Was ist HIPAA-Compliance? Alles, was Sie wissen müssen

* Anmerkung der Redaktion: Dieser Artikel wurde aktualisiert und gibt den Stand der HIPAA-Compliance-Anforderungen Mitte 2026 wieder. So haben HHS/OCR beispielsweise weitreichende Änderungen an der Security Rule vorgeschlagen (veröffentlicht am 6. Januar 2025), diese sind jedoch nicht final. Es gelten weiterhin die aktuellen HIPAA-Regelwerke. Ob und wann eine endgültige Fassung erscheint, ist nicht bestätigt.

In diesem Artikel erfahren Sie ausführlich alles Wissenswerte zur HIPAA-Compliance. HIPAA wurde mit zwei zentralen Zielen eingeführt:

• Die Gesundheitsdaten von Einzelpersonen zu schützen und gleichzeitig den Fluss jener Gesundheitsdaten zu ermöglichen, die für eine hochwertige medizinische Versorgung nötig sind
• Die öffentliche Gesundheit und das öffentliche Wohlergehen zu schützen.

Was ist HIPAA-Compliance?

HIPAA, der Health Insurance Portability and Accountability Act, ist ein US-Bundesgesetz aus dem Jahr 1996, das die Effizienz und Wirksamkeit des Gesundheitssystems verbessern soll. HIPAA fördert den Schutz und die vertrauliche Handhabung geschützter Gesundheitsdaten (Protected Health Information, PHI). HIPAA-Compliance bedeutet, die im Gesetz festgelegten Standards und Vorgaben einzuhalten, um PHI vor unbefugtem Zugriff und vor Datenschutzverletzungen zu schützen.

Welche Anforderungen stellt die HIPAA-Compliance?

Um HIPAA einzuhalten, müssen Ihre betroffene Einrichtung und Ihre Geschäftspartner bestimmte Regeln und Vorschriften zum Schutz von PHI befolgen:

Privacy Rule

Die Privacy Rule legt landesweite Standards für den Schutz von PHI fest. Sie gilt für sämtliche Formen personenbezogener Gesundheitsdaten, also elektronische, schriftliche und mündliche. Die wichtigsten Ziele der Regelung sind:

• Nutzung und Weitergabe von PHI auf bestimmte Zwecke beschränken, etwa Behandlung, Abrechnung und betriebliche Abläufe im Gesundheitswesen, sofern keine ausdrückliche Einwilligung der Patient:innen vorliegt.
• Die Rechte der Patient:innen an ihren Gesundheitsdaten sicherstellen, darunter
  • eine Kopie ihrer Unterlagen zu erhalten,
  • Korrekturen zu verlangen und
  • darüber informiert zu werden, wie ihre Daten genutzt und weitergegeben werden.
• Administrative, physische und technische Schutzmaßnahmen umsetzen, um die Vertraulichkeit von PHI zu wahren.

Aktuelle und vorgeschlagene Änderungen an den HIPAA-Regelwerken:

• Datenschutz im Bereich reproduktive Gesundheit: Das Office for Civil Rights (OCR), die für die Durchsetzung von HIPAA zuständige Behörde, legte 2024 eine endgültige Regelung vor, die den Datenschutz im Bereich reproduktive Gesundheit stärkte. Sie untersagte die Nutzung von PHI, um rechtmäßige reproduktionsmedizinische Versorgung zu untersuchen oder zu sanktionieren, sofern keine unterzeichnete Erklärung vorlag. Ein Bundesrichter im Northern District of Texas hob diese Regelung jedoch am 18. Juni 2025 landesweit auf (Purl v. HHS). Die erweiterten Schutzmaßnahmen und die Erklärungspflicht gelten nicht mehr. Bestehen bleibt ein enger gefasster Satz an Änderungen zur Notice of Privacy Practices (NPP) im Zusammenhang mit Unterlagen zu Suchterkrankungen (42 CFR Part 2), für die der 16. Februar 2026 als Compliance-Stichtag gilt.
• Verbesserungen bei Zugriff und Koordination: Ein separater, seit 2020 anhängiger Vorschlag würde die Fristen für den Patientenzugriff präzisieren, die schriftliche Empfangsbestätigung der NPP abschaffen, Weitergaben an pflegende Angehörige erlauben, Hürden beim Datenaustausch für Behandlung, Abrechnung und betriebliche Abläufe senken sowie Definitionen wie „elektronische Gesundheitsakte“ aktualisieren. Er wurde bislang nicht abgeschlossen.

