Schlagwort: Bayerischer Landesbeauftragter für den Datenschutz

Cybersicherheit für medizinische Einrichtungen

8. Juli 2020

Zunahme von Hackerangriffen

Hackerangriffe werden von der breiten Bevölkerung weder groß gefürchtet, noch wird das Thema Cybersicherheit besonders beachtet. Dabei nimmt ihre Zahl von Jahr zu Jahr zu. Im Jahr 2018 vermeldete das Bundeskriminalamt die Zahl von 87.106 Fällen von Cybercrime. Dies entspricht einer Zunahme von 1,3% im Vergleich zum Vorjahr.

Von Hackerangriffen sind nicht nur Unternehmen betroffen, die über Kundendaten wie Kreditkarten verfügen, sondern auch Justizbehörden und sogar Bundesministerien (siehe Blog vom 05.12.2018).

Sogar das Rote Kreuz ist Anfang des Jahres Opfer eines Hackerangriffs geworden. Glücklicherweise diente dieser Angriff jedoch nur dem Aufsuchen von Sicherheitslücken. Böswillige Hacker hätten hingegen sensible Patientendaten abgreifen können. Eine Krankheitshistorie kann man nicht, wie bei gestohlenen Kreditkartendaten, sperren und ersetzen. Für die Betroffenen wäre eine Veröffentlichung ihrer Gesundheitsdaten mit unangenehmen Konsequenzen verbunden.

Zu diesem Thema hat der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) eine Prüfliste veröffentlicht, die Empfehlungen zur Cybersicherheit für medizinische Einrichtungen ausspricht.

Die Maßnahmen sind jedoch auch für nicht-medizinische Unternehmen von Relevanz.

Empfohlene Maßnahmen

Bei den empfohlenen Maßnahmen sollten unter anderem folgende Punkte besonders beachtet werden:

  • Regelmäßige Aktualisierung der verwendeten Software.
  • Nutzung von Antiviren-Programmen. Zu beachten ist, dass immer nur ein Antiviren-Programm gleichzeitig installiert sein sollte. Mehrere Programme blockieren sich gegenseitig und schaden mehr, als sie nutzen.
  • Schutz vor Ransomware. Wenn möglich, sollte auf Makros in Office-Dokumenten verzichtet werden und wenn, nur signierte Makros verwendet werden.
  • Nutzung starker Passwörter. Es sollten keine banalen Begriffe wie „1234“ oder „passwort“ genutzt werden. Auch sollten Passwörter niemals am Arbeitsplatz liegen gelassen werden.
  • Nutzung von Zwei-Faktor-Authentifizierung. Näheres dazu ist in unserem Blog nachzulesen.
  • E-Mails sollten nur als Text angezeigt werden. So lassen sich leichter manipulierte Links erkennen. Außerdem sollten E-Mails grundsätzlich von einem Antiviren-Programm überprüft werden.
  • Es sollten regelmäßig Backups durchgeführt werden.
  • Bei der Arbeit im Homeoffice sollte der Zugang über eine VPN-Verbindung gesichert sein. Im Falle der Nutzung mobiler Endgeräte sollten diese über starke Verschlüsselungsmechanismen verfügen.
  • Falls Laborergebnisse online abgerufen werden können, muss der Zugang besonders geschützt werden.
  • Es sollte eine leistungsstarke Firewall installiert sein, um unbefugte Zugriffe von außen zu verhindern.
  • Das Thema Social Engineering darf nicht unterschätzt werden. Hacker versuchen vermehrt Kontakte über Portale wie Xing, LinkedIn oder auch Facebook zu knüpfen, um das Vertrauen ihrer Opfer zu gewinnen und zum Beispiel über manipulierte E-Mails zu missbrauchen.

