Hacker erbeuteten vertrauliche Patientendaten
Wie die FAZ, Golem und andere Medien berichten, sind etwa 40.000 Krankenakten eines großen Psychotherapiezentrums, Vastaamo, in den Besitz eines Hackers gelangt. Das geschah schon 2018. Dabei handelt es sich um äußerst brisante Daten. So sind wohl nicht nur Adressdaten, sondern auch die Patientenakten mit den Protokollen der Therapiesitzungen und die Personenkennzeichen in die Hände der Hacker gelangt. Dieses berechtigt zu umfangreichen finanziellen und auch behördlichen Transaktionen.
Sie erpressen nun die Klinik und Privatpersonen
Wie bekannt wurde, werden nun die Klinik und Privatpersonen gleichermaßen erpresst. Das Schema ist bekannt. Zahlung von Bitcoins unter Erzeugung von hohem Zeitdruck. Sonst wird es teurer und bei Nichtzahlung werden Daten im Internet veröffentlicht. Das Unternehmen hat nicht gezahlt. Daten wurden, jeden Tag 100 Patientenakten, im Internet veröffentlicht.
Welche Daten müssen wir schützen?
Das führt zu der Frage, welche Daten geschützt werden müssen. Dazu muss erst einmal bekannt sein, welche Daten im Unternehmen vorhanden sind. Bei personenbezogenen Daten muss ja jedes Unternehmen im Geltungsbereich der Datenschutz-Grundverordnung genau das Wissen und dieses Wissen auch belegen können. Hierzu gibt es die Anforderung aus der DSGVO, ein Verzeichnis von Verarbeitungstätigkeiten (VVT) zu führen, dieses vollständig und aktuell zu halten (DSGVO Artikel 30) . Auch müssen die Daten, einmal im Unternehmen, vor unberechtigter Verarbeitung geschützt werden. Hierzu werden Maßnahmen definiert und umgesetzt, die als sogenannte TOM's, als Technische und Organisatorische Maßnahmen bekannt sind. Richtig umgesetzt, erfüllen diese dann die Anforderungen aus der Datenschutz-Grundverordnung an die Sicherheit der Verarbeitung (DSGVO Artikel 32).
Wie steht es um die Sicherheit von Krankenhäusern, MVZ und Arztpraxen in Deutschland?
Es stellt sich die Frage, wie sicher sind die Daten in Deutschen Krankenhäusern, MVZ und Arztpraxen? Sind Sie wirklich sicher? Aus der Vergangenheit wissen wir, dass dem nicht so ist. 2019 wurde bekannt, dass im Raum Hannover etwa 30.000 Patientendaten, darunter auch Stammdaten und Arbeitsverträge öffentlich im Internet zugänglich waren. Das war möglich durch einen Konfigurationsfehler des Dienstleisters, wie man heute weiß. Hätte das vermieden werden können? Hier kommt wieder die Forderung der Datenschutz-Grundverordnung nach der Sicherheit der Verarbeitung zum Tragen.
Modernität und schnelles Wachstum als Risiko?
Moderne Technologien können gut sein und sie sollten auch eingesetzt werden. Doch Achtung! Nur weil ein Hersteller einer Software oder Hardware behauptet, sein Produkt sei sicher, mag das stimmen, gilt dann aber meist nur für die Software und Hardware selbst. Nicht für die Konfiguration, nicht für die ablaufenden Prozesse, nicht für das Berechtigungsmanagement. Nicht ohne ständiges und zeitnahes updaten der Software und der Software auf der Hardware. Schon gar nicht ohne Prüfung der Sicherheit nach vorgenommenen Änderungen. Schwachstellentests sind da sehr zu empfehlen.
Müssen Krankenhäuser, MVZ und Arztpraxen in Deutschland jetzt handeln?
Sie müssen die Anforderungen aus vielen Gesetzen einhalten. Darunter auch die Datenschutz-Grundverordnung. Was so ein Datenleck, insbesondere im Gesundheitsbereich für den Patienten (im Datenschutz-Deutsch: die betroffene Person), bedeuten kann, sollte dieses Datenleck jedem Verantwortlichen bewußt sein.
Hier geht es tatsächlich um gravierende Auswirkungen für jede einzelne betroffene Person.
Sie möchten mehr Informationen zu den Themen Datenschutz und Informationssicherheit von AGIDAT erhalten?
AGIDAT ist eine Unternehmensberatung, die zu den Themen Informationssicherheit und Datenschutz berät, umsetzt und
betreut. Wir agieren seit über 12 Jahren erfolgreich.
Sie möchten externe Hilfe von Experten zu den Themen Datenschutz und Informationssicherheit? Dann kontaktieren Sie uns am besten gleich jetzt! In einem ersten Schritt besprechen wir gemeinsam mit Ihnen Ihre Anforderungen und Wünsche und danach finden wir eine Lösung dazu.
Quellen:
https://www.faz.net/aktuell/feuilleton/debatten/finnland-hackerangriff-auf-psychotherapeutische-krankenakten-17022624.html
https://www.golem.de/news/finnland-datenleck-von-psychotherapie-klinik-fuer-erpressung-genutzt-2010-151742.html
https://www.heise.de/select/ct/2019/25/1575649819093453
