Thema 1.10 — Schutz von Personen (Safeguarding) in digitalen Services

In Gesundheit und Pflege hat ein digitaler Service, der offenbart, wo eine Frau wohnt, einem kontrollierenden Partner erlaubt, ihre Nachrichten zu lesen, oder einem Täter Zugang zur Akte eines Kindes verschafft, einen ebenso realen Schaden verursacht wie ein klinischer Fehler – Safeguarding muss daher eingeplant, nicht angeflanscht werden.

Warum das in Gesundheit und Pflege wichtig ist#

Safeguarding ist die Gesamtheit der gesetzlichen Pflichten, Kinder und schutzbedürftige Erwachsene vor Missbrauch, Schaden und Vernachlässigung zu schützen. In England folgen diese Pflichten aus dem Children Act 2004, dem Care Act 2014 und behördenübergreifenden Leitlinien wie Working Together to Safeguard Children. Sie sind keine optionalen Zusätze zu einem digitalen Programm; sie sind rechtliche Verpflichtungen, die Ihrem Service überallhin folgen, wo er einen verletzlichen Menschen berührt.

Digitale Services verändern das Safeguarding-Bild in zwei Richtungen zugleich. Sie schaffen neue Chancen – ein junger Mensch kann Selbstverletzung über einen Nachrichtenkanal offenbaren, den er von Angesicht zu Angesicht nie ansprechen würde, und eine gemeinsame Akte kann ein Muster verpasster Termine aufdecken, das Vernachlässigung anzeigt. Sie schaffen auch neue Risiken. Eine Terminerinnerungs-SMS, eine Benachrichtigung über ein Folgerezept oder eine Proxy-Zugriffsgewährung kann den Aufenthaltsort, die Diagnose oder den Verbleib einer Person genau der Person offenbaren, vor der sie sich versteckt.

Die Menschen, die diesen Risiken am stärksten ausgesetzt sind, sind oft dieselben, die am schwersten zu erreichen sind. Opfer häuslicher Gewalt, Kinder in Pflege, Erwachsene ohne Entscheidungsfähigkeit und Menschen unter Zwang haben tendenziell weniger Kontrolle über ihre eigenen Geräte, Konten und Post. Wenn Sie eine Patienten-App oder eine gemeinsame Patientenakte gestalten, treffen Sie still Entscheidungen darüber, wer was sehen kann – und für jemanden, der mit einem Täter lebt, kann diese Entscheidung eine Frage der körperlichen Sicherheit sein. Deshalb steht Safeguarding neben klinischer Sicherheit (siehe Thema 1.6 — Klinische Sicherheit und Risikomanagement) und Informationsgovernance (siehe Thema 1.7 — Informationsgovernance, Datenschutz und Cybersicherheit) als Kernbedingung dafür, dass ein Service überhaupt sicher betrieben werden kann.

Kernkonzepte#

Safeguarding ist der Oberbegriff für den Schutz von Gesundheit, Wohlbefinden und Menschenrechten von Menschen, damit sie frei von Missbrauch, Schaden und Vernachlässigung leben. Es teilt sich in zwei verwandte, aber verschiedene Regime: den Kinderschutz für alle unter 18 und das Safeguarding von Erwachsenen mit Pflege- und Unterstützungsbedarf, die sich nicht selbst schützen können – Letzteres gegründet auf den Care Act 2014. Beide wirken durch behördenübergreifende Zusammenarbeit: Gesundheit, Sozialfürsorge, Polizei, Bildung und der Freiwilligensektor teilen Informationen und handeln gemeinsam, weil keine einzelne Organisation das ganze Bild sieht.

Der Mental Capacity Act 2005 regelt Entscheidungen für Erwachsene, denen die Fähigkeit fehlt, eine bestimmte Entscheidung selbst zu treffen. Er ist für digitalen Zugang von großer Bedeutung: Entscheidungsfähigkeit ist entscheidungsspezifisch und kann schwanken, sodass „einer Betreuungsperson vollen Zugang zur App gewähren“ selten eine einzelne, dauerhafte Wahl ist. Proxy- und delegierter Zugang – ein Elternteil, das für ein kleines Kind handelt, eine Betreuungsperson für einen älteren Erwachsenen, eine Bevollmächtigte unter einer Lasting Power of Attorney – muss begründet, verhältnismäßig und überprüft sein, besonders wenn ein Kind sich dem Alter nähert, in dem es eigene Vertraulichkeitsrechte erlangt.

