HIPAA-Konformität

Die Einhaltung der HIPAA-Bestimmungen ist komplexer denn je und die Bedrohungen für Gesundheitsdaten nehmen zu. Mit Fortra-Lösungen können Sie beide Probleme angehen.

KONTAKT

Was ist HIPAA?

Der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-Bundesgesetz, das die Sicherheit und Vertraulichkeit sensibler Gesundheitsdaten gewährleistet. HIPAA gilt für: 

  • Alle Personen, da jeder Mensch PHI besitzen kann oder könnte
  • Krankenversicherungen (eine „versicherte Stelle“)
  • Abrechnungsstellen im Gesundheitswesen (eine „abgedeckte Einrichtung“)
  • Qualifizierte Gesundheitsdienstleister (eine „abgedeckte Einrichtung“)
  • Geschäftspartner, die Dienstleistungen für oder im Auftrag einer betroffenen Einrichtung erbringen

Der HIPAA wurde 1996 vom US-amerikanischen Gesundheitsministerium (Department of Health and Human Standards, HHS) ins Leben gerufen und enthält die folgenden Datenschutzstandards, die in fünf allgemeine Regeln unterteilt sind:

1. HIPAA-Sicherheitsregel

Die HIPAA-Sicherheitsregel regelt die administrativen, physischen und technischen Sicherheitsvorkehrungen, die betroffene Einrichtungen treffen müssen, um elektronische geschützte Gesundheitsinformationen (ePHI) zu sichern. Diese Schutzmaßnahmen tragen dazu bei, die Vertraulichkeit, Integrität und Sicherheit von elektronisch gespeicherten, übermittelten oder empfangenen PHI zu gewährleisten.

Die Sicherheitsregel hilft den betroffenen Einrichtungen im Wesentlichen dabei, die in der HIPAA-Datenschutzregel aufgeführten Datenschutzbestimmungen in Bezug auf elektronische Gesundheitsdaten (ePHI) umzusetzen und durchzusetzen. Vor allem aufgrund des HITECH-Gesetzes liegen viele, wenn nicht sogar die meisten, aller Patientengesundheitsdaten heute in digitaler Form vor und unterliegen daher der HIPAA-Sicherheitsregel.

Medical professional holding a tablet and smiling at the camera

Was ist HITECH?

Hand in Hand mit HIPAA geht der HITECH Act (Health Information Technology for Economic and Clinical Health Act), der 2009 verabschiedet wurde und Gesundheitsdienstleister dazu auffordert:

  • Einführung elektronischer Patientenakten (EHR) zur Verbesserung der Qualität der Patientenversorgung
  • Befolgen Sie die erweiterten Meldepflichten bei Datenschutzverletzungen.
  • Sichern Sie elektronische Gesundheitsdaten durch angemessene Datenschutzmaßnahmen.

Sowohl HIPAA als auch HITECH befassen sich mit der Sicherheit elektronischer Gesundheitsdaten (ePHI), wobei die Maßnahmen innerhalb von HITECH die Durchsetzung von HIPAA durch die Breach Notification Rule und die HIPAA Enforcement Rule unterstützen.

Die Bedeutung geschützter Gesundheitsdaten (PHI)

Geschützte Gesundheitsinformationen (PHI) sind Daten über Patienten:

Gesundheit
Behandlung
Kosten für die Behandlung
Mit der Weiterentwicklung der Technologie wird sich auch die Definition von PHI verändern. Die Einhaltung der HIPAA-Gesetze hängt maßgeblich von der Fähigkeit der betroffenen Einrichtungen ab, diesen Änderungen stets einen Schritt voraus zu sein und PHI in all seinen verschiedenen Formen korrekt zu identifizieren und zu sichern. 

Warum Führungskräfte im Gesundheitswesen auf Fortra für die Einhaltung von HIPAA- und HITECH-Vorschriften vertrauen

 

Die automatisierten, vereinfachten Sicherheitslösungen von Fortra können Einrichtungen des Gesundheitswesens dabei helfen, die Anforderungen der Prüfer leichter zu erfüllen und Gesundheitsdaten zu schützen, während sie bestrebt sind, die strengen Anforderungen der HIPAA-Sicherheitsregel zu erfüllen. Die betroffenen Einrichtungen des Gesundheitswesens und ihre Geschäftspartner erfüllen ihre Verpflichtungen gemäß den HIPAA-Sicherheitsbestimmungen durch die bewährten Cybersicherheits- und Compliance-Lösungen von Fortra. Unsere automatisierten Datensicherheitslösungen erfüllen beispielsweise direkt die HIPAA-Sicherheitsanforderungen und reduzieren gleichzeitig das Risiko menschlicher Fehler sowie den Compliance-Aufwand für die IT-Mitarbeiter. 

Fortra-Lösungen für die Einhaltung der HIPAA-Richtlinien

Unsere Sicherheitslösungen für das Gesundheitswesen ermöglichen es Ihnen nicht nur, die Angriffskette im Gesundheitswesen zu unterbrechen, sondern dies auch auf eine Weise zu tun, die die kritischen HIPAA-Compliance-Anforderungen erfüllt und den Namen Ihrer Organisation aus den Schlagzeilen über Datenschutzverletzungen heraushält. Fortra schützt sensible Gesundheitsdaten jederzeit und überall, wo sie sich befinden. 

Fortrabietet ein breites Spektrum an Compliance-fähigen Lösungen, die Effizienz und Produktivität steigern, die Automatisierung nahtlos in Ihre kritischen Geschäftsprozesse integrieren und die HIPAA-Konformität mit minimalen Auswirkungen auf Ihre internen Ressourcen und Arbeitsabläufe erreichen. 

Die HIPAA-Compliance-Lösungen von Fortra umfassen:

Cloud Access Security Broker (CASB)

Fortra CASB sorgt dafür, dass sensible Daten geschützt bleiben und nicht versehentlich unbefugten internen oder externen Empfängern zugänglich gemacht werden. Mitarbeiter im Gesundheitswesen, die Cloud-Anwendungen nutzen, werden daran gehindert, sensible Dateien an ungeeignete Orte wie Messaging-Apps hochzuladen, von riskanten Standorten aus auf Anwendungen zuzugreifen oder überhaupt nicht autorisierte Anwendungen zu verwenden. Es deckt auch Fehlkonfigurationen in Cloud-Speichern auf, die dazu führen könnten, dass elektronische Gesundheitsdaten in die falschen Hände geraten.   

Cloud Email Protection & Suspicious Email Analysis

Die integrierte, cloudbasierte E-Mail-Sicherheitsplattform von Fortra hilft Einrichtungen des Gesundheitswesens, sich vor Cyberangriffen per E-Mail wie Spoofing und Spear-Phishing zu schützen. Die fortschrittliche Datenanalyse nutzt maschinelles Lernen, LLMs und neuronale Netze zur Erkennung von Identitätsdiebstahl. Mithilfe der Fortra Suspicious Email Analysis kann Ihr Unternehmen legitime Bedrohungen von irrelevanten E-Mails unterscheiden und so Gefahren für die Einhaltung der HIPAA-Richtlinien minimieren. 

Datenschutz (DLP)

Mit den DLP-Lösungen von Fortra können Sie Ihre kritischen Gesundheitsdaten in E-Mails, im Web und in der Cloud erkennen, prüfen und schützen. Der Endpunktschutz gewährleistet, dass Daten, die gemäß HIPAA-Richtlinien geschützt sind, während ihres gesamten Lebenszyklus gesichert werden. Durch adaptive Schwärzung können Inhalte, die einen Verstoß gegen HIPAA darstellen würden, dynamisch modifiziert (geschwärzt oder bereinigt) werden, sodass die übrige Kommunikation ungehindert übermittelt werden kann.

Data Classification

Die Datenklassifizierungslösungen von Fortra unterstützen die Einhaltung der HIPAA-Richtlinien durch automatisierte Erkennung und Klassifizierung und ermöglichen es Benutzern, wertvolle Daten mit Bezeichnungen oder Tags zu identifizieren. Die Fähigkeit, große Mengen historischer HIPAA-Daten automatisch zu klassifizieren, ist von enormem Vorteil, wenn es darum geht, zu verstehen, wo diese Daten gespeichert sind, sicherzustellen, dass sie angemessen klassifiziert werden, und den Aufwand für den Endbenutzer gering zu halten. Die Investition einer Organisation in ein solches Klassifizierungssystem und dessen Anwendung kann an sich bereits eine Verteidigung wegen „angemessener Maßnahmen“ darstellen, falls es zu einer Anklage wegen eines HIPAA-Verstoßes und einer anschließenden Prüfung durch das OCR kommt. 

Data Security Posture Management (DSPM)

DSPM unterstützt Compliance-Teams bei der Ermittlung, Klassifizierung und dem Schutz sensibler Patientendaten. Fortra DSPM bietet Teams die vollständige Echtzeit-Datentransparenz, die erforderlich ist, um die Kontrolle über die Offenlegung elektronischer Gesundheitsdaten (ePHI) während der Bewegung oder im Ruhezustand zu behalten. Darüber hinaus schützt es elektronische Gesundheitsdaten, indem es riskantes Datenverhalten einschränkt, wie beispielsweise das Speichern kritischer Dokumente auf USB-Laufwerken, das Hochladen wichtiger Dateien auf Dateihosting-Dienste oder das Kopieren/Einfügen sensibler Informationen wie Quellcode in KI-Tools. 

DMARC Protection

Domain-based Message Authentication, Reporting, and Conformance (DMARC) ist ein E-Mail-Authentifizierungsprotokoll, das E-Mail-Spoofing verhindert, indem es Domaininhabern ermöglicht, festzulegen, was mit eingehenden Nachrichten geschieht, die vorbestimmte Authentizitätsprüfungen nicht bestehen. Fortra DMARC Email Authentication verhindert, dass Angreifer betrügerische E-Mails von Ihrer Domain versenden können. 

