Einem von der Zeitung beauftragten Tester sei es gelungen, sich über einen Online-Zugang der Kasse in Patientendaten einzuloggen. Der Tester habe ausschließlich den Namen, das Geburtsdatum und die Versichertennummer des Datenopfers zur Verfügung gehabt.

Die Kasse widersprach der Darstellung, Unbefugte könnten sich mühelos Zugriff auf Versichertendaten im Internet verschaffen. Bei der Aktion handele es sich „eher um einen simulierten Diebstahl einer Versichertenkarte, gegen die sich keine Institution wehren kann“, sagte ein Sprecher. In dem konkreten Fall räumte er aber eine Panne ein.

Der Tester der Zeitung sei bei einem Telefonanruf nicht wie vorgeschrieben zusätzlich nach den letzten vier Ziffern der Kontonummer des Versicherten gefragt worden, dessen Identität er vorgetäuscht habe. Dadurch habe er sich Zugang zu den Daten verschaffen können.

Die Bundesdatenschutzbeauftragte Andrea Voßhoff sagte der Rheinischen Post, sie werde den Fall zum Anlass nehmen, das Authentifizierungsverfahren bei telefonischen Kundenkontakten der Krankenkassen zu überprüfen. Das Risiko, missbräuchlich an sensible Gesundheitsdaten Dritter gelangen zu können, müsse bestmöglich verhindert werden.

Schon vor zwei Jahren hatte die Zeitung von schwerwiegenden Schwachstellen in den Online-Geschäftsstellen bei der Barmer berichtet. Bei einem Versuch war es der Zeitung damals bereits gelungen, mit geringem Aufwand vertrauliche Patientendaten einzusehen.

Auch damals sprach die Barmer von einem Einzelfall, da strenge Sicherheitsvorschriften gelten würden. So sei zwingend die Angabe von Wohnort und Geburtsdatum erforderlich. Dennoch wolle man die Kontroll- und Sicherheitsvorschriften überprüfen. Politiker und das Bundesversicherungsamt als Aufsichtsbehörde kündigte damals gegenüber der Zeitung Maßnahmen an.