Security Rule

Die Security Rule ergänzt die Privacy Rule und widmet sich gezielt elektronischen Gesundheitsdaten (ePHI). Sie legt Standards für die Sicherheit von ePHI fest und schreibt Sicherheitsmaßnahmen vor, die vor Gefahren für Integrität, Vertraulichkeit und Verfügbarkeit der Daten schützen. Die Security Rule gliedert sich in drei Kategorien von Schutzmaßnahmen:

• Administrative Schutzmaßnahmen: Richtlinien und Verfahren zur Steuerung von Auswahl, Entwicklung, Implementierung und Pflege von Sicherheitsmaßnahmen zum Schutz von ePHI.
• Physische Schutzmaßnahmen: Maßnahmen, die elektronische Informationssysteme sowie zugehörige Gebäude und Ausstattung vor Natur- und Umweltgefahren sowie vor unbefugtem Eindringen schützen.
• Technische Schutzmaßnahmen: Technologien und Richtlinien, die ePHI schützen und den Zugriff darauf steuern, darunter Maßnahmen wie Verschlüsselung, Zugriffskontrollen und Audit-Kontrollen.

Vorgeschlagene Änderungen an den HIPAA-Regelwerken:

Status: vorgeschlagen, Stand Mitte 2026 nicht final

• Verpflichtende Multi-Faktor-Authentifizierung (MFA): Alle regulierten Einrichtungen müssen MFA einsetzen, um die Sicherheit zu erhöhen und unbefugten Zugriff auf ePHI zu verhindern.
• Anforderungen an die Verschlüsselung: Die Verschlüsselung von ePHI im Ruhezustand und bei der Übertragung ist künftig verpflichtend statt nur „adressierbar“, um den Datenschutz zu stärken.
• Jährliche Sicherheitsrisikobewertungen: Einrichtungen müssen mindestens einmal pro Jahr eine umfassende Sicherheitsrisikobewertung durchführen, um Sicherheitsschwachstellen zu ermitteln.
• Strengere Aufsicht über Anbieter: Geschäftspartner müssen betroffene Einrichtungen innerhalb von 24 Stunden informieren, wenn sie aufgrund eines Sicherheitsvorfalls ihre Notfallpläne aktivieren.
• Inventare der Technologie-Assets und Netzwerk-Mapping: Unternehmen müssen ein aktuelles Inventar ihrer Technologie-Assets führen und die ePHI-Datenflüsse in ihrem Netzwerk abbilden.

Ergänzender Hinweis: Dieser Vorschlag wurde am 6. Januar 2025 im Federal Register veröffentlicht, die Kommentierungsfrist endete am 7. März 2025. Das OCR hatte den Abschluss für Mai 2026 angestrebt. Dieser Termin ist ohne endgültige Regelung verstrichen, und ein Bündnis aus über 100 Krankenhaus- und Leistungserbringerverbänden hat das HHS aufgefordert, den Vorschlag vollständig zurückzuziehen, mit Verweis auf geschätzte Compliance-Kosten von 9 Milliarden US-Dollar im ersten Jahr. Derzeit gibt es keinen bestätigten Termin für den Abschluss.

Enforcement Rule

Die Enforcement Rule legt die Standards für die Durchsetzung sämtlicher Administrative Simplification Rules fest, einschließlich der Privacy Rule und der Security Rule. Sie beschreibt das Untersuchungsverfahren, die Strafen bei Verstößen sowie die Abläufe für Anhörungen und Rechtsmittel. Die Sanktionen bei Verstößen können gravierend ausfallen.

Nach der jüngsten Inflationsanpassung (gültig ab 28. Januar 2026) gelten folgende zivilrechtliche Geldbußen:

• Level 1 (keine Kenntnis): 145 bis 73.011 US-Dollar pro Verstoß
• Level 2 (nachvollziehbarer Grund): 1.461 bis 73.011 US-Dollar pro Verstoß
• Level 3 (vorsätzliche Vernachlässigung, innerhalb von 30 Tagen behoben): 14.602 bis 73.011 US-Dollar pro Verstoß
• Level 4 (vorsätzliche Vernachlässigung, nicht behoben): 73.011 bis 2.190.294 US-Dollar pro Verstoß

Für jedes Level gilt eine gesetzliche Jahresobergrenze von 2.190.294 US-Dollar bei Verstößen gegen dieselbe Bestimmung. Allerdings wendet das OCR auf Basis seiner Notice of Enforcement Discretion von 2019 derzeit niedrigere Jahresobergrenzen auf die Level 1 bis 3 an (rund 36.506, 146.053 beziehungsweise 365.052 US-Dollar), solange diese Vorgehensweise nicht aufgehoben wird. Diese Beträge werden jährlich an die Inflation angepasst.

Bei vorsätzlichem Missbrauch von PHI können strafrechtliche Sanktionen verhängt werden, mit Geldstrafen von bis zu 250.000 US-Dollar und Freiheitsstrafen von bis zu 10 Jahren.

Vorgeschlagene Änderungen an den HIPAA-Regelwerken:

• Strengere Bußgeld-Level: Das OCR hat im Rahmen der umfassenden Überarbeitung der Security Rule Interesse an höheren Geldbußen bei wiederholten Verstößen und vorsätzlicher Vernachlässigung der HIPAA-Compliance signalisiert.
• Erweiterte Untersuchungsbefugnisse: Die Aufsichtsbehörden haben Befugnisse für Audits und Untersuchungen vorgeschlagen, einschließlich unangekündigter Compliance-Prüfungen.
• Konsequentere Durchsetzung individueller Rechte: Das OCR verfolgt weiterhin aktiv Fälle zum Auskunftsrecht von Patient:innen und verhängt Strafen bei Verzögerungen oder ausbleibender Herausgabe angeforderter Informationen.

Breach Notification Rule

Die Breach Notification Rule verpflichtet Sie dazu, betroffene Personen, den Secretary of HHS und in bestimmten Fällen auch die Medien zu informieren, wenn ungesicherte PHI von einer Datenschutzverletzung betroffen sind. Die Regelung nennt konkrete Anforderungen an die Benachrichtigung:

• Benachrichtigung betroffener Personen: Betroffene Personen müssen ohne unangemessene Verzögerung und spätestens 60 Tage nach Entdeckung der Datenschutzverletzung informiert werden.
• Benachrichtigung des HHS: Sind 500 oder mehr Personen betroffen, muss die betroffene Einrichtung das HHS ohne unangemessene Verzögerung und spätestens 60 Tage nach Entdeckung informieren. Betrifft eine Datenschutzverletzung weniger als 500 Personen, kann die Meldung an das HHS jährlich erfolgen, spätestens 60 Tage nach Ende des Kalenderjahres, in dem der Vorfall entdeckt wurde.
• Benachrichtigung der Medien: Sind mehr als 500 Einwohner:innen eines Bundesstaates oder einer Gerichtsbarkeit betroffen, muss die betroffene Einrichtung bedeutende Medien in der Region informieren.

Vorgeschlagene und verwandte Änderungen an den HIPAA-Regelwerken:

• Keine kürzeren Meldefristen: Die oben genannten 60-Tage-Fristen bleiben unverändert. Geändert hat sich eine separate, vorgeschlagene Anforderung im Rahmen der Security Rule: Geschäftspartner müssten betroffene Einrichtungen innerhalb von 24 Stunden informieren, nachdem sie infolge eines Sicherheitsvorfalls einen Notfallplan aktiviert haben.
• Verpflichtende Meldung von Cybersicherheitsvorfällen: Nach der vorgeschlagenen Aktualisierung der Security Rule würden mehr Sicherheitsvorfälle mit ePHI-Bezug interne Meldepflichten zwischen Geschäftspartnern, Subunternehmen und betroffenen Einrichtungen auslösen, auch wenn der Vorfall nicht die Schwelle einer meldepflichtigen „Datenschutzverletzung“ erreicht.
• Zusätzliche bundesstaatliche und lokale Meldepflichten: Manche Gerichtsbarkeiten verlangen Meldungen, die über die bundesrechtlichen Vorgaben hinausgehen. Betroffene Einrichtungen sollten das jeweilige Landesrecht eigenständig im Blick behalten, da es kürzere Fristen als HIPAA vorschreiben kann. .

Wer muss HIPAA-konform sein?

HIPAA-Compliance ist für zwei Hauptgruppen verpflichtend: betroffene Einrichtungen (Covered Entities) und Geschäftspartner (Business Associates).

Betroffene Einrichtungen

Dazu zählen:

• Krankenversicherungen, darunter Versicherungsunternehmen, HMOs, betriebliche Gesundheitspläne und bestimmte staatliche Programme, die medizinische Leistungen finanzieren.
• Healthcare Clearinghouses, die nicht standardisierte Gesundheitsdaten, die sie von anderen Stellen erhalten, in ein Standardformat überführen (oder umgekehrt).
• Leistungserbringer im Gesundheitswesen, darunter Ärzt:innen, Praxen, Krankenhäuser, Psycholog:innen, Chiropraktiker:innen, Pflegeheime, Apotheken und jede weitere Stelle, die Gesundheitsleistungen erbringt und Gesundheitsdaten elektronisch übermittelt.

Geschäftspartner

Geschäftspartner sind Personen oder Einrichtungen, die im Auftrag einer betroffenen Einrichtung Aufgaben oder Tätigkeiten ausführen beziehungsweise bestimmte Leistungen für sie erbringen, bei denen PHI genutzt oder weitergegeben werden. Beispiele für Geschäftspartner sind:

• Externe Abrechnungsdienstleister
• IT-Service-Anbieter
• Berater:innen
• Anbieter von Datenspeicherung

Auch Geschäftspartner müssen die HIPAA-Vorgaben einhalten und mit den betroffenen Einrichtungen, für die sie tätig sind, eine Geschäftspartnervereinbarung (BAA) abschließen.

Best Practices für HIPAA-Compliance

Um HIPAA-Compliance zu erreichen und dauerhaft sicherzustellen, sollten Sie mehrere Best Practices befolgen:

Risikobewertung und Risikomanagement

Regelmäßige Risikobewertungen sind notwendig, um mögliche Schwachstellen im Umgang mit PHI aufzudecken. Eine gründliche Risikobewertung umfasst diese Schritte:

1. Potenzielle Risiken und Schwachstellen erkennen und dokumentieren: Prüfen Sie alle Aspekte davon, wie PHI erstellt, empfangen, gespeichert und übertragen werden.
2. Wahrscheinlichkeit und Auswirkungen möglicher Bedrohungen analysieren: So lassen sich Risiken priorisieren und die erforderlichen Schutzmaßnahmen bestimmen.
3. Geeignete Sicherheitsmaßnahmen umsetzen: Auf Basis der Risikoanalyse sollten Sie Maßnahmen ergreifen, um die erkannten Risiken zu verringern.
4. Die Risikobewertung regelmäßig überprüfen und aktualisieren: Durch kontinuierliche Überwachung und Aktualisierung der Risikobewertung stellen Sie sicher, dass neue Bedrohungen zeitnah erkannt und behandelt werden.

