Cyberkriminalität, sensible Patientendaten und das neue Datenschutzgesetz

Cybersicherheit wird immer wichtiger. 2023 stehen deshalb weitreichende gesetzliche Änderungen an, etwa das revidierte Datenschutzgesetz.

 

Die Zahl der Cyberangriffe steigt signifikant, gerade im Gesundheitsbereich mit seinen sensiblen Patientendaten. Hacker haben seit COVID-19 eine grössere Angriffsfläche als je zuvor. MOD1 haben sich auf Informationssicherheit im digitalen Gesundheitssektor spezialisiert.

Die Digitalisierung bestimmt längst auch das Gesundheitswesen. Arztpraxen und Kliniken sind digital vernetzt und Patientenakten in IT-Systemen gespeichert. Das bringt viele Vorteile – weckt aber auch das Interesse von Kriminellen.

Kliniken und Praxen: eine wahre Datenfundgrube für Hacker
Ein Krypto-Trojaner kann sekundenschnell Dateien verschlüsseln: Patientendaten, Diagnosen, Labor- und Operationsberichte. Kriminelle drohen oft mit deren Veröffentlichung, falls ihre Forderung nicht bezahlt wird. Zudem kann ein Ransomware-Angriff zu einem operationellen Unterbruch des Betriebs mit erheblichen Kosten und Reputationsverlust führen.

Die revidierte Gesetzgebung stärkt den Datenschutz
Grundversorgung und Betreuung der Patientinnen und Patienten stehen im Fokus einer medizinischen Einrichtung. Darauf konzentriert sich die Ärzteschaft. Administration und IT werden oft von Mitarbeitenden und externen Firmen übernommen. Während die Praxis bzw. Klinikabläufe fast gleich geblieben sind, schreitet die Digitalisierung rasant voran. Eine Überarbeitung des Datenschutzgesetzes wurde also notwendig. Ab Herbst 2023 ändern sich wichtige Bestimmungen zur Bearbeitung von Personendaten. Das revidierte DSG[1] beschränkt sich wie die EU-Datenschutzgrundverordnung (DSGVO) auf den Datenschutz natürlicher Personen. Auch genetische und biometrische Daten gelten neu als besonders schützenswert. Alle Firmen müssen ihren Betrieb durch technische und organisatorische Massnahmen maximal sichern und ihre Richtlinien und Datenschutzerklärungen bis zum Inkrafttreten des neuen DSG am 1. September 2023 angepasst haben. Übergangsbestimmungen sieht das Gesetz nur vereinzelt vor. Kommt es zu Persönlichkeitsrechtsverletzungen, stehen Betroffenen gemäss neuem Gesetz zur Durchsetzung ihrer Ansprüche Rechtsbehelfe zur Verfügung. Als besonders schützenswert gelten alle Gesundheitsdaten. Sie sind streng vertraulich und für Kriminelle oft interessanter als Finanzdaten. Denn Name, Geburtsdatum und AHV-Nummer verlieren ihre Gültigkeit nicht und können auf Jahre hinaus ausgebeutet werden, etwa durch Identitätsdiebstahl[2].

Was sollten medizinische Einrichtungen nun tun?
Wir beraten Gesundheitseinrichtungen und relevante Infrastrukturen zur nachhaltigen und umfassenden Cybersicherheit. Wir empfehlen, eine aktuelle Übersicht über die Organisationsstruktur zu erstellen. Wir helfen, dieses Audit durchzuführen, um Sicherheitslücken zu eruieren und auf Wunsch hin auch zu schliessen. Im Gespräch mit IT-Partnern der medizinischen Einrichtung wird geprüft, ob alle IT-Richtlinien der FMH erfüllt sind. Als Teil dieser Hilfeleistung hat für uns zudem die Sensibilisierung der Mitarbeitenden hohe Bedeutung. Denn nicht selten führen menschliche Fehler zu einer Cyberattacke. 

Quellenverzeichnis
[1] Neues Datenschutzgesetz (revDSG) https://www.kmu.admin.ch/kmu/de/home/fakten-trends/digitalisierung/datenschutz/neues-datenschutzgesetzrev-dsg.html
[2] Was ist Identitätsdiebstahl? https://www.stadt-zuerich.ch/pd/de/index/stadtpolizei_zuerich/praevention/digitale-medien/Gefahren/falscheidentitaeten.html

 

Zur Person
Marielle Johnston, Head of Business Development

MOD1 AG
Aeschenplatz 6
4052 Basel
Telefon 078 927 25 08
marielle.johnston@mod1consulting.com
www.mod1consulting.com

 

Fachartikel