Die wichtigsten Punkte
- Die Sicherheit von PHI-Daten erfordert durchgängigen Schutz von Gesundheitsdaten über laufende Systeme, Cloud-Anwendungen, E-Mail, Archive und Backups hinweg, gestützt auf dokumentierte Kontrollen und Nachweise, die HIPAA-Compliance erfüllen und Audits standhalten.
- Zu den zentralen Best Practices zählen Datenmapping und -tagging, Zugriff nach dem Prinzip der Minimalprivilegien, automatisierte Joiner-Mover-Leaver-Workflows, Just-in-Time- und zeitlich befristeter Zugriff, MFA, Sitzungskontrollen, zentrale Protokollierung sowie regelmäßige Zugriffsprüfungen, um das Risiko von Datenschutzverletzungen und Verstößen zu senken.
- Audit-fähige HIPAA-Compliance entsteht durch kontinuierliche Governance, anbieterunabhängige Tools mit starken Integrationen, sichere Backups, den Überblick über Software as a Service und das Sammeln von Nachweisen.
- Auch die regulatorische Entwicklung zählt: Die vorgeschlagene Überarbeitung der HIPAA Security Rule ist Stand Mitte 2026 noch nicht final, und das HHS hat den angestrebten Termin für die endgültige Regelung auf Juli 2027 verschoben. Behandeln Sie sie daher als Planungsgrundlage, nicht als aktuelle Anforderung.
Die Sicherheit von PHI-Daten erfordert Planung und Umsetzung von oben nach unten, damit keine Lücken entstehen, die Ihr Unternehmen gegen Datenschutzvorschriften verstoßen lassen. Sie müssen geschützte Gesundheitsdaten in laufenden Systemen, in der Datenspeicherung, in E-Mails, in Archiven und in Backups vor Cyberbedrohungen schützen. Und Sie müssen die dafür ergriffenen Maßnahmen bei Audits mit belastbaren Nachweisen belegen können.
Dieser Leitfaden zeigt, wie Sie PHI-Daten schützen und HIPAA-Verstöße vermeiden, als Teil Ihrer übergreifenden Identity Governance und Verwaltung sensibler Gesundheitsdaten.
Was bedeutet Sicherheit von PHI-Daten?
Datenschutzverletzungen im Gesundheitswesen sind nach wie vor die teuersten aller Branchen: durchschnittlich 7,42 Millionen US-Dollar pro Vorfall, bei rund 279 Tagen bis zur Erkennung und Eindämmung. Die folgenden Kontrollen sollten Sie also gleich beim ersten Mal richtig umsetzen.
PHI Protected Health Information wird vom Berkeley Human Research Protection Program definiert als „jede Information in der Patientenakte oder einem festgelegten Datensatz, die zur Identifizierung einer Person verwendet werden kann und die im Rahmen der Erbringung einer Gesundheitsdienstleistung wie Diagnose oder Behandlung erstellt, verwendet oder offengelegt wurde“. Werden diese Daten elektronisch vorgehalten oder übertragen, spricht man von „ePHI“.
PHI ist eine Teilmenge von PII (Personally Identifiable Information), die geschützt werden muss, um HIPAA-konform zu bleiben. Verstöße können für Ihr Unternehmen schwerwiegende rechtliche Folgen haben. Kommt es zu einer Datenschutzverletzung, drohen weitere rechtliche Konsequenzen und erheblicher Reputationsschaden, zusätzlich zu dem Schaden für die Menschen, deren sensible Gesundheitsdaten Sie verarbeiten.
