Datenschutzverletzungen entstehen nicht nur durch Hackerangriffe. In Krankenhäusern, Pflegeeinrichtungen und sozialen Diensten sind unberechtigte interne Zugriffe ein dauerhaftes Risiko. Besonders problematisch sind Zugriffe aus Neugier, etwa auf Akten von Kolleg:innen, Angehörigen, bekannten Personen oder öffentlich interessanten Fällen.
Fälle aus der Praxis
In vielen Einrichtungen arbeiten Beschäftigte mit weitreichenden Systemrechten. Das ist im Alltag oft praktisch, kann aber gefährlich werden. Große Bekanntheit erlangte in diesem Zuge der Fall der Studentin Tuğçe, die nach einem gewalttätigen Angriff im Sana-Klinikum Offenbach um ihr Überleben kämpfte. Als es Hinweise darauf gab, dass jemand Unterlagen kopiert und weitergegeben hatte, werteten die Verantwortlichen die Zugriffe aus und identifizierte rund 90 Mitarbeitende, die unbefugt in der Patientenfallakte der Studentin gelesen hatten. Dabei sieht die Orientierungshilfe Krankenhausinformationsysteme (OH-KIS) strenge Vorgaben zur Beschränkung der Zugriffe innerhalb einer Einrichtung vor. Maßgeblich ist das Need-to-know-Prinzip: Zugriff nur, wenn die Information für die konkrete Aufgabe erforderlich ist.
Immer wieder werden wir in unserer Beratung mit ähnlichen, typischen Situationen konfrontiert: Eine Mitarbeiterin sieht, dass eine frühere Nachbarin aufgenommen wurde, und öffnet die Akte. Ein Beschäftigter schaut in den OP-Verlauf eines Kollegen. Eine Pflegekraft liest Diagnosen einer bekannten Person, obwohl sie nicht in deren Versorgung eingebunden ist. In der Jugendhilfe wird ein Fall geöffnet, weil der Name bekannt vorkommt. In der Eingliederungshilfe werden Entwicklungsberichte aus Interesse gelesen. Solche Zugriffe können Datenschutzverletzungen darstellen – auch wenn keine Daten nach außen weitergegeben werden.
Das Risiko wird erhöht, wenn Berechtigungskonzepte zu grob sind. Rollen wie „Pflege“, „Verwaltung“ oder „Sozialdienst“ sind oft zu weit gefasst. Auch Vertretungsregelungen führen zu Problemen, wenn sie dauerhaft bestehen bleiben. Die durch die OH-KIS geforderte Protokollierung hilft nur, wenn sie tatsächlich ausgewertet wird. Viele Systeme speichern zwar Zugriffe, aber niemand prüft Auffälligkeiten. Dann entsteht der Eindruck, dass unbefugte Einsichtnahmen folgenlos bleiben.
Für Einrichtungen ist auch die arbeitsrechtliche Dimension relevant. Datenschutzverstöße können Schulungen, Ermahnungen, Abmahnungen, Maßnahmen der Datenschutzaufsichtsbehörden und nicht zuletzt auch Schadenersatzansprüche auslösen. Wichtig ist ein fairer, klarer Prozess. Mitarbeitende müssen wissen, was erlaubt ist und was nicht. Gleichzeitig muss die Einrichtung zeigen können, dass sie Zugriffe angemessen begrenzt und kontrolliert.
Bei der Umsetzung angemessener Zugriffs- und Berechtigungskonzepte sind in diesem Zuge vor allem folgende Maßnahmen wichtig:
Rollen und Berechtigungen nach Aufgaben zuschneiden, nicht nach Bequemlichkeit.
Vertretungsrechte regelmäßig befristen und nach Ende der Vertretung entfernen.
Protokollierungen risikoorientiert prüfen, z. B. bei Prominentenfällen, Beschäftigten als Patient:innen oder Beschwerden.
Schulungen mit realistischen Beispielen durchführen: „Darf ich die Akte öffnen?“ statt abstrakter Gesetzesfolien.
Einen klaren Meldeweg für Verdachtsfälle und Fehlzugriffe festlegen.
Fazit
Einrichtungen sollten ihr Berechtigungskonzept mit Fachbereichen und IT überprüfen. Dabei ist zu klären, welche Rollen tatsächlich benötigt werden und welche historischen Rechte entfallen können. Zusätzlich sollte ein Konzept zur Protokollauswertung erstellt werden: Wer prüft was, in welchem Anlass, mit welcher Dokumentation? Für Mitarbeitende empfiehlt sich eine kurze Sensibilisierung im Teamformat. Die Botschaft sollte klar sein: Vertraulichkeit gilt auch innerhalb der Einrichtung. Wer keinen dienstlichen Grund hat, darf Daten nicht einsehen.
Um eine Einheitlichkeit der Berechtigungsstrukturen auch über verschiedene Systeme zu gewährleisten, kann es zudem sinnvoll sein, eine globale Berechtigungsrichtlinie zu konzipieren. Hierbei werden auf der Metaebene die wesentlichen Grundsätze und Parameter für Rollen, Berechtigungen und Zugänge für alle IT-Systeme festgelegt; für Leitsysteme wie das KIS werden systemspezifische Definitionen als Anhänge ergänzt und operative Maßnahmen daraus abgeleitet.
Sprechen Sie uns hierzu gerne an. Jetzt Kontakt aufnehmen!
Hinweis: Dieser Beitrag wurde mit Künstlicher Intelligenz erstellt bzw. überarbeitet.