Patientendaten teilen: bewährte Sicherheitspraktiken

Sicheres Teilen von Patientendaten erfordert drei Ebenen: kryptografische Kontrollen (AES-256-GCM im Ruhezustand, TLS 1.3 bei der Übertragung), Identitätskontrollen (MFA, rollenbasierter Zugang, Mindestmaßprinzip) und Governance (BAAs, Audit-Logs, Incident Response). Die DSGVO Art. 9 klassifiziert Gesundheitsdaten als besondere Kategorie personenbezogener Daten — sie unterliegen dem höchsten Schutzstandard in der EU. Der BSI-Grundschutz Baustein B 1.5 adressiert spezifisch Datenschutzanforderungen für Gesundheitsdaten. Die praktische Basis: ein HIPAA-konformes EHR, FHIR-R4-API-Austausch für moderne Integrationen, Direct Secure Messaging für Anbieter-zu-Anbieter-Überweisungen und ein BAA-unterzeichnender verschlüsselter Transferdienst wie HexaTransfer Enterprise für Ad-hoc-Fälle außerhalb des EHR. 45 CFR § 164.312, der HITECH Act und die DSGVO Art. 5, 9 und 32 setzen die spezifischen Pflichten.

Das Mindestmaßprinzip

HIPAA § 164.502(b) verpflichtet Covered Entities, nur die für den Zweck minimal erforderlichen PHI offenzulegen. Die DSGVO Datensparsamkeit nach Art. 5(1)(c) spiegelt dieses Prinzip für EU-Einrichtungen. In der Praxis:

Überweisungen: klinisch relevante Teilmenge teilen, nicht die gesamte Akte
Abrechnung: Abrechnungsdaten und unterstützende Dokumentation, keine klinischen Notizen
Forschung: de-identifizierte oder eingeschränkte Datensätze wenn möglich
Rechtliches: nur was der spezifischen Anfrage entspricht
Qualitätsmessung: aggregiert oder de-identifiziert wenn möglich

EHRs unterstützen dies durch rollenbasierte Zugriffsvorlagen: Ärzte sehen alles; Empfang sieht Terminplanung und Versicherung; Abrechnung sieht Finanzdaten, aber keine Notizen. Konfigurieren nach Rolle, nicht pro Nutzer.

Patienteneinwilligung: Wann sie erforderlich ist und wann nicht

HIPAA unterscheidet zwischen Behandlung/Zahlung/Betrieb (TPO) — die keine Patienteneinwilligung erfordern — und anderen Verwendungen, die sie im Allgemeinen erfordern.

TPO-Ausnahmen (keine Einwilligung erforderlich):

Teilen mit anderen Leistungserbringern für die Behandlung des Patienten
Abrechnung und Inkasso
Qualitätsbewertung, Schulung, Akkreditierung

Einwilligung erforderlich:

Marketingkommunikation (mit engen Ausnahmen)
Verkauf von PHI
Forschung (sofern kein IRB-genehmigter Verzicht)
Psychotherapie-Notizen (die meisten Offenlegungen)
Arbeitgeberanfragen zu spezifischen Mitarbeitenden

Die DSGVO Art. 9 verlangt in der EU für die Verarbeitung von Gesundheitsdaten eine ausdrückliche Einwilligung oder eine andere Rechtsgrundlage aus Art. 9(2) — etwa öffentliches Interesse oder Behandlungserfordernis. Der bloße Bezug auf HIPAA-Ausnahmen genügt für EU-Einrichtungen nicht.

Anbieter-zu-Anbieter: Direct, FHIR, TEFCA

Für legitime Behandlungszwecke haben Leistungserbringer mehrere Austauschoptionen:

Direct Secure Messaging: S/MIME-sicheres E-Mail im DirectTrust-Vertrauensrahmen. In jedes zertifizierte EHR eingebaut. Das Arbeitstier für Versorgungsübergänge.

FHIR R4 API: RESTful-Austausch für Echtzeit-Datenzugang. Mandatiert nach ONC-Cures-Act-Zertifizierung. Ermöglicht Anwendungen wie Apple Health, Epics Care Everywhere und Zahler-Leistungserbringer-Datenaustausch.

TEFCA (Trusted Exchange Framework and Common Agreement): der Bundesrahmen für nationalen Austausch, eingeführt 2023 mit mehreren Qualified Health Information Networks (QHINs).

CommonWell und Carequality: Pre-TEFCA-Austauschangebote, die viele EHRs verbinden. Oft der Weg des geringsten Widerstands für organisationsübergreifende Behandlungsdaten.

Patientenseitig: Portale, APIs und Drittanbieter-Apps

Der Cures Act verlangt von zertifizierten EHRs eine patientenseitige FHIR-API. Patienten können:

Über das Portal des Leistungserbringers auf ihre Akten zugreifen (MyChart, FollowMyHealth, HealtheLife)
Drittanbieter-Apps verbinden (Apple Health, Fitbit, Forschungs-Apps)
Elektronische Kopien nach dem HIPAA-Zugriffsrecht (164.524) anfordern

Leistungserbringer können den patientengesteuerten Zugang zu einer Drittanbieter-App nicht blockieren, nur weil sie der Sicherheit der App nicht vertrauen. Das wäre Information Blocking nach dem Cures Act.

Was Sie tun können: Patienten über die Sicherheit von Drittanbieter-Apps informieren, Authentifizierung vor der ersten Verbindung verlangen und die Autorisierung protokollieren.

Sichere Übertragungsmethoden nach Anwendungsfall

Verschiedene Situationen erfordern unterschiedliche Kanäle:

Dringende klinische Überweisung: Direct Secure Messaging oder Telefon plus EHR-Notiz
Routinemäßige Konsultationsanfrage: Direct, CCDA-Anhang oder FHIR API
Bildübertragung: Cloud-Bildaustausch (Ambra, LifeImage), DICOMweb oder verschlüsselte physische Medien
Laborbefunde: HL7 v2 über VPN oder FHIR Observation
Krankenversicherungs-Vorautorisierung: X12-278-Transaktion oder Zahlerportal
Patientenkommunikation: Portal-Sicherheitsnachricht, BAA-gedeckte E-Mail (Paubox, Virtru)
Notfall-Aktenfreigabe (unter § 164.510(b)): mündlich mit nachfolgender Dokumentation

Niemals unverschlüsselte E-Mail, SMS oder Consumer-Messaging für PHI verwenden. Diese Kanäle sind nur erlaubt, wenn der Patient sie ausdrücklich angefordert hat und Sie sein informiertes Einverständnis zum Risiko dokumentiert haben.

Verschlüsselungs-Baseline: Was gut aussieht

HIPAAs Security Rule behandelt Verschlüsselung als „adressierbar", aber 2026 ist alles unter modernen Standards nicht zu verteidigen:

Im Ruhezustand: AES-256-GCM für Festplatten- und Datenbankverschlüsselung
Bei der Übertragung: TLS 1.3 bevorzugt; TLS 1.2 akzeptabel mit genehmigten Cipher-Suites; TLS 1.0 und 1.1 verboten
Schlüsselverwaltung: HSM-gestützt (AWS KMS, Azure Key Vault, Google Cloud KMS, On-Premise-HSMs)
Passwortspeicherung: niemals im Klartext; Argon2id oder bcrypt verwenden
Backup-Verschlüsselung: gleicher AES-256-GCM-Standard wie Produktion

Für Ende-zu-Ende-verschlüsselte Transfers verwenden Implementierungen AES-256-GCM mit dateiindividuellen Schlüsseln, die via PBKDF2 (600k+ Iterationen) oder Argon2id aus einer vom Nutzer bereitgestellten Passphrase abgeleitet werden. Der Schlüssel berührt niemals den Server. ChaCha20-Poly1305 ist eine akzeptable Alternative für Geräte, die keine AES-Hardware-Beschleunigung haben.

Audit-Logs, die bei Untersuchungen tatsächlich helfen

§ 164.312(b) verlangt Audit-Kontrollen. Logs sollten erfassen:

Nutzeridentität (gebunden an eindeutige Nutzer-ID)
Zeitstempel (UTC, über NTP synchronisiert)
Aktion (Ansicht, Erstellen, Aktualisieren, Löschen, Drucken, Exportieren, Herunterladen)
Zieldatensatz (Patienten-MRN oder gleichwertiger Identifikator)
Quelle (Workstation, IP, Anwendung)
Ergebnis (Erfolg, Fehler, Verweigert)

Logs an ein zentrales SIEM senden (Splunk Cloud, Microsoft Sentinel, Elastic Security, Datadog). Mindestens 6 Jahre aufbewahren. Gegen Manipulation schützen: einmal geschrieben, sollten Logs nur append-only sein, mit kryptografischer Integrität (Hash-Chains, S3 Object Lock oder WORM-Speicher).

Vierteljährlich Audit-Logs auf Anomalien prüfen: Zugang nach Feierabend zu VIP-Patienten, Massen-Downloads, Zugang zu Akten persönlicher Bekannter (Mitarbeiter-Snooping ist ein wiederkehrendes HIPAA-Verletzungsmuster).

Umgang mit Datenschutzverletzungen: Die 60-Tage-Uhr

Wenn PHI kompromittiert wird (verlorener Laptop, Phishing, Ransomware, unbeabsichtigte Offenlegung), beginnt der Zeitplan:

Entdeckung: Beginn der Uhr
Eindämmung: Stunden bis Tage
Bewertung: innerhalb von Tagen, Umfang und betroffene Personen bestimmen
Benachrichtigung der betroffenen Personen: innerhalb von 60 Tagen
Meldung an HHS: innerhalb von 60 Tagen bei 500+ Betroffenen; jährlich für kleinere Verstöße
Meldung an prominente Medien: innerhalb von 60 Tagen bei 500+ Betroffenen eines Bundesstaats
EU-Parallel: Meldung an BfDI oder Landesbehörde innerhalb von 72 Stunden nach DSGVO Art. 33

Enterprise Covered Entities budgetieren typischerweise für einen Datenschutzanwalt, ein forensisches Unternehmen und Kreditüberwachungsanbieter-Beziehungen, die vorab etabliert sind. Diese Verträge nach einem Verstoß aufzusetzen kostet das Dreifache.

Besondere Kategorien: Psychische Gesundheit, Suchtbehandlung, Genetik

Einige Kategorien unterliegen strengeren Regeln:

Psychotherapie-Notizen (§ 164.501): für die meisten Offenlegungen ist eine separate Einwilligung erforderlich
Suchtbehandlungsunterlagen (42 CFR Part 2): bundesweites Vertraulichkeitsgesetz, strenger als HIPAA; 2024 in mehreren Bereichen an HIPAA angeglichen, aber Einwilligungsanforderungen beibehalten
HIV/AIDS-Status: viele Staatsgesetze verlangen spezifische Einwilligung
Genetische Informationen: GINA verbietet bestimmte Verwendungen; Staatsgesetze fügen Anforderungen hinzu

Diese Unterscheidungen ins Einwilligungsmanagement und den Aktenfreigabe-Workflow des EHR einbauen.

Ein praktikables Patientendaten-Sicherheitsprogramm

Governance: Datenschutzbeauftragter nach DSGVO Art. 37 (für EU-Einrichtungen), HIPAA Privacy Officer, vierteljährliche Risikoüberprüfung
Technisch: HIPAA-konformes EHR, FHIR APIs, Direct, SIEM, MFA überall
Administrativ: Informationssicherheitskonzept, Schulungsprotokoll, Vorfallsreaktionshandbuch, BAAs mit allen Anbietern
Physisch: Zutrittskontrolle, Workstation-Sperrrichtlinien, Geräteverschlüsselung
Versicherung: Cyber-Police mit mindestens 5 Mio. EUR Deckung entsprechend der Einrichtungsgröße
Ad-hoc-Transfers: BAA-unterzeichnender Ende-zu-Ende-verschlüsselter Dienst wie HexaTransfer Enterprise

Für sichere Einzelübertragungen von Patientendaten außerhalb des EHR: https://hexatransfer.com