Thema 1.7 — Informationsgovernance, Datenschutz und Cybersicherheit

In Gesundheit und Pflege ist der Schutz von Informationen untrennbar von der Erbringung von Versorgung: Dieselben Daten, die ein Leben retten können, können bei falschem Umgang das Vertrauen zerbrechen, das Behandlung erst möglich macht – wie Sie sie steuern, teilen und sichern, ist daher eine klinische, ethische und das öffentliche Vertrauen betreffende Verpflichtung, kein Compliance-Nachgedanke.

Warum das in Gesundheit und Pflege wichtig ist#

Gesundheits- und Pflegedaten gehören zu den sensibelsten Informationen, die ein Mensch je erzeugen wird. Sie halten Diagnosen, Medikamente, psychische Erkrankungsphasen, sexuelle Gesundheit, an Einwanderung gebundene Ansprüche und die intimen Details gebrechlicher und verletzlicher Leben fest. Menschen offenbaren dies Klinikpersonal auf ein stillschweigendes Versprechen hin: dass die Informationen genutzt werden, um ihnen zu helfen, und nicht achtlos verbreitet werden. Wenn dieses Versprechen bricht – durch ein Datenleck, einen Ransomware-Ausfall oder eine unerklärte Datenweitergabe –, halten Patientinnen und Patienten Informationen zurück, widersprechen der Aufnahme in Akten oder meiden Versorgung ganz. Das ist kein abstrakter Schaden; er verschlechtert klinische Sicherheit und Bevölkerungsgesundheit unmittelbar.

Der Einsatz ist auch operativ. Ein modernes Krankenhaus kann ohne seine elektronischen Systeme nicht funktionieren: Auftragskommunikation, Befunde, E-Verordnung, Bildgebung und Patientenverwaltung sind alle digital. Fallen diese Systeme aus, werden Rettungswagen umgeleitet, Operationen abgesagt, und Klinikpersonal weicht auf Papier aus, auf eine Weise, die eigene Fehler einführt. Informationsgovernance und Cybersicherheit sind daher Disziplinen der Versorgungskontinuität. Sie gehören neben die klinische Sicherheit (Thema 1.6 — Klinische Sicherheit und Risikomanagement), nicht in ein separates Compliance-Silo.

Schließlich gibt es im Zentrum dieses Themas eine echte und unvermeidliche Spannung. Die Öffentlichkeit erwartet zu Recht, dass der Gesundheitsdienst Daten nutzt, um Versorgung zu verbessern, Services zu planen und Forschung zu unterstützen, die die Behandlungen von morgen findet. Sie erwartet auch Vertraulichkeit und Kontrolle. Diese Ziele ziehen gegeneinander, und Ihre Aufgabe als Führungskraft ist nicht, die Spannung wegzureden, sondern sie offen zu steuern – legitime Nutzung zu ermöglichen und zugleich die Schutzvorkehrungen und die Wahlmöglichkeiten der Patientinnen und Patienten sichtbar und ehrlich zu machen. Wenn Sie dieses Gleichgewicht in eine der Richtungen falsch treffen, verlieren Sie: Entweder hungern Sie Versorgung und Forschung an Daten aus, oder Sie untergraben das Vertrauen, von dem das ganze System abhängt.

Kernkonzepte#

Dieses Feld stützt sich auf die Disziplin der Informationsgovernance – den Rahmen aus Regeln, Rollen und Kontrollen, durch den eine Organisation Informationen rechtmäßig, sicher und ethisch behandelt. Im Vereinigten Königreich sind die primären Rechtsgrundlagen die UK General Data Protection Regulation (UK GDPR), die nach dem Brexit beibehaltene innerstaatliche Fassung der EU-Verordnung, und der Data Protection Act 2018 (DPA 2018), der sie ergänzt. Zusammen verlangen sie, dass personenbezogene Daten rechtmäßig, fair und transparent verarbeitet werden und dass jede Verarbeitungstätigkeit auf einer Rechtsgrundlage ruht. Gesundheitsinformationen sind Daten besonderer Kategorie, die sowohl eine Rechtsgrundlage nach Artikel 6 als auch eine zusätzliche Bedingung nach Artikel 9 brauchen – für die direkte Versorgung typischerweise die Erbringung von Gesundheits- oder Sozialfürsorge durch eine Fachkraft unter einer Vertraulichkeitspflicht.

Datenschutzrecht ist nicht die einzige Beschränkung. Die Schweigepflicht nach Common Law ist eine separate, ältere Verpflichtung: Vertraulich gegebene Informationen dürfen nicht ohne Einwilligung, gesetzliche Pflicht oder überwiegendes öffentliches Interesse offengelegt werden. Sie können der UK GDPR voll entsprechen und dennoch die Vertraulichkeit verletzen; beides muss daher erfüllt sein.

