Ultimativer Leitfaden: Datenzugriffsüberwachung in Arztpraxen

Die Überwachung des Datenzugriffs in Arztpraxen ist nicht nur gesetzlich vorgeschrieben, sondern schützt auch Ihre Praxis vor finanziellen Schäden und Reputationsverlust. Seit dem 1. September 2023 verpflichtet das revidierte Schweizer Datenschutzgesetz (revDSG) alle medizinischen Einrichtungen, besonders schützenswerte Daten wie Gesundheits- und genetische Informationen zu sichern. Verstösse können mit Bussen bis zu CHF 250’000 geahndet werden.

Was Sie wissen müssen:

• Gesetzliche Vorgaben: Praxen müssen technische und organisatorische Massnahmen wie Zugriffsbeschränkungen, Zwei-Faktor-Authentifizierung (2FA) und Protokollierung umsetzen.
• Wirtschaftliche Risiken: Ransomware-Angriffe können Schäden von CHF 50’000 bis CHF 200’000 verursachen und Praxen für bis zu 14 Tage lahmlegen.
• Technische Lösungen: Rollenbasierte Zugriffskontrolle (RBAC), automatische Logging-Systeme und Managed Detection & Response (MDR) erhöhen die Sicherheit.
• Kostenrahmen: Die Implementierung eines Überwachungssystems kostet je nach Praxisgrösse zwischen CHF 3’000 und CHF 40’000. Monatliche Wartungskosten liegen bei CHF 200 bis CHF 3’000.

Sofort umsetzbare Massnahmen:

1. RBAC einführen: Jeder Mitarbeitende erhält individuelle Zugriffsrechte nach dem Need-to-know-Prinzip.
2. 2FA aktivieren: Sichere Passwörter und Zwei-Faktor-Authentifizierung für alle Systeme.
3. Regelmässige Audits: Jährliche Überprüfungen und Backup-Tests sichern die Compliance.
4. Mitarbeiterschulungen: Sensibilisieren Sie Ihr Team für IT-Sicherheitsrisiken, z. B. Phishing.

Mit diesen Schritten bleiben Sie gesetzeskonform, schützen Ihre Patientendaten und minimieren Risiken.

Sensible Patientendaten in Gefahr | Panorama 3 | NDR

sbb-itb-741ab7b

Gesetzliche Anforderungen und Compliance-Standards in der Schweiz

Schweizer Datenschutzgesetze für Arztpraxen

Seit dem 1. September 2023 gelten in der Schweiz strengere Datenschutzvorschriften durch das revidierte Bundesgesetz über den Datenschutz (revDSG). Besonders sensibel sind dabei Gesundheitsdaten sowie genetische und biometrische Informationen, die als «besonders schützenswerte Personendaten» eingestuft werden. Diese unterliegen strikten Vorgaben hinsichtlich ihrer Verarbeitung. Arztpraxen sind verpflichtet, technische und organisatorische Massnahmen zu ergreifen, um Patientendaten vor unbefugtem Zugriff, Änderungen oder Verlust zu schützen. Beispiele hierfür sind Zugriffsbeschränkungen, regelmässige Datensicherungen und Schulungen des Personals.

Eine Datenschutz-Folgenabschätzung (DSFA) wird erforderlich, wenn die Datenverarbeitung ein hohes Risiko birgt – etwa beim Einsatz neuer Technologien wie Cloud-Lösungen oder künstlicher Intelligenz. Ebenso ist eine DSFA notwendig bei der umfangreichen Verarbeitung von Gesundheitsdaten. Zusätzlich müssen Praxen ein Verzeichnis der Bearbeitungstätigkeiten führen, in dem der Zweck der Datennutzung, die Datenkategorien und die eingesetzten Sicherheitsmassnahmen dokumentiert werden. Sollten Datenschutzverletzungen auftreten, die ein hohes Risiko für die Persönlichkeitsrechte der Patienten darstellen, ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) unverzüglich zu informieren.

Für Arztpraxen, die grenzüberschreitend tätig sind und Daten von EU-Patienten verarbeiten, gelten zusätzlich die Bestimmungen der EU-Datenschutz-Grundverordnung (DSGVO). Verstösse können hier mit Bussen von bis zu € 20 Millionen oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist.

Im Folgenden werfen wir einen Blick auf die Konsequenzen bei Nichteinhaltung der Vorschriften.

