HIPAA-Verstöße vermeiden: Kontrollen, die Compliance belegen

Nachweise über die eigene Compliance sind für Unternehmen entscheidend, die HIPAA-Verstöße vermeiden müssen. Denn selbst wenn die richtigen Compliance-Kontrollen implementiert sind, kann ein Verstoß festgestellt werden, wenn Sie diese nicht belegen können. Das betrifft sowohl Unternehmen im Gesundheitswesen als auch jene, die in deren Auftrag IT-Infrastruktur und Daten verwalten.

Dieser Leitfaden zeigt, wie Sie Compliance-Kontrollen umsetzen, die dabei helfen, HIPAA-Verstöße zu vermeiden, und dabei gleichzeitig Nachweise erzeugen, mit denen Sie Ihre Compliance im Fall eines Audits belegen können.

Was ist die häufigste Ursache für HIPAA-Verstöße?

HIPAA ist das US-Gesetz, das regelt, wie geschützte Gesundheitsdaten (PHI) von Leistungserbringern im Gesundheitswesen und anderen Unternehmen zu behandeln sind. Verstöße gegen HIPAA können schwerwiegende rechtliche und finanzielle Folgen haben und dem Ruf erheblich schaden.

Die häufigste Ursache für HIPAA-Verstöße ist schlicht ein unvollständiges Verständnis davon, welche Daten vorliegen, wo sie sich befinden und wie sie genutzt werden. Alle Beteiligten sollten ihre Verantwortung für den Schutz von PHI genau kennen, damit die richtigen Schutzmaßnahmen aufrechterhalten werden können. Zusätzlich sollten die Beschäftigten im sicheren Umgang mit PHI geschult werden: So sinkt das Risiko von Missbrauch oder unbeabsichtigter Offenlegung, und HIPAA-Verstöße lassen sich vermeiden.

Welche technischen Schutzmaßnahmen verlangt HIPAA?

Welche technischen Schutzmaßnahmen nötig sind, hängt davon ab, wo PHI gespeichert und wie sie verwendet werden. Es liegt in Ihrer Verantwortung, die vorliegenden Daten und die dafür geltenden Gesetze zu kennen und die erforderlichen Kontrollen sowie weitere technische Schutzmaßnahmen zu ihrem Schutz umzusetzen. Dazu gehören:

• Verschlüsselung: Sensible Daten müssen bei der Übertragung und im Ruhezustand geschützt sein
• Rollenbasierte Zugriffskontrolle: Zugriff auf Daten erhalten nur diejenigen, die ihn benötigen
• Backups: Daten müssen gesichert werden, um HIPAA-konform zu sein
• Auffindbarkeit: Benutzer:innen müssen auf ihre PHI zugreifen können. Dafür müssen sich alle Daten zu einer bestimmten Person finden lassen
• Aufbewahrung: HIPAA verlangt nach 45 CFR §164.316(b)(2) und §164.530(j), dass die Compliance-Dokumentation mindestens 6 Jahre aufbewahrt wird. Davon zu unterscheiden ist die Aufbewahrung von Patientenakten, die dem jeweiligen Landesrecht unterliegt und von der 6-Jahres-Regel für die Dokumentation abweichen kann.

Prüfen Sie Ihre technischen Schutzmaßnahmen regelmäßig und gleichen Sie sie mit den aktuellsten Fassungen des HIPAA-Gesetzes ab, denn dieses kann sich ändern.

Das ändert sich mit der geplanten Aktualisierung der HIPAA Security Rule 2026

Das HHS hat die erste größere Aktualisierung der HIPAA Security Rule seit 2013 vorgeschlagen. Stand 2026 ist die Regelung noch nicht final: Das HHS wertet weiterhin tausende öffentliche Stellungnahmen aus, und der Zeitplan hat sich weiter verschoben. Die Richtung ist allerdings klar genug, dass Unternehmen jetzt mit der Vorbereitung beginnen sollten, statt auf ein endgültiges Veröffentlichungsdatum zu warten.

Wird die Aktualisierung wie vorgeschlagen verabschiedet, würde sie Folgendes bewirken:

• Die Verschlüsselung von ePHI im Ruhezustand und bei der Übertragung wird verpflichtend, die bisherige Flexibilität als „addressable“ entfällt
• Multifaktor-Authentifizierung wird für alle Systeme vorgeschrieben, die auf ePHI zugreifen
• Eine Meldepflicht für Vorfälle innerhalb von 72 Stunden wird eingeführt
• Häufigere technische Tests werden vorgeschrieben, darunter jährliche Penetrationstests
• Die Aufsicht über Geschäftspartner wird ausgeweitet, inklusive jährlicher Compliance-Berichterstattung

Nichts davon gilt bislang, und der Vorschlag kann sich noch ändern, verzögert oder zurückgezogen werden. Da die meisten dieser Änderungen jedoch Praktiken formalisieren, die ohnehin als Best Practice gelten, müssen Unternehmen, die sie jetzt übernehmen, später nicht hektisch nachbessern.

Das brauchen Sie, um Nachweise Ihrer HIPAA-Compliance fortlaufend zu erzeugen und zu speichern

Achten Sie bei der Auswahl von Tools, die PHI verarbeiten oder speichern, auf eine Audit-Logging-Funktion. Anschließend können Sie Tools zur IT-Automatisierung nutzen, die diese Daten erfassen, auswerten und zu Nachweisberichten für die HIPAA-Compliance aufbereiten und sie dann zentral für die Audit-Bereitschaft ablegen.

Um Compliance wirksam zu belegen, benötigen Sie eine definierte Datenkarte für PHI, die Folgendes umfasst:

• Systeme, Datenflüsse, Verantwortliche und Aufbewahrungsrichtlinien
• Eine Richtlinie zur Zugriffskontrolle mit Rollendefinitionen und einem Workflow für Ausnahmen
• Basiskonfigurationen für Geräte, E-Mail, Speicher und weitere Dienste, die PHI verarbeiten

So stellen Sie sicher, dass PHI durch passende Kontrollen abgedeckt sind, die die folgenden Best Practices für HIPAA und den Schutz von PHI umsetzen:

HIPAA-Best-Practice	Zweck	Nutzen
PHI aufspüren und minimieren	Verringert die Menge exponierter PHI	Kleinere Angriffsfläche für Datenschutzverletzungen und Verstöße
Prinzip der Minimalprivilegien und Multifaktor-Authentifizierung	Zugriffskontrolle und Schutz von Benutzerkonten	Weniger unbefugte Offenlegungen von PHI
Sichere Kommunikation und sicherer Dateiaustausch	Sicherere Weitergabe von PHI	Geringeres Risiko beim E-Mail-Verkehr und bei der Kommunikation intern oder mit Partnern
Durchsetzung von Konfigurationen auf Endpunkten	Stellt sicher, dass Geräte zum Schutz von PHI korrekt konfiguriert sind	Einheitlich sichere Konfigurationen in großem Maßstab
Nachweispakete und Reviews zur HIPAA-Compliance	Compliance-Nachweis und Audit-Bereitschaft	Schnellere Audits und kontinuierliche Verbesserung

Compliance lässt sich nicht durch das Lesen eines einzelnen Online-Leitfadens erreichen: Sie müssen direkt die HIPAA-Vorschriften heranziehen, die für Ihr Unternehmen und für alle Personen gelten, über die Sie personenbezogene oder Gesundheitsdaten speichern. Möglicherweise müssen Sie zusätzlich weitere Datenschutzgesetze berücksichtigen, die für Ihre Branche, Ihren Anwendungsfall oder Ihre Kundschaft gelten. Holen Sie sich rechtliche und technische Unterstützung, damit Ihre Umsetzung alle Compliance-Anforderungen erfüllt.

Methode 1: Speicherorte von PHI aufspüren und die Angriffsfläche verkleinern

Wenn PHI ausschließlich an freigegebenen Orten gespeichert bleiben, können Sie Ihre Kontrollmaßnahmen gezielt darauf ausrichten und das Risiko senken. E-Mail, Dateifreigaben, Plattformen für elektronische Patientenakten (EHR), Software as a Service sowie Archive und Backups sind allesamt mögliche Speicherorte für PHI.

Für alle Speicher und Dienste, die PHI enthalten, sollte eine Verantwortlichkeit festgelegt werden, damit die jeweils richtigen Schutzmaßnahmen dauerhaft greifen. Überarbeiten Sie Aufbewahrungsrichtlinien regelmäßig, damit sie die rechtlichen Vorgaben erfüllen, und räumen Sie ROT-Daten (redundant, obsolete, trivial) auf, insbesondere doppelt vorhandene PHI. So verhindern Sie, dass sich geschützte Daten auf nicht überwachter und ungeschützter Infrastruktur ausbreiten.

Nachweise lassen sich während dieses gesamten Prozesses erzeugen: durch automatisierte Scans nach Hinweisen auf PHI, die ihre Ergebnisse protokollieren, sowie durch Techniker:innen, die ihre Maßnahmen dokumentieren.

Methode 2: Zugriff nach dem Prinzip der Minimalprivilegien durchsetzen

Halten Sie sich an das Prinzip der Minimalprivilegien: Benutzer:innen und Dienste erhalten nur Zugriff auf die Daten, die sie für ihre Aufgabe benötigen, und auf nichts weiter. Multifaktor-Authentifizierung und bedingter Zugriff, der bei verdächtigen Sitzungen eine zusätzliche Verifizierung verlangt, sollten für alle Konten erzwungen werden, die auf PHI zugreifen können. Authentifizierungsvorgänge sollten zusammen mit den durchgeführten Aktionen für den vorgeschriebenen Zeitraum protokolliert werden (derzeit 6 Jahre bei HIPAA).

Methode 3: E-Mail, Kommunikation und Dateiaustausch absichern

E-Mail ist ein häufiger Kanal, über den PHI unbeabsichtigt nach außen gelangen, oft durch falsche Absender oder vertippte Adressen. Deaktivieren Sie die automatische Weiterleitung und zeigen Sie Warnungen an, wenn an externe Domains gesendet wird. Das hilft, solche Fälle einzudämmen.

E-Mail-Verschlüsselung sowie das Verschlüsseln von Anhängen mit einem vorab geteilten Schlüssel sorgen zusätzlich dafür, dass nur die vorgesehenen Empfänger:innen die Inhalte lesen können. Dateiübertragungen sollten über verschlüsselte HTTPS- oder SFTP-Verbindungen laufen, nicht über kostenlose öffentliche Filesharing-Dienste.

Durch die Einrichtung einer E-Mail-Überwachung und eines SIEM, das verdächtige Aktivitäten protokolliert (und blockiert), setzen Sie diese Maßnahmen durch und belegen gleichzeitig ihre Wirksamkeit.

Methode 4: Endpunkte härten und Konfigurations-Compliance sicherstellen

Nutzen Sie Tools zur Fernwartung und -Verwaltung (RMM), um technische Schutzmaßnahmen wie Geräte- bzw. Festplattenverschlüsselung, Bildschirmsperre und Endpunkt-Erkennung und Reaktion (EDR) auf allen Endpunkten durchzusetzen. Zusätzlich sollte Patch-Management eingesetzt werden, damit alle Geräte und Betriebssysteme die neuesten Sicherheitsupdates erhalten. Beschränken Sie den Einsatz von Tools für Fernzugriff und Backup auf HIPAA-konforme Lösungen, die die Aktivitäten von Techniker:innen und administrative Aktionen protokollieren. Überwachen Sie mithilfe von Automatisierung, ob Konfigurationen abweichen, und nutzen Sie die Ergebnisse, um Konfigurations-Snapshots als Compliance-Nachweis festzuhalten und in Ihrer Plattform für IT-Dokumentation abzulegen.