Zwei gesundheitsspezifische Rahmenwerke übersetzen diese Pflichten in die Praxis. Die Caldicott-Prinzipien – ein Satz von Prinzipien (inzwischen acht) für den Umgang mit vertraulichen Patienteninformationen, erstmals im Caldicott-Bericht von 1997 festgelegt – werden in jeder Organisation von einem Caldicott Guardian gewahrt, einer leitenden Person, die dafür verantwortlich ist, die Vertraulichkeit von Patientendaten zu schützen und angemessenen Informationsaustausch zu ermöglichen. National ist der National Data Guardian for Health and Social Care (NDG) eine unabhängige gesetzliche Stimme, die dazu berät, wie Patientendaten genutzt und geschützt werden sollten. Das nationale Daten-Opt-out gibt Patientinnen und Patienten einen Mechanismus, zu verhindern, dass ihre vertraulichen Informationen für Zwecke jenseits ihrer direkten Versorgung genutzt werden, etwa Planung und Forschung, und Organisationen müssen es beachten.

Operativ ist eine Datenschutz-Folgenabschätzung (DPIA) die strukturierte Bewertung, die Sie vor einer Verarbeitung abschließen, die voraussichtlich hohes Risiko birgt – was die meisten neuen Gesundheitsdatenprojekte tun –, um Datenschutzrisiken zu identifizieren und zu mindern. Jede Organisation muss einen Datenschutzbeauftragten (DPO) ernennen, eine unabhängige Rolle, die für die Beratung zur und Überwachung der Compliance zuständig ist. In England ist das Data Security and Protection Toolkit (DSPT) die jährliche Selbstbewertung, mit der Gesundheits- und Pflegeorganisationen nachweisen, dass sie die für den Umgang mit NHS-Daten erforderlichen Standards der Datensicherheit und Informationsgovernance erfüllen.

Auf der Sicherheitsseite liefert das National Cyber Security Centre (NCSC) maßgebliche britische Leitlinien und mit seinem Cyber Assessment Framework (CAF) eine strukturierte Möglichkeit, Cyberresilienz zu messen. Solide Praxis ruht auf bewährten Grundlagen: Defense in Depth, das Schichten mehrerer Kontrollen, damit kein einzelner Ausfall katastrophal ist; das Prinzip der geringsten Rechte, das Menschen und Systemen nur den Zugang gewährt, den sie wirklich brauchen; diszipliniertes Patchen und getestete Backups; und Vorbereitung auf Ransomware, die Schadsoftware, die Systeme zur Erpressung verschlüsselt. Weil Prävention allein nie hält, investieren reife Organisationen auch in den Betrieb: ein Security Operations Center (SOC) – eine Fähigkeit, ob im Haus oder geteilt, die Logs und Telemetrie überwacht, um Eindringlinge zu erkennen und einzudämmen – und einen eingeübten Incident-Response-Prozess, um schnell von der Erkennung zur Wiederherstellung zu kommen. Der WannaCry-Ransomware-Angriff von 2017, der rund ein Drittel der NHS Trusts in England lahmlegte und Auswirkungen von geschätzt 92 Millionen Pfund verursachte, bleibt das prägende warnende Beispiel – sein Schaden entstand weitgehend durch ungepatchte Systeme, nicht durch exotisches Hacking.

Bewährte Praktiken#

1. Beginnen Sie jedes Datenprojekt mit einer DPIA und behandeln Sie sie als Design, nicht als Papierkram. Bevor Sie etwas bauen oder beschaffen, das personenbezogene Daten verarbeitet, gehen Sie mit Ihrem DPO und Caldicott Guardian eine Datenschutz-Folgenabschätzung durch. Früh durchgeführt, prägt sie das Design – Datenerhebung minimieren, Pseudonymisierung wählen, Zugriff straffen –, statt bereits getroffene Entscheidungen abzustempeln. Eine bis zum Go-live geparkte DPIA ist ein Warnzeichen, dass Governance Theater ist.

2. Benennen Sie Ihre Rechtsgrundlage und Vertraulichkeitsgrundlage ausdrücklich und schreiben Sie sie auf. Geben Sie für jeden Fluss von Gesundheitsdaten die Rechtsgrundlage nach Artikel 6, die Bedingung besonderer Kategorie nach Artikel 9 und an, wie die Schweigepflicht nach Common Law erfüllt wird – Einwilligung, gesetzliches Tor oder öffentliches Interesse. Uneindeutigkeit ist hier, wo Projekte stocken oder nach dem Start zurückgezogen werden. Ausdrücklichkeit lässt Sie auch die Verarbeitung Patientinnen und Patienten in einfacher Sprache erklären, was selbst eine gesetzliche Anforderung ist.

