3. August 2021
Bußgeld wegen „CC“ in E-Mails?
Unser Rat vorweg: passen Sie auf, wen Sie bei E-Mails in […]
Datenlecks in Arztpraxen – ein Dauerthema. Wir berichteten schon mehrfach in den letzten Monaten über tausende Patientendaten, die leicht zugänglich im Internet zu finden waren. Jetzt wurde wieder ein Fall aufgedeckt. Wir erklären, wie Arztpraxen das Datenleck schließen können und was zu tun ist, wenn Sie von dem Leck betroffen sind.
Erneutes Datenleck!
Datensätze von rund 30.000 Patienten einer Arztpraxis aus Celle sollen auf ungeschützten Servern gelegen haben. Jeder, der die IP-Adresse kannte, konnte auf die Arztberichte, Befunde und Gesprächsnotizen zugreifen. Die IP-Adresse wiederum konnte durch eine Server-Suchmaschine gefunden werden.
Wie kam es zu dem Datenleck?
Schuld an der Freigabe waren die Einstellungen des Telekomrouters „Digitalisierungsbox Premium“. Wenn man dort eine Port-Weiterleitung für HTTPS-Dienste anlegt, stehen neben dem Standardport 443 auch die Ports 440-449 offen.
Nachdem die Praxis über das Datenleck informiert wurde, schloss sie das Leck und machte ein Firmwareupdate. Danach war der Server aber immer noch offen. Das Problem: Die Einstellung wurde durch das Update zurückgesetzt, da diese in der Boot-Konfiguration nicht festgelegt wurde. Bei jedem Neustart, also auch nach einem Update, werden die Einstellungen zurückgesetzt.
Die Telekom hat sich inzwischen zu Wort gemeldet und einen Patch zur Verfügung gestellt.
Was sollten Arztpraxen bei einem Datenleck tun?
Da wahrscheinlich auch andere Praxen betroffen sind, sollte ein Netzwerkcheck durchgeführt werden, der offene Ports Ihrer IP anzeigt. Es sollten außerdem die Routereinstellungen überprüft werden.
Fällt dabei ein Datenleck auf, müssen die Praxen den Vorfall gem. Art. 33 DSGVO innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde melden und auch die betroffenen Patienten gem. Art. 34 DSGVO darüber informieren.
Wir berichteten erst kürzlich über angemessene Schutzmaßnahmen, die von Arztpraxen verlangt werden können.
Was droht bei DSGVO-Verstößen?
Art. 83 Abs. 4 DSGVO sieht bei Verstößen gegen Art. 33 und 34 DSGVO Bußgelder von bis zu 10 000 000 EUR oder bis zu 2 % des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs vor. Mehr über die Bußgelder der DSGVO erfahren Sie hier.
Wir helfen Ihnen!
Haben Sie als Verantwortlicher eine Frage zu Datenpannen oder zu anderen Themen der DSGVO? Mit unserem DSGVO Online Test können Sie prüfen, ob Ihr Unternehmen fit für die DSGVO ist. Außerdem bieten wir ein DSGVO Website Update zum Festpreis an!
Außerdem kann von den Betroffenen bei Datenpannen grundsätzlich Schadensersatz verlangt werden. Mehr Infos darüber finden Sie hier.
