E-Mail

E-Mails sind aus der Kommunikation mit Kollegen und Geschäftspartnern kaum noch wegzudenken. Ohne besondere Vorkehrungen sind E-Mails jedoch unsicher und gleichen dem Versand einer Postkarte: jede am Transport der Nachricht beteiligte Stelle kann auf die Inhalte zugreifen. Welche Wege eine Nachricht nimmt und wer diese dabei zu Kenntnis nehmen kann, ist weder vom Absender noch vom Empfänger zu beeinflussen. Vertrauliche Informationen wie Arztbriefe, Befunde o.Ä. dürfen per E-Mail daher nur versandt werden, wenn Maßnahmen zum Schutz vor unbefugter Kenntnisnahme ergriffen werden, z.B. durch eine Verschlüsselung.

Pflicht zur Verschlüsselung nach DS-GVO

Praxisinhaber sind als datenschutzrechtlich Verantwortliche nach Art. 24 Abs. 1 und Art. 32 DS-GVO verpflichtet, geeignete technische und organisatorische Maßnahmen für eine verordnungskonforme Verarbeitung der Patientendaten zu treffen. Nach Art. 32 DS-GVO ist dabei der aktuelle Stand der Technik zu berücksichtigen, d.h. technische Maßnahmen, deren Geeignetheit und Effektivität erwiesen ist. Nach der vom LfDI Rheinland-Pfalz vertretenen Auffassung sind als Stand der Technik insoweit die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zum IT-Grundschutz heranzuziehen. Diese sehen zum Schutz vertraulicher Inhalte bei der E-Mail-Kommunikation eine Verschlüsselung vor. Es ist Konsens, dass bei besonderen Kategorien personenbezogener Daten wie z.B. Gesundheitsdaten eine Verschlüsselung als geeignet, erforderlich und angemessen i.S.d. Art. 32 DS-GVO anzusehen ist. In technischer Hinsicht sind unterschiedliche Verschlüsselungslösungen möglich (siehe z.B. https://www.datenschutz.rlp.de/themen/verschluesselung/). Für welche dieser Alternativen sich ein Verantwortlicher entscheidet, obliegt ihm. Auf jeden Fall müssen Verantwortliche bei einer von ihnen angebotenen E-Mail-Kommunikation in der Lage sein, eine nach dem Stand der Technik gebotene Verschlüsselung vorzunehmen und anzubieten.

Verzicht auf Verschlüsselung möglich?

Eine unverschlüsselte E-Mail-Kommunikation von Praxen mit Patientendaten entspräche insoweit nicht den Vorgaben der Datenschutz-Grundverordnung und wäre deshalb als Verstoß gegen die Vorgaben des Datenschutzrechts immer sanktionsbewährt. Ob ausnahmsweise Patienten gegenüber Praxen auf den Einsatz von Verschlüsselungslösungen bei einer E-Mail-Kommunikation rechtswirksam verzichten können, ist rechtlich umstritten. Denn die DS-GVO sieht in Art. 32 dies nicht vor. Vor dem Hintergrund hiervon abweichender Rechtsprechung lässt der LfDI derzeit allerdings zu, dass sich Betroffene mit der Versendung unverschlüsselter E-Mails einverstanden erklären können, nachdem die Verantwortlichen sie über die damit verbundenen Risiken informiert und alternative und sichere Kommunikationsmöglichkeiten angeboten haben (z.B. Verschlüsselung der E-Mail, postalisch, telefonisch). Dies muss seitens der Praxen nachgewiesen werden.

Verschlüsselungslösungen

Im Nachfolgenden ist dargestellt, wie auf einfache Art und Weise die notwendige Vertraulichkeit hergestellt werden kann.

Verschlüsselung mit Hilfe von "7Zip"

Dabei handelt es sich um ein frei nutzbares Kompressionsprogramm für Windows Betriebssysteme zur Erzeugung so genannter "Archive". Es unterstützt unter anderem das verbreitete Archivformat ZIP und dessen Möglichkeit, die Archive mit einem Passwort zu versehen. Eine auf diese Weise verschlüsselte Datei kann danach per eMail verschickt werden. Der Empfänger benötigt lediglich ein beliebiges Programm, welches das ZIP-Format unterstützt (z.B. WinZIP, 7-ZIP, IZArc), sowie die Kenntnis des verwendeten Passworts. Dieses ist dem Empfänger auf einem anderen Weg, z.B. telefonisch, mitzuteilen. Alternativ kann eine Information verwendet werden, die Absender und Empfänger bekannt sind und in der E-Mail nicht enthalten ist. Für andere Betriebssysteme wie Apple OSX, iOS oder Android stehen kompatible Softwarelösungen zur Verfügung, so dass auch ein vertraulicher Austausch zwischen Windows-PC und Mac-Rechnern oder mit Smartphones und Tablets möglich ist.

Verschlüsselung mit Hilfe von "GnuPG"

GPG4win (GNU Privacy Guard for Windows) ist ein Kryptografiepaket zum Verschlüsseln und Signieren unter Windows. Mit GPG4win können E-Mails, Dateien und Datei-Ordner ver- und entschlüsselt sowie ihre Integrität (Unveränderbarkeit) und Herkunft (Authentizität) abgesichert werden. GPG4win und die darin enthaltenen Komponenten sind Freie Software (OSS). GPG4win wurde beauftragt vom Bundesamt für Sicherheit in der Informationstechnik (BSI). Für den Einsatz auf bzw. den Austausch mit Apple-Systemen unter OSX steht die kostenfreie Lösung GPG-Tools zur Verfügung.

GPG4Win ist im Vergleich zur vorherigen Lösung etwas aufwändiger in der Handhabung, bietet dafür eine hochwertigere Verschlüsselung und erfordert konzeptionell bedingt keinen direkten Austausch der Schlüssel.

Verschlüsselung durch passwortgeschützte PDF-Dateien

Hier bieten sich der Adobe Acrobat oder PDF24 Creator als Möglichkeiten an. Beim Programm PDF24 Creator wird das zu verschlüsselnde Dokument dem „PDF Drucker Assistent “ übergeben. Anschließend wählt man „Speichern als“ und kann dann unter dem Menüpunkt „Sicherheit“ den Unterpunkt „Dokument schützen“ wählen. Es kann dann ein Passwortschutz für einzelne Aktionen (zum Beispiel: „Drucken“, „Bearbeiten“) erstellt, aber auch das „Öffnen des gesamten Dokumentes“ passwortgeschützt werden. Hierfür kann unter „Passwort zum Öffnen“ ein Passwort eingegeben werden. Abgeschlossen wird die Verschlüsselung mit „Weiter“ und „Speichern“ des jetzt besonders geschützten Dokuments.

Check

  1. Sollen personenbezogene Informationen verschickt werden ? Dann müssen diese für die Übertragung verschlüsselt werden. Entweder, indem spezielle Übertragungslösungen genutzt (z.B. DE-MAIL) oder die Inhalte separat verschlüsselt werden.
  2. Mit dem Empfänger ist ggf. die Art der Übertragung/Verschlüsselung abzustimmen und erforderlichenfalls ein Schlüssel zu vereinbaren.
  3. Lösungen, die lediglich eine Verschlüsselung zwischen den Mail-Anbietern gewährleisten (z.B. wie „E-Mail ´Made in Germany´“) reichen nicht aus, da die E-Mails auf den Mailservern der Provider im Klartext vorliegen bzw. von diesen eingesehen werden können.
  4. Empfängerseitig ist eine Prüfung eingehender Mails auf etwaige Schadsoftware (Computerviren, Trojaner usw.) unverzichtbar.
  5. Die verwendeten Schlüssel sind vor unbefugtem Zugriff geschützt aufzubewahren und sollten in gewissen Abständen gewechselt werden.