3. Wenden Sie überall geringste Rechte und rollenbasierten Zugriff an. Gewähren Sie Klinikpersonal, Verwaltungskräften, Forschenden und Systemen nur den Zugriff, den ihre Rolle verlangt, und überprüfen Sie ihn regelmäßig, wenn Menschen wechseln und gehen. Protokollieren Sie den Zugriff auf sensible Akten und prüfen Sie ihn, denn die glaubhafte Gefahr der Entdeckung schreckt unangemessene Neugier ebenso ab wie jede technische Kontrolle. Die meisten realen Verstöße sind banal – die falsche Person sieht die falsche Akte –, keine raffinierten Einbrüche.

4. Bringen Sie die Cybergrundlagen in Ordnung, bevor Sie fortgeschrittene Werkzeuge kaufen. Die Leitlinien des NCSC sind unglamourös und wirksam: zügig patchen, besonders internetzugewandte und klinische Systeme; Multi-Faktor-Authentifizierung durchsetzen; Netzwerke segmentieren, damit sich eine Infektion nicht frei ausbreiten kann; und Offline-Backups vorhalten und testen. WannaCry verbreitete sich über ungepatchte Windows-Systeme, und die Lehre bleibt – Basishygiene verhindert die Mehrheit der Vorfälle. Geben Sie zuerst für Grundlagen aus; kaufen Sie ausgefeilte Erkennung, sobald die Basis solide ist.

5. Gehen Sie davon aus, dass Sie angegriffen werden, und üben Sie Ihre Reaktion. Pflegen und üben Sie einen Incident-Response- und Business-Continuity-Plan, der annimmt, dass Systeme nicht verfügbar sein werden, einschließlich klinischem Rückfall auf Papier und eines Kommunikationsplans für Personal und Patientinnen und Patienten. Testen Sie Ihre Backups, indem Sie tatsächlich daraus wiederherstellen, denn ein nie wiederhergestelltes Backup ist eine Hoffnung, keine Kontrolle. Führen Sie Planspiele (Tabletop-Übungen) durch, damit das erste Mal, dass Ihr Team einen Ransomware-Ausfall bewältigt, nicht während eines echten ist.

6. Schließen Sie das DSPT ehrlich ab und nutzen Sie es als echte Bewertung. Das Data Security and Protection Toolkit ist eine Voraussetzung für den Umgang mit NHS-Daten, sein Wert entsteht aber dadurch, dass man es als ehrliche Jahresinventur statt als Abhak-Ritual behandelt. Wo Sie einen Standard nicht erfüllen können, halten Sie die Lücke und einen glaubwürdigen Verbesserungsplan fest, statt Ihre Position zu überzeichnen. Ein aufgeblähtes DSPT-Ergebnis gibt Ihrem Vorstand falsche Sicherheit, was schlimmer ist als keine.

7. Machen Sie Informationsaustausch zu einer gestalteten Fähigkeit, nicht zu einem Hindernis. In einem Integrated Care System (ICS) hängt gute Versorgung davon ab, dass Daten Organisationsgrenzen zwischen Trusts, Hausarztpraxen, Sozialfürsorge und Gemeindeanbietern überschreiten. Schaffen Sie klare Vereinbarungen zum Informationsaustausch (Information Sharing Agreements, ISAs) und Datenaustausch, vereinbaren Sie Rechts- und Vertraulichkeitsgrundlagen gemeinsam und gestalten Sie gemeinsame Akten so, dass die richtige Fachkraft am Behandlungsort die richtigen Informationen sieht. Ziel ist sicheres Teilen, nicht kein Teilen – Daten zurückzuhalten, die eine Klinikerin braucht, ist selbst ein Versagen der Patientensicherheit. Das hängt direkt mit Thema 4.3 — Interoperabilität und Datenstandards zusammen.

8. Achten Sie die Wahl der Patientinnen und Patienten und seien Sie transparent über Sekundärnutzungen. Beachten Sie das nationale Daten-Opt-out in jedem Sekundärnutzungsfluss und veröffentlichen Sie klare, zugängliche Informationen darüber, wie Daten für Planung und Forschung genutzt werden. Wenn Daten mit kommerziellen Partnern geteilt oder zum Training von Modellen genutzt werden, legen Sie es proaktiv offen, statt es durch ein Leck ans Licht kommen zu lassen – verborgene Arrangements haben wiederholt öffentlichen Gegenwind und Opt-out-Wellen ausgelöst. Transparenz ist keine Höflichkeit; sie hält die Daten überhaupt am Fließen.