Methode 5: Schatten-IT und Risiken durch Dritte in den Griff bekommen

Schatten-IT ist eine dauerhafte Bedrohung für die Datensicherheit. Überwachen Sie Ihre Umgebung auf nicht genehmigte Hardware und Software und blockieren Sie deren Nutzung oder stellen Sie getestete und freigegebene Alternativen bereit. Protokollieren Sie Erkenntnisse und Ergebnisse als Nachweis.

Dokumentieren Sie die Geschäftspartnervereinbarungen (BAA) Ihrer Anbieter nach HIPAA und prüfen Sie regelmäßig, welche Daten dort gespeichert oder verarbeitet werden. Verfolgen Sie jeden Abfluss von PHI und richten Sie Alarmierungen bei ungewöhnlicher Nutzung ein (zum Beispiel, indem automatisiert Support-Tickets mit Details erstellt und direkt an die zuständigen Techniker:innen eskaliert werden).

Methode 6: Für reale Szenarien und Beinahe-Vorfälle schulen

Vermitteln Sie Ihren Beschäftigten, wie wichtig der Schutz von PHI und die Einhaltung von HIPAA sind. Dokumentieren Sie Schulungsmaterialien und zugleich den Nachweis, dass die Beschäftigten sie absolviert haben, und bewahren Sie beides sicher auf. Die Schulungen sollten sichere Praktiken für E-Mail und Dateiübertragung, die Meldung von Vorfällen und die Gefahren von Schatten-IT abdecken. Führen Sie Simulationen durch, zum Beispiel: Was ist zu tun, wenn eine E-Mail an die falsche Adresse geht oder ein Gerät verloren geht?

Methode 7: Compliance mit wiederkehrenden Nachweisen belegen

Nutzen Sie die Daten, die beim Betrieb Ihrer HIPAA-konformen IT-Infrastruktur anfallen, um monatliche oder vierteljährliche Nachweispakete zu erstellen, die Compliance belegen.

Prüfen Sie jedes Paket. Werden offene Punkte sichtbar, legen Sie Verantwortliche und Fälligkeitstermine fest und sorgen Sie dafür, dass überfällige Ausnahmen geschlossen werden. Nutzen Sie bei jeder Prüfung die HIPAA-Compliance-Nachweise, um die Wirksamkeit der Kontrollen zu stärken und künftige HIPAA-Verstöße zu vermeiden, indem Sie Lücken und Verbesserungspotenziale erkennen. Diese Pakete können Sie anschließend gemeinsam mit den Rohdaten in Ihrer Plattform für IT-Dokumentation ablegen, damit sie im Fall eines Audits sofort verfügbar sind.

IT-Tools, die PHI schützen, HIPAA-Verstöße vermeiden helfen und dabei Reaktion und Nachweise automatisieren

NinjaOne ist eine umfassende Plattform für IT-Management und MSPs, die alles abdeckt, von RMM und Mobile Device Management (MDM) über Überwachung, Patch-Management und Endpunkt-Sicherheit bis hin zu Backup und Archivierung, jeweils mit integrierter HIPAA-Compliance. Mit NinjaOne starten Sie mit einer konformen Grundlage für Ihren IT-Betrieb.

Automatisierung ist in der gesamten NinjaOne-Toolchain verankert. So können Sie Scans nach Hinweisen auf PHI skripten und planen, Berechtigungen setzen, Listen für Zugriffsüberprüfungen exportieren sowie Sicherheitsmaßnahmen wie Verschlüsselung und Basiskonfigurationen prüfen und durchsetzen. Protokollierung und Überwachung laufen zentral in einer webbasierten Oberfläche zusammen, und alles lässt sich zu Nachweispaketen bündeln und in NinjaOne Documentation speichern, für die spätere Prüfung oder zur sofortigen Vorlage bei einem Audit.