Schlagwort-Archive: Patientendaten

Klinikverbund Gesundheit Nord (Geno) in Bremen: Hacker erbeuten mehrere zehntausend Patientendaten

Der Klinikverbund Gesundheit Nord (Geno) in Bremen ist Opfer einer großangelegten Hackerattacke geworden. Vom 10.-23.05.2023 war das Unternehmen mit 5 Standorten in Bremen deshalb offline. Wie das Regionalmagazin buten un binnen von Radio Bremen am 01.06.2023 berichtet, sollen die Kriminellen dabei an bis zu 100.000 Dateien von Patienten gelangt sein. Geradezu zynisch wirkt in diesem Zusammenhang die Erklärung der Klinikleitung auf ihrer Homepage: “Wir bedauern sehr, dass es zu dieser Situation gekommen ist. Datenschutz ist für uns ein hohes Gut, und wir nehmen das Thema IT-Sicherheit sehr ernst. Leider konnten wir diese Cyber-Attacke trotz aller Sicherheitsmaßnahmen nicht verhindern. Ihre Geschäftsführung der Gesundheit Nord”

Von den Servern der Bremer Kliniken seien Daten in einem erheblichen Umfang kopiert worden, sagte Geno-Pressesprecherin Karen Matiszik. Hauptsächlich Daten aus dem Klinikum Bremen-Ost – und zwar aus allen Bereichen. Diese Daten betreffen sowohl Patient*innen als auch Beschäftigte des Bremer Klinikverbundes. Darunter sind zum Beispiel Stammdaten, Befunde, Sitzungsprotokolle oder Urlaubspläne, so die Geno-Sprecherin.

Die Klinikleitung von Geno erklärt lt. Buten und binnen dazu: Die bisherigen Untersuchungen hätten ergeben, dass der Angriff “zunächst auf dem Endgerät eines externen IT-Dienstleisters stattgefunden hat, durch den die Täter sich Zugangsdaten zu unseren Systemen verschafft haben”. Durch den Diebstahl bestehe die Gefahr, dass “die abgeflossenen Daten durch unbefugte Dritte genutzt werden”. Das heiße, “dass jemand diese Daten nutzen könnte, um Ihnen zu schaden, beispielsweise um Sie zu diskriminieren, Ihren Ruf zu schädigen oder Sie finanziell zu schädigen.” All diese Szenarien müssten nicht eintreten, “in jedem Fall bedeutet es den Verlust der Kontrolle über Ihre personenbezogenen Daten und den Verlust der Vertraulichkeit von Daten, die dem Berufsgeheimnis unterliegen”, schreibt die Geschäftsführung weiter. Auch auf den “schlimmsten Fall” sollten sich Patientinnen und Patienten einrichten. Der “schlimmste Fall” könne bedeuten, “dass Ihnen dadurch wirtschaftliche oder gesellschaftliche Nachteile” entstehen “oder dass jemand versucht, mit Ihren Daten zu betrügen, in dem er beispielsweise sogenanntes Phishing betreibt, also Ihre E-Mail-Daten missbräuchlich nutzt”.


Eine Übersicht über Hackerangriff, Datenpannen und Datenlecks in Einrichtungen und Organisationen des deutschen Gesundheitswesens finden Sie hier.

Wichtige Fragen und Feststellungen zum Thema opt-out-Patientenakte…

veröffentlicht Lilith Wittmann, die Krawallinfluencerin, der Schwarze Block der Verwaltungsdigitalisierungso ihre Selbstbeschreibung – in acht Tweets auf Twitter:

Wichtige Fragen und Feststellungen zum Thema opt-out-Patientenakte… weiterlesen

Medatixx, ein Anbieter von Praxissoftware, eröffnet Ärzt*innen und Psychotherapeut*innen die Möglichkeit, gegen Cash anonymisierte (?) Gesundheits- und Behandlungsdaten ihrer Patient*innen zu verkaufen

Medatixx, ein in Eltville/Hessen ansässiges Unternehmen, das Anbieter von Praxissoftware für Praxen von Ärzt*innen und Psychotherapeut*innen ist, eröffnet derzeit den Inhaber*innen der genannten Praxen die Möglichkeit, gegen eine monatliche Aufwandsentschädigung von – je nach Anzahl der beteiligten Behandler*innen – 30,00 bis 40,00 € anonymisierte Gesundheits- und Behandlungsdaten ihrer jeweiligen Patient*innen zu verkaufen. Medatixx, ein Anbieter von Praxissoftware, eröffnet Ärzt*innen und Psychotherapeut*innen die Möglichkeit, gegen Cash anonymisierte (?) Gesundheits- und Behandlungsdaten ihrer Patient*innen zu verkaufen weiterlesen

Australien: Hacker dringen in die Datenbank einer großen Krankenversicherung ein und veröffentlichen sensible Gesundheits- und andere Daten von Millionen Versicherten im Darknet

Neben medizinischen Befunden und Behandlungen der Versicherten gelangten unter anderem ihre Geburtsdaten, Telefonnummern und E-Mail-Adressen in die Hände der Kriminellen. Das betroffene Versicherungsunternehmen Medibank Private Limited teilt auf seiner Homepage am 09.11.2022 mit:

Wir haben erfahren, dass ein Krimineller in einem Dark-Web-Forum Dateien mit Kundendaten veröffentlicht hat, die vermutlich aus den Systemen von Medibank gestohlen wurden. Zu diesen Daten gehören personenbezogene Daten wie Namen, Adressen, Geburtsdaten, Telefonnummern, E-Mail-Adressen, Medicare-Nummern für ahm-Kunden (ohne Verfallsdatum), in einigen Fällen Passnummern für unsere internationalen Studenten (ohne Verfallsdatum) und einige Daten zu Gesundheitsansprüchen. Australien: Hacker dringen in die Datenbank einer großen Krankenversicherung ein und veröffentlichen sensible Gesundheits- und andere Daten von Millionen Versicherten im Darknet weiterlesen

Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein: Codes des E-Rezept-Verfahrens sind zu schützen!

Am 22.08.2022 wurde anlässlich einer Pressemitteilung der Kassenärztlichen Vereinigung Schleswig-Holstein (KVSH) berichtet, das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD) habe das „E-Rezept“ in Schleswig-Holstein untersagt.

Stimmt das? Verhindert der Datenschutz sogar gute Lösungen im Medizinbereich? Nein!

In einer Pressemitteilung vom 23.08.2022 hat das ULD dazu und zu den Gerüchten bzw. Falschmeldungen aus dem Kreis der Lobbyisten der IT-Gesundheiutsindustrie wie folgt Stellung genommen: Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein: Codes des E-Rezept-Verfahrens sind zu schützen! weiterlesen

Auch dezentral lassen sich gut Patient*innen-Daten verlieren

Unter diesem Titel informiert „Zerforschung“, eine Gruppe von IT-Sicherheitsforscher*innen, über ihre Erfahrungen bei der Untersuchung der in Arztpraxen eingesetzten Software “InSuite” von DocCirrus.

Die Software “inSuite” soll Ärztinnen und Ärzten ihren Praxisalltag erleichtern: Durch ein Terminbuchungstool, digitalisierte Patientenakten oder die Möglichkeit, Dokumente wie etwa Laborbefunde direkt mit Patienten oder anderen behandelnden Ärzten zu teilen. Wer auf die Homepage der Berliner Firma Doc Cirrus geht, wird mit Werbeversprechen überhäuft: Die Software sei wartungs- und sorgenfrei, eine maßgeschneiderte und zukunftsorientierte Lösung für jede Arztpraxis. Und natürlich – so schreibt der Hersteller – seien die Patientendaten absolut sicher: Er verspricht ein 360°-IT-Sicherheitskonzept und den Schutz vor unbefugten Zugriffen.

Schon im ersten Absatz des Erfahrungsberichts der Gruppe „Zerforschung“ wird deutlich, was von diesem Heilsversprechen zu halten ist: Unfassbar, aber wahr: Auch in Deutschland kommt die Digitalisierung an. Mittlerweile sogar in Arztpraxen. Termine buchen, Akten durchsuchen, Krankschreibungen und Abrechnungen ausstellen – das alles kann mit einer Software erledigt werden. Die kennt dann Praxen und Patient*innen sehr gut – sehr, sehr gut sogar. Genauso unfassbar, aber leider auch wahr: Als wir uns eine dieser Softwarelösungen für Arztpraxen mal genauer angeschaut haben, hat sie sehr viele Daten verloren. Sehr, sehr viele: Von mehr als einer Million Patient*innen.“ Auch dezentral lassen sich gut Patient*innen-Daten verlieren weiterlesen

Stiftung Datenschutz: Nützliche Hinweise zum Thema besonders schützenswerte Daten i. S.d. Art. 9 DSGVO – dazu zählen auch Gesundheitsdaten

Art. 9 DSGVO (Verarbeitung besonderer Kategorien personenbezogener Daten) normiert in Abs. 1, welche Kategorien von Daten grundsätzlich untersagt ist:

  • Rassische und ethnische Herkunft,
  • politische Meinungen,
  • religiöse oder weltanschauliche Überzeugungen,
  • Gewerkschaftszugehörigkeit,
  • genetische Daten,
  • biometrische Daten,
  • Gesundheitsdaten,
  • Daten zum Sexualleben oder der sexuellen Orientierung.

Dieses grundsätzliche Verbot der Verarbeitung der genannten Datenkategorien wird in Art. 9 Abs. 2 ergänzt um Fallkonstellationen, in denen die Verarbeitung der genannten Daten zulässig sein kann und welche Voraussetzungen dafür vorliegen müssen.Die Stiftung Datenschutz hat dieser Thematik zwei gut verständliche Beiträge gewidmet:

Großbritannien: Ehemaliger Gesundheitsberater wegen illegalen Zugriffs auf Patientendaten schuldig gesprochen

Das teilte das Information Commissioner’s Office (ICO), die unabhängige britische Aufsichtsbehörde für das Datenschutz- und Informationsrecht, am 05.08.2022 mit.

Ein ehemaliger Gesundheitsberater wurde für schuldig befunden, ohne triftigen Grund auf die Krankenakten von Patienten zugegriffen zu haben. Er arbeitete beim National Health Service (NHS),dem nationalen staatlichen Gesundheitsdienst in Großbritannien. Zwischen Juni und Dezember 2019 griff er unrechtmäßig auf die Akten von 14 Patient*innen zu, die ihm persönlich bekannt waren. Er wurde zur Zahlung einer Entschädigung in Höhe von 250 £ an 12 Patienten verurteilt, insgesamt also 3.000 £ (= ca. 3.550 €). Großbritannien: Ehemaliger Gesundheitsberater wegen illegalen Zugriffs auf Patientendaten schuldig gesprochen weiterlesen

Folge des Klimawandels: Chaos nach Computerausfall durch Hitze in führenden Londoner Krankenhäusern – Patientensicherheit durch IT-Ausfall gefährdet

Das meldet die britische Zeitung The Guardian am 07.08.2022. In dem Bericht wird u. a. mitgeteilt:

Zwei der führenden Krankenhäuser Großbritanniens mussten in den letzten drei Wochen Operationen absagen, Termine verschieben und schwerkranke Patienten in andere Zentren verlegen, nachdem ihre Computer auf dem Höhepunkt der Hitzewelle im letzten Monat abgestürzt waren. Folge des Klimawandels: Chaos nach Computerausfall durch Hitze in führenden Londoner Krankenhäusern – Patientensicherheit durch IT-Ausfall gefährdet weiterlesen

Oberlandesgericht Düsseldorf: Gesundheitsdaten unverschlüsselt an falsche E-Mail-Adresse versandt – 2.000 € Schadenersatz

Was war passiert? Eine Frau (gesetzlich versichert) will zu einer privaten Krankenversicherung wechseln. Dazu benötigt sie Unterlagen, die ihre bisherige Krankenkasse über sie hat. Sie bittet diese, ihr alle vorhandenen Daten an ihre private E-Mailadresse zu senden. Dies tut die bisherige Krankenkasse – aber erstens unverschlüsselt und zweitens an eine falsche Mailadresse. Als die Krankenkasse nach diversen Anrufen und anderen Kontakten ihren Fehler feststellte, sandte sie die gesammelten Daten per Post an ihr (Noch)-Mitglied. Als Ausgleich für die „seelische Belastung angesichts des unsicheren Verbleibs seiner Daten“ forderte die Versicherte 15.000 Schadensersatz  Die Kasse wies diese Forderung zurück. Sie bot – ohne Anerkennung einer Rechtspflicht – als Ausgleich 500 € an. Der Versicherte reichte auf der Grundlage des Art. 82 DSGVO Klage ein.

In zweiter Instanz, vor dem Oberlandesgericht Düsseldorf (Aktenzeichen: 16 U 275/20) erzielte die Klägerin einen Teilerfolg:

  • Das Gericht bestätigte zunächst, dass die Kasse durch den Versand der Akte an die falsche Adresse einen Datenschutzverstoß begangen habe und daher Schadensersatz zahlen müsse.
  • Unbeanstandet ließ das Gericht aber den unverschlüsselten Versand der Daten. Denn durch ihre Anfrage habe sie der Kasse signalisiert, dass sie die Übersendung ihrer Daten in E-Mail-Form wünsche. Da sie keine besonderen Sicherheitsvorkehrungen angemahnt habe, habe sie damit rechnen müssen, dass die Kasse ihrem Wunsch entsprechend agiere. Damit habe sie faktisch eine Einwilligung in die unverschlüsselte Übersendung der Krankenakte erteilt.
  • Für ihre seelischen Belastungen infolge der Ungewissheit gestand ihr das Gericht einen Schadenersatzanspruch von 2.000 € zu.

Krankenkassen haben mehr kritische Daten über ihre Versicherten als jede andere Institution: Krankheiten, Behandlungen, Einkommen, Arbeitsplätze, Anschriften.

Sie können Ihre Krankenkasse fragen, welche Daten sie über Sie gespeichert hat. Die Krankenkasse ist verpflichtet, Ihre Anfrage innerhalb von vier Wochen kostenlos zu beantworten. Der Anfrage-Generator des Vereins Patientenrechte und Datenschutz e. V. hilft Ihnen dabei, eine entsprechende Anfrage zu erstellen. Nahezu 1.400 Menschen haben bisher davon Gebrauch gemacht.