssektor haben (anders wird mans auch kaum ertragen). Es würde mich interessieren, ob das mit reinspielt in die gefühlt schwächere Wahrnehmung von Risiken durch Bad Actors innerhalb des Systems.

tl;dr: Meine Befürchtung ist, dass wir vielleicht irgendwann sichere Systeme haben werden, aber die eigentlichen großen Räder (Usability und Stressvermeidung) nicht gedreht haben, die in der Praxis (beide Bedeutungen) zählen.

Praxisverwaltungssysteme, KIS

Eher am Rande bei Bianca klang an, dass die PVS noch einigermaßen unterbelichtet sind und z.B. in Sachen Authentifizierung hinter dem Stand der Technik zurückbleiben. Da gibt es sicher noch weitaus mehr zu beobachten und analysieren, und die Interessenskonflikte mancher Akteure (hust, hust) vertragen durchaus mehr Aufmerksamkeit. Ich verfolge die PVS-Anwenderzufriedenheit nur sehr indirekt und am Rande, aber was ich da wahrnehme, ähnelt meiner Einschätzung von Projektmanagementtools (sie sind alle entsetzlich). Update 2/2026: Zufriedenheits-Zahlen 2025 geben mir weitgehend recht. /Update.

…und nu?

Ich weiß es doch auch nicht. Und zur Sicherheit: das alles meine ich mitnichten kantenköniglich („schaut her, ich erkenne die wahren Probleme!“), eher gar latent optimistisch, weil mir sowas lang ein wenig wie ein blinder Fleck der Chaoscommunity erschien, der seit Jahren erfreulich schrumpft. Shoutout da vor allem am Christoph, wer am Wochenende in der Arztpraxis die KIM zerforschen kann und per Hand auf der Konsole den SMPT fixen muss bis Montag morgen, wenn die Arbeit wieder losgeht, so jemand ist sehr nah an der Praxis der Betroffenen, ich liebe alles daran und versichere hiermit äußerste Wertschätzung.

Ansonsten:

Talklastigerer Congress dieses Jahr. Teils lags an vielen „Oh, muss ich gucken!“-Triggern, teils auch, weil ein paar Leute nicht/später da oder woanders waren, mit denen ich mich sonst mehr verquatschte. Gefühlt wie bereits bemerkt einmal mehr bunter, diverser, anregender, und ich lese gelegentliches „das hat mich gestört“-Gefasel, bin aber grade zu tiefenentspannt, um mich drüber aufzuregen. Memedichte geringer wie andere Congresse (aber passt schon), FTPs vorhanden, aber nicht überwältigend (aber passt schon), und hey, Livelöschung einer Nazi-Dating-Plattform und Veröffentlichung des Nutzerbestandes, ich feiere das sehr hart. Always remember: die schönsten Nazis haben blaue Augen und eine gebrochene Nase.

Kommt gut rüber.