Strafen und Risiken bei Nichteinhaltung

Die Folgen von Datenschutzverstössen sind erheblich. Unter dem revDSG können natürliche Personen, wie Praxisinhaber, Geschäftsführer oder Mitarbeitende, bei vorsätzlichen Verstössen mit Bussen von bis zu CHF 250’000 belangt werden. Diese Bussen sind persönlich und dürfen weder durch Versicherungen noch vom Arbeitgeber übernommen werden. Falls die verantwortliche Person nicht identifiziert werden kann, kann die Praxis als juristische Einheit mit bis zu CHF 50’000 gebüsst werden.

«Die Bussen sind… persönlicher Natur und dürfen weder versichert noch vom Arbeitgeber übernommen werden; das macht sie wirksam.» – David Rosenthal, Team Head, Vischer

Auch Führungskräfte können haftbar gemacht werden, wenn sie ihre Überwachungs- und Aufsichtspflichten vernachlässigen. Dazu gehört das Versäumnis, klare Anweisungen zum Datenzugriff zu geben oder angemessene Kontrollmechanismen einzurichten. Die unbefugte Weitergabe vertraulicher Patientendaten stellt zudem einen separaten Straftatbestand dar. Neben finanziellen Sanktionen drohen Schadenersatzforderungen von betroffenen Patienten, ein Reputationsverlust sowie im Extremfall ein Verbot der Datenverarbeitung durch die Aufsichtsbehörden.

Kernelemente eines Datenzugriffsüberwachungssystems

Ein Datenzugriffsüberwachungssystem sorgt dafür, dass der Zugriff auf Daten in Ihrer Praxis sicher und nachvollziehbar bleibt. Die Grundlage für ein effektives System bilden zwei wichtige Prinzipien: rollenbasierte Zugriffskontrolle (RBAC) und Authentifizierung mit automatischer Protokollierung. Diese gewährleisten, dass nur autorisierte Personen Zugriff erhalten und alle Aktivitäten dokumentiert werden.

Rollenbasierte Zugriffskontrolle (RBAC)

Das Prinzip der rollenbasierten Zugriffskontrolle ist einfach und effektiv:

„Jede Mitarbeiterin sieht nur die Daten, die sie für ihre Arbeit benötigt" (Need-to-know-Prinzip) – Christoph Kuling, Founder & IT Consultant, avenios GmbH.

Praktisch bedeutet das, dass administrative Mitarbeitende beispielsweise nur Zugriff auf Terminkalender und Abrechnungsdaten haben, während Physiotherapeuten ausschliesslich auf die Behandlungsdokumentation ihrer Patienten zugreifen können.

Jeder Mitarbeitende benötigt ein eigenes Benutzerkonto – gemeinsame Logins sind nicht erlaubt. Sobald ein Mitarbeitender die Praxis verlässt, müssen die Zugriffsrechte sofort deaktiviert werden. Zusätzlich sorgen technische Massnahmen wie eine automatische Bildschirmsperre nach spätestens 5 Minuten Inaktivität für mehr Sicherheit.

Authentifizierung und Aktivitätsprotokollierung

Die Zwei-Faktor-Authentifizierung (2FA) ist unverzichtbar, sowohl für den Zugriff auf Praxissoftware als auch für jeden Fernzugriff. Passwörter müssen mindestens 12 Zeichen umfassen. Ein Passwort-Manager kann dabei helfen, die Sicherheit zu erhöhen und gleichzeitig die Bedienung zu erleichtern.

Ein weiteres zentrales Element ist die automatische Protokollierung. Elektronische Logdateien dokumentieren genau, wer wann auf welche Patientenakte zugreift. Diese Logs stellen nicht nur die Konformität mit dem revDSG sicher, sondern helfen auch, Auffälligkeiten schnell zu erkennen. Beispiele hierfür sind Zugriffe ausserhalb der üblichen Arbeitszeiten oder ungewöhnlich viele geöffnete Patientenakten in kurzer Zeit. Zusätzlich unterstützt die Netzwerküberwachung dabei, verdächtige Aktivitäten wie unbefugte Datenexporte oder Ransomware-Angriffe frühzeitig zu identifizieren.

Diese Massnahmen bilden die Grundlage für weitere Sicherheitsstandards, die im nächsten Schritt behandelt werden.

Überwachungstools und Erkennungsmethoden

Diese Überwachungstools und Erkennungsmethoden bieten den Rahmen für die praktische Umsetzung der Datenzugriffsüberwachung. Die Wahl der passenden Tools entscheidet darüber, ob verdächtige Aktivitäten rechtzeitig erkannt werden oder erst nach einem Sicherheitsvorfall reagiert werden muss. Professionelle Lösungen gehen weit über herkömmliche Antivirensoftware hinaus, da sie eine aktive Überwachung in Echtzeit ermöglichen.

Automatisierte Überwachungs- und Alarmsysteme

Managed Detection & Response (MDR) ist besonders für Arztpraxen empfehlenswert, da es weit mehr bietet als klassische Antivirenlösungen. MDR überwacht Geräte kontinuierlich und kann ungewöhnliche Netzwerkaktivitäten wie unregelmässige Zugriffszeiten oder den schnellen Download grosser Datenmengen erkennen.

Ergänzend dazu sorgen Firewalls für zusätzliche Sicherheit, indem sie den Netzwerkverkehr überwachen. Sie identifizieren verdächtige Muster, wie unbefugte Zugriffsversuche oder Datenexporte, und protokollieren die Netzwerkaktivitäten.

Die monatlichen Kosten für Managed Security Services variieren je nach Praxisgrösse:

• CHF 200–500 für Einzelpraxen (1–3 Arbeitsplätze)
• CHF 500–1’500 für Gemeinschaftspraxen (4–10 Arbeitsplätze)
• CHF 1’000–3’000 für medizinische Zentren mit mehr als 10 Arbeitsplätzen.

Neben automatisierten Systemen spielt auch der Ansatz der Überwachung – Echtzeit oder ereignisbasiert – eine wichtige Rolle bei der Optimierung der Datensicherheit.

Echtzeit- vs. ereignisbasierte Überwachung

Der wesentliche Unterschied zwischen Echtzeit- und ereignisbasierter Überwachung liegt im Zeitpunkt der Erkennung. Echtzeit-Überwachung erkennt Bedrohungen in Sekunden und kann proaktiv Schäden verhindern. Ereignisbasierte Überwachung greift erst nach einem Vorfall ein und dient vor allem der Analyse und Dokumentation.

Beide Ansätze sind entscheidend: Während die Echtzeit-Überwachung aktiv schützt, liefert die ereignisbasierte Analyse die notwendigen Informationen, um die 72-Stunden-Meldepflicht bei Datenschutzverletzungen einzuhalten und den genauen Schaden zu dokumentieren.

„Der durchschnittliche Schaden eines Ransomware-Angriffs auf eine Arztpraxis liegt zwischen CHF 50’000 und 200’000 – ohne Berücksichtigung des Reputationsschadens." – Christoph Kuling, Founder & IT Consultant, avenios

Diese Tools und Methoden bilden die Grundlage für die nächsten Schritte, bei denen es um die Implementierung und Wartung solcher Systeme geht.

Implementierungs- und Wartungsrichtlinien

Die Einführung eines Überwachungssystems ist kein einmaliger Vorgang, sondern ein kontinuierlicher Prozess. Der erste Schritt besteht in einer Gap-Analyse, bei der der aktuelle IT-Sicherheitsstatus mit den Anforderungen des FMH IT-Grundschutzes verglichen wird. Dabei werden bestehende Lücken identifiziert und priorisiert: sofortige Massnahmen wie die Einführung von Passwortrichtlinien, kurzfristige Massnahmen wie die Optimierung von Backups und mittelfristige Massnahmen wie die Segmentierung des Netzwerks.

Technisch gesehen umfasst die Implementierung die Konfiguration von RBAC (Role-Based Access Control), Zwei-Faktor-Authentifizierung (2FA) und automatisiertem Logging. Die Kosten für die Einrichtung variieren je nach Grösse der Praxis: Einzelpraxen (1–3 Arbeitsplätze) sollten mit CHF 3’000–8’000 rechnen, während Gemeinschaftspraxen (4–10 Arbeitsplätze) etwa CHF 8’000–20’000 und grössere medizinische Zentren mit über 10 Arbeitsplätzen zwischen CHF 15’000–40’000 einplanen sollten.

„Der FMH IT-Grundschutz ist mehr als eine Compliance-Anforderung – er ist das Fundament für das Vertrauen Ihrer Patientinnen und Patienten in Ihre Praxis." – Christoph Kuling, Founder & IT Consultant, avenios GmbH

Im weiteren Verlauf wird erläutert, wie regelmässige Audits und gezielte Schulungen dazu beitragen, die langfristige Stabilität des Systems zu gewährleisten.

