Freigaben Ende-zu-Ende verschlüsselt

Kurz gesagt

• Unterlagen, die eine Praxis über das izi.portal weitergibt (Aufnahmen, Befunde, Ergebnisse), werden im Browser der Praxis verschlüsselt, bevor sie den Rechner der Praxis verlassen.
• Öffnen lassen sie sich nur mit dem Freigabe-Code. Der Code entsteht in der Praxis und wird nie an das Portal geschickt.
• Das Portal speichert und übermittelt deshalb nur verschlüsselte Inhalte. Der Betreiber des Portals kann sie nicht lesen – und auch niemand, der an die Daten auf dem Server gelangt.
• Ihre Freigabe an einen Arzt bestimmt, welcher Arzt Ihre Unterlagen in seinem Portal angezeigt bekommt, wie lange und wozu. Öffnen kann er sie nur mit dem Code.

Was ist eine Freigabe?

Im izi.portal gibt es zwei Arten von Freigaben. Sie greifen ineinander:

1. Unterlagen, die Ihre Praxis bereitstellt

Ihre Praxis wählt in izi.patient Aufnahmen und Befunde aus und stellt sie Ihnen selbst oder einem mitbehandelnden Arzt bereit. Dabei entstehen ein verschlüsseltes Paket und ein Freigabe-Code. Diese Pakete sind Ende-zu-Ende verschlüsselt. Den Code gibt die Praxis getrennt weiter – persönlich, am Telefon oder auf dem Freigabe-Blatt.

• Für einen mitbehandelnden Arzt: nur mit Ihrer Einwilligung, die die Praxis dabei bestätigt. Abholen kann das Paket nur die Praxis dieses Arztes mit ihrem Zugang zum Portal.
• Für Sie selbst: Sie bekommen ein Freigabe-Blatt mit Link und Code. Die Praxis kann die Unterlagen auch gleich in Ihr Konto legen. Wer Link und Code hat, kann das Paket öffnen – auch ohne Konto. Liegt es in Ihrem Konto, öffnen es nur noch Sie selbst (angemeldet) und Ärzte, denen Sie Ihre Daten gerade freigeben.

2. Ihre Freigabe an einen Arzt

Im Portal izi.patient bestimmen Sie selbst, welcher Arzt Ihre Unterlagen sehen darf:

• Zeitraum: 1 Monat, 3 Monate oder ohne Beschränkung.
• Zweck: Behandlung und, wenn Sie es erlauben, zusätzlich Weitergabe an Kollegen. Dann darf Ihr Arzt die Freigabe einem Kollegen zur Behandlung weitergeben – höchstens so lange, wie Ihre eigene Freigabe gilt. Jede Weitergabe sehen Sie in Ihrer Übersicht.

Diese Freigabe ist eine Erlaubnis, kein Schlüssel. Der Arzt sieht danach Ihren Namen, Ihr Geburtsdatum, Ihre izi.patient-Nr. und die Liste Ihrer Unterlagen. Öffnen kann er die Unterlagen nur mit dem Freigabe-Code, den Sie ihm geben.

Was heißt „Ende-zu-Ende verschlüsselt“?

Das eine Ende ist der Rechner, auf dem die Praxis die Unterlagen bereitstellt, das andere das Gerät, auf dem sie geöffnet werden. Dazwischen – im Internet und auf dem Server des Portals – gibt es die Inhalte nur als unlesbaren Geheimtext.

1. Die Praxis wählt in izi.patient die Unterlagen. Der Browser erzeugt einen zufälligen Freigabe-Code mit 20 Zeichen.
2. Noch auf dem Rechner der Praxis verschlüsselt der Browser jede Datei und das Inhaltsverzeichnis – mit den Angaben zum Patienten und der Nachricht der Praxis.
3. Nur der Geheimtext geht an das Portal. Der Code bleibt in der Praxis und bei Ihnen.
4. Wer öffnen darf – Sie selbst, ein mitbehandelnder Arzt oder ein Arzt mit Ihrer Freigabe –, lädt den Geheimtext und gibt den Code ein. Entschlüsselt wird im eigenen Browser.

Kommentare zwischen Ihrer Praxis und einem mitbehandelnden Arzt sind auf dieselbe Weise verschlüsselt. Die Praxis kann ein Paket auch als Datei („.izifreigabe“) auf eigenem Weg weitergeben – mit derselben Verschlüsselung, ohne das Portal.

Wann beginnt und wann endet eine Freigabe?

Unterlagen der Praxis

• Beginn: sobald die Praxis das verschlüsselte Paket hochgeladen hat.
• Ende: am Tag „gültig bis“, den die Praxis wählt (höchstens 365 Tage), oder früher, wenn die Praxis die Freigabe widerruft. Danach gibt das Portal das Paket an niemanden mehr heraus, und die verschlüsselten Daten werden gelöscht.

