HIPAA-Anforderungen an Daten-Backups: ein Überblick

Der Health Insurance Portability and Accountability Act (HIPAA) schreibt Protokolle und Regelungen vor, nach denen sensible Benutzerdaten im Gesundheitswesen aufbewahrt und geschützt werden müssen. Die Einhaltung ist verpflichtend. Wer wissentlich gegen HIPAA-Vorgaben verstößt, etwa indem er Gesundheitsdaten von Personen offenlegt, muss mit empfindlichen Geldstrafen und sogar Haftstrafen rechnen. Deshalb ist es wichtig, dass Ihre Datenpraktiken, Ihre Infrastruktur und die Dritten, denen Sie die Speicherung und den Schutz sensibler Informationen anvertrauen, die HIPAA-Vorgaben kennen und einhalten.

Dieser Artikel hilft Ihnen dabei, die HIPAA-Anforderungen an Daten-Backups in Bezug auf Archivierung und Datensicherung besser zu verstehen, einschließlich Verschlüsselung und Offsite-Backups. Außerdem erklärt er die HIPAA Security Rule, damit Sie Ihre Pflichten kennen und wissen, wie Sie die regulatorischen Anforderungen dauerhaft erfüllen.

Darum sind Daten-Backups im Gesundheitswesen so wichtig

Daten-Backups sind für den laufenden Betrieb jedes Unternehmens unverzichtbar und im Gesundheitswesen besonders wichtig: Informationen müssen aufbewahrt werden, um die Gesundheit von Patient:innen dauerhaft zu sichern, etwa durch die Einsicht in die Krankengeschichte, und um mögliche rechtliche Anforderungen zu erfüllen, beispielsweise die Prüfung zurückliegender interner Kommunikation.

Gesundheitsdaten sind zudem höchst persönlich und sensibel. Es liegt in Ihrer Verantwortung, die Privatsphäre derjenigen zu schützen, die Ihnen diese Daten anvertraut haben, sorgfältig damit umzugehen und durch geeignete Kontrollen zu verhindern, dass sie ohne Einwilligung offengelegt oder weitergegeben werden.

Deshalb müssen Sie Backup-Richtlinien und eine Infrastruktur einführen, die sowohl robust als auch vollständig HIPAA-konform sind.

HIPAA-Anforderungen an Daten-Backups und die HIPAA Security Rule verstehen

Bevor Sie Ihre HIPAA-Pflichten einordnen können, müssen Sie klären, ob Sie als Covered Entity oder als Business Associate mit ePHI umgehen. Die Begriffe sind wie folgt definiert:

• ePHI (Electronic protected health information) sind alle digital gespeicherten oder übertragenen Informationen über die Gesundheit einer Person oder über die Gesundheitsleistungen, die sie erhalten hat, einschließlich Notizen, Laborergebnissen sowie Abrechnungs- und Versicherungsdaten.
• Covered Entities sind alle Parteien, die mit ePHI umgehen und die HIPAA-Vorgaben einhalten müssen. Dazu zählen Einrichtungen wie Krankenhäuser, Apotheken und Pflegeheime ebenso wie Ärzt:innen, Chiropraktiker:innen und Psycholog:innen.
• Business Associates sind Parteien, die für Covered Entities oder andere Business Associates Dienstleistungen erbringen, bei denen ePHI verarbeitet werden, etwa IT-Dienstleister, Cloud-Plattformen und Beratungsunternehmen.

Welche Gesundheitsdaten Sie aufbewahren und schützen müssen, hängt von den Tätigkeiten Ihres Unternehmens ab. Dazu gehören unter anderem Nachweise zu Richtlinien, Verfahren, Mitarbeiter:innenschulungen, Beschwerden, Sicherheitsvorfällen, Zugriffs- und Audit-Protokollen, Risikobewertungen und elektronischer Kommunikation.

Darüber hinaus müssen Vereinbarungen und Aufzeichnungen zu den Beziehungen zwischen Covered Entities und Business Associates aufbewahrt werden. HIPAA schreibt hierfür eine Aufbewahrungsfrist von 6 Jahren vor. Verschiedene bundesstaatliche und lokale Gesetze können jedoch längere Aufbewahrungsfristen für Gesundheitsdaten vorschreiben, teilweise bis zu 10 Jahre.

Wenn Sie als Covered Entity oder Business Associate mit ePHI umgehen, müssen Sie die einschlägigen HIPAA-Vorgaben einhalten. Nach der HIPAA Security Rule umfassen Ihre Pflichten für die Daten, die Sie aufbewahren und sichern, Folgendes:

• Die Vertraulichkeit aller erstellten, gepflegten, empfangenen oder übertragenen ePHI sicherstellen.
• Die Integrität aller ePHI gegen Veränderung, Beschädigung oder Löschung wahren.
• Angemessenen Schutz vor absehbaren Bedrohungen für die Sicherheit von ePHI bieten.
• Vor unbefugtem Zugriff und Missbrauch der Daten schützen.
• Sicherstellen, dass Beschäftigte und andere Parteien mit Zugriff auf ePHI selbst konform handeln.

Zusätzlich zur HIPAA Security Rule müssen Sie die zugehörige Privacy Rule zur Weitergabe von Gesundheitsdaten kennen, wenn Sie ePHI über Dienste von Drittanbietern speichern oder sichern.

Die HIPAA Privacy Rule legt fest, welche Rechte Patient:innen beim Zugriff auf ihre ePHI und bei deren Berichtigung haben. Sie definiert außerdem, welche Angaben Covered Entities und Business Associates zur Nutzung und Weitergabe der Daten offenlegen müssen, auch im Fall einer unbeabsichtigten Offenlegung oder einer Datenschutzverletzung.

Wenn Sie Ihre Backup-Praktiken, Ihre Hardware und Ihre Dienste geplant haben, sollten Sie die offiziellen HIPAA-Dokumente sowie alle weiteren regionalen Vorgaben zu Gesundheitsdaten und zum Schutz der Privatsphäre von Benutzer:innen sorgfältig prüfen.

HIPAA Contingency Plan Rules: HIPAA-konforme Backup-Verfahren umsetzen

HIPAA legt nicht nur fest, welche Daten aufbewahrt werden müssen. Unternehmen sind zusätzlich verpflichtet, Notfallmaßnahmen zu dokumentieren, zu pflegen und regelmäßig zu testen, damit sie den Zugriff auf ePHI bei Systemstörungen schnell und korrekt wiederherstellen können. HIPAA-Notfallpläne setzen Standards und Anforderungen an Datenspeicherung und Backup voraus, die Integrität und Verfügbarkeit von ePHI gewährleisten.

Wenn Sie Datenlösungen einführen, die Gesundheitsdaten verarbeiten, sollten Sie Folgendes berücksichtigen:

• Backup-Plan: Ein HIPAA-konformer Backup-Plan bedeutet, exakte und abrufbare Kopien der ePHI vorzuhalten, einschließlich Patientenakten, diagnostischer Bilddaten, Testergebnisse und administrativer Systeme. Unternehmen müssen Backups außerdem regelmäßig testen, die Datenintegrität prüfen und Wiederherstellungsprozesse validieren, damit ePHI im Bedarfsfall erfolgreich wiederhergestellt werden können.
• Notfallwiederherstellungsplan: Unternehmen brauchen einen dokumentierten Plan, der beschreibt, wie ePHI nach Ransomware-Angriffen, Hardware-Ausfällen, Naturkatastrophen oder Ausfällen von Cloud-Diensten aus Backups wiederhergestellt werden. Dieser HIPAA-Notfallplan sollte jederzeit verfügbar sein, an mehr als einem Ort sicher aufbewahrt und regelmäßig getestet werden, damit Daten und Systeme im Bedarfsfall wiederhergestellt werden können.
• Plan für den Notbetrieb: ePHI sollten auch im Notfall verfügbar sein, etwa bei Naturkatastrophen, Sicherheitsvorfällen oder Diebstahl. Offsite-Backups und redundante Systeme stellen sicher, dass der Zugriff auf Gesundheitsdaten weiterhin möglich ist.
• Test- und Überarbeitungsverfahren: Sie sollten nicht nur Ihre Datensysteme und die Integrität der Daten selbst regelmäßig testen, sondern auch die Wirksamkeit Ihrer Backup- und Notfallwiederherstellungspläne in regelmäßigen Abständen prüfen und die Pläne an neue Anforderungen oder Änderungen anpassen.
• Analyse der Kritikalität von Anwendungen und Daten: Priorisieren Sie das Backup geschäftskritischer Systeme und testen Sie regelmäßig, wie wirksam Ihre Wiederherstellungsprozesse sind.

Ihre Datenrichtlinien und Pläne sowie die zugehörigen Audit-Protokolle sollten ebenfalls Teil Ihrer HIPAA-konformen Backups sein, um Compliance und Nachvollziehbarkeit sicherzustellen.

