Source: https://www.ds-law.eu/datenschutzpruefung-arztpraxis-ransomware/
Timestamp: 2020-06-06 20:37:50+00:00

Document:
Datenschutzprüfung in Arztpraxen - Ransomware - DS Law
Startseite/Datenschutzrecht, IT-Recht/Datenschutzprüfung in Arztpraxen – Ransomware
Datenschutz und IT-Sicherheit: Verschlüsselungstrojaner (Ransomware) in Arztpraxen, Kliniken und anderen Unternehmen
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat Anfang November 2018 eine Pressemitteilung (Datenschutzprüfungen bei bayerischen Unternehmen und Ärzten nach der DSGVO) heraus gegeben, wonach Prüfungen bei Unternehmen und Arztpraxen eingeleitet wurden.
In einem aktuellen Fall hat ein Computervirus im Krankenhaus (Mail-Trojaner – nach Presseberichten handelt es sich um die Malware “Emotet”) rund 450 Rechner am Klinikum Fürstenfeldbruck für mindestens eine Woche unbrauchbar gemacht; Bankkonten mussten zum Schutz gesperrt werden. Die Erreichbarkeit per E-Mail und Telefon war nicht mehr gegeben, da auch die Telefonanlage ausgefallen ist. Neue Patienten konnten – außer in extremen Notfällen – nicht mehr aufgenommen werden. Rettungswagen werden umgeleitet, Blutproben mussten per Hand beschriftet (gelabeld) werden; alle Patientendaten müssen manuell erfasst werden und Datentransport erfolgt in der Papierakte des Patienten. Emotet ist eine Malware, die sich mittelbar über E-Mails verbreitet. Die E-Mails enthalten angeblich Rechnungen, offene Rechnungen oder Gutschriften im Word-Format, was schon auffällig ist, weil üblicherweise Rechnungen inhaltlich nicht geändert werden können. In den Word-Dokumenten ist ein Makro (kleine Programmanweisungen) enthalten, die bei Aktivierung des Makros die eigentliche Schadsoftware runterläd. Die Schadsoftware ist darauf ausgerichtet, dass E-Mail-Adressdaten aus dem Mailprogramm ausgelesen werden, um dem Opfer gezielt E-Mails mit angeblich vertrauenswürdigen E-Mail-Adressen zusenden zu können. Zudem liest das Emotet Bankdaten aus und leitet diese verschlüsselt an den Angreifer weiter (daher die Sperrung aller Konten der Klinik).
Unzureichende IT-Sicherheitsmaßnahmen sind eines der Kriterien, die im Falle von Datenpannen bußgelderhöhend berücksichtigt werden können, Art. 83 Abs. 2 DSGVO. Aber auch ohne Datenpanne kann die unzureichende Implementierung technischer und organisatorischer Datenschutzmaßnahmen, Art. 32 DSGVO, nach Art. 83 Abs. 4 a) DSGVO mit einem Bußgeld bis zu 10 Millionen Euro oder 2 % des Vorjahresgesamtumsatzes verhängt werden. Grund genug also, die IT-Sicherheitsmaßnahmen selbst zu überprüfen (bzw. extern prüfen zu lassen) und erforderlichenfalls zu verbessern, bevor es die Aufsichtsbehörden kontrollieren oder gar Hacker erfolgreiche Angriffe landen können. Wer nicht selbst über die nötige IT-Kompetenz verfügt, kann sich externen Rat einholen und z.B. ein IT-Sicherheitsaudit beauftragen.
Es gehört zu den Aufgaben der IT-Sicherheit nicht nur dafür zu sorgen, dass keine Unberechtigten auf die Daten zugreifen, sondern auch, dass die Daten unverändert verfügbar sind. Erwachsen aus Verletzungen der IT-Sicherheit (Datenpannen) Risiken für die betroffenen Personen (hier Patienten), so sind diese Datenschutzvorfälle der Datenschutzaufsicht zu melden, Art. 33 DSGVO, und wenn hohe Risiken für die betroffenen Personen drohen, müsse diese zusätzlich informiert werden, Art. 34 DSGVO. Zu den Meldepflichten bei Data-Breaches hat die Datenschutzaufsicht in Hamburg am 15.11.2018 ein Merkblatt “Data-Breach-Meldungen nach Ar.t 33 DSGVO” herausgegeben. Dieses Merkblatt basiert wesentlich auf einer “Guidelines on Personal data breach notification under Regulation 2016/679 (wp250rev.01)” der Artikel 29. Arbeitsgruppe– jetzt EU-Datenschutzausschuss, Art. 68 DSGVO.
Wie die Landesdatenschutzaufsicht in Baden-Württemberg am 22.11.2018 mitteilten, hatte das Unternehmen knuddels.de Passwort unverschlüsselt gespeichert, so dass sie einem Hackerangriff zum Opfer fallen und von frei zugänglich im Netz veröffentlicht werden konnten. Die Datenschutzaufsicht lobt die gute Kooperation des Unternehmens, welches sich mit einer Meldung der Datenpanne an die Aufsicht gewandt hatte und umgehend für eine deutliche Verbesserung der IT-Sicherheit sorgt. Dies wurde bei der Bemessung des Bußgeldes mildernd berücksichtigt.
Besondere Schutzpflichten bei Patientendaten (update)
Gerade in Arztpraxen werden besonders sensible und schützenswerte personenbezogene Daten verarbeitet (Artikel 9 Abs. 2 lit. h), Abs. 3 DSGVO, § 22 Abs. 1 Nr. 1 lit. b) BDSG). Diese Daten sind nicht nur den „normalen“ IT-Sicherheitsmaßnahmen zu unterwerfen, sondern durch spezifische technische und organisatorische Maßnahmen in besonders guter Weise gegen unberechtigte Zugriffe und unbeabsichtigte Datenverluste zu schützen.
Jedes Unternehmen und jede Arztpraxis hat nach der DSGVO eine Rechenschaftspflicht (Accountability – Artikel 5 Abs. 2 DSGVO) u.a. der Datenschutzaufsichtsbehörde gegenüber, dass sie die Vorgaben der DSGVO einhält. Zu diesen Vorgaben gehört die IT-Sicherheit, insbesondere der Schutz vor unberechtigtem Zugriffauf Daten aber auch vor unabsichtlichem Verlustder Daten. Da sich die Aufsichtsbehörden untereinander abstimmen, ist es nur eine Frage der Zeit, dass die Aufsichtsbehörden in den anderen Bundesländern nachziehen und vergleichbare Prüfungen ansetzen werden, denn berechtigt sind sie (Art. 58 Abs. 1 Buchstabe a und b DSGVO).
Große Gesundheitseinrichtungen, die als sogenannte kritische Infrastrukturangesehen werden, müssen zusätzlich zum Datenschutzrecht das IT-Sicherheitsgesetz (BSI-Gesetz) und die BSI-Kritisverordnung (§ 6 BSI-KritisV) beachten. Auch in anderen für das Funktionieren des Gemeinwesens wichtigen Branchen, z.B. dem Finanzwesen, § 7 BSI-Gesetz, ist die IT-Sicherheit ein wichtiger Punkt, den nicht nur die Datenschutzaufsicht, sondern auch das BSI sowie die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin). Die BaFin wird Banken zu mehr IT-Sicherheit drängen und sieht die IT-Sicherheit als “Chefsache”an, hat eine Orientierungshilfe für Auslagerungen an Cloud-Anbieterherausgegeben, die auch für anderen Branchen hilfreich ist und wird Prüfungen bei Banken durchführen.
Von David Seiler| 2018-11-23T16:27:18+01:00 22. November 2018|Datenschutzrecht, IT-Recht|

References: Art. 83
 Art. 32
 Art. 83
 Art. 33
 Art. 34
 Art. 68
 § 22
 § 7