Ihre Freigabe an einen Arzt

• Beginn: sobald Sie sie im Portal erteilen. Ihre Einwilligung wird mit Zeitpunkt festgehalten.
• Ende: nach dem gewählten Zeitraum, wenn Sie sie widerrufen (jederzeit mit einem Klick) oder wenn Sie demselben Arzt eine neue Freigabe geben – sie ersetzt die alte. Mit Ihrer Freigabe enden auch die Weitergaben an Kollegen.
• Auch bei einer Freigabe ohne Beschränkung sieht der Arzt nur Unterlagen, deren eigenes „gültig bis“ noch nicht vorbei ist.
• Nach dem Ende sieht der Arzt Ihre Unterlagen nicht mehr, und das Portal gibt sie ihm auch mit Link und Code nicht mehr heraus. Das gilt für alle Unterlagen in Ihrem Konto. Ein Freigabe-Blatt, das Sie nicht in Ihr Konto aufgenommen haben, öffnet weiter jeder mit Link und Code bis zu seinem „gültig bis“ – nehmen Sie es auf oder bitten Sie Ihre Praxis, es zu widerrufen.

Nach dem Ende bleibt nur ein Nachweis ohne Inhalt – wer wann was an wen freigegeben oder widerrufen hat –, höchstens 3 Jahre (siehe Datenschutzerklärung).

Was beim Arzt bleibt

Ihr Widerruf betrifft die Unterlagen, die Sie einem Arzt bereitgestellt haben – meist Befunde und Aufnahmen anderer Praxen. Was eine Praxis selbst erstellt hat, etwa ein dort aufgenommenes Röntgenbild, ihre Befunde und Berichte, gehört zu ihrer Behandlungsdokumentation. Diese muss sie gesetzlich aufbewahren, in der Regel mindestens 10 Jahre, bei Kindern und Jugendlichen länger. Sie liegt im Ordner der Praxis, nicht im Portal, und bleibt dort auch nach Ihrem Widerruf.

An Dritte weitergeben darf die Praxis ihre Dokumentation nur mit Ihrer Einwilligung. Auskunft und eine Kopie können Sie jederzeit verlangen.

Was das Portal sieht – und was nicht

Nicht lesbar für das Portal: die Inhalte der Unterlagen – Bilder, Befunde, Dateinamen, die Angaben zum Patienten im Paket, die Nachricht der Praxis und die Kommentare – und der Freigabe-Code.

Lesbar für das Portal, weil es sonst den Zugang nicht regeln könnte: welche Praxis an wen freigibt, wann, wie groß ein Paket ist, bis wann es gilt und ob es abgerufen wurde. Bei Ihrer Freigabe an einen Arzt: an wen, für welchen Zeitraum und zu welchem Zweck.

Ihre Kontodaten (Name, Geburtsdatum, izi.patient-Nr.) liegen wie bei jedem Konto auf dem Server des Portals. Sie werden verschlüsselt übertragen (https), sind aber nicht Ende-zu-Ende verschlüsselt – der Hinweis gilt für die freigegebenen Unterlagen.

Was Sie beachten sollten

• Wer den Code hat, kann öffnen, solange die Freigabe gilt. Bewahren Sie ihn getrennt von Link, E-Mail oder Datei auf und geben Sie ihn nur an Menschen weiter, die Ihre Unterlagen sehen sollen.
• Code verloren? Das Portal kann ihn nicht wiederherstellen, weil es ihn nie hatte. Bitte wenden Sie sich an Ihre Praxis.
• Nach dem Öffnen liegen die Unterlagen entschlüsselt auf dem Gerät des Empfängers. Was dort gespeichert wurde, nimmt ein Widerruf nicht zurück.
• Verschlüsselt wird im Browser mit dem Programm, das das Portal ausliefert. Das gilt für jede Verschlüsselung im Browser: Sie setzt voraus, dass dieses Programm nicht unbemerkt verändert wird.

Technische Einzelheiten

• Jede Freigabe hat einen eigenen, zufälligen Inhaltsschlüssel (AES-256-GCM). Dateien werden in Teilen zu 4 MiB verschlüsselt; jeder Teil ist gegen Veränderung gesichert, vertauschte, fehlende oder abgeschnittene Teile fallen beim Öffnen auf.
• Der Inhaltsschlüssel ist mit einem Schlüssel aus dem Freigabe-Code verpackt (PBKDF2 mit SHA-256, 600.000 Runden).
• Der Freigabe-Code hat 20 Zeichen aus 32 (Ziffern 2–9 und Buchstaben ohne I und O), also 100 Bit Zufall aus dem Zufallsgenerator des Browsers (Web Crypto).
• Format „izi.freigabe/1“, Baustein „freigabe.js“ aus izi.base – derselbe in izi.patient und im Portal.