HIPAA-Verstöße: Arten, Beispiele und die größten Verstöße in der Geschichte

Was ist ein HIPAA-Verstoß?

Der HIPAA (Health Insurance Portability and Accountability Act) der USA wurde 1996 zum Schutz sensibler Gesundheitsdaten erlassen. Ein HIPAA-Verstoß liegt vor, wenn geschützte Gesundheitsdaten (Protected Health Information, PHI) unberechtigt verwendet oder offengelegt werden und dadurch deren Sicherheit oder Vertraulichkeit gefährdet wird. Als Gesundheitsdienstleister sind wir verpflichtet, die Einhaltung dieser Bestimmungen jederzeit sicherzustellen. Lesetipp: KI-Cybersicherheit: KI-Systeme vor Cyberbedrohungen schützen.

HIPAA-Verstöße können auf vielfältige Weise auftreten und sind nicht immer das Ergebnis vorsätzlicher Vernachlässigung oder vorsätzlichen Fehlverhaltens. Sie können so einfach sein wie ein Mitarbeiter des Gesundheitswesens, der mit einem Freund über den Zustand eines Patienten spricht, oder so komplex wie ein systemweiter Datenverstoß infolge eines ausgeklügelten Cyberangriffs. Unabhängig davon, wie sie entstehen, kann jeder Verstoß je nach Schweregrad schwerwiegende Strafen nach sich ziehen, darunter hohe Geldstrafen und möglicherweise eine Gefängnisstrafe.

Arten von HIPAA-Verstößen

4 Stufen von HIPAA-Verstößen

HIPAA-Verstöße werden je nach Grad der Schuld in vier Stufen unterteilt:

• Die erste Stufe liegt vor, wenn das Unternehmen sich des Verstoßes nicht bewusst war und ihn realistischerweise nicht hätte vermeiden können.
• Die zweite Ebene betrifft einen Verstoß, der dem Unternehmen hätte bekannt sein müssen, den es aber auch bei angemessener Sorgfalt nicht hätte vermeiden können.
• Die dritte Ebene ist ein Verstoß, den das Unternehmen vorsätzlich vernachlässigt, aber rechtzeitig korrigiert hat.
• Die vierte und höchste Stufe umfasst Verstöße, die das Unternehmen vorsätzlich vernachlässigt und nicht rechtzeitig behoben hat.

Jede dieser Stufen entspricht einer unterschiedlichen Strafsumme, die zwischen 100 und 1,5 Millionen US-Dollar pro Verstoß liegen kann. Die Höhe der Strafe hängt oft vom Grad der Fahrlässigkeit und dem Schaden ab, der dem oder den betroffenen Patienten zugefügt wurde.

Zivilrechtliche und strafrechtliche Verstöße

In einigen Fällen können HIPAA-Verstöße strafrechtlich verfolgt werden. Dies ist typischerweise der Fall, wenn der Verstoß besonders schwerwiegend ist und die verantwortliche Person wissentlich und in schädlicher Absicht gehandelt hat. Strafrechtliche Verstöße gegen HIPAA können Geld- und Freiheitsstrafen nach sich ziehen. Die Strafen reichen von 50.000 US-Dollar und einem Jahr Gefängnis bis hin zu 250.000 US-Dollar und bis zu 10 Jahren Gefängnis.

Zivilrechtliche Verstöße gegen HIPAA kommen weitaus häufiger vor. Dabei handelt es sich um unbeabsichtigte Datenschutzverletzungen, beispielsweise wenn ein Gesundheitsdienstleister versehentlich geschützte Gesundheitsdaten preisgibt oder diese nicht ausreichend schützt. Obwohl diese Verstöße in der Regel nicht auf böswilliger Absicht beruhen, können sie dennoch zu erheblichen Geldstrafen führen.

