Praxisbericht
Praxis & Organisation
12.01.22
Patienten und Daten schützen
E-Mail-Verschlüsselung macht sensible Nachrichten für Unbefugte unlesbar und sichert eine vertrauliche Kommunikation
E-Mail-Verschlüsselung, Patienten und Daten schützen
Für Hacker ist die E-Mail der bevorzugte Angriffspunkt für ihre kriminellen Aktivitäten – sie kann jedoch sensible Patientendaten enthalten. Zu dieser Erkenntnis kommt der Versicherungsexperte AIG in seinem Bericht „CyberSchaden 2019“, über den auch die Süddeutsche Zeitung berichtete. Demzufolge standen BEC-Angriffe (Business E-Mail Compromise), also Phishing-E-Mails, 2018 mit 23 Prozent zum ersten Mal an der Spitze der Cyber-Schadenmeldungen. Die Experten erwarten, dass sich dieser Trend weiter fortsetzt – zumal laut Statistischem Bundesamt weltweit täglich 306,4 Milliarden E-Mails gesendet und empfangen werden. Für 2024 erwartet die Behörde sogar einen weltweiten globalen Verkehr von 361,6 Milliarden E-Mails pro Tag.
Wie können Arztpraxen, Apotheken, Kliniken und andere Berufsgeheimnisträger sich und ihre Patienten also schützen? Eine Verschlüsselungslösung kann hier Abhilfe schaffen. Die E-Mail- Verschlüsselung stellt eine vertrauliche Kommunikation her, indem sie Nachrichten inklusive aller Anhänge für Dritte unlesbar macht.
Zwei Wege zum sicheren E-Mail-Verkehr
Täglich senden und empfangen Kliniken und Apotheken sowie ihre Patienten geschäftskritische oder persönliche Daten per E-Mail, die vor unbefugten Einblicken Dritter geschützt werden müssen. Die Verschlüsselung der E-Mail verspricht hier Abhilfe. Doch wie setzt sich eine gute und sichere E-Mail-Verschlüsselung zusammen? Zunächst wird eine verschlüsselte Verbindung zwischen E-Mail- Programm und dem Server generiert. Dies gelingt anhand des Protokolls „Transport Layer Security“ (TLS). Die Nachricht liegt jedoch beim E-Mail-Provider und auf den Verbindungsknoten dazwischen ungeschützt vor. Man kann sich die Mail wie eine Postkarte auf dem Weg zu ihrem Empfänger vorstellen, sie ist noch uneingeschränkt lesbar. Um die E-Mail, als virtuelle Postkarte, vor Einblicken zu schützen, ist eine End-to-End-Verschlüsselung notwendig. Dazu werden entweder symmetrische oder asymmetrische Algorithmen verwendet. Beim asymmetrischen Verfahren codiert der Absender seine Nachricht mit dem öffentlichen Schlüssel des Adressaten. Dieser decodiert die erhaltene Nachricht mit seinem nur ihm bekannten, privaten Schlüssel. Diesen besitzt ausschließlich der Empfänger und er darf nicht übertragen werden. Sicherheitsexperten sehen einen wichtigen Vorteil des asymmetrischen Ansatzes in der Möglichkeit zum digitalen Signieren von E-Mails. Die elektronische Unterschrift sorgt dabei zum einen für Glaubwürdigkeit, denn der Absender ist dementsprechend echt. Zum andern stellt sie sicher, dass die Dokumente den Empfänger unverfälscht erreichen. Dieser kann sich darauf verlassen, dass die Daten vertrauenswürdig sind.
Zwar lassen sich die derzeit gebräuchlichen asymmetrischen Verschlüsselungsstandards sicher umsetzen, doch haben sie sowohl für den Anbieter als auch für den Anwender den Nachteil, dass sie dann aufwendig und kompliziert sind. Dementsprechend sind viele Anwender trotz sehr genauer Anleitungen überfordert. Was dazu führt, dass lediglich 19 Prozent von ihnen ihre E-Mails verschlüsseln, wie aus dem „Digitalbarometer 2019“ des BSI und der Polizeilichen Kriminalprävention der Länder und des Bundes (ProPK) hervorgeht.
Eine technisch ausgereifte Lösung allein reicht nicht aus, um E-Mail-Kommunikation verlässlich abzusichern. Sie muss nutzerfreundlich sein, damit Mitarbeiter sie tatsächlich verwenden.
Sichere Verschlüsselung durch Nutzerfreundlichkeit
Hier setzt der symmetrische Ansatz an. Dabei nutzen Sender und Empfänger den gleichen Schlüssel. Dementsprechend wichtig ist es, dass der Schlüsselaustausch über einen sicheren Kanal stattfindet. Eine Lösung mit Einsatz eines symmetrischen Anwenders. Der Empfänger erhält in seiner verschlüsselten Nachricht beispielsweise einen Download- Link oder ein angehängtes, verschlüsseltes PDF. Mit dem Schlüssel aus der zweiten E-Mail wird anschließend das angehängte verschlüsselte PDF-Dokument mit einem gängigen PDF-Reader dechiffriert beziehungsweise der Zugriff auf die Download-Seite ermöglicht. Bei der Download-Link Variante kann sich ein registrierter Empfänger auch mit seinen eigenen Zugangsdaten anmelden. Welche der beiden Optionen genutzt wird, bestimmt der Absender der E-Mail. Automatisch im Hintergrund laufende Verschlüsselungsprotokolle garantieren die Authentizität der Nachrichten. Bei einer Vielzahl von Mitarbeitern im Unternehmen, die täglich unzählige E-Mails schreiben, ergibt sich daraus schnell eine merkliche Zeitersparnis, denn die Nutzer verschlüsseln einfach und direkt mit nur einem Klick.
Eine Arztpraxis beispielsweise, die sensible Daten mit ihren Patienten teilt und diese verschlüsseln muss, kann den Alltag auf diese Weise viel effektiver arrangieren. Völlig am praktischen Nutzen vorbei geht eine Lösung, die Anwender zwingt, vor jedem E-Mail-Versand die internen Richtlinien zu prüfen, um den Sicherheitsgrad eines angehängten Dokuments manuell zu bestimmen. Ebenso unzweckmäßig ist die Option, dass ein Anwender selbst sein Passwort festlegt und es für die geschäftliche Kommunikation gebraucht. Zwar ist die Handhabung in diesem Fall einfach, jedoch entsteht ein enormes Sicherheitsrisiko, wenn das Kennwort etwa aus Bequemlichkeit nicht mehr gewechselt wird. Mit einer asymmetrischen Verschlüsselung ließe sich dieser Vorgang sicherer gestalten, die Methode sorgt jedoch für Schwierigkeiten in der Ausführung: Für den Sender wäre es sehr mühsam, die Passwörter für jede Kommunikationsbeziehung zu verwalten. Und das Passwort müsste jedes Mal geändert und erneut sicher kommuniziert werden, wenn auf Empfänger Seite zum Beispiel ein Mitarbeiter das Unternehmen verlässt. Darüber hinaus besteht bei dieser Methode die Gefahr, dass mit einem abgefangenen Passwort alle E-Mails zwischen diesen Parteien kompromittierbar wären, nachdem immer das gleiche Passwort verwendet wurde.
Rechtlicher Rahmen der E-Mail-Verschlüsselung
In jedem Fall sollten sich Berufsgeheimnisträger wie Ärzte oder Apotheker gut überlegen, ob sie E-Mails mit sensiblen und persönlichen Angaben von Patienten unverschlüsselt verschicken. Das Bundesdatenschutzgesetz (BSDG) bestimmt zwar keine Pflicht zum Verschlüsseln von Nachrichten mit personenbezogenen Daten, jedoch stuft der Tätigkeitsbericht des Sächsischen Landesdatenschutzbeauftragten Andreas Schurig von 2015 bis 2017 eine solche Verfahrensweise als Verfehlung der Verschwiegenheitspflicht nach § 203 Strafgesetzbuch ein. Für den Schutz und die Sicherheit personenbezogener Daten sind auf EU-Ebene zum einen die Unternehmen und zum anderen auch Datenverarbeiter wie zum Beispiel Cloud-Provider zuständig. Die europäische Datenschutz-Grundverordnung, kurz DSGVO, regelt dabei die Handhabung personenbezogener Daten von EU-Bürgern. Sie gibt auf der einen Seite nicht konkret an, welche technischen Maßnahmen Unternehmen zum Schutz anwenden müssen, allerdings lässt sich klar aus dem zugehörigen Artikel 32 die Empfehlung herauslesen, persönliche Informationen sicher zu verschlüsseln.
E-Mails, die im Geschäftsalltag versendet werden, beinhalten nur in Ausnahmefällen Angaben, die für Dritte zugänglich sein dürfen. Meist sind die Nachrichten oder deren Anhänge mit Informationen versehen, die in die Kategorien Interna, geistiges Eigentum oder persönliche Daten eingeordnet werden. An diese Informationen können unbefugte Dritte nicht gelangen, wenn Mitarbeiter ihre elektronischen Nachrichten verschlüsseln. Sollte es doch zu Datenschutzverletzungen kommen, profitieren Unternehmen zusätzlich von der eingeführten Schutzmaßnahme. Die DSGVO befreit sie dann nämlich von der Pflicht, betroffene Anwender bei Datenschutzverstößen zu informieren.
Akzeptanz durch Anwenderfreundlichkeit
Cloud-basierte E-Mail-Dienste werden häufig von Unternehmen genutzt, um schneller zu arbeiten. Die meistgenutzten E-Mail-Services sind dabei von den Anbietern Microsoft und Google. Doch stehen gerade diese Cloud-E-Mail-Services einem hohen Risiko gegenüber. So geht beispielsweise aus dem „Cloud App Security Report 2019“ eines großen Sicherheitsunternehmens hervor, dass 2019 12,7 Millionen höchst kritische E-Mail-Bedrohungen vom Security-Anbieter abgefangen wurden.
Bei einer so hohen Anzahl an Angriffen, ist es nur eine konsequente Folge, dass gerade Berufsgeheimnisträger notwendige Vorkehrungen treffen müssen und wollen, um ihren E-Mail-Verkehr mit sensiblen Daten vor den Blicken Fremder zu schützen.
Die Nutzer selbst betrachten E-Mail-Verschlüsselung aber häufig als überfordernd oder unpraktisch, was auch die Zahlen zum Ausdruck bringen: Nur 60 Prozent aller E-Mails werden im beruflichen Alltag transportverschlüsselt (TSL) übermittelt, deckt das Fachmagazin Security Insider auf.
Die E-Mail-Verschlüsselung und der dazugehörende Datentransfer müssen nutzerfreundlich und sicher für Sender und Empfänger sein. Trotzdem sind viele Lösungen noch nicht anwenderfreundlich und für den Nutzer zu kompliziert.
Das führt dazu, dass sowohl beruflich als auch privat noch viel zu wenig verschlüsselt wird. Jedoch ist eine Datenpanne für Ärzte, Apotheker und Kliniken eine ernste Gefahr. Egal ob selbst verschuldet oder durch einen gezielten Angriff ausgelöst, sie kann Betroffene viel Geld kosten und zu einer nachhaltigen Beeinträchtigung der Reputation führen. Diesem Problem muss mit einer einfachen Sicherheitslösung entgegengewirkt werden, um die Akzeptanz bei den Mitarbeitern zu stärken. Dazu muss das Nutzerinteresse in den Mittelpunkt rücken. Was der Branche fehlt, sind nutzerfreundliche Softwarelösungen, die eine sichere, rechtskonforme und dabei ebenso einfache E-Mail-Verschlüsselung bieten. Dies erlaubt Arztpraxen, Apotheken und Kliniken unkompliziert, effizient und sicher mit ihren Patienten per E-Mail zu kommunizieren, ohne Fachkenntnisse im IT-Bereich vorauszusetzen. Dabei ist die Sicherheitstechnologie idealerweise direkt in allen verwendeten Plattformen eingebettet, denn: Die beste Verschlüsselung und den sichersten Dateientransfer merkt und sieht ein Anwender nicht.
Praxisbericht
Praxis & Organisation
12.01.22
Patienten und Daten schützen
E-Mail-Verschlüsselung macht sensible Nachrichten für Unbefugte unlesbar und sichert eine vertrauliche Kommunikation
E-Mail-Verschlüsselung, Patienten und Daten schützen
Weitere Beiträge zum Thema