Die Informationen in diesem Leitfaden helfen Ihnen dabei, die folgenden Best Practices für die Sicherheit von PHI-Daten umzusetzen und die HIPAA-Compliance zu unterstützen:
| Best Practice für die PHI-Datensicherheit | Zweck | Konkreter Nutzen |
| PHI-Mapping und -Tagging | Richtet Kontrollen gezielt auf die relevanten Gesundheitsdaten aus | Sorgt dafür, dass alle PHI-Daten geschützt sind |
| Prinzip der Minimalprivilegien (PoLP) | Senkt das Risiko, indem der Zugriff auf diejenigen beschränkt wird, die ihn benötigen | Geringere Angriffsfläche, weniger potenzielle Verstöße |
| Automatisierter Lebenszyklus, „Just in Time“- und zeitlich befristeter Zugriff | Schnellere und konsistente Einarbeitung, weniger zu großzügige Zugriffsrichtlinien | Schützt vor versehentlichem oder absichtlichem Missbrauch von Daten |
| MFA und Sitzungskontrollen | Stärkere Authentifizierung | Senkt das Risiko von Kontoübernahmen und Missbrauch |
| Zertifizierungen und dokumentierte Nachweise | Audit-Bereitschaft | Nachweisbare Compliance, schnellere Audits und mehr Kundenvertrauen |
Vollständige Compliance erreichen Sie nicht allein durch das Lesen eines Online-Leitfadens. HIPAA ist möglicherweise nicht das einzige Datenschutz-Rahmenwerk, das Sie betrifft. Sie müssen die jeweiligen Gesetze, die für Ihr Unternehmen und für alle Personen gelten, über die Sie personenbezogene Daten speichern, direkt heranziehen und sich rechtlich sowie technisch beraten lassen, damit Ihre Implementierung und Ihre laufenden Datenschutzmaßnahmen Ihre Compliance-Anforderungen erfüllen.
Das Department of Health and Human Services (HHS) hat im Januar 2025 eine umfassende Überarbeitung der Security Rule vorgeschlagen. Stand Mitte 2026 ist diese Überarbeitung weiterhin ein Entwurf und nicht final. Das HHS hat den angestrebten Termin für die endgültige Regelung auf Juli 2027 verschoben, und ein Zusammenschluss von Krankenhaus- und Leistungserbringerverbänden hat das HHS gebeten, Teile des Vorschlags zurückzunehmen oder abzuschwächen. An Ihren Pflichten nach der aktuellen, bereits geltenden Security Rule ändert das nichts. Dennoch lohnt es sich, die Richtung des Vorschlags im Blick zu behalten, wenn Sie künftige Investitionen planen: umfassendere verpflichtende Verschlüsselung, vorgeschriebene MFA und schnellere Meldung von Vorfällen stehen alle zur Debatte.
Das brauchen Sie, um personenbezogene Daten HIPAA-konform zu schützen
Welche technischen Maßnahmen zum Schutz von PHI nötig sind, hängt von Ihrem Unternehmen ab, also davon, welche Systeme Sie einsetzen und wo die Daten verarbeitet und gespeichert werden. Mindestens benötigen Sie:
- Eine aktuelle Übersicht Ihrer PHI-Daten samt aller relevanten Systeme, Workflows, Verantwortlichen und Aufbewahrungsrichtlinien
- Definierte Benutzerrollen für klinische und administrative Aufgaben im Tagesgeschäft, einschließlich Richtlinien für Notfallzugriffe
- Zugriff auf die Benutzer- und Gruppenverwaltung Ihres Identitätsanbieters (idP), zum Beispiel Microsoft Entra ID, sowie auf Tools, die sich für die Zugriffssteuerung darin integrieren lassen
- Zentrale Protokollierung von Authentifizierung, Autorisierung und administrativen Aktionen
Überwachen, schützen und verwalten Sie PII in einer integrierten, HIPAA-konformen Plattform.
→ NinjaOne RMM in einer kostenlosen Testversion oder Demo entdecken
So vermeiden Sie HIPAA-Verstöße ohne Anbieterbindung
Entscheidend ist außerdem die Wahl HIPAA-konformer Tools als Basis. NinjaOne stellt zum Beispiel eine Trust-Seite für seine integrierte Suite an IT-Management-Tools bereit. Dort ist im Detail beschrieben, wie die Einhaltung von Datenschutzgesetzen wie HIPAA, CCPA, DSGVO, SOC und weiteren erreicht wird.
Viele Unternehmen sind bei der Auswahl HIPAA-konformer Tools allerdings vorsichtig, weil sie eine Anbieterbindung befürchten. Achten Sie darauf, dass Ihre Tools Datenmobilität über Import- und Exportfunktionen ermöglichen und sich über erweiterbare APIs mit anderen Tools verbinden lassen.