Benachrichtigungen über Verstöße

Bei einem Verstoß gegen den Schutz geschützter Gesundheitsinformationen (PHI) schreibt HIPAA spezifische Verfahren zur Benachrichtigung der betroffenen Personen, des Gesundheitsministeriums (HHS) und in bestimmten Fällen der Medien vor. Ein Verstoß ist definiert als eine unzulässige Nutzung oder Offenlegung gemäß den Datenschutzbestimmungen, die die Sicherheit oder den Datenschutz der geschützten Gesundheitsinformationen gefährdet.

Es gibt verschiedene Arten von Benachrichtigungen:

• Benachrichtigung von Einzelpersonen: Die betroffenen Unternehmen müssen die betroffenen Personen unverzüglich und in jedem Fall spätestens 60 Tage nach Feststellung eines Verstoßes benachrichtigen. Diese Benachrichtigung muss eine Beschreibung des Vorfalls, der betroffenen PHI-Arten, der Maßnahmen, die Einzelpersonen zu ihrem Schutz ergreifen sollten, der Maßnahmen des Unternehmens zur Untersuchung und Schadensminderung sowie Kontaktinformationen für weitere Anfragen enthalten.
• Benachrichtigung des HHS: Bei Verstößen, die weniger als 500 Personen betreffen, müssen die betroffenen Unternehmen ein Protokoll führen und dieses jährlich dem HHS übermitteln. Bei Verstößen, die 500 oder mehr Personen betreffen, müssen die Unternehmen das HHS gleichzeitig mit der Benachrichtigung der Personen benachrichtigen, vorzugsweise über die HHS-Website.
• Benachrichtigung der Medien: Betrifft ein Verstoß mehr als 500 Einwohner eines Staates oder einer Gerichtsbarkeit, muss die betroffene Einrichtung auch die in diesem Staat oder dieser Gerichtsbarkeit tätigen Medien informieren. Diese Anforderung soll eine größere Verbreitung der Informationen über den Verstoß ermöglichen und sicherstellen, dass möglicherweise betroffene Personen, die nichts von dem Verstoß wissen, Schutzmaßnahmen ergreifen können.

Beispiele für HIPAA-Verstöße, die Sie vermeiden sollten

Unzulässige Offenlegung geschützter Gesundheitsinformationen (PHI)

PHI (Protected Health Information) sind alle Informationen über den Gesundheitszustand, die Bereitstellung von Gesundheitsleistungen oder die Bezahlung von Gesundheitsleistungen, die einer bestimmten Person zugeordnet werden können. Einer der häufigsten HIPAA-Verstöße ist die unzulässige Weitergabe von PHI. Dies geschieht in der Regel, wenn Gesundheitsdienstleister oder deren Mitarbeiter PHI ohne Zustimmung des Patienten oder für nicht gesundheitsbezogene Zwecke weitergeben.

Diese unzulässigen Offenlegungen können absichtlich oder unabsichtlich erfolgen. Sie können beispielsweise auftreten, wenn ein Arzt in einem öffentlichen Bereich über den Zustand eines Patienten spricht oder wenn ein Mitarbeiter Dokumente mit geschützten Gesundheitsdaten verliert. Selbst eine einfache Handlung wie das Senden einer E-Mail mit geschützten Gesundheitsdaten an den falschen Empfänger kann zu einem Verstoß führen.

Unbefugter Zugriff auf PHI

Ein weiterer häufiger HIPAA-Verstoß ist der unbefugte Zugriff auf PHI. Dieser Verstoß liegt häufig vor, wenn medizinisches Fachpersonal unnötig oder aus persönlichen Gründen auf Patienteninformationen zugreift, obwohl es sich bewusst ist, dass dies gegen das Gesetz verstößt.

Ein Beispiel für einen unbefugten Zugriff wäre ein Krankenhausmitarbeiter, der aus Neugier die Krankenakte eines Prominenten einsieht, oder ein Arzt, der ohne dessen Zustimmung die Krankenakte eines Familienmitglieds überprüft. Der potenzielle Schaden für den Patienten ist in solchen Fällen erheblich, da es zu Identitätsdiebstahl, Diskriminierung oder anderen Formen von Schäden kommen kann.