Human Risk Management

Fortra Human Risk Management bietet preisgekrönte Sicherheitsschulungen an, um Mitarbeiter in die Lage zu versetzen, ihre Cybersicherheitskenntnisse zu verbessern und die Anzeichen von Cyberangriffen zu erkennen. Es bietet ansprechende Schulungen mit einem praxisorientierten, menschenzentrierten Ansatz. Basierend auf realen Bedrohungen ist jedes Lernmodul und jede Phishing-Simulationsvorlage so konzipiert, dass das Risiko reduziert und eine starke menschliche Verteidigungslinie gegen Verstöße gegen den Schutz elektronischer Gesundheitsdaten geschaffen wird. 

IBM i Sicherheits- und Compliance-Lösungen

Wenn Ihre Gesundheitsorganisation IBM i-Systeme in ihrer Umgebung einsetzt, können Fortra Powertech-Lösungen Ihnen dabei helfen, die technischen Sicherheitsanforderungen der HIPAA-Sicherheitsregel zu erfüllen, indem sie als automatische Sicherheitskontrolle fungieren, um Ihre Systemsicherheit zu erhöhen und Transparenz über Ihren Datenbankzugriff zu gewährleisten. 

Integrity and Compliance Monitoring

Die File Integrity Monitoring (FIM)- und Security Configuration Management (SCM)-Lösung Tripwire Enterprise von Fortraund ihr Managed-Service-Pendant Tripwire ExpertOps verbessern die Datensicherheit für ePHI, indem sie integrierte HIPAA-Richtlinien durchsetzen und Sicherheitsteams über unautorisierte Änderungen und Abweichungen von der Compliance informieren. 

Managed Security Services

Unsere Sicherheitsexperten helfen Ihnen bei der Beurteilung, Erkennung und Blockierung von Bedrohungen, die zum Verlust von ePHI und in der Folge zu HIPAA-Verstößen führen könnten. Unser Angebot an Managed Services umfasst auch offensive Sicherheitslösungen, um Organisationen zu unterstützen, die nicht über die notwendigen internen Ressourcen zur Durchführung von Penetrationstests verfügen. Fortra Extended Detection & Response (XDR) bietet einen ganzheitlichen Überblick über die Cybersicherheitslage einer Organisation und geht die HIPAA-Compliance proaktiv an, indem Bedrohungen in mehrschichtigen Umgebungen erkannt werden. 

Netzwerküberwachung

HIPAA schreibt die Überwachung des Netzwerks vor, einschließlich der Beschränkung des Benutzerzugriffs auf sensible elektronische Gesundheitsdaten (ePHI). Intermapper bietet Gesundheitsorganisationen einen vollständigen Überblick über ihre Netzwerkinfrastruktur. Es hilft Einrichtungen im Gesundheitswesen, wachsende und sich verändernde Netzwerke zu verwalten, ohne die Einhaltung der HIPAA-Bestimmungen zu gefährden. Jedes Gerät mit einer IP-Adresse wird zugeordnet, um den IT-Teams einen Überblick darüber zu geben, was gerade in ihren gesamten Netzwerken passiert. 

Penetrationstests

Offensive Sicherheitslösungen eignen sich ideal für die Durchführung von Risikoanalysen, einem entscheidenden Bestandteil der HIPAA-Compliance. Zu den jüngsten Änderungen der HIPAA-Sicherheitsregel gehört die vorgeschlagene Pflicht zu jährlichen Penetrationstests, die Gesundheitseinrichtungen zu einem proaktiveren Ansatz in Bezug auf Cybersicherheit bewegen sollen. Core Impact verwendet eine ausgeklügelte Exploit-Bibliothek, um Angriffe aus der realen Welt zu simulieren. Die automatisierte Testfunktion ermöglicht es den Teams, wiederkehrende Penetrationstests zu automatisieren, sodass sie Zeit für die manuelle Prüfung komplexerer Risiken haben. 

Red Teaming

Red Teaming hilft Organisationen dabei, Bedrohungsvektoren zu identifizieren, die zu Verstößen gegen den Schutz elektronischer Gesundheitsdaten führen könnten. Cobalt Strike versetzt Sicherheitsteams in die Lage, durch Gegnersimulationen und Red-Team-Operationen reale Bedrohungen zu simulieren und Sicherheitslücken aufzudecken, bevor Cyberkriminelle dies tun. Mit Cobalt Strike können Sie PowerShell-Skripte ausführen, Man-in-the-Middle-Angriffe simulieren und verwertbare Berichtsdaten generieren. Outflank Security Tooling bietet Einrichtungen des Gesundheitswesens Tools, die vom Red Team von Fortra gewartet werden und jeden Schritt der Angriffskette abdecken. 