Best Practices für Backups und zusätzliche Sicherheitsmaßnahmen

Wenn Sie Ihre Backup-Infrastruktur für Anwendungsfälle im Gesundheitswesen in den USA aufbauen, sollten Sie Best Practices folgen und gängige Maßnahmen für Redundanz, Sicherheit und Verschlüsselung umsetzen:

• Geplante, regelmäßige Backups: Stellen Sie sicher, dass Backups automatisiert nach einem Zeitplan laufen und häufig genug erfolgen, um Änderungen an ePHI zu erfassen. Für häufig wechselnde Daten können dafür unterschiedliche Backup-Zeitpläne nötig sein.
• Manuelle Backups: Sie sollten jederzeit manuelle Backups durchführen können, wenn diese angefordert werden oder eine größere Systemänderung bzw. ein Software-Update ansteht.
• Mehrere Offsite-Backups: Sorgen Sie dafür, dass aktuelle Backups extern gespeichert werden, falls lokale Datenkopien bei einer Katastrophe zerstört werden. Das sollte Ihrem Backup- und Notfallwiederherstellungsplan entsprechen und sowohl Backups in der Cloud als auch Backups auf physischen Medien umfassen, über die Sie die volle Kontrolle behalten. Empfohlen werden mindestens drei Datenkopien.
• Datenverschlüsselung: Alle gesicherten ePHI sollten während der Übertragung und im Ruhezustand verschlüsselt sein, um die HIPAA-Compliance zu gewährleisten.
• Zugriffskontrolle: Beschränken Sie den Zugriff auf Daten und Backups auf autorisierte Benutzer:innen. Rollenbasierte Zugriffskontrolle (RBAC) ist ein wirksames Modell, um den Zugriff auf sensible Ressourcen zu verwalten. Zusätzlich sollte eine Zwei-Faktor-Authentifizierung eingerichtet werden, um die Dateninfrastruktur vor unbefugtem Zugriff zu schützen.
• Physische Sicherheit: Auch der physische Zugang zu Geräten mit sensiblen Gesundheitsdaten sollte eingeschränkt werden.
• Firewall und Endpunktschutz: Schützen Sie Ihr Netzwerk mit strengen Firewall-Regeln und stellen Sie Endpunktschutz auf Ihren Geräten bereit, um Cyberangriffe und Malware abzuwehren.
• Schulung und Kommunikation: Teammitglieder sollten ihre Verantwortung für Datenschutz und Datensicherheit kennen und sich sicher fühlen, Verantwortliche auf möglichen Datenverlust oder Missbrauch hinzuweisen, damit geeignete Maßnahmen zur Minderung und Wiederherstellung ergriffen werden können.

Sie sollten außerdem Ihre gesamte IT-Landschaft, einschließlich Beschäftigter und externer Dienstleister, gründlich dokumentieren und regelmäßig Sicherheitsaudits durchführen, auch für die Backup-Infrastruktur. So stellen Sie sicher, dass alle Geräte und Dienste mit ePHI erfasst sind und deren Sicherheit dauerhaft gewährleistet bleibt.

Unbedingt prüfen sollten Sie, ob Ihr Backup-Anbieter HIPAA-konform ist. Es liegt in Ihrer Verantwortung, sicherzustellen, dass alle ePHI weiterhin ordnungsgemäß behandelt werden, auch nachdem Sie sie an Dritte weitergegeben haben.

So reduzieren Sie HIPAA-Compliance-Aufwand und -Verantwortung für Ihre IT-Teams

Wenn Sie Ihre HIPAA-konformen Strategien für Datenaufbewahrung und Backups umgesetzt haben, einschließlich verschlüsselter Offsite-Backups sowie regelmäßiger Audits und Tests, sollten Sie Ihre Datenpflichten in regelmäßigen Abständen überprüfen. Zu dieser Prüfung gehört die Frage, welche Daten Sie vorhalten, ob Sie die HIPAA Security Rule und Privacy Rule weiterhin einhalten und welche neuen Maßnahmen erforderlich sind.

Um einen vollständigen und detaillierten Überblick über die Gesetzgebung zu erhalten und wirklich konform zu sein, müssen Sie das HIPAA-Dokument selbst natürlich vollständig lesen und verstehen. Das ist kein kleines Unterfangen, gerade für ohnehin stark ausgelastete IT-Teams.

Hinzu kommt: HIPAA und andere regulatorische Datenanforderungen werden laufend aktualisiert und ergänzt. Regulatorische Rahmenwerke wie HIPAA können sich ändern und werden mitunter unterschiedlich ausgelegt. Deshalb ist es entscheidend, MSPs einzubinden und Plattformen zu nutzen, die diese Entwicklungen im Blick behalten und Ihnen die Arbeit rund um die Compliance abnehmen.

Erfahren Sie mehr darüber, wie NinjaOne HIPAA-konformen Fernzugriff, Backup und RMM-Software in einer einzigen IT-Management-Plattform vereint und wie Sie damit auch bei sich ständig ändernden Compliance-Vorgaben und Bedrohungslagen konform bleiben.