Organspenden Verfahren wegen Sicherheitslücken im Organspende-Register eröffnet

Der Eidgenössische Datenschutzbeauftragte hat ein Verfahren gegen Swisstransplant eröffnet wegen Zweifeln an der Sicherheit der Einträge im digitalen Organspende-Register. So soll es möglich gewesen sein, eine Person ohne deren Wissen zur Spenderin zu machen.

Adrian Lobsiger, eidgenössischer Datenschutz und Öffentlichkeitsbeauftragter (Edöb), bestätigte am Dienstagabend auf Anfrage der Nachrichtenagentur Keystone-SDA eine Recherche der SRF-Sendung «Kassensturz». Er habe am vergangenen Donnerstag eine Sachverhaltsabklärung gegen die Swisstransplant eröffnet.

Swisstransplant, die Betreiberin des nationalen Organspende-Registers, schreibt ihrerseits auf ihrer Webseite, am 11. Januar seien Vorwürfe zur Sicherheit und Validierung der Registereinträge laut geworden. Weil man die Vorwürfe sehr ernst nehme, sei das Register vorübergehend offline geschaltet worden.

Seit Dienstag ist das Register wieder aufgeschaltet, dies, nachdem die Stiftung mit ihren Partnern den Sachverhalt eingehend geprüft hat, wie sie an gleicher Stelle festhält. Die Prüfung habe keine Sicherheitslücken im System zu Tage gefördert. Es hätten zu keinem Zeitpunkt Personendaten eingesehen oder bearbeitet werden können. «Die bestehenden Registereinträge sind absolut sicher.»

Datenschützer Lobsiger hielt dem gegenüber Keystone-SDA entgegen, die Stiftung habe die Neuaufschaltung ohne die von ihm empfohlenen Anpassungen des Anmeldeprozesses vorgenommen. Der Edöb hatte Swisstransplant nahegelegt, in jedem Fall eine Ausweiskopie zu verlangen, auf welcher die Unterschrift der Person, die sich in das Register eintragen möchte, ersichtlich sei.

«Signifikante Sicherheitsmängel»

Laut dem Fernsehbeitrag vom Dienstagabend zeigt der Bericht einer Informationssicherheitsfirma, dass das Organspende-Register signifikante Sicherheitsmängel aufweist, «die es einem erlauben, beliebige Personen zum Organspender zu machen». Zudem sei es möglich, alle Dateien auf dem Anwendungsserver auszulesen und herunterzuladen.

Die Datensicherheit habe für Swisstransplant oberste Priorität, heisst es auf der Webseite der Stiftung weiter. Edöb Adrian Lobsiger sei informiert worden und prüfe derzeit den Sachverhalt. Rund 132'000 Personen sind derzeit im Register eingetragen.

Lobsiger erklärte im TV-Beitrag, es gebe Alternativen, um den Nachweis der Identifikation von im Register eingetragenen Personen zu verbessern. «Wir werden das vergleichen, gerade mit dem Blick auf die Sensibilität der Daten, die ich als sehr hoch einstufe.» Die im Register zur Dokumentation des Spenderwillens bearbeiteten Daten betreffen nach Einschätzung von Lobsiger die Intimsphäre, so dass sie als «besonders schützenswerte Personendaten» zu qualifizieren seien, wie er gegenüber Keystone-SDA präzisierte.

Vertrauen in Organspende nicht gefährden

Zudem stellten sich grundlegende Fragen zur Geeignetheit elektronischer Identifikationsverfahren in heiklen Bereichen wie jenem eines Registers über den persönlichen Entscheid für oder gegen eine Organentnahme, schreibt der Edöb in einer Mitteilung zur Eröffnung des Verfahrens.

Aus seiner Sicht sei es offensichtlich, dass die Bekanntmachung der angezeigten Mängel geeignet sei, das Vertrauen der Öffentlichkeit in das System der Organspende in der Schweiz zu beeinträchtigen.

Wer Zweifel habe am Register, können seinen Eintrag löschen, hält Swisstransplant in der Information auf ihrer Webseite weiter fest. Es bestehe alternativ die Möglichkeit, den Entscheid zur Organspende auf einer Organspende-Karte festzuhalten. In diesem Fall sei es wichtig, die Angehörigen zu informieren, da die Spenderkarte im Spital nur sehr selten gefunden werde respektive vorliege.

Wie Swisstransplant-Direktor Franz Immer im «Kassensturz» erklärte, informierte die Stiftung die Entnahmespitäler, dass sie im Bedarfsfall die Registereinträge mit den Angehörigen «sehr sorgfältig» prüfen sollen.