Sichere Zusammenarbeit

Fortra Secure Collaboration ermöglicht es Einrichtungen im Gesundheitswesen, ihre Dateien sicher auszutauschen, indem sichergestellt wird, dass die Sicherheitsrichtlinie für die Daten gilt, egal wohin sie gelangen. Wenn Patientendaten extern weitergegeben werden müssen, kann eine verantwortliche Stelle darauf vertrauen, dass die Daten auch nach der Öffnung nur von den von ihr ausgewählten autorisierten Benutzern eingesehen werden können. 

Secure Email Gateway (SEG)

Fortra Secure Email Gateway reduziert das Risiko von Ransomware und ausgeklügelten E-Mail-Bedrohungen und gewährleistet gleichzeitig die verschlüsselte Übermittlung sensibler Daten. Schützen Sie Ihre Organisation vor Spam, Viren, Phishing und anderen E-Mail-Bedrohungen mit einer Deep Content Inspection Engine sowie aktiver Codeerkennung und -entfernung und blockieren Sie Nachrichten, die schädliche URLs und Anhänge enthalten. 

Sicheres Web-Gateway (SWG)

Fortra SWG hilft bei der Durchsetzung der HIPAA-Sicherheitsrichtlinien und der Blockierung nicht konformer Aktivitäten. Es schützt vor Bedrohungen aus dem Internet und Datenlecks, indem es Webnutzer vor Bedrohungen wie Zero-Day- und browserbasierten Angriffen bewahrt. Die Single-Proxy-Architektur prüft den gesamten ein- und ausgehenden Webverkehr, filtert schädliche Websites heraus und schützt sensible Daten wie elektronische Gesundheitsdaten (ePHI). 

Sichere verwaltete Dateiübertragung (MFT)

Investieren Sie in eine mehrschichtige, HIPAA-konforme Verteidigungsstruktur, die auch preisgekrönte Lösungen für den verwalteten Dateitransfer umfasst. Die MFT-Lösungen von Fortra helfen dabei, den Austausch von ePHI zu sichern und zu automatisieren, Gesundheitsdaten zu schützen, Daten im Ruhezustand und während der Übertragung zu verschlüsseln und umfassende Prüf- und Berichtsprotokolle bereitzustellen, die für die Einhaltung der HIPAA-Bestimmungen erforderlich sind. Fortra MFT integriert sich mit anderen Fortra-Lösungen, um Malware-Risiken zu minimieren und den Datenschutz zu gewährleisten. 

Vulnerability Management

Fortra VM bewertet Risiken, indem es Schwachstellen aufdeckt, identifiziert und priorisiert, die von Angreifern ausgenutzt werden könnten. Die umfassenden Berichtsfunktionen liefern den Prüfern eine gründliche Dokumentation aller Aktivitäten und belegen, dass eine nach HIPAA erforderliche Risikoanalyse effektiv durchgeführt wurde. Die Netzwerkkarte von Fortra VM bietet Einrichtungen des Gesundheitswesens Einblick in den Sicherheitsstatus ihrer Netzwerke und erfüllt damit die neuen Anforderungen der HIPAA-Sicherheitsregel an die Netzwerkabbildung . 

Zero Trust Network Access (ZTNA)

Als Sicherheitsmodell hilft Zero Trust Organisationen dabei, die Anforderungen von HIPAA zu erfüllen, indem es den Zugriff auf elektronische Gesundheitsdaten auf ein Minimum beschränkt. Fortra ZTNA setzt dieses Prinzip des minimalen Zugriffs durch, indem es den Benutzern nur die Anwendungen und Daten zur Verfügung stellt, die sie zur Erfüllung ihrer Aufgaben benötigen. Organisationen im Gesundheitswesen können die Einhaltung der HIPAA-Bestimmungen verbessern, indem sie ihre veralteten VPNs durch Fortra ZTNA ersetzen, um Schatten-IT aufzudecken und elektronische Gesundheitsdaten (ePHI) in zunehmend durchlässigen IT-Umgebungen zu schützen. 

Demo anfordern

„Das Support-Team ist eine große Stärke.“ Die Benutzerfreundlichkeit ist gut, und ich genieße die Interaktionen immer. Sie sind da, um uns zu helfen, wenn wir es brauchen.“ 

– Integrationsmanager bei Southeastern Health 

Empfohlene Ressource

 

4 Schritte zur Umsetzung 

Datenschutz im Gesundheitswesen 

 

Lesen Sie den Leitfaden

4 Steps to Implementing Data Protection in Healthcare

Ausgewählte Fallstudien

Wie eine renommierte Gesundheitseinrichtung Patientendaten in der Cloud schützt
Southeastern Health setzt auf GoAnywhere MFT, um seine Mission der qualitativ hochwertigen Gesundheitsversorgung zu unterstützen.
Austin Travis County Integral Care reduziert das Risiko von Datenschutzverletzungen und erzielt Kosteneinsparungen.

Schritte zur Sicherstellung der HIPAA-Konformität

Da viele Organisationen feststellen, dass sie entweder als abgedeckte Einrichtungen oder als Geschäftspartner dem HIPAA-Gesetz unterliegen, steht die Frage, wie man HIPAA-konform wird, ganz oben auf der Agenda. Zu den „unerwartet erfassten Einrichtungen“ können Organisationen aus Bereichen von Marketing bis Finanzen gehören, und von allen wird erwartet, dass sie die Vorschriften einhalten (siehe FAQs für weitere Informationen). 

Verantwortlichkeiten der betroffenen Einrichtungen

Gemäß HIPAA haben die betroffenen Einrichtungen folgende Pflichten:

  • Gewähren Sie Einzelpersonen die oben genannten Rechte.
  • Die HIPAA-Richtlinien zum Schutz der Vertraulichkeit und Sicherheit von Patientendaten sind einzuhalten.

Zu den Aufgaben gehören:

Datenschutzverantwortung

  • Einholung der schriftlichen Einwilligung der Patienten zur Verwendung ihrer Gesundheitsdaten über Behandlungs-, Forschungs-, Rechts- und Zahlungszwecke hinaus.
  • Beantwortung von Anfragen zum Zugriff auf Patientenakten innerhalb von 30 Tagen
  • Aushändigung einer Datenschutzerklärung an Patienten

Sicherheitsverantwortung

  • Entwicklung und Umsetzung von Sicherheitsrichtlinien
  • Schutz vor Bedrohungen von ePHI
  • Verhinderung unbefugter Nutzungen oder Offenlegungen von ePHI
  • Sicherstellen, dass die Mitarbeiter die oben genannten Sicherheitsrichtlinien und -verfahren einhalten.

Und mehr, darunter:

  • Einen Notfallplan haben
  • Dokumentation der HIPAA-Richtlinien, -Praktiken und -Konfigurationseinstellungen
  • Implementierung eines Risikomanagementprogramms
  • Authentifizierung von Stellen, mit denen die betroffene Stelle oder der Geschäftspartner kommuniziert
  • Verschlüsselung von Informationen, die über offene Netzwerke übertragen werden

Schritte zur Einhaltung der HIPAA-Bestimmungen

Icon of a report with a shield and check mark

Führen Sie eine Risikobewertung durch

Betroffene Einrichtungen wurden mit Geldstrafen belegt, weil sie es versäumt haben, regelmäßige Risikobewertungen als Teil ihrer laufenden HIPAA-konformen Strategien durchzuführen. Identifizieren und priorisieren Sie potenzielle Sicherheitsbedrohungen für PHI und ePHI und berücksichtigen Sie dabei Faktoren wie menschliches Versagen, Naturkatastrophen und technische Mängel.

cog icon

Einrichtung von HIPAA-Konformitätskontrollen

Implementieren Sie PHI-Schutzmaßnahmen in den folgenden drei Bereichen:

  • Administrative Aufgaben: Mitarbeiter im richtigen Umgang mit PHI schulen. Dazu gehören rollenbasierte Zugriffskontrolle, das Prinzip der minimalen Berechtigungen, bewährte Verfahren zur Speicherung und Übertragung von PHI und ePHI, Schulungen zur Sensibilisierung für IT-Sicherheit, Integritäts- und Prüfkontrollen und vieles mehr.
  • Physische Maßnahmen: Bereiche, die PHI und ePHI enthalten, wie Serverräume, Aktenschränke und Arbeitsplätze, müssen physisch geschützt werden. Führen Sie verpflichtende Abmelde- oder Bildschirmsperrrichtlinien ein, wenn Mitarbeiter ihren Arbeitsplatz verlassen, verlangen Sie Ausweise für den Zugriff auf sensible Gesundheitsdaten und schließen Sie Papierakten mit Patientendaten ab.
  • Technischer Natur: Diese Schutzmaßnahmen konzentrieren sich auf die Gewährleistung der Sicherheit elektronischer Gesundheitsdaten (ePHI) durch den Einsatz von auf Cybersicherheit ausgerichteten HIPAA-Compliance-Lösungen wie Secure File Transfer (SFT), Datenverschlüsselung, Data Loss Protection (DLP), Datenklassifizierung und mehr.
icon

Einen HIPAA-Beauftragten benennen

Benennen Sie eine HIPAA-Beauftragte/n und eine entsprechende Befehlskette. Dieses Team wird die Verantwortung tragen für die Leitung und Überwachung der HIPAA-bezogenen Aktivitäten unter Einbeziehung aller Beteiligten, die Überwachung der Erstellung von HIPAA-Datenschutz- und Sicherheitspraktiken, die Durchführung von HIPAA-Compliance-Schulungen für Mitarbeiter und die Erstellung eines Notfallplans, der die von HIPAA vorgeschriebenen Melde-, Berichts- und Minderungsmaßnahmen umfasst.

Icon of a phone

Einen Prozess zur Benachrichtigung bei Datenschutzverletzungen erstellen

Es sollte ein Plan aufgestellt werden, der die obligatorische Meldung von Datenschutzverletzungen innerhalb von 60 Tagen nach deren Entdeckung ermöglicht. Dies muss die Benachrichtigung des Office for Civil Rights (OCR) und aller betroffenen Parteien umfassen. Die Medien müssen einbezogen werden, wenn die Datenschutzverletzung mehr als 500 Personen in einem bestimmten Zuständigkeitsbereich betrifft, und alle Benachrichtigungen müssen „ohne unangemessene Verzögerung“ erfolgen.

File with a shield and checkmark icon

Alle HIPAA-bezogenen Richtlinien und Verfahren dokumentieren

Die HIPAA-Standards verlangen eine genaue Dokumentation aller HIPAA-bezogenen Richtlinien und Verfahren. Im Falle einer Prüfung durch das OCR werden diese Aufzeichnungen den Nachweis erbringen, dass eine Organisation die HIPAA-Bestimmungen einhält – oder eben nicht einhält. Die Dokumentation umfasst:

HIPAA-Datenschutzrichtlinien

HIPAA-Sicherheitskontrollen

HIPAA-Sanierungspläne

Interne Prüfberichte

Zertifikate über die Mitarbeiterschulung

Risikobewertungen

Folgen und Strafen bei Nichteinhaltung der HIPAA-Bestimmungen

Verstöße gegen HIPAA liegen vor, wenn gegen die HIPAA Administrative Simplification Regulations verstoßen wurde. Die HIPAA Administrative Simplification Regulations sind „das, was die meisten Menschen als HIPAA betrachten, da sie die Allgemeinen Bestimmungen und die Durchsetzungsregel (Teil 160), die Standards für elektronische Transaktionen und Datenelemente (Teil 162) sowie die Regeln für Datenschutz, Sicherheit und Meldung von Datenschutzverletzungen (Teil 164) enthalten.“ Sie wurden jedoch nicht 1996 zusammen mit HIPAA veröffentlicht, sondern erst einige Jahre später. Die Administrative Simplification Regulations stellen im Wesentlichen den regulatorischen Teil des HIPAA-Gesetzes dar und umfassen alle in den HIPAA-Regeln aufgeführten Standards und rechtlichen Anforderungen. 

Um die Privatsphäre der Patienten zu gewährleisten, sind sehr spezifische Richtlinien erforderlich, die festlegen, wie Gesundheitsdaten von Krankenhäusern, Kliniken, Versicherern, Forschungseinrichtungen, Apotheken und öffentlichen Gesundheitsorganisationen gespeichert und weitergegeben werden. Der Missbrauch des Vertrauens von Personen, die ihre Daten anvertraut haben, hat Konsequenzen. 

Häufig gestellte Fragen zur HIPAA-Konformität

HIPAA gilt nur für die folgenden Einrichtungen, die elektronische Transaktionen durchführen , für die das US-Gesundheitsministerium (Department of Health and Human Services, HHS) Standards veröffentlicht hat:

  • Krankenversicherungen
  • Abrechnungsstellen im Gesundheitswesen
  • Gesundheitsdienstleister

die elektronische Transaktionen durchführen, für die das US-Gesundheitsministerium (Department of Health and Human Services, HHS) Standards veröffentlicht hat. Dies bedeutet, dass nicht alle Gesundheitsdienstleister dem HIPAA unterliegen, obwohl alle weiterhin den staatlichen Vorschriften unterliegen. Nicht dem HIPAA unterliegend wären Einrichtungen, die keine elektronischen Transaktionen mit PHI oder ePHI durchführen.

Allerdings stellen diejenigen, die elektronische Transaktionen durchführen, die überwiegende Mehrheit dar und werden im HIPAA als „covered entities“ und „business associates“ bezeichnet.

Eine betroffene Stelle ist jeder Gesundheitsdienstleister, Krankenversicherungsplan oder jede Abrechnungsstelle im Gesundheitswesen, die im Rahmen ihrer täglichen Geschäftstätigkeit PHI erstellt, verwaltet oder übermittelt. Es gibt einige Ausnahmen, darunter:

  • Die meisten Gesundheitsdienstleister sind bei einem Krankenhaus angestellt, da das Krankenhaus selbst die verantwortliche Stelle und somit diejenige ist, die für die Umsetzung und Durchsetzung der HIPAA-konformen Richtlinien zuständig ist.
  • Arbeitgeber, auch wenn sie möglicherweise einige Gesundheitsdaten ihrer Angestellten speichern. Sie sind ausgenommen, es sei denn, sie bieten eine selbstversicherte Krankenversicherung oder Leistungen wie ein Mitarbeiterhilfsprogramm (EAP) an. Dies würde als „hybride“ Unternehmenssituation betrachtet und könnte dennoch den Folgen eines HIPAA-Verstoßes bei unbefugter Offenlegung von PHI unterliegen.

Als Geschäftspartner gilt jede Person oder jedes Unternehmen, das für eine Einrichtung, die unter die Bestimmungen fällt, eine Dienstleistung erbringt oder eine Funktion oder Tätigkeit für diese Einrichtung ausführt, wenn diese Tätigkeit den Zugriff auf von der Einrichtung verwaltete geschützte Gesundheitsdaten (PHI) beinhaltet. Buchhalter, IT-Dienstleister, Anwälte, Abrechnungsunternehmen, Cloud-Speicherdienste und E-Mail-Verschlüsselungsdienste sind alles Beispiele für Geschäftspartner.

Um die HIPAA-Bestimmungen einzuhalten, müssen Geschäftspartner vor dem Zugriff auf PHI eine Geschäftspartnervereinbarung mit der betroffenen Stelle unterzeichnen, in der detailliert beschrieben wird, auf welche PHI sie zugreifen dürfen, wie sie diese verwenden wollen und dass die PHI zurückgegeben oder vernichtet werden, sobald der Bedarf daran oder die Aufgabe erfüllt ist. Der Geschäftspartner unterliegt denselben HIPAA-Compliance-Verpflichtungen wie die betroffene Stelle, solange er im Besitz der PHI ist.

Zu den unerwarteten, unter HIPAA fallenden Einrichtungen zählen Organisationen und Einzelpersonen, die normalerweise nicht als unter HIPAA fallende Einrichtungen gelten würden, aber mit PHI auf eine Weise umgehen, die sie dennoch den HIPAA-Bestimmungen unterliegt.

Zu diesen unerwartet erfassten Einheiten gehören:

  • Technologieunternehmen, die Gesundheits-Apps entwickeln, sowie die dazugehörigen Entwickler, Datenanalysten und sogar Anbieter
  • Eine Organisation außerhalb des Gesundheitswesens (wie die Inhaber einer Fitness-Tracking-App), die in irgendeiner Form mit PHI umgeht (z. B. die Herzfrequenz während des Schlafs und des Trainings erfasst).
  • Marketingfirmen mit Zugriff auf PHI, die in einer gezielten Werbekampagne verwendet werden sollen
  • Cloud-Speicheranbieter speichern elektronische Gesundheitsdaten (ePHI) auf ihrer Cloud-Plattform
  • Finanzinstitute wie Banken, die Dienstleistungen wie Datenanalyse, Rechnungsstellung oder Kreditvergabe an Kunden im Gesundheitswesen erbringen, gelten gemäß HIPAA-Gesetz als unerwartete erfasste Stellen oder Geschäftspartner.

Wenn sie Funktionen ausüben, die den Umgang mit elektronischen PHI erfordern, unterliegen diese staatlichen, Kreis- oder lokalen Regierungen der HIPAA-Datenschutzregel. Beispiele hierfür sind:

  • Die Gesundheitsämter der Landkreise, die Gesundheitskliniken betreiben, müssen die Bestimmungen des HIPAA-Gesetzes einhalten.
  • Ein staatliches Medicaid-Programm fungiert als Krankenversicherung und fällt daher unter HIPAA.
  • Eine Stadt, die Rettungsdienste anbietet, ein Krankenhaus betreibt oder Verträge mit externen Anbietern solcher Dienste abschließt, unterliegt den HIPAA-Bestimmungen.

Checklisten zu den HIPAA-Sicherheitsregeln

Die HIPAA-Sicherheitsregel ist eine Reihe nationaler Standards, die Folgendes vorschreiben:

  • Administrative Schutzmaßnahmen
  • Physische Schutzmaßnahmen
  • Technische Schutzmaßnahmen

Diese Sicherheitsvorkehrungen gewährleisten die Vertraulichkeit, Integrität und Verfügbarkeit von elektronischen Gesundheitsdaten, die von einer verantwortlichen Stelle erstellt, verwaltet, empfangen oder verwendet werden. Die Sicherheitsregel ist ein Teilbereich der Datenschutzregel, gilt nur für elektronische Gesundheitsinformationen und erklärt, wie digitale Patientendaten, die unter die Datenschutzregel fallen, geschützt werden können. Ziel ist es, die notwendigen technischen, physischen und administrativen Spezifikationen bereitzustellen, um die Bestimmungen des HIPAA-Datenschutzgesetzes zum Schutz digitaler Gesundheitsdaten einzuhalten. 

Fortra unterstützt betroffene Einrichtungen und Geschäftspartner bei der Einhaltung der Sicherheitsbestimmungen, indem es die technischen Sicherheitslösungen bereitstellt, die zum Schutz elektronisch gespeicherter, übermittelter und generierter Gesundheitsinformationen gemäß HIPAA-Gesetzgebung erforderlich sind. Dazu gehören Lösungen für:

Es gibt drei Kategorien von Schutzmaßnahmen, die dazu beitragen sollen, dass die HIPAA-Sicherheitsregel von den betroffenen Einrichtungen und Geschäftspartnern eingehalten wird – administrative, physische und technische.

 

Administrative Schutzmaßnahmen zur Erfüllung der HIPAA-Sicherheitsbestimmungen

Gemäß der HIPAA-Sicherheitsregel müssen betroffene Einrichtungen Folgendes durchsetzen:

Risiken identifizieren und analysieren

Mögliche Risiken für elektronische Gesundheitsdaten identifizieren und analysieren sowie geeignete und angemessene Sicherheitsmaßnahmen ergreifen, um diese zu reduzieren.

Benennen Sie einen Datenschutzbeauftragten

Benennen Sie eine Person, die für die Entwicklung und Umsetzung von Sicherheitsrichtlinien und -verfahren verantwortlich ist.

Informationszugriff verwalten

Informationszugriffe gemäß den HIPAA-Datenschutz- und Sicherheitsbestimmungen verwalten. Die Datenschutzbestimmungen beschränken die Verwendung und Weitergabe von elektronischen Gesundheitsdaten auf das „minimal notwendige Maß“. Die Sicherheitsrichtlinie verlangt rollenbasierte Zugriffsrichtlinien und -verfahren zur Autorisierung des Zugriffs auf elektronische Gesundheitsdaten (ePHI).

Schulen Sie Ihre Mitarbeiter

Schulen Sie Ihre Mitarbeiter in Bezug auf die Richtlinien und Verfahren für elektronische Patientenakten (ePHI) und wenden Sie geeignete Managementrichtlinien an, um sicherzustellen, dass diese Richtlinien und Verfahren eingehalten werden. Alle Mitarbeiter müssen hinsichtlich der Sicherheitsrichtlinien und -verfahren des betroffenen Unternehmens sowie der entsprechenden Sanktionen bei Verstößen geschult werden.

Richtlinien und Verfahren bewerten

Die bestehenden Richtlinien und Verfahren sollten regelmäßig daraufhin überprüft werden, inwieweit sie den festgelegten HIPAA-Anforderungen entsprechen.

Physische Sicherheitsvorkehrungen zur Einhaltung der HIPAA-Sicherheitsbestimmungen

Gemäß der HIPAA-Sicherheitsregel müssen betroffene Einrichtungen Folgendes implementieren:

Beschränken Sie den physischen Zugang

Den physischen Zugang zu und die Kontrolle über die Einrichtungen einschränken, aber gleichzeitig den autorisierten Zugang ermöglichen.

Sichere Arbeitsplätze und Geräte

Richtlinien und Verfahren sollten die ordnungsgemäße und sichere Nutzung von und den Zugriff auf Arbeitsstationen und elektronische Medien regeln. Zum Schutz elektronischer Gesundheitsdaten sollten sie auch Bestimmungen für die sichere Übertragung, Entfernung, Entsorgung und Wiederverwendung elektronischer Datenträger enthalten.

Technische Schutzmaßnahmen zur Einhaltung der HIPAA-Sicherheitsbestimmungen

Gemäß den HIPAA-Sicherheitsbestimmungen müssen betroffene Einrichtungen Folgendes beachten:

Zugriff auf elektronische Gesundheitsdaten kontrollieren

Kontrollieren Sie den Zugriff, indem Sie Richtlinien und Verfahren implementieren, die nur autorisierten Personen den Zugriff auf elektronische Gesundheitsdaten (ePHI) gestatten.

Prüfkontrollen im Zusammenhang mit elektronischen Gesundheitsdaten

Auditkontrollen werden durch die Implementierung von Hardware-, Software- und/oder Verfahrensmechanismen sichergestellt, um alle Zugriffe und Aktivitäten im Zusammenhang mit elektronischen Gesundheitsdaten (ePHI) zu erfassen und zu untersuchen.

Sicherstellung der Integrität elektronischer Gesundheitsdaten

Implementieren Sie Richtlinien und Verfahren, um sicherzustellen, dass personenbezogene Gesundheitsdaten nicht unrechtmäßig verändert oder zerstört werden. Es müssen elektronische Maßnahmen ergriffen werden, um die Integrität von ePHI zu gewährleisten.

Sicherstellung der Übermittlung von ePHI

Implementieren Sie technische Sicherheitsmaßnahmen, um unbefugten Zugriff bei der Übertragung von ePHI-Daten über ein elektronisches Netzwerk zu verhindern.

Zusätzliche Ressourcen

Erfahren Sie mehr darüber, wie Fortra Sie bei der Einhaltung der HIPAA-Sicherheitsbestimmungen unterstützen kann.

Fortra ist der einzige Anbieter, den Sie benötigen, um sich darauf verlassen zu können, dass Sie die für die Einhaltung der HIPAA-Sicherheitsregeln zentralen technischen Sicherheitsvorkehrungen umsetzen können.

Kontaktieren Sie uns