Mehrere Schadensformen werden durch digitales Design verstärkt. Häusliche Gewalt und kontrollierendes Verhalten in Beziehungen – Coercive Control – verwandeln gewöhnliche Funktionen in Waffen: Ein gemeinsames Login wird zur Überwachung, eine den Aufenthaltsort verratende Benachrichtigung zum Ortungssignal. Stalking nutzt jeden Datenpunkt aus, der Routine oder Aufenthaltsort offenbart. „Safeguarding by Design“ ist die Disziplin, diese Schäden vorwegzunehmen und die Fähigkeit einzubauen, Informationen für gefährdete Menschen zu verbergen, zu schwärzen, zu unterdrücken oder zu verzögern.

Zwei weitere Konzepte vervollständigen das Bild. Authentifizierung und Identitätsprüfung bestimmen, ob die Person, die auf einen Service zugreift, die ist, die sie zu sein vorgibt – die vorderste Linie gegen Identitätsvortäuschung und der Mechanismus, durch den eine starke digitale Identität entweder schützt oder gefährdet. Wo ein Service Peer-Unterstützung, Foren oder Nachrichtenfunktionen bereitstellt, regeln Inhaltsmoderation und die Pflichten nach dem Online Safety Act 2023, wie Sie Menschen vor schädlichen Inhalten und voreinander schützen.

Bewährte Praktiken#

1. Behandeln Sie Safeguarding als Designanforderung, nicht als Richtliniendokument. Schreiben Sie Safeguarding-Szenarien vom ersten Sprint an in Ihre Discovery und Nutzerforschung, neben klinische und Barrierefreiheitsbedürfnisse (siehe Thema 1.9 — Digitale Inklusion und Barrierefreiheit). Fragen Sie bei jeder Funktion, die Informationen zeigt oder sendet: „Was, wenn die falsche Person das sieht?“ Ein Safeguarding-by-Design-Review sollte ein benanntes Tor in Ihrem Lieferlebenszyklus sein, mit einer Klinikerin oder Safeguarding-Verantwortlichen als Freigebender, kein beim Go-live abgehaktes Kästchen.

2. Machen Sie sensible Daten von der Grundfähigkeit her verbergbar, unterdrückbar und schwärzbar. Jede Benachrichtigung, Erinnerung, jeder Brief und jede Ansicht der gemeinsamen Akte sollte einen dokumentierten Weg haben, für eine gefährdete Person unterdrückt, generisch gemacht oder umgeleitet zu werden. Eine Frau, die vor einem Täter flieht, braucht womöglich abgeschaltete Terminerinnerungen, eine als sensibel markierte Adresse und bestimmte Akteneinträge, die vor Proxy-Betrachtenden verborgen sind. Bauen Sie diese Kontrollen einmal, zentral, sodass eine Fachkraft an der Front sie in Minuten anwenden kann, statt eine Änderungsanforderung zu stellen, die Wochen dauert.

3. Gestalten Sie Proxy- und delegierten Zugang granular, zeitlich befristet und überprüfbar. Proxy-Zugang ist ein echtes Gut – Betreuende und Eltern brauchen ihn –, aber „alles oder nichts, für immer“ ist gefährlich. Unterstützen Sie Teilzugang (z. B. Buchungen, aber nicht klinische Notizen), automatische Überprüfungspunkte (insbesondere wenn ein Kind 11 wird und erneut in dem Alter, in dem es Vertraulichkeitsrechte erlangt, gemeinhin 16) und Widerruf mit einem Klick. Verankern Sie jede Gewährung in einer Entscheidungsfähigkeits- oder Wohl-des-Betroffenen-Beurteilung im Einklang mit dem Mental Capacity Act und halten Sie fest, wer sie autorisiert hat und warum.

4. Prüfen Sie Identität verhältnismäßig und schützen Sie sich gegen Identitätsvortäuschung. Schwache Prüfung lässt einen Täter sich als sein Opfer registrieren oder mit ihm verknüpfen; schwere Prüfung schließt genau die Menschen aus, die Versorgung am meisten brauchