Das HHS-Büro für Bürgerrechte (OCR) berichtete von 725 Datenschutzverletzungen im Gesundheitswesen im Jahr 2024, die 275 Millionen Patientenakten betreffen – die höchste Zahl, die jemals in einem einzigen Jahr aufgezeichnet wurde. Die durchschnittlichen Kosten eines Gesundheitsdatenverstoßes erreichten 10,22 Millionen US-Dollar im Jahr 2025 (IBM Cost of a Data Breach Report), bedingt durch zivilrechtliche Geldstrafen nach HIPAA, Rechtskosten, Benachrichtigung der Patienten, Kreditüberwachung und reputationsschädigende Auswirkungen.
Für US-Gesundheitsdienstleister und Geschäftspartner stellt das Jahr 2025 ein entscheidendes Jahr für die Einhaltung dar: Die vorgeschlagene Aktualisierung der HIPAA-Sicherheitsregel (März 2025) würde die bedeutendsten technischen Anforderungen an HIPAA seit der endgültigen Fassung der ursprünglichen Sicherheitsregel im Jahr 2003 schaffen.
725 Verstöße: Was ging 2024 schief
Die Daten des OCR-Verstoßportals zeigen die Kategorien von Fehlern, die das Rekordvolumen an Verstößen im Jahr 2024 antreiben:
Hacking/IT-Vorfälle: 74% der gemeldeten Verstöße – die dominierende Kategorie. Kompromittierungen von Netzwerkservern, Ransomware und Kompromittierungen von Geschäftsemails machen den Großteil aus. Der Wandel ist strukturell: Angreifer haben sich von der gezielten Attacke auf einzelne Arbeitsstationen zu Netzwerkangriffen gewandelt, die gesamte EHR-Systeme kompromittieren und Millionen von Datensätzen gleichzeitig extrahieren.
Unbefugter Zugriff/Offenlegung: 18% der Verstöße. Beinhaltet Insiderbedrohungen, falsch konfigurierte Zugriffskontrollen, die Patientendaten unbefugtem Personal aussetzen, und versehentliche Offenlegungen an falsche Empfänger.
Drittanbieter/Geschäftspartner-Vorfälle: Zunehmend bedeutend – 35% der Verstöße im Jahr 2024 stammten von Geschäftspartnern und nicht von den abgedeckten Einrichtungen. Change Healthcare (Tochtergesellschaft der UnitedHealth Group) allein betraf über 190 Millionen Patienten – den größten Gesundheitsdatenverstoß in der Geschichte der USA.
Diebstahl/Verlust tragbarer Medien: 8% der Verstöße. Laptops, USB-Sticks und Papierunterlagen, die ohne Verschlüsselungsschutz gestohlen oder verloren gingen.
Die 18 PHI-Identifikatoren: HIPAA Safe Harbor Standard
Die Safe Harbor-Deidentifikationsmethode von HIPAA (45 CFR §164.514(b)) erfordert die Entfernung aller 18 angegebenen PHI-Identifikatoren. Die meisten abgedeckten Einrichtungen und Geschäftspartner sind mit der Liste konzeptionell vertraut, aber die Erkennungsherausforderung ist technisch:
- Namen: Alle Namen von Patienten, Familienmitgliedern, Arbeitgebern
- Geografische Daten: Alle Unterteilungen kleiner als der Bundesstaat (Straßenadresse, Stadt, Landkreis, Bezirk, erste 3 Ziffern der Postleitzahl, wenn <20.000 Einwohner)
- Daten: Alle Daten, die direkt mit dem Patienten in Zusammenhang stehen (Geburt, Aufnahme, Entlassung, Tod) außer dem Jahr
- Telefonnummern: Alle Telefonnummern
- Faxnummern: Alle Faxnummern
- E-Mail-Adressen: Alle E-Mail-Adressen
- Sozialversicherungsnummern: Alle SSNs
- Krankenaktennummern: Alle MRN-Formate (variieren je nach EHR-System)
- Versicherungsnehmernummern: Alle Mitglieds-IDs der Versicherung
- Kontonummern: Alle finanziellen Kontonummern
- Zertifikats-/Lizenznummern: Medizinische Lizenz, DEA-Registrierung, staatliche Lizenznummern
- Fahrzeugidentifikatoren: VINs, Nummernschilder
- Geräteidentifikatoren: Seriennummern, eindeutige Geräteidentifikatoren
- Web-URLs: Alle Webadressen
- IP-Adressen: Alle IP-Adressen
- Biometrische Identifikatoren: Finger- und Sprachabdrücke
- Vollgesichtsfotos und vergleichbare Bilder
- Jede andere einzigartige Identifikationsnummer, -code oder -eigenschaft
Der 18. Identifikator – "jede andere einzigartige Identifikationsnummer" – ist die herausforderndste Erkennungsanforderung. Das bedeutet, dass jeder datenbankspezifische Identifikator, der Datensätze mit einem bestimmten Patienten verknüpfen könnte, erkannt und entfernt werden muss, selbst wenn er nicht einem vordefinierten Muster entspricht.
Vorgeschlagene Aktualisierung der HIPAA-Sicherheitsregel: Was ändert sich 2025-2026
Die vorgeschlagene Aktualisierung der HIPAA-Sicherheitsregel, die im März 2025 veröffentlicht wurde, würde Folgendes erfordern:
Jährliche Verschlüsselungsprüfungen: Abgedeckte Einrichtungen müssen jährliche technische Prüfungen durchführen, um zu überprüfen, dass alle PHI im Ruhezustand mit AES-256 oder gleichwertig verschlüsselt ist und dass das Management der Verschlüsselungsschlüssel dokumentierten Standards entspricht.
Dokumentierte Deidentifikationsverfahren: Für alle PHI, die in Forschung, Qualitätsverbesserung, KI-Training oder Analytik verwendet werden, müssen abgedeckte Einrichtungen dokumentierte Verfahren aufrechterhalten, die zeigen, wie die Deidentifikation erreicht wird – nicht nur eine politische Erklärung, sondern technische Dokumentation mit Validierungsnachweisen.
Sicherheitsanforderungen für Geschäftspartner: Geschäftspartner müssen nun spezifische technische Sicherheitsanforderungen erfüllen (früher in Geschäftspartnervereinbarungen ohne technische Spezifikation delegiert). Technische Bewertungen von Geschäftspartnern werden vor der Einarbeitung obligatorisch.
Multi-Faktor-Authentifizierung: Alle Mitarbeiter mit Zugriff auf elektronische PHI müssen MFA verwenden. Keine Ausnahmen für "Legacy-Systeme" – die vorgeschlagene Regel erfordert MFA unabhängig vom Alter des Systems.
Tests der Vorfallreaktion: Jährliche Tischübungen und technische Tests der Verfahren zur Vorfallreaktion. Nachweise über die Tests müssen aufbewahrt werden.
Die Lehre von Change Healthcare
Der Change Healthcare-Verstoß (Februar 2024) – der über 190 Millionen Amerikaner betraf – verdeutlichte das systemische Risiko der vernetzten Infrastruktur im Gesundheitswesen. Change Healthcare verarbeitete jährlich 15 Milliarden Gesundheitsdiensttransaktionen als Clearingstelle zwischen Anbietern, Zahlenden und Apotheken.
Der Verstoß begann mit einem Citrix-Remotezugangscredential ohne MFA-Schutz. Einmal drinnen bewegten sich die Angreifer 9 Tage lang lateral durch das Netzwerk von Change Healthcare, bevor sie Ransomware einsetzten.
Die systemische Lehre: Jeder Geschäftspartner mit Netzwerkzugang zu Gesundheitsdiensttransaktionsdaten stellt ein systemisches Risiko für das gesamte Gesundheitsökosystem dar, mit dem er verbunden ist. Das Geschäftspartnerrahmenwerk von HIPAA wurde nicht für systemische Infrastrukturprovider mit Zugang zu einem Drittel aller US-Gesundheitstransaktionen entwickelt.
Für abgedeckte Einrichtungen und Geschäftspartner: Der Change Healthcare-Verstoß informierte direkt über die vorgeschlagenen Anforderungen der HIPAA-Sicherheitsregel für Netzwerksegmentierung, MFA und technische Bewertungen von Geschäftspartnern.
Quellen: