Medizinische Akten sicher übertragen: datenschutzkonform

Medizinische Akten sicher zu übertragen bedeutet: Die Datei ist mit Schlüsseln verschlüsselt, auf die der Transferanbieter keinen Zugriff hat, die Übertragung erfolgt über TLS 1.3, der Anbieter unterzeichnet entweder einen Auftragsverarbeitungsvertrag (AVV) gemäß DSGVO oder die Verschlüsselung ist Ende-zu-Ende, sodass kein AVV für den Klartext erforderlich ist — und der Übertragungsablauf erzeugt einen nachvollziehbaren Prüfpfad. Der praktische Weg: DICOM-Studien oder PDF-Befunde in einen browserbasierten Dienst hochladen, der clientseitig mit AES-256-GCM verschlüsselt, bevor ein einziges Byte die klinische Workstation verlässt.

Was die DSGVO für die Übermittlung tatsächlich verlangt

Die DSGVO klassifiziert Gesundheitsdaten in Artikel 9 als besondere Kategorie personenbezogener Daten. Artikel 32 schreibt geeignete technische und organisatorische Maßnahmen vor — Verschlüsselung ist namentlich als Beispiel aufgeführt. Konkret gelten folgende Anforderungen:

• Zugriffskontrolle: eindeutige Nutzeridentifikation, automatische Abmeldung, Verschlüsselung.
• Protokollierung: Mechanismen zur Aufzeichnung und Auswertung von Aktivitäten.
• Integrität: Gesundheitsdaten dürfen nicht unbefugt verändert oder vernichtet werden.
• Übertragungssicherheit: Integritätsprüfungen sowie Verschlüsselung, wo dies angemessen ist.

Für die Übermittlung von Patientendaten außerhalb eines vertrauenswürdigen Netzwerks ist Verschlüsselung der nahezu universelle Standard.

Die AVV-Frage neu bewertet

Ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO ist erforderlich, wenn ein Dienstleister im Auftrag eines Verantwortlichen Zugang zu personenbezogenen Daten erhält. Verarbeitet der Transferdienst nur Chiffretext und kann er niemals auf Klartextdaten zugreifen, ist er kein Auftragsverarbeiter für diese Daten im Sinne der DSGVO.

Das ist das Zero-Knowledge-Argument. Für EU-Kliniken — deutsche Krankenhäuser, französische hôpitaux, Schweizer Spitäler, niederländische ziekenhuizen — erfüllt Ende-zu-Ende-Verschlüsselung mit clientseitiger Schlüsselableitung die Anforderungen des Art. 32, und die Zero-Knowledge-Verarbeitung reduziert den Umfang der AVV-Verträge nach Art. 28 erheblich. Praktischer Rat: Kleinere Praxen kombinieren einen AVV-unterzeichnenden Dienst oder einen Zero-Knowledge-Dienst mit einer dokumentierten Risikoanalyse.

Häufige klinische Dateitypen

| Datei | Typische Größe | Inhalt | | --- | --- | --- | | DICOM-CT-Studie | 200 MB – 2 GB | Schichten, Metadaten (Patientenname, Fallnummer, Untersuchungsdatum) | | DICOM-MRT-Studie | 100 MB – 3 GB | Mehrere Serien | | Digitale Pathologie .svs | 500 MB – 5 GB | Whole-Slide-Bilder | | Consolidated CDA (C-CDA) XML | 100 KB – 5 MB | Strukturierte klinische Zusammenfassung | | PDF-Laborbefunde | 50 KB – 20 MB | Blutbild, Bildgebungsberichte | | DEXA/DXA-Studie | 10–50 MB | Knochendichtebilder | | Vollständiger KIS-Export | 10 MB – 2 GB | De-identifizierter oder patientenangeforderter Export |

Eine einzige abdominale CT mit Kontrastmittel kann 1,2 GB erreichen. E-Mail ist für diese Dateien kein geeigneter Kanal.

Warum E-Mail und Standard-Cloud-Speicher unzureichend sind

• Standard-SMTP verwendet TLS von Server zu Server — Mailserver entlang der Route entschlüsseln und verschlüsseln erneut. Eine Nachricht über drei Relays hat drei Entschlüsselungspunkte.
• Gmail, Outlook.com und iCloud Mail speichern Nachrichten auf Anbieterservern mit vom Anbieter gehaltenen Schlüsseln.
• Dropbox, Google Drive und OneDrive bieten Verschlüsselung im Ruhezustand, aber der Anbieter hält die Schlüssel. Google unterzeichnet AVVs nur für Workspace Enterprise mit HIPAA-aktivierter Admin-Konfiguration. Kostenloses Drive ist nicht DSGVO-konform im medizinischen Sinne.
• Fax, die altbewährte Reserve im Gesundheitswesen, überträgt im Klartext über Telekommunikationsnetze.