Regelmässige Audits und Compliance-Prüfungen

Ein zentraler Bestandteil der Wartung sind quartalsweise Wiederherstellungstests der Backups. Diese helfen, Schwachstellen frühzeitig zu erkennen und gewährleisten, dass Patientendaten und Überwachungsprotokolle im Notfall wiederhergestellt werden können. Zusätzlich sollten jährliche Gap-Analysen durchgeführt werden, um neue Sicherheitslücken zu identifizieren und die Einhaltung des FMH IT-Grundschutzes sicherzustellen.

Die Zugriffsverwaltung spielt dabei eine entscheidende Rolle. Sobald ein Mitarbeitender die Praxis verlässt, müssen alle Zugriffsrechte sofort deaktiviert werden. Ebenso wichtig ist die regelmässige Überprüfung der Berechtigungen nach dem Need-to-know-Prinzip: Mitarbeitende sollten nur Zugriff auf Daten haben, die sie für ihre Arbeit benötigen.

Technische Wartungsmassnahmen umfassen regelmässige Updates und Firewall-Aktualisierungen. Moderne Firewalls überwachen den Netzwerkverkehr kontinuierlich, um verdächtige Aktivitäten zu erkennen. Das revidierte Datenschutzgesetz (revDSG) fordert zudem die Führung eines Verzeichnisses der Bearbeitungstätigkeiten und, falls erforderlich, eine Datenschutz-Folgenabschätzung (DPIA).

Schulung des Personals zur Datensicherheit

Technische Massnahmen allein reichen nicht aus – auch das Personal muss im sicheren Umgang mit Patientendaten geschult werden. Jährliche IT-Sicherheitsschulungen sind für alle Mitarbeitenden, einschliesslich Teilzeitkräfte und Aushilfen, verpflichtend. Schon beim Onboarding neuer Mitarbeitender sollte ein IT-Sicherheitsbriefing erfolgen, bevor sie Zugriff auf Patientendaten erhalten. Zusätzlich ist die Unterzeichnung einer formellen Vertraulichkeitserklärung obligatorisch.

Die Schulungen sollten praktische Themen abdecken, wie die Erstellung sicherer Passwörter, die Nutzung von Zwei-Faktor-Authentifizierung und die Erkennung von Phishing-Versuchen. Phishing-Simulationen sind besonders effektiv, um das Bewusstsein für diese Art von Cyberangriffen zu schärfen.

Ein weiterer wichtiger Punkt: Bildschirme müssen so positioniert sein, dass Patientinnen und Patienten im Warte- oder Empfangsbereich keinen Einblick darauf haben. Zudem sollten Bildschirme nach maximal 5 Minuten Inaktivität automatisch gesperrt werden. Bei telefonischen Anfragen empfiehlt sich das Callback-Verfahren: Die Identität wird durch Rückruf an eine im System hinterlegte Nummer überprüft, bevor sensible Informationen weitergegeben werden.

Eine klare Dokumentation eines IT-Notfallplans und definierte Meldewege bei Datenschutzverletzungen sind essenziell. Verstösse gegen das revDSG können mit Bussen von bis zu CHF 250’000 geahndet werden – und zwar gegen die verantwortliche natürliche Person, wie etwa den Praxisinhaber.

Reaktion auf Sicherheitsverletzungen und unbefugten Zugriff

Ein Datenleck kann jede Praxis treffen – entscheidend ist, wie schnell und strukturiert darauf reagiert wird. Die ersten Minuten nach der Entdeckung eines Sicherheitsvorfalls sind oft ausschlaggebend für das Ausmass des Schadens.

Sofortmassnahmen

Wenn ein unbefugter Zugriff festgestellt wird, sollten folgende Schritte umgehend durchgeführt werden:

• Netzwerkverbindungen trennen: Entfernen Sie die betroffenen Geräte sofort vom Netzwerk, indem Sie die Ethernet-Kabel abziehen.
• Computer eingeschaltet lassen: Schalten Sie betroffene Geräte nicht aus, da der Arbeitsspeicher (RAM) wichtige forensische Spuren enthalten kann, die bei einem Neustart verloren gehen. Wie Lorenz Inglin, Head Cyber Defense bei Swisscom, erklärt:
  

  „Der Arbeitsspeicher kann uns viele Hinweise darüber geben, welche Eingriffe auf das System gemacht wurden".