PHI erfassen und Systeme für die Governance kennzeichnen
Verschaffen Sie sich Klarheit über die Daten, die Sie schützen sollen, indem Sie sie erfassen: Was sind es für Daten, wen betreffen sie, wo werden sie gespeichert und wie werden sie genutzt? All das gehört in ein Inventar.
Kategorisieren und kennzeichnen Sie anschließend Systeme und Benutzergruppen, die PHI verarbeiten. So lassen sich Richtlinien und Datenschutzmaßnahmen gezielt ausrichten und eine vollständige Abdeckung erreichen. Die Dokumentation ist dabei entscheidend: Alle Richtlinien und Maßnahmen sowie die verantwortliche Person für jedes System und jeden Datenspeicher sollten als Compliance-Nachweis und zur klaren Zuordnung von Verantwortung festgehalten werden.
Benutzerrollen nach dem Prinzip der Minimalprivilegien definieren
Die Art der PHI-Nutzung bestimmt, welche Benutzerrollen auf welche Teilmengen zugreifen und Daten lesen oder schreiben dürfen. Übertragen Sie diese Rollen in Gruppen Ihrer Authentifizierungsplattform und weisen Sie jeder Gruppe nur die Berechtigungen zu, die für ihre Aufgabe mindestens nötig sind. Das gilt auch für Dienstkonten.
Überprüfen Sie diese Rollen regelmäßig, achten Sie auf Überschneidungen und kennzeichnen Sie Konflikte oder zu lockere Einschränkungen.
Joiner-Mover-Leaver automatisieren und Zugriffe zeitlich befristen
Automatisieren Sie die Bereitstellung neuer Benutzer:innen, damit sie durchgängig einheitlich konfiguriert werden. Gehen Sie bei Abteilungswechseln und beim Entzug von Zugriffen genauso vor, damit keine übrig gebliebenen Berechtigungen zurückbleiben, die nie sauber entfernt wurden. Für besonders sensible Vorgänge, etwa Datenbankwartung mit Zugriff auf sämtliche Datensätze, vergeben Sie Just-in-Time-Zugriff mit einem begrenzten Zeitfenster. So ist ein weitreichender Zugriff nicht dauerhaft verfügbar und Angreifer:innen können ein kompromittiertes Konto oder eine gekaperte Sitzung schlechter für den Datenzugriff nutzen.
Wenn Notfallzugriffe zu erwarten sind, richten Sie hoch privilegierte „Break-Glass“-Konten mit einmalig nutzbaren Anmeldeinformationen ein. Überwachen Sie diese Konten sorgfältig mit Alarmierungen bei Nutzung, protokollieren und prüfen Sie alle Aktionen und wechseln Sie die Passwörter, sobald die Notfallaufgabe abgeschlossen ist.
E-Mail, Cloud-Ressourcen und Software as a Service, Archive sowie Backups mit PHI schützen
Erzwingen Sie Verschlüsselung auf allen Client-Geräten, die PHI verarbeiten, ebenso in der Dateiablage und in der Cloud. Stellen Sie sicher, dass alle von Ihnen genutzten Software-as-a-Service-Anbieter HIPAA-konform sind und die Patientendaten, die Sie ihnen anvertrauen, angemessen schützen. Ein Software-as-a-Service-Inventar hilft dabei.
Auch Archive und Backups müssen geschützt werden. Software-as-a-Service-Dienste sollten sicher gesichert werden: HIPAA stellt Anforderungen an das Daten-Backup, die erfüllt werden müssen, einschließlich E-Mails und Daten in Plattformen wie Google Workspace oder Microsoft 365.
Sichern Sie Software-as-a-Service-Dienste und andere wichtige Dateien mit NinjaOne Backup
→ Die Funktionen von NinjaOne Backup in einer kostenlosen Demo ansehen
MFA und Sitzungskontrollen für alle Systeme mit PHI-Zugriff vorschreiben
Benutzerkonten in allen Systemen und Diensten mit Zugriff auf PHI sollten durch Multi-Faktor-Authentifizierung (MFA) geschützt sein, ergänzt um zusätzliche Sitzungskontrollen wie Zeitlimits, zum Beispiel indem Anmeldungen außerhalb der Arbeitszeiten unterbunden werden.