Schulung und Sensibilisierung der Mitarbeiter:innen

Schulen Sie Ihre Mitarbeiter:innen zu den HIPAA-Vorgaben und zur Bedeutung des PHI-Schutzes. Wirksame Schulungsprogramme sollten Folgendes leisten:

• HIPAA-Grundlagen vermitteln: Schulen Sie alle Beschäftigten, damit sie die zentralen Bestandteile von HIPAA und ihre eigene Verantwortung verstehen.
• Konkrete Richtlinien und Verfahren einbeziehen: Schulen Sie Ihre Mitarbeiter:innen zu den spezifischen Richtlinien und Verfahren, die die Compliance sicherstellen.
• Regelmäßige Auffrischungen anbieten: Sorgen Sie für fortlaufende Schulungen, damit Ihr Team über Änderungen der HIPAA-Vorgaben und neue Bedrohungen informiert bleibt.
• Eine Compliance-Kultur fördern: Schaffen Sie ein Umfeld, in dem sich Beschäftigte für den Schutz von PHI verantwortlich fühlen und ermutigt werden, mögliche Verstöße zu melden.

Verschlüsselung und Schutz von Daten

Die Verschlüsselung sensibler Gesundheitsdaten ist eine grundlegende Sicherheitsmaßnahme: Werden Daten abgefangen, sind sie ohne den Schlüssel nicht lesbar. Zu den Best Practices für die Verschlüsselung gehören:

• Daten im Ruhezustand und bei der Übertragung verschlüsseln: Schützen Sie PHI sowohl während der Speicherung als auch bei der Übertragung über Netzwerke.
• Starke Verschlüsselungsstandards nutzen: Stellen Sie sicher, dass die Verfahren den aktuellen Branchenstandards entsprechen und regelmäßig an neue Bedrohungen angepasst werden.
• Sicheres Schlüsselmanagement etablieren: Verwalten Sie Verschlüsselungsschlüssel sachgerecht, um unbefugten Zugriff zu verhindern.

Zugriffskontrolle und Authentifizierung

Die Steuerung des Zugriffs auf PHI ist ein wichtiger Baustein, um unbefugte Zugriffe zu verhindern. Zu wirksamen Maßnahmen für Zugriffskontrolle und Authentifizierung zählen:

• Rollenbasierte Zugriffskontrollen (RBAC) einführen: Beschränken Sie den Zugriff auf PHI anhand der Rolle der jeweiligen Person im Unternehmen.
• Starke Authentifizierungsverfahren einsetzen: Führen Sie MFA ein, um eine zusätzliche Sicherheitsebene zu schaffen.
• Zugriffskontrollen regelmäßig überprüfen: Prüfen und aktualisieren Sie Berechtigungen in festen Abständen, damit nur befugte Personen Zugriff auf PHI haben.

Audit-Trails und Überwachung

Audit-Trails und die Überwachung von PHI-Zugriffen helfen dabei, verdächtige Aktivitäten zu erkennen und darauf zu reagieren. Zu den Best Practices gehören:

• Protokollierungsmechanismen einrichten: Protokollieren Sie jeden Zugriff auf PHI und jede Aktivität damit, um nachvollziehbar festzuhalten, wer wann welche Informationen eingesehen hat.
• Audit-Aufzeichnungen prüfen: Sehen Sie Audit-Protokolle in regelmäßigen Abständen durch, um ungewöhnliche oder unbefugte Aktivitäten zu erkennen.
• Automatisierte Überwachungstools nutzen: Erkennen Sie mögliche Sicherheitsvorfälle automatisiert und alarmieren Sie die Administrator:innen.

Folgen von Verstößen

Werden die HIPAA-Vorgaben nicht eingehalten, kann das gravierende Folgen haben, darunter:

• Geldbußen
• Rechtliche Schritte
• Reputationsschäden
• Erhebliche Betriebsunterbrechungen.

Die Software, die Sie im Gesundheitswesen oder in der Betreuung von Kund:innen aus dem Gesundheitswesen einsetzen, trägt entscheidend zur Einhaltung von HIPAA bei. Mit der richtigen Software erfüllen Sie die HIPAA-Standards leichter und entlasten sich spürbar.

NinjaOne bietet mehrere cloudbasierte Softwarelösungen, die IT-Service-Anbieter beim Wachstum ihres Geschäfts unterstützen, mit Funktionen, die Ihre Compliance-Bemühungen erleichtern. Lassen Sie sich von NinjaOne dabei unterstützen, Ihr Unternehmen HIPAA-konform zu halten.