• Meldepflicht prüfen: Überprüfen Sie umgehend, ob eine gesetzliche Meldepflicht gemäss Art. 24 DSG besteht. Arztpraxen müssen Sicherheitsverletzungen dem EDÖB melden, wenn ein „voraussichtlich hohes Risiko" für die Persönlichkeitsrechte der Patientinnen und Patienten besteht. Verwenden Sie hierfür das Online-Formular „DataBreach“ des EDÖB.
• Betroffene informieren: Informieren Sie betroffene Patientinnen und Patienten, wenn dies zu ihrem Schutz notwendig ist oder der EDÖB dies verlangt.
• Beweise sichern: Stellen Sie sicher, dass alle relevanten Log-Dateien sowie forensische Kopien der Festplatten gesichert werden. Richten Sie klare Kommunikationswege ein, um den Angriff später rekonstruieren zu können.

Sobald der akute Vorfall unter Kontrolle ist, sollten Sie eine umfassende Analyse durchführen, um ähnliche Risiken zukünftig zu vermeiden.

Analyse und Prävention nach einem Vorfall

Die meisten erfolgreichen Cyberangriffe beruhen auf menschlichem Fehlverhalten – beispielsweise durch das Klicken auf Phishing-Links oder das Versenden sensibler Daten an falsche Empfänger. Analysieren Sie sorgfältig, ob der Vorfall durch Schwachstellen wie veraltete Software, schwache Passwörter (unter 12 Zeichen) oder fehlende Updates begünstigt wurde.

Schliessen Sie die identifizierten Sicherheitslücken umgehend, bevor betroffene Systeme wieder in Betrieb genommen werden. Es empfiehlt sich, ein formelles IT-Sicherheits-Checkup durchzuführen und die Ergebnisse in einem Debriefing zu dokumentieren. Die in den Implementierungsrichtlinien definierten Massnahmen können auch die forensische Analyse unterstützen. Passen Sie Ihren Notfallplan basierend auf den gewonnenen Erkenntnissen an.

Technische Massnahmen wie die Überprüfung der 3-2-1-Backup-Regel sowie die Verschlüsselung aller E-Mails mit Patientendaten und mobiler Speichergeräte sind essenziell. So bleiben gestohlene Daten für Unbefugte unbrauchbar. Schnelle und durchdachte Reaktionen sind ein zentraler Bestandteil eines umfassenden Sicherheitskonzepts, das kontinuierliche Überwachung und präventive Massnahmen kombiniert.

IT-Support-Dienstleistungen für die Datensicherheit in Arztpraxen

Mit der Einführung des revidierten Datenschutzgesetzes (revDSG) im September 2023 sind die technischen Anforderungen an Arztpraxen deutlich gestiegen. Viele Praxen sehen sich mit der Herausforderung konfrontiert, den FMH IT-Grundschutz umzusetzen, ohne auf eigenes IT-Personal zurückgreifen zu können. Hier kommen spezialisierte IT-Partner ins Spiel, die bei der vollständigen Umsetzung dieser Schutzmassnahmen unterstützen.

Dienstleistungen der Datacom AG für Gesundheitsdienstleister

Angesichts der komplexen gesetzlichen und technischen Anforderungen bietet die Datacom AG gezielte Unterstützung für Arzt-, Zahnarzt- und Physiotherapiepraxen. Ihr Schwerpunkt liegt auf der Umsetzung des FMH IT-Grundschutzes, der grundlegende Sicherheitsstandards zum Schutz sensibler Gesundheitsdaten definiert.

Zu den technischen Massnahmen gehören:

• Professionelle Firewalls: Schutz vor unbefugtem Zugriff.
• Netzwerksegmentierung (VLANs): Trennung medizinischer Geräte wie Röntgenanlagen vom allgemeinen Büronetzwerk.
• HIN-Integration: Verschlüsselte E-Mail-Kommunikation über das Health Info Net.
• 3-2-1-Backup-Regel: Drei Kopien der Daten auf zwei unterschiedlichen Medien, wobei eine Kopie verschlüsselt an einem externen Standort in der Schweiz gespeichert wird.

Zusätzlich werden regelmässige Wiederherstellungstests durchgeführt, um sicherzustellen, dass die Backups im Notfall einsatzbereit sind. Die Kosten für die Implementierung variieren je nach Grösse der Praxis zwischen CHF 3’000.– und CHF 40’000.–, während die monatlichen Gebühren für Managed-Security-Services zwischen CHF 200.– und CHF 3’000.– liegen.

Unterstützung bei Compliance und Datenschutz

Neben der technischen Absicherung bietet die Datacom AG auch rechtliche und dokumentarische Unterstützung. Dazu zählen:

• Bearbeitungsverzeichnis: Erstellung gemäss Art. 12 revDSG.
• Datenschutz-Folgenabschätzungen (DSFA): Notwendig, wenn besonders sensible Patientendaten verarbeitet werden.