9. Steuern Sie Akten über ihren gesamten Lebenszyklus. Wenden Sie Aufbewahrungspläne auf Grundlage des NHS Records Management Code of Practice an, entsorgen Sie Akten sicher, wenn ihre Aufbewahrungsfrist endet, und halten Sie sie zugänglich und unversehrt, solange sie läuft. Schlechtes Aktenmanagement schafft sowohl Risiko (Daten halten, die man nicht mehr braucht) als auch Schaden (Daten verlieren, auf die sich Klinikpersonal verlässt). Migration zwischen Systemen ist ein Hochrisikomoment – planen Sie Datenqualität, Zuordnung und Archivierung bewusst.

10. Bauen Sie Governance in Beschaffung und Lieferantensteuerung ein. Verankern Sie Datenschutz- und Sicherheitsanforderungen in Verträgen: Auftragsverarbeitungsbedingungen, DSPT- oder gleichwertige Zertifizierung, Fristen für Verstoßmeldungen und das Recht zur Prüfung. Die schwache Sicherheit eines Lieferanten wird Ihr Vorfall und Ihre Schlagzeile; bewerten Sie daher die Lieferkette, nicht nur Ihre eigene Perimeter. Arbeiten Sie hieran gemeinsam mit kommerziellen Kolleginnen und Kollegen, wie in Thema 6.3 — Beschaffung und Vertragsgestaltung behandelt, und verlangen Sie klare Antworten darauf, wo Daten gehostet werden und wer Zugriff hat.

11. Investieren Sie in Erkennung, nicht nur in Prävention. Gehen Sie davon aus, dass manche Angriffe Ihre Abwehr durchdringen, und bauen Sie die Fähigkeit auf, sie zu sehen: zentralisierte Protokollierung, Überwachung von Schlüsselsystemen und ein Security Operations Center – im Haus, geteilt über ein ICS oder unter Rückgriff auf nationale Dienste wie das NCSC und die Cyberoperationen von NHS England –, damit verdächtige Aktivität erkannt und eingedämmt statt Wochen später entdeckt wird. Koppeln Sie das mit kontinuierlichem Schwachstellenmanagement und Bedrohungserkennung, damit Sie die Schwächen patchen, die Angreifer tatsächlich ausnutzen. Erkennung verschafft Ihnen die Zeit, einen Vorfall einzudämmen, bevor er zum Ausfall wird.

12. Behandeln Sie einen schweren Cyberangriff als Ereignis der klinischen Kontinuität. Schreiben, finanzieren und üben Sie einen Cyber-Incident-Response-Plan, der benennt, wer einen Vorfall erklärt, wer die technische Reaktion leitet und wer klinische Sicherheit und externe Kommunikation verantwortet, während Systeme ausgefallen sind. Verdrahten Sie ihn direkt mit Ihren Vorkehrungen zu Business Continuity und Disaster Recovery (siehe Thema 3.9 — Business Continuity und Disaster Recovery) und Ihren Großschadens- und EPRR-Prozessen (siehe Thema 3.10 — Notfallvorsorge, Resilienz und Reaktion), sodass ein Ransomware-Ausfall mit derselben Disziplin bewältigt wird wie jede Bedrohung der Patientenversorgung. Ein Plan, der nur in der IT-Abteilung lebt, scheitert in dem Moment, in dem ein Angriff zur klinischen Krise wird.

Fragen zur Diskussion im Team#

1. Wo in unseren Services teilen wir zu wenig und wo zu viel – und woran würden wir das überhaupt erkennen? Fehler der Informationsgovernance verlaufen in beide Richtungen. Zu viel Teilen zeigt sich als Verstöße und erodiertes Vertrauen; zu wenig Teilen zeigt sich leise, als Klinikerin, die eine Allergie nicht sehen konnte, als Schutzbedenken, das zwischen Behörden fiel, oder als Entlassung, die schiefging, weil Gemeindeteams Kontext fehlte. Besprechen Sie konkrete Fälle aus Ihrem eigenen Umfeld. Haben Sie eine – oft defensive – Neigung, die Zurückhaltung automatisch als sicher behandelt? Welche Signale würden Ihnen sagen, dass eine Teilungsgrenze Patientinnen und Patienten schadet, und wer ist rechenschaftspflichtig, es zu bemerken? Ein reifes Team kann Beispiele für beide Fehlerbilder nennen und hat für jedes einen Eskalationsweg.