Fehlende Tools und Prozesse zum Schutz von PHI

HIPAA verpflichtet Gesundheitsdienstleister, angemessene Sicherheitsvorkehrungen zum Schutz personenbezogener Daten (PHI) zu treffen. Dazu gehören die Nutzung sicherer Kommunikationskanäle, die Verschlüsselung elektronischer PHI und deren ordnungsgemäße Entsorgung. Das Fehlen dieser Tools und Prozesse kann zu HIPAA-Verstößen führen.

Ein häufiges Beispiel für diesen Verstoß ist die Verwendung ungesicherter Netzwerke oder Anwendungen zur Übertragung geschützter Gesundheitsdaten. Gesundheitsdienstleister oder Versicherer verwenden möglicherweise auch keine Verschlüsselungstools, um geschützte Gesundheitsdaten an beiden Enden einer Transaktion zu sichern, wodurch diese anfällig für unbefugten Zugriff sind. Auch die unsachgemäße Entsorgung geschützter Gesundheitsdaten, beispielsweise das Nichtvernichten geschützter Dokumente vor der Entsorgung, kann zu Verstößen führen. Dies kann sowohl Unternehmen außerhalb des Gesundheitswesens als auch Gesundheitsdienstleistern und Versicherern passieren.

Versäumnis, eine HIPAA-konforme Geschäftspartnervereinbarung abzuschließen

Gesundheitsdienstleister arbeiten häufig mit Geschäftspartnern zusammen, die in ihrem Namen Dienstleistungen im Zusammenhang mit geschützten Gesundheitsdaten erbringen. HIPAA verlangt, dass Gesundheitsdienstleister mit diesen Unternehmen eine HIPAA-konforme Geschäftspartnervereinbarung (Business Associate Agreement, BAA) abschließen. Eine BAA stellt sicher, dass die Geschäftspartner ihre Verantwortlichkeiten gemäß HIPAA verstehen und sich bereit erklären, die Anforderungen zu erfüllen.

Das Fehlen einer ordnungsgemäßen BAA kann zu einem HIPAA-Verstoß führen. Dieser Verstoß tritt häufig auf, wenn Gesundheitsdienstleister es versäumen, eine BAA mit einem Geschäftspartner zu unterzeichnen, oder wenn die BAA die HIPAA-Anforderungen nicht vollständig erfüllt.

Patienten keinen Zugriff auf ihre Gesundheitsinformationen gewähren

HIPAA gewährt Patienten das Recht auf Zugriff auf ihre Gesundheitsdaten. Ein häufiger Verstoß gegen HIPAA liegt vor, wenn Gesundheitsdienstleister Patienten diesen Zugriff verweigern. Dies kann auf mangelndes Wissen über die HIPAA-Anforderungen oder eine absichtliche Zugriffsverweigerung zurückzuführen sein, um Patienten davon abzuhalten, sich anderweitig behandeln zu lassen.

Unzulässige Offenlegungen gegenüber Arbeitgebern

HIPAA schützt auch vor der unzulässigen Weitergabe von PHI an Arbeitgeber. Gesundheitsdienstleister dürfen PHI nicht ohne die ausdrückliche Zustimmung des Patienten an Arbeitgeber weitergeben. Verstöße können auftreten, wenn Gesundheitsdienstleister PHI aus Gründen weitergeben, die nichts mit der Arbeitnehmerentschädigung oder anderen arbeitsbezogenen Leistungen zu tun haben.

Die größten HIPAA-Verstöße und Bußgelder

Um das Risiko von HIPAA-Verstößen und die Notwendigkeit umfassender Compliance-Maßnahmen zu veranschaulichen, sind hier einige der größten HIPAA-Verstöße der letzten Jahre aufgeführt.

Hymne

Anthem, eine der größten Krankenversicherungen der USA, erlebte 2015 einen massiven Datendiebstahl. Fast 79 Millionen Menschen waren betroffen, ihre Namen, Sozialversicherungsnummern und andere persönliche Informationen wurden offengelegt. Das Office for Civil Rights (OCR) verhängte daraufhin eine Rekordstrafe von 16 Millionen US-Dollar gegen Anthem wegen mehrfacher HIPAA-Verstöße.

Memorial Healthcare System (MHS)

Im Jahr 2012 kam es bei MHS zu einem Datenleck, das unbefugten Zugriff auf die geschützten Gesundheitsdaten von 115.143 Personen zur Folge hatte. Der Vorfall ereignete sich, als ehemalige Mitarbeiter auch nach Beendigung ihres Arbeitsverhältnisses weiterhin Zugriff auf die geschützten Gesundheitsdaten hatten. Mangelnde Zugriffskontrolle und die unterlassene regelmäßige Überprüfung der Daten führten zu einer Geldstrafe von 5,5 Millionen US-Dollar.

NY-Presbyterian Hospital und Columbia University Medical Center

Im Jahr 2010 wurden die beiden Unternehmen mit einer Geldstrafe von insgesamt 4,8 Millionen US-Dollar belegt, nachdem die elektronisch geschützten Gesundheitsdaten (ePHI) von 6.800 Personen durch die Deaktivierung eines privaten Servers versehentlich offengelegt worden waren. Das OCR stellte fest, dass keines der Unternehmen eine genaue und gründliche Risikoanalyse durchgeführt hatte, die den Server als Risiko hätte identifizieren können.

Advocate Health Care (AHC)

AHC hat 2016 mehrere potenzielle HIPAA-Verstöße mit einer Zahlung von 5,55 Millionen US-Dollar beigelegt. Zu diesen Verstößen gehörten fehlende Risikoanalysen, die Nichteinhaltung von Richtlinien und Verfahren sowie der fehlende Abschluss einer Geschäftspartnervereinbarung.

Cignet Gesundheit

Cignet Health wurde im Jahr 2010 mit einer Geldstrafe von 4,3 Millionen US-Dollar belegt, weil das Unternehmen 41 Patienten den Zugriff auf ihre Krankenakten verweigert und anschließend bei den Untersuchungen der Beschwerden durch OCR nicht kooperiert hatte.

HIPAA-Konformität mit Exabeam

Die Nichteinhaltung des HIPAA kann zu hohen Bußgeldern durch OCR und anderen Konsequenzen führen. Wenn Patch-Management, Zugriffskontrollen und Überwachung nicht vollständig mit dem richtigen Lösungspaket implementiert sind, ist das Unternehmen anfällig für Ransomware und andere Angriffsvektoren, die die Patientenversorgung beeinträchtigen können.

Die Telemetrie Exabeam Security Operations Platform kombiniert Protokolle mit Kontext, Sicherheitsinformationen und KI-Analysen, um anomale Verhaltensweisen zu identifizieren, die auf potenzielle Angriffe hinweisen. Vorgefertigte Dashboards erleichtern die Berichterstattung zur HIPAA-Konformität. Unabhängig davon, ob Sie ein Framework wie NIST oder MITRE ATT&CK ^Ⓡ verwenden, bietet Exabeam einen klaren Weg, um Ihre Compliance- und Governance-Anforderungen zu verfolgen – und gleichzeitig den Normalzustand in Ihrer Umgebung und für jede angemeldete Entität festzulegen.

Der Outcomes Navigator bietet eine kontinuierliche Visualisierung und Einblicke in Ihre Erkennungsabdeckung und die vorgenommenen Verbesserungen. Er liefert Verbesserungsvorschläge für die Protokollanalyse und zeigt, welche Quellen und Erkennungen am effektivsten gegen welche Teile des ATT&CK-Frameworks sind und welche Anwendungsfälle am deutlichsten auf Netzwerkpenetration, Persistenz und laterale Bewegung hinweisen.