Die Risiken bei Nichteinhaltung sind erheblich. Verstösse gegen das revDSG können mit Bussen von bis zu CHF 250’000.– geahndet werden, die direkt den Praxisinhaber betreffen. Zudem können Ransomware-Angriffe zu durchschnittlich 10 bis 14 Tagen Praxisstillstand führen und finanzielle Schäden zwischen CHF 50’000.– und CHF 200’000.– verursachen.

Ein professioneller IT-Partner wie die Datacom AG minimiert diese Risiken durch kontinuierliche Überwachung, automatische Updates und schnelle Reaktionszeiten. Damit wird Ihre Praxis nicht nur vor aktuellen Bedrohungen geschützt, sondern profitiert auch von präventiven Massnahmen, die langfristige Sicherheit gewährleisten.

Fazit: Zusammenfassung der Datenzugriffsüberwachung in Arztpraxen

Die Datenzugriffsüberwachung ist nicht nur eine rechtliche Pflicht, sondern auch eine zentrale Grundlage für das Vertrauen der Patienten. Das revidierte Datenschutzgesetz (revDSG) verlangt, dass sensible Gesundheitsdaten durch geeignete Schutzmassnahmen abgesichert werden. Diese Anforderungen bilden die Basis für technische und organisatorische Sicherheitslösungen, die in Arztpraxen unverzichtbar sind.

Ein wirksames System kombiniert technische Massnahmen wie RBAC (rollenbasierte Zugriffskontrolle), 2FA (Zwei-Faktor-Authentifizierung) und automatisiertes Logging mit klar definierten organisatorischen Prozessen. Die Kosten für die Umsetzung solcher Massnahmen sind überschaubar und wurden in den vorherigen Abschnitten ausführlich beschrieben.

«Der FMH IT-Grundschutz ist mehr als eine Compliance-Anforderung – er ist die Grundlage für das Vertrauen Ihrer Patienten in Ihre Praxis.»
– Christoph Kuling, Gründer & IT-Berater, avenios GmbH

Trotz aller Technik bleibt der Mensch ein entscheidender Faktor: Selbst die besten Sicherheitsmassnahmen sind nutzlos, wenn Mitarbeitende beispielsweise Passwörter weitergeben oder auf Phishing-Versuche hereinfallen. Daher sind regelmässige Sicherheitsschulungen und jährliche Tests zur Wiederherstellung von Backups unerlässlich.

Spezialisierte IT-Partner wie die Datacom AG bieten eine kontinuierliche Überwachung, sorgen für aktuelle Systeme und reagieren schnell auf Bedrohungen. Mit ihrer Unterstützung bleibt Ihre Praxis geschützt, sodass Sie sich voll und ganz auf die Patientenversorgung konzentrieren können.

FAQs

Wie lange müssen Zugriffs-Logs auf Patientendaten aufbewahrt werden?

In der Schweiz müssen Patientendaten und medizinische Unterlagen grundsätzlich für mindestens 10 Jahre archiviert werden. Für bestimmte Behandlungsunterlagen, wie beispielsweise Röntgenaufnahmen, gelten jedoch längere Fristen – diese können bis zu 30 Jahre betragen.

Die Einhaltung dieser Vorgaben ist entscheidend, um den Datenschutz und die Rechte der Patienten zu gewährleisten.

Wann ist eine Datenschutz-Folgenabschätzung (DSFA) in der Praxis erforderlich?

Eine Datenschutz-Folgenabschätzung (DSFA) wird dann notwendig, wenn die Verarbeitung von Personendaten ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen darstellt. Besonders relevant ist dies bei der Verarbeitung von sensiblen Daten, wie etwa genetischen oder biometrischen Informationen, die besonders schützenswert sind.

Welche Mitarbeitenden benötigen 2FA – und gilt das auch für Fernzugriffe?

Mitarbeitende, die Zugriff auf sensible Patientendaten haben, sind verpflichtet, 2FA (Zwei-Faktor-Authentifizierung) zu nutzen. Dies schliesst auch den Fernzugriff ein. Dadurch wird die IT-Sicherheit in der Arztpraxis gestärkt und unbefugter Zugriff effektiv verhindert.

Verwandte Blogbeiträge

• 5 Anzeichen für Cyberangriffe in Arztpraxen
• IT-Sicherheitsüberwachung für Arztpraxen optimieren
• Datenverschlüsselung im Ruhezustand: Anforderungen für Arztpraxen