Neuer Leitfaden zur Umsetzung der DSGVO für Krankenhäuser

12. März 2018

Das Bayerische Landesamt für Datenschutzaufsicht hat gemeinsam mit dem Bayerischen Landesbeauftragten für Datenschutz einen Leitfaden zur Umsetzung der Datenschutzgrundverordnung in bayerischen öffentlichen und privaten Krankenhäusern veröffentlicht. Ziel des Leitfadens ist es, praktische Hinweise zur Umsetzung der DSGVO zur Verfügung zu stellen und bestehende Unsicherheiten abzubauen. Da es bislang nur wenige Hilfstellungen in diesem Bereich gab, war es das erklärte Ziel beider Datenschutzaufsichtsbehörden, erste Hinweise zur Auslegung der DSGVO im Bereich des Gesundheitsdatenschutzes zu geben. Der Leitfaden eignet sich zur Orientierung ebenfalls für Krankenhäuser in anderen Bundesländern.

Schwerpunkt des Leitfadens ist das Datenschutzmanagement, um den erhöhten Anforderungen der DSGVO Rechnung zu tragen. Nach Auffassung der Verfasser sollte das Datenschutzmanagement im Wesentlichen neun Punkte erhalten. Genannt wird in diesem Zuge unter anderem die Festlegung eines Teams, das zur Umsetzung der datenschutzrechtlichen Anforderungen den Datenschutzbeauftragten unterstützen soll. Darüber hinaus enthält der Leitfaden Handlungsempfehlungen zur Erstellung und Pflege des Verzeichnisses der Verarbeitungstätigkeiten, der Auflistung von Datenschutzkonzepten für Verfahren und Auftragsverarbeitungsverträgen, sowie der Erstellung von Datenschutzfolgenabschätzungen. Zudem werden die Punkte der Risikoabschätzung, der Behandlung von Datenschutzverletzungen sowie der Implementierung von Informationspflichten und der Umsetzung von Betroffenenrechten thematisiert.

Whistleblowing: Gesetzlicher Schutz von Informanten gefordert

25. Juli 2011

In der vergangenen Woche hat der Europäische Gerichtshof für Menschenrechte (EGMR) die Bundesrepublik Deutschland zu einer Entschädigungs- zahlung verurteilt. In der arbeitsgerichtlichen Bestätigung der fristlosen Kündigung einer Pflegekraft, die schwerwiegende Missstände ihres Arbeitgebers bei den zuständigen Behörden angezeigt hatte (sog. Whistleblowing), liegt nach Auffassung des EGMR eine Verletzung des Rechts auf Meinungsfreiheit nach Art. 10 der Europäischen Menschenrechtskonvention. Der EGMR betonte, dass die Pflegekraft in guter Absicht gehandelt und die Information über Missstände in Heimeinrichtungen im öffentlichen Interesse gelegen habe. Da die Pflegekraft ihren Arbeitgeber vorab wiederholt und erfolglos zur Beseitigung der Missstände aufgefordert und erst als letzte Maßnahme die Behörden eingeschaltet habe, könne keine Loyalitätspflicht gegenüber dem Arbeitgeber verletzt worden sein.

Wegen der nicht unerheblichen Risiken, die Beschäftigten in Deutschland im Rahmen des Whisleblowing drohen, hat die Konferenz der Datenschutz- beauftragten des Bundes und der Länder in der Vergangenheit bereits mehrfach gefordert, einen Informantenschutz im Beschäftigungsverhältnis gesetzlich festzulegen. Der Bayerische Landesbeauftragte für den Datenschutz, Herr Dr. Thomas Petri, nahm u.a. das Urteil des EGMR zum Anlass, sich abermals explizit und eindringlich für eine baldige gesetzliche Verankerung auszusprechen. Die Entscheidung des Europäischen Gerichtshofs für Menschenrechte zeige deutlich, dass ein angemessener gesetzlicher Vertraulichkeitsschutz für verantwortungsbewusste Informanten in Beschäftigungsverhältnissen nicht mehr auf die lange Bank geschoben werden dürfe, so Petri. (sa)