2. Wenn ein Ransomware-Angriff morgen früh unsere klinischen Systeme offline nähme, was würde in der ersten Stunde tatsächlich geschehen? Gehen Sie über den Plan auf dem Papier zur gelebten Realität. Wer erklärt den Vorfall, und wie erfährt das Personal davon, wenn E-Mail und Intranet ausgefallen sein können? Was ist der klinische Rückfall für Verordnung, Befunde und Patientenidentifikation, und hat das Personal an der Front ihn je geübt? Wie lange kann jeder Service auf Papier laufen, bevor die Patientensicherheit leidet, und wie entscheiden Sie, umzuleiten oder abzusagen? Wann haben Sie zuletzt aus einem Backup wiederhergestellt, um zu beweisen, dass es funktioniert? Die Ehrlichkeit dieses Gesprächs – besonders die Lücken, die Menschen ungern zugeben – ist ein besseres Maß für Resilienz als jeder Rahmenwerk-Wert.

3. Wie würden wir einer skeptischen Patientin unsere Datennutzungen erklären, und würde sie das Gefühl haben, wir seien ehrlich zu ihr gewesen? Öffentliches Vertrauen wird in einfacher Sprache verdient, nicht in Rechtshinweisen. Wählen Sie eine reale Sekundärnutzung von Daten in Ihrer Organisation – Serviceplanung, eine Forschungspartnerschaft, ein Lieferantenarrangement, ein KI-Werkzeug – und versuchen Sie, sie einem gewöhnlichen Menschen zu erklären: welche Daten, zu welchem Zweck, wer profitiert, welche Schutzvorkehrungen und welche Wahl er hat. Wo wird die Erklärung unbequem oder ausweichend? Dieses Unbehagen markiert meist etwas, das Sie entweder ändern oder offener kommunizieren sollten. Überlegen Sie, wie das nationale Daten-Opt-out und Ihre Transparenzmaterialien auf jemanden wirken würden, der zu Misstrauen neigt, und verbinden Sie dies mit der Governance von KI in Thema 8.4 — Governance von KI und aufkommenden Technologien.

4. Wenn ein Lieferant oder Partner die Daten unserer Patientinnen und Patienten hält, wessen Vorfall ist es – und sind wir sicher, dass wir es rechtzeitig erfahren könnten? Die meisten Gesundheits- und Pflegeorganisationen hängen inzwischen von einer Kette Dritter ab: dem EPR-Anbieter, einem Cloud-Host, einem Managed-Service-Anbieter, einem Pathologie- oder Bildgebungspartner. Ein Verstoß oder Ausfall irgendwo in dieser Kette wird Ihre klinische Krise und Ihre Schlagzeile, doch Vertrag, Zertifizierung und die Uhr der Verstoßmeldung erfahren oft weit weniger Prüfung als Ihre eigene Perimeter. Besprechen Sie, was Sie tatsächlich darüber wissen, wo Ihre Daten gehostet werden, wer Zugriff hat und wie schnell ein Lieferant vertraglich gebunden ist, Ihnen zu sagen, wenn etwas schiefgeht. Haben Sie diesen Meldeweg je getestet oder die DSPT- oder gleichwertige Absicherung eines Lieferanten gesehen, statt ihr zu vertrauen? Was geschieht, wenn ein kritischer Lieferant selbst an einem Freitagabend von Ransomware getroffen wird? Eine ehrliche Antwort benennt die Lieferanten, die Sie derzeit nicht zur Rechenschaft ziehen können, und verbindet dies mit Thema 6.3 — Beschaffung und Vertragsgestaltung.

5. Wer verantwortet hier das Risiko der Informationsgovernance wirklich – und würde er von einem Problem hören, bevor es zur Krise wurde? Auf dem Papier verantworten ein DPO und ein Caldicott Guardian das Risiko bei Vertraulichkeit und Datenschutz, und der Vorstand die Cyberresilienz. In der Praxis sind diese Rollen oft unterausgestattet, spät konsultiert oder als Freigabe statt als Stimme behandelt, sodass Risiken weder ans Licht kommen noch eskaliert werden, bis sie als Vorfälle auftauchen. Sprechen Sie ehrlich darüber, ob Ihr Caldicott Guardian und Ihr DPO tatsächlich früh in Entscheidungen einbezogen werden, ob sie Nein sagen und gehört werden können und ob Cyberrisiko den Vorstand als etwas erreicht, das er versteht und verantwortet, statt als technischer Bericht, den er abnickt. Würde eine Klinikerin an der Front, die unangemessenen Zugriff bemerkte, oder ein Ingenieur, der ein ungepatchtes kritisches System fand, wissen, wie sie es vorbringen, und darauf vertrauen, dass etwas geschieht? Der Test der Verantwortlichkeit ist nicht das Organigramm, sondern ob unbequeme Nachrichten schnell nach oben wandern; das hängt mit der in Thema 1.6 — Klinische Sicherheit und Risikomanagement besprochenen Sicherheitskultur zusammen.

6. Wie entscheiden wir, welche Daten wir behalten, welche wir löschen und wer noch Zugriff braucht – und wann haben wir das zuletzt tatsächlich getan? Die Aufmerksamkeit der Governance konzentriert sich auf das Erheben und Teilen von Daten, doch Aufbewahrung, Entsorgung und Zugriffsprüfung sind der Ort, an dem sich stilles Risiko ansammelt: Akten, die weit über ihre rechtmäßige Aufbewahrungsfrist hinaus gehalten werden, ruhende Konten, die noch Live-Systeme öffnen, und Zugriffsrechte, die Menschen bei Rollenwechseln folgten, aber nie entzogen wurden. Jede Akte, die Sie nicht mehr brauchen, ist Haftung, die Sie speichern, und jede veraltete Zugangsberechtigung ein Weg hinein für einen Angreifer oder neugierigen Insider. Besprechen Sie, ob Ihre Aufbewahrungspläne dem NHS Records Management Code of Practice in Wirklichkeit oder nur auf dem Papier folgen, wann Zugriffsrechte zuletzt überprüft und bereinigt wurden und wie Sie den Hochrisikomoment der Migration oder Außerbetriebnahme eines Systems handhaben. Wer ist rechenschaftspflichtig dafür, auf „Löschen“ zu drücken, und wird irgendjemand daran gemessen? Eine ehrliche Antwort offenbart meist eine Anhäufung von Daten und Zugriffen, die seit Jahren niemand verantwortet.

In der Praxis: ein Beispiel aus Gesundheit und Pflege#

Das Meadowford Integrated Care System baut eine gemeinsame Patientenakte auf, damit Krankenhausklinikpersonal, Hausärztinnen, Gemeindepflegekräfte und Sozialarbeitende eine einheitliche Sicht auf jeden Menschen sehen können. Das Programm ist beim Klinikpersonal beliebt und politisch sichtbar, und die Versuchung ist, schnell voranzugehen.

Der Programmdirektor besteht darauf, Governance neben dem Bau statt dahinter zu sequenzieren. Eine DPIA wird von Beginn an eröffnet, gemeinsam geleitet von der DPO und dem leitenden Caldicott Guardian aus den Partnerorganisationen. Sie erzwingt frühe, nützliche Entscheidungen: Die Akte wird eine kuratierte klinische Zusammenfassung statt jedes historischen Dokuments zeigen; Sozialfürsorgeakten mit Informationen Dritter werden nach strengeren Regeln behandelt; und der Zugriff wird rollenbasiert sein, mit einer Prüfung der legitimen Beziehung, sodass eine Fachkraft nur die Akte einer Person öffnen kann, die in ihrer Obhut ist. Jeder Zugriff wird protokolliert und geprüft, und dem Personal wird das deutlich gesagt.

Die Partner vereinbaren eine einzige Vereinbarung zum Informationsaustausch, die die Schweigepflicht nach Common Law und die Rechtsgrundlagen abdeckt – direkte Versorgung nach Artikel 6(1)(e) und Artikel 9(2)(h) –, und bestätigen, dass die gemeinsame Akte nur für die direkte Versorgung genutzt wird, sodass das nationale Daten-Opt-out sie nicht einschränkt. Als ein separater Vorschlag eintrifft, dieselben Daten für Analytik der Bevölkerungsgesundheit zu nutzen, behandelt das Team ihn als eigenen Fluss mit eigener DPIA, eigener Rechtsgrundlage, Opt-out-Konformität und öffentlicher Kommunikation, statt die bestehende Vereinbarung still zu erweitern.

Sechs Wochen vor dem Go-live führt die Sicherheitsverantwortliche eine Tabletop-Übung zu Ransomware durch. Sie deckt auf, dass die gemeinsame Akte keinen klinischen Rückfall hat, falls sie nicht verfügbar wird, und dass Backups nie testweise wiederhergestellt wurden. Der Go-live verschiebt sich um einen Monat, während das Team eine nächtlich aktualisierte Offline-Nur-Lese-Kopie ergänzt, die Wiederherstellung nachweist und das Personal an der Front in den Papierrückfall einweist. Die Verzögerung ist unbeliebt, doch als drei Monate später ein Patchfehler eines Lieferanten das Hauptsystem einen Vormittag lang offline nimmt, läuft die Versorgung auf dem Rückfall weiter und kein Termin geht verloren. Die Glaubwürdigkeit des Programms – und das Vertrauen des Klinikpersonals in die Akte – bleibt unversehrt. Der Zielkonflikt war explizit: Ein langsamerer Start kaufte Resilienz, die ein schnellerer verspielt hätte.