Bedingter Zugriff kann, sofern unterstützt, bei verdächtigen Anmeldungen automatisiert zusätzliche Authentifizierungs- und Verifizierungsschritte auslösen. Föderierte Authentifizierung, bei der alle Benutzerkonten und Gruppen über einen Dienst wie Microsoft Entra ID verwaltet werden, zentralisiert das Ganze und bietet integrierten Schutz vor Kontoübernahmeversuchen wie Password Spraying oder Session Hijacking.
Regelmäßige Zugriffsprüfungen durchführen und Ausnahmen kontrollieren
Alle administrativen Aktionen rund um PHI und den Zugriff darauf sollten protokolliert werden. Daten- und Systemverantwortliche sollten die Prüfung der von ihnen betreuten Bereiche einplanen und nicht mehr benötigte Ausnahmen ebenso entfernen wie veraltete Berechtigungen und Benutzerkonten. Alle Verwaltungs- und Compliance-Maßnahmen sollten zusammen mit allen weiterhin aktiven Ausnahmen dokumentiert werden.
Audit-fähige HIPAA-Nachweise erstellen und kontinuierlich verbessern
Sammeln Sie regelmäßig alle Dokumentationen und Protokolle zur Compliance und stellen Sie daraus ein Nachweispaket für anstehende Audits zusammen. Nehmen Sie darin unter anderem Rollendefinitionen, Änderungen, Zertifizierungen, Ausnahmen und administrative Protokolle auf. Fasst man diese Pakete für interne Reviews zusammen, lässt sich damit die eigene Kompetenz gegenüber Stakeholdern zeigen und gleichzeitig die PHI-Datensicherheit verfeinern, etwa durch strengere Rollendefinitionen und Berechtigungen, den Abbau von Ausnahmen und die lückenlose Protokollierung aller relevanten Aktivitäten.
Mängel in der Risikoanalyse sind nach wie vor der mit Abstand häufigste Befund hinter den Durchsetzungsmaßnahmen des OCR. Eine aktuelle, gut belegte Risikoanalyse ist damit wohl das wertvollste Dokument in Ihrem Audit-Paket.
NinjaOne vereint IT-Administration, Verwaltung, Support und Governance und hilft Ihnen, compliant zu bleiben
Die Sicherheit von PHI-Daten und die dauerhafte Einhaltung von HIPAA sowie weiterer Datenschutzgesetze sind entscheidend für den Schutz Ihrer Kund:innen im Gesundheitswesen und für die Kontinuität Ihres Unternehmens. Wer die erforderlichen Cybersicherheits- und Governance-Maßnahmen für Gesundheitsdaten umsetzt und Nachweise dafür sammelt, sorgt für reibungslose Abläufe und klare Übersicht in den IT-Teams.
NinjaOne bietet eine einheitliche Plattform für Endpunkt-Management (RMM), Mobile Device Management (MDM), Endpunktschutz, Automatisierung, Dokumentation sowie eine Fernwartungsplattform, die HIPAA-Compliance-Vorhaben unterstützt. So bauen Sie Ihren IT-Betrieb auf einem sicheren Fundament auf und ergänzen eigene technische und organisatorische Maßnahmen, statt Lücken in einer zersplitterten IT-Toolchain verschiedener Anbieter zu stopfen.
Mit NinjaOne planen Sie Jobs, um rollenbasierte Zugriffe zu aktualisieren, zeitlich befristete Ausnahmen automatisiert auslaufen zu lassen, Daten für Prüfung und Zertifizierung zusammenzustellen und Nachweise mit Entscheidungen, Ausnahmen und Protokollauszügen audit-fertig zu exportieren. Endpunktrichtlinien und Automatisierung erzwingen Verschlüsselung und sichere Konfigurationen auf Geräten, die mit PHI arbeiten, und reichen bis in die Cloud für SaaS-Backup und Protokollsammlung.
