Es klingt unheimlich – und das ist es auch. Organspender werden, ohne es zu wissen. Möglich ist das dank einer krassen Sicherheitslücke bei Swisstransplant. Das berichtet der «Kassensturz».
Adrian Lobsiger, eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (Edöb), bestätigte am Dienstagabend auf Anfrage der Nachrichtenagentur Keystone-SDA die SRF-Recherche. Er habe am vergangenen Donnerstag eine Sachverhaltsabklärung gegen Swisstransplant eröffnet.
Swisstransplant, die Betreiberin des nationalen Organspende-Registers, schreibt ihrerseits auf ihrer Webseite, am 11. Januar seien Vorwürfe zur Sicherheit und Validierung der Registereinträge laut geworden. Weil man die Vorwürfe sehr ernst nehme, sei das Register vorübergehend offline geschaltet worden.
«Die bestehenden Registereinträge sind absolut sicher»
Seit Dienstag ist das Register wieder aufgeschaltet, dies, nachdem die Stiftung mit ihren Partnern den Sachverhalt eingehend geprüft hat, wie sie an gleicher Stelle festhält. Die Prüfung habe keine Sicherheitslücken im System zutage gefördert.
Es hätten zu keinem Zeitpunkt Personendaten eingesehen oder bearbeitet werden können. «Die bestehenden Registereinträge sind absolut sicher.»
Datenschützer Lobsiger hielt dem gegenüber Keystone-SDA entgegen, die Stiftung habe die Neuaufschaltung ohne die von ihm empfohlenen Anpassungen des Anmeldeprozesses vorgenommen. Der Edöb hatte Swisstransplant nahegelegt, in jedem Fall eine Ausweiskopie zu verlangen, auf welcher die Unterschrift der Person, die sich in das Register eintragen möchte, ersichtlich sei.
Rund 132'000 Personen sind im Register eingetragen
Laut dem Fernsehbeitrag vom Dienstagabend zeigt der Bericht einer Informationssicherheitsfirma, dass das Organspende-Register signifikante Sicherheitsmängel aufweist, «die es einem erlauben, beliebige Personen zum Organspender zu machen». Zudem sei es möglich, alle Dateien auf dem Anwendungsserver auszulesen und herunterzuladen.
Die Datensicherheit habe für Swisstransplant oberste Priorität, heisst es auf der Webseite der Stiftung weiter. Adrian Lobsiger sei informiert worden und prüfe derzeit den Sachverhalt. Rund 132'000 Personen sind derzeit im Register eingetragen.
«Besonders schützenswerte Personendaten»
Lobsiger erklärte im TV-Beitrag, es gebe Alternativen, um den Nachweis der Identifikation von im Register eingetragenen Personen zu verbessern. «Wir werden das vergleichen, gerade mit dem Blick auf die Sensibilität der Daten, die ich als sehr hoch einstufe.»
Die im Register zur Dokumentation des Spenderwillens bearbeiteten Daten betreffen nach Einschätzung von Lobsiger die Intimsphäre, sodass sie als «besonders schützenswerte Personendaten» zu qualifizieren seien, wie er gegenüber Keystone-SDA präzisierte.
Zudem stellten sich grundlegende Fragen zur Geeignetheit elektronischer Identifikationsverfahren in heiklen Bereichen wie jenem eines Registers über den persönlichen Entscheid für oder gegen eine Organentnahme, schreibt der Edöb in einer Mitteilung zur Eröffnung des Verfahrens.
Im Zweifelsfall kann Eintrag gelöscht werden
Aus seiner Sicht sei es offensichtlich, dass die Bekanntmachung der angezeigten Mängel geeignet sei, das Vertrauen der Öffentlichkeit in das System der Organspende in der Schweiz zu beeinträchtigen.
Wer Zweifel habe am Register, können seinen Eintrag löschen, hält Swisstransplant in der Information auf ihrer Webseite weiter fest. Es bestehe alternativ die Möglichkeit, den Entscheid zur Organspende auf einer Organspende-Karte festzuhalten. In diesem Fall sei es wichtig, die Angehörigen zu informieren, da die Spenderkarte im Spital nur sehr selten gefunden werde respektive vorliege.
Wie Swisstransplant-Direktor Franz Immer im «Kassensturz» erklärte, habe die Stiftung die Entnahmespitäler informiert, im Bedarfsfall die Registereinträge auf der Intensivstation am Bett mit den Angehörigen sehr sorgfältig zu prüfen. (SDA/jmh)