Ein Zero-Knowledge-Transferablauf für den klinischen Einsatz

1. Der Arzt exportiert die DICOM-Studie aus dem PACS (GE Centricity, Philips IntelliSpace, Siemens syngo.via oder das Open-Source-System dcm4chee) in ein .zip-Archiv mit anonymisierten oder patientenbezogenen DICOM-Dateien.
2. Der Arzt öffnet den Transferdienst im Browser. Die Web Crypto API leitet einen 256-Bit-Schlüssel aus einer gemeinsamen Passphrase über PBKDF2-HMAC-SHA256 ab, 600.000 Iterationen, zufälliges 128-Bit-Salt.
3. Der Browser verschlüsselt jeden 5-MB-Chunk mit AES-256-GCM und einer neuen 96-Bit-IV pro Chunk. Chiffretext wird über TLS 1.3 hochgeladen.
4. Der Link wird an den empfangenden Arzt über ein sicheres Messaging-System oder ein Patientenportal übermittelt.
5. Die Passphrase wird über einen zweiten Kanal übertragen — ein unterschriebenes Formular, eine SMS an eine verifizierte Nummer oder ein Telefonat.
6. Der Empfänger lädt herunter, entschlüsselt im Browser und öffnet die Datei in OsiriX, Horos, RadiAnt oder dem lokalen PACS.

Der Transferdienst sieht niemals Patientendaten. Der Prüfpfad enthält Upload-Zeitstempel, Dateigröße (nicht Inhalt), Download-Zeitstempel und IP-Adressen — ohne Patientendaten preiszugeben.

Risiken der Metadatenweitergabe

DICOM-Dateien enthalten einen umfangreichen Header: Patientenname, Fallnummer, Geburtsdatum, überweisender Arzt, Institution. Zwei Leckagepfade:

• Dateiname enthält PATIENT_NACHNAME_FALLNR123456.dcm. Ein Transferdienst mit sichtbaren Dateinamen gibt Identifikatoren preis, selbst wenn der Inhalt verschlüsselt ist. Umbenennen vor dem Einpacken.
• DICOM-Tags innerhalb der Datei enthalten alle demografischen Daten. Eine verschlüsselte Datei verbirgt dies vor dem Transferdienst, aber der Empfänger sieht die Daten nach der Entschlüsselung. Wenn der Verwendungszweck keine Identifikatoren erfordert, vor dem Versand gemäß DICOM Supplement 142 oder DSGVO Art. 4 Nr. 5 (Pseudonymisierung) de-identifizieren.

Von Patienten initiierte Übertragungen

Gemäß DSGVO Art. 20 (Recht auf Datenübertragbarkeit) und dem deutschen Patientendaten-Schutz-Gesetz (PDSG) haben Patienten das Recht, ihre Unterlagen in einem elektronischen Format zu erhalten. Ein browserbasierter verschlüsselter Transfer eignet sich gut:

• Patient fordert Unterlagen beim Patientenservice der Einrichtung an.
• Mitarbeiter lädt ein ZIP-Paket aus PDF/C-CDA/DICOM-Dateien hoch.
• Patient erhält den Link an die verifizierte E-Mail-Adresse, Passwort per Telefon.
• Patient lädt herunter, behält eine Kopie und kann sie an eine Zweitmeinung weiterleiten.

Dieser Ablauf erfüllt die Informationspflichten, ohne dass der Patient ein Portalzugang einrichten muss.

Aufbewahrung und Löschung

Für klinische Unterlagen gelten gesetzliche Aufbewahrungsfristen: 10 Jahre in Frankreich, 30 Jahre für Krankenhausunterlagen in Deutschland gemäß Landesrecht. Die Übertragung selbst ist jedoch ephemer. Die Aufbewahrungspflicht gilt für das Primärsystem (das KIS/PACS), nicht für den Transferlink. Ablaufdatum auf 14–30 Tage setzen; das KIS oder PACS des Empfängers übernimmt die Langzeitspeicherung.

Vergleich geeigneter Transferoptionen im Gesundheitswesen

| Option | E2E-Verschlüsselung | DSGVO-geeignet | Max. Größe (typisch) | Patientenzugang | | --- | --- | --- | --- | --- | | Standard-Gmail | Nein (nur TLS) | Nein ohne Workspace AVV | 25 MB | Ja | | Google Workspace (mit AVV) | Nein | Ja | 5 TB Kontingent | Ja | | Microsoft 365 (mit AVV) | Nein | Ja | 250 GB pro Datei (OneDrive) | Ja | | Tresorit Send | Ja (serverunterstützt) | AVV verfügbar | 5 GB kostenlos | Ja | | HexaTransfer | Ja (AES-256-GCM im Browser) | Zero-Knowledge by Design | 10 GB | Ja, kein Konto erforderlich |

Medizinische Akten tragen Verantwortung ab dem Moment, in dem sie die Einrichtung verlassen. Der Übertragungsmechanismus muss dieser Verantwortung gerecht werden.

Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.