18 HIPAA-Identifikatoren, die Ihr Tool übersieht
Aktualisiert für 2026.
HIPAA listet 18 PHI-Identifikatorkategorien auf. Die meisten Anonymisierungstools erkennen vielleicht sechs davon. Die anderen zwölf schlüpfen durch — jede einzelne ist eine Compliance-Lücke.
Die Safe-Harbor-Regel
HIPAAs Privacy Rule (45 CFR § 164.514) definiert die Safe-Harbor-De-Identifikation. Alle 18 Identifikatorkategorien müssen entfernt werden. Werden alle entfernt, gelten die Daten nach dem Gesetz als de-identifiziert. Deshalb ist Safe Harbor beliebt: Es ist ein Bestehen oder Scheitern — kein Ermessensspielraum.
Die 18 Kategorien sind:
- Namen
- Geografische Daten kleiner als ein Bundesstaat — Straße, Stadt, Landkreis, PLZ
- Daten außer dem Jahr — Geburt, Aufnahme, Entlassung, Tod
- Telefonnummern
- Faxnummern
- E-Mail-Adressen
- Sozialversicherungskennzeichen
- Patientenaktenkennzeichen (MRNs)
- Krankenkassen-Mitgliedskennzeichen
- Kontokennzeichen
- Zertifikats- und Lizenzkennzeichen
- Fahrzeugkennzeichen und Seriennummern
- Gerätekennzeichen und Seriennummern
- Web-URLs
- IP-Adressen
- Biometrische Kennzeichen — Fingerabdrücke, Stimmabdrücke
- Vollgesichtsfotos und ähnliche Bilder
- Jede andere eindeutige Kennzahl oder jeder eindeutige Code
Die meisten Tools verarbeiten die Kategorien 1, 4, 6 und 7 gut. Sie übersehen regelmäßig 8, 9, 10, 11, 13 und 18.
Die MRN-Lücke
Patientenaktenkennzeichen befinden sich in Kategorie 8. MRN-Formate werden von jedem Krankenhaus festgelegt. Es gibt keinen nationalen US-Standard.
Krankenhaus A verwendet eine 7-stellige Ganzzahl. Krankenhaus B verwendet „PT-YYYYNNNN". Krankenhaus C verwendet eine 8-stellige alphanumerische Zeichenfolge. Krankenhaus D schreibt „MRN:" vor einen 9-stelligen Code.
Ein generisches Tool erkennt „PT-2024-8847" nicht als PHI. Das Dokument besteht die De-Identifikationsprüfungen. Aber es ist nicht de-identifiziert. Kein Alarm wird ausgelöst. Das Team glaubt, die Arbeit sei getan. Ist sie nicht.
Das ist die schlimmste Art von Lücke: eine stille.
Drei Wege zur Behebung
In Presidio codieren. Dies erfordert Python-Kenntnisse und laufende Pflege. Es funktioniert, kostet aber Zeit.
Manuelle Überprüfung hinzufügen. Eine Person prüft jedes Dokument auf MRNs. Das ist nicht skalierbar.
KI-gestützte benutzerdefinierte Entitätserstellung verwenden. Kein Code erforderlich. Das Team liefert Beispielwerte. Die KI erstellt das Muster.
So funktioniert es: Ein Team gibt fünf Beispiel-MRN-Werte an: SVHS-0012345, SVHS-0987654, SVHS-1122334, SVHS-4455667, SVHS-8899001. Die KI gibt SVHS-\d{7} zurück und prüft es gegen die Beispiele. Das Team speichert es in seinem HIPAA-Preset. Alle zukünftigen Sitzungen erkennen das Format. Der gleiche Ansatz funktioniert für Mitgliedskennzeichen und Geräte-Seriennummern.
Mehr über Presets im HIPAA-MRN-Erkennungsleitfaden. Mehr zum KI-Muster-Workflow.
Die versteckte Annahme
Viele Teams testen mit einem Beispieldokument, das einen Namen und eine Telefonnummer enthält. Das Tool besteht den Test. Sie nehmen vollständige Abdeckung an. Aber Beispiele enthalten selten institutionsspezifische Kennzeichen. MRNs und Mitgliedskennzeichen sehen für ein generisches Tool wie zufällige Zeichenfolgen aus. Sie passieren ohne Markierung.
Ein echter Safe-Harbor-Audit ordnet alle 18 Kategorien einer Erkennungsmethode zu. Für Kategorie 8 sollte mit echten MRN-Beispielen aus dem eigenen Krankenhaus geprüft werden. Nicht einfach annehmen, dass das Tool das Format kennt.
Den vollständigen Rahmen finden Sie in unserer HIPAA-Compliance-Übersicht.
Fazit
Safe Harbor verlangt, dass alle 18 Identifikatorkategorien entfernt werden. Generische Tools decken weit weniger ab. Die Lücken — MRNs, Mitgliedskennzeichen, Geräte-Seriennummern — haben kein Standardformat, deshalb verpassen generische Tools sie. KI-gestützte benutzerdefinierte Entitäten schließen die Lücke ohne Code oder manuelle Überprüfung.
Quellen
- HHS: HIPAA Safe Harbor, 45 CFR § 164.514 — hhs.gov. VERIFIED.
- Shaip: PHI-Identifikatortypen in der Gesundheitsde-Identifikation — shaip.com. VERIFIED-EXTERNAL.
- HHS OCR: De-Identifikationsleitfaden, aktualisiert 2024 — hhs.gov. VERIFIED.