HIPAA OCR: 725 Datenpannen, 275 Millionen Datensätze
Aktualisiert für 2026
Das HHS Office for Civil Rights (OCR) zählte 725 Datenpannen im Gesundheitswesen im Jahr 2024. Diese Pannen betrafen 275 Millionen Patientendatensätze. Das ist der höchste Wert, der je in einem einzigen Jahr erfasst wurde.
Die durchschnittlichen Kosten einer Datenpanne im Gesundheitssektor erreichten 2025 einen Wert von 10,22 Millionen US-Dollar. Diese Zahl stammt aus dem IBM Cost of a Data Breach Report. Sie umfasst Bußgelder, Anwaltskosten, Patientenbenachrichtigungen, Kreditüberwachung und Reputationsschäden.
2025 und 2026 sind entscheidende Jahre für betroffene Einrichtungen und Geschäftspartner. Eine vorgeschlagene Aktualisierung der HIPAA Security Rule vom März 2025 würde die umfangreichsten technischen Anforderungen seit 2003 einführen.
Was 725 Datenpannen im Jahr 2024 verursachte
Das OCR-Portal gliedert die Pannen von 2024 in vier Kategorien.
Hacking und IT-Vorfälle verursachten 74 % der gemeldeten Pannen. Ransomware, Serverangriffe und E-Mail-Betrug sind die häufigsten Typen. Angreifer zielen heute auf ganze Netzwerke ab. Ein einziger Angriff kann Millionen von Datensätzen aus einem EHR-System auf einmal entnehmen.
Unberechtigter Zugriff und Offenlegung verursachte 18 % der Pannen. Schlechte Zugriffskontrollen, Missbrauch durch Mitarbeitende und Weitergabe an falsche Empfänger fallen darunter.
Vorfälle bei Drittanbietern machten 35 % der Pannen von 2024 aus. Die Datenpanne begann beim Geschäftspartner — nicht bei der betroffenen Einrichtung selbst. Change Healthcare (eine Tochter von UnitedHealth Group) allein legte über 190 Millionen Patientendaten offen. Das ist die größte Datenpanne im US-Gesundheitswesen aller Zeiten.
Diebstahl oder Verlust von Datenträgern verursachte 8 % der Pannen. Laptops, USB-Sticks und Papierdokumente — verloren oder gestohlen ohne Verschlüsselung.
Die 18 PHI-Kategorien nach Safe Harbor
HIPAAs Safe-Harbor-Methode (45 CFR §164.514(b)) erfordert die Entfernung aller 18 Kategorien geschützter Gesundheitsdaten (PHI). Die meisten Teams kennen die Liste. Die Herausforderung liegt in der automatisierten Erkennung.
- Namen — Patienten, Familienmitglieder, Arbeitgeber
- Geografische Daten — jede Einheit unterhalb der Staatsebene
- Datumsangaben — Aufnahme, Entlassung, Geburt, Tod (Jahr darf bleiben)
- Telefonnummern
- Faxnummern
- E-Mail-Adressen
- Sozialversicherungsnummern
- Krankenaktennummern (Format je nach EHR-System)
- Krankenversicherungsnummern
- Kontonummern
- Zertifikats- und Lizenznummern — Arztlizenz, DEA, staatliche Lizenz
- Fahrzeugkennungen — Fahrgestellnummern und Kennzeichen
- Gerätekennungen — Seriennummern und eindeutige Gerätecodes
- Web-URLs
- IP-Adressen
- Biometrische Daten — Fingerabdrücke und Stimmprofile
- Ganzkörper- und Gesichtsfotos sowie vergleichbare Bilder
- Alle anderen eindeutigen Kennungen, Codes oder Merkmale
Kategorie 18 ist am schwierigsten zu erkennen. Jeder Code, der einen Datensatz mit einer bestimmten Person verbindet, muss entfernt werden — auch ohne festgelegtes Muster.
Einen Schritt-für-Schritt-Leitfaden zur Entfernung aller 18 Typen aus klinischen Unterlagen finden Sie unter HIPAA Safe Harbor De-Identifikation für die Gesundheitsforschung.
Fünf neue Anforderungen im vorgeschlagenen Sicherheitsupdate
Das vorgeschlagene HIPAA-Sicherheitsregelwerk (März 2025) fügt fünf Pflichten hinzu.
Jährliche Verschlüsselungsaudits. Betroffene Einrichtungen müssen sicherstellen, dass alle ruhenden Patientendaten AES-256 oder gleichwertig nutzen. Die Schlüsselverwaltung muss dokumentierten Standards entsprechen.
Dokumentierte De-Identifikationsverfahren. Für PHI in Forschung, KI-Training oder Analysen sind schriftliche Verfahren erforderlich. Eine bloße Richtlinienerklärung reicht nicht aus. Technische Dokumentation mit Validierungsnachweisen ist nötig.
Sicherheitsüberprüfungen für Geschäftspartner. Geschäftspartner müssen vor dem Onboarding spezifische technische Anforderungen erfüllen. Früher wurden diese per Vertragsklausel ohne technische Details geregelt.
Multi-Faktor-Authentifizierung (MFA). Alle Mitarbeitenden mit Zugang zu elektronischen PHI müssen MFA nutzen. Ältere Systeme sind nicht ausgenommen.
Tests der Notfallreaktion. Jährliche Übungen und technische Tests sind Pflicht. Teams müssen Nachweise aufbewahren.
Lehren aus Change Healthcare
Die Datenpanne bei Change Healthcare (Februar 2024) zeigte systemisches Risiko in der Praxis. Change Healthcare verarbeitete 15 Milliarden Transaktionen pro Jahr. Es verband Anbieter, Kostenträger und Apotheken als Clearingstelle.
Die Panne begann mit einem einzigen Fernzugang. Dieses Konto hatte kein MFA. Angreifer bewegten sich neun Tage lang durch das Netzwerk. Dann setzten sie Ransomware ein.
Die Lehre ist eindeutig. Ein Geschäftspartner mit breitem Zugang zu Gesundheitstransaktionen ist ein systemisches Risiko für alle Partnerorganisationen. Das alte Regelwerk war nicht für Anbieter ausgelegt, die ein Drittel aller US-Gesundheitstransaktionen abwickeln.
Die MFA-, Netzwerksegmentierungs- und Überprüfungsanforderungen des vorgeschlagenen Regelwerks sind direkte Reaktionen auf diese Panne.
Für PHI-Entfernung aus krankenhausspezifischen Formaten siehe HIPAA MRN-Erkennung und krankenhausspezifische Muster. Für Zero-Knowledge-Architektur, die Patientendaten aus dem Netz heraushalten, siehe HIPAA-konformes Cloud-PHI und Zero-Knowledge-Design.