Sektorperspektiven#

Startup#

Ein Health-Tech-Startup hat oft die stärksten technischen Sicherheitsinstinkte und das schwächste Verständnis gesundheitsspezifischer Vertraulichkeit und NHS-spezifischer Erwartungen. Als Startup müssen Sie damit rechnen, das DSPT abzuschließen oder gleichwertige Absicherung nachzuweisen, bevor eine NHS-Stelle Daten mit Ihnen teilt, und früh einen DPO zu ernennen oder zu beauftragen. Ihr größtes Risiko ist, bei Datennutzungen – Analytik, Modelltraining, Partnerschaften – schnell voranzugehen, ohne die Rechtsgrundlage, DPIA und Transparenz, die der Sektor verlangt, und einen NHS-Kunden über Nacht zu verlieren, wenn es ans Licht kommt. Behandeln Sie Informationsgovernance als Marktzugangsvoraussetzung, nicht als Overhead, und bauen Sie sie ein, solange Sie klein sind.

Kleines Unternehmen#

Ein etablierter kleiner Anbieter – eine Hausarztpraxis, eine Gemeindeapotheke, ein Pflegeheim, ein ambulanter Pflegedienst, eine Einzelstandort-Klinik oder ein bescheidener Health-Tech-Lieferant – trägt dieselben rechtlichen Pflichten wie ein großer Trust, aber mit einem Bruchteil der Kapazität: oft keine hauseigene IT, kein eigener DPO und ein Inhaber oder eine Praxismanagerin, der bzw. die Daten neben einem Dutzend anderer Aufgaben steuert. Ihr realistischer Weg ist, sich auf geteilte und externe Hilfe zu stützen – einen beauftragten DPO, einen über ein Primary Care Network geteilten Caldicott Guardian, die Cyberunterstützung Ihres ICS und die Leitlinien des NCSC für kleine Organisationen –, statt Fähigkeiten aufzubauen, die Sie sich nicht leisten können. Schließen Sie das DSPT ehrlich ab, denn für viele kleine Anbieter ist es sowohl eine vertragliche Anforderung als auch Ihre am besten strukturierte Checkliste, und halten Sie reale Lücken fest, statt das Ergebnis aufzublähen. Bringen Sie zuerst die bezahlbaren Grundlagen in Ordnung – MFA, zügiges Patchen, getestete Offline-Backups, Zugriff mit geringsten Rechten und einen einfachen Papierrückfall –, denn sie verhindern die meisten Vorfälle und kosten eher Zeit als Geld. Seien Sie besonders vorsichtig bei Lieferanten-Lock-in und Cloud-Arrangements, wo Sie womöglich wenig Verhandlungshebel haben und dennoch wissen müssen, wo Patientendaten liegen und wer sie erreichen kann.

Großunternehmen#

Ein großer Trust oder etablierter Lieferant hat ausgereifte Richtlinien, ringt aber mit Größe, Altlasten und Fragmentierung: Dutzende Systeme, uneinheitliche Zugriffskontrollen, ungepatchter Bestand und dünn über Teams verteilte Governance. Ihre Herausforderung ist Kohärenz – eine einzige Sicht auf Risiko, ein echtes Asset-Inventar und genug Sicherheitsinvestition, um Grundlagen zu reparieren statt nur Werkzeuge zu kaufen. WannaCry traf große Organisationen gerade wegen ungepatchter Altbestände am härtesten. Nutzen Sie das DSPT und das NCSC Cyber Assessment Framework, um echte Verbesserung voranzutreiben, und sorgen Sie dafür, dass die Verantwortung auf Vorstandsebene real ist statt in die Unsichtbarkeit delegiert.

Regierung#

Nationale Stellen und Beauftragende setzen die Rahmenwerke – die Caldicott-Prinzipien, die Leitlinien des National Data Guardian, das nationale Daten-Opt-out, das DSPT – und tragen Verantwortung für öffentliches Vertrauen im Bevölkerungsmaßstab. Ihre Dateninitiativen sind groß, sichtbar und politisch aufgeladen, und frühere Programme haben gezeigt, wie schnell verborgener oder schlecht erklärter Datenaustausch Gegenwind und massenhafte Opt-outs auslöst. Führen Sie mit Transparenz, sinnvoller Bürgerbeteiligung und unabhängiger Aufsicht, bevor Sie skalieren, nicht danach. Erkennen Sie den Zielkonflikt, den Sie tragen: Übermäßig vorsichtige nationale Politik hungert Versorgung und Forschung an Daten aus, während sorglose Politik die Zustimmung der Öffentlichkeit verspielt, deren Daten es sind.

Häufige Fehlermuster#

• Governance als Theater. DPIAs nach dem Start abgeschlossen, DSPT-Ergebnisse aufgebläht, um konform zu wirken, und Richtlinien, denen niemand folgt. Das erzeugt falsche Sicherheit, die gefährlicher ist als eingestandene Schwäche.
• Sicherheitsgrundlagen vernachlässigt, während glänzende Werkzeuge gekauft werden. Ungepatchte Systeme, keine Multi-Faktor-Authentifizierung, flache Netzwerke und ungetestete Backups – genau die Bedingungen, die WannaCry sich ausbreiten ließen – mit einer teuren Erkennungsplattform überdeckt.
• Defensive Überaufmerksamkeit als Sicherheit verkleidet. Daten nicht teilen, die eine Klinikerin legitimerweise braucht, „Nein“ als risikolos behandeln, obwohl eine übersehene Allergie oder eine Lücke im Schutz selbst ernster Patientenschaden ist.
• Verborgene Sekundärnutzungen. Für die Versorgung erhobene Daten ohne neue Rechtsgrundlage, Opt-out-Konformität oder öffentliche Transparenz auf Analytik, kommerzielle Deals oder Modelltraining ausdehnen – bis es durchsickert und Vertrauen kollabiert.
• Nie wiederhergestellte Backups. Bei einem laufenden Ransomware-Vorfall entdecken, dass die Backups unvollständig, beschädigt oder zusammen mit allem anderen verschlüsselt sind.
• Verwaiste Verantwortlichkeit. Ein DPO oder Caldicott Guardian, der im Organigramm existiert, aber nicht konsultiert, ausgestattet oder gehört wird, sodass Risiken weder ans Licht kommen noch verantwortet werden.

Reifegradmodell#

Checkliste#

• Zu Beginn jedes neuen Datenprojekts wird eine DPIA eröffnet und vom DPO freigegeben.
• Rechtsgrundlage, Bedingung besonderer Kategorie und Vertraulichkeitsgrundlage sind für jeden Datenfluss dokumentiert.
• Ein Caldicott Guardian und ein Datenschutzbeauftragter sind ernannt, ausgestattet und tatsächlich konsultiert.
• Rollenbasierter Zugriff mit geringsten Rechten wird durchgesetzt, und der Zugriff auf sensible Akten wird protokolliert und geprüft.
• Systeme werden zügig gepatcht, Multi-Faktor-Authentifizierung wird durchgesetzt und Netzwerke sind segmentiert.
• Backups werden erstellt, offline gehalten und planmäßig testweise wiederhergestellt.
• Ein Incident-Response- und Business-Continuity-Plan, einschließlich klinischem Papierrückfall, ist dokumentiert und geübt.
• Das DSPT wird ehrlich abgeschlossen, mit festgehaltenen Lücken und glaubwürdigen Verbesserungsplänen.
• Vereinbarungen zum Informationsaustausch bestehen über ICS-Partner hinweg mit vereinbarten Grundlagen.
• Das nationale Daten-Opt-out wird auf alle Sekundärnutzungen angewandt, und Transparenzmaterialien sind veröffentlicht.
• Aktenaufbewahrung und sichere Entsorgung folgen dem NHS Records Management Code of Practice.
• Datenschutz- und Sicherheitsanforderungen sind in Lieferantenverträge geschrieben, und die Lieferkette wird bewertet.

Zentrale Quellen#

• Information Commissioner's Office (ICO) — Guide to UK GDPR, DPIAs und Rechtsgrundlagen.
• National Data Guardian — Überprüfungen und Leitlinien zur Datensicherheit und zu den Caldicott-Prinzipien.
• NHS England — Data Security and Protection Toolkit und das nationale Daten-Opt-out.
• National Cyber Security Centre (NCSC) — Leitlinien zur Cybersicherheit und das Cyber Assessment Framework.
• UK Caldicott Guardian Council — Rolle und Verantwortlichkeiten des Caldicott Guardian.
• National Audit Office — Untersuchung des WannaCry-Cyberangriffs und des NHS (2017–18).
• NHS Records Management Code of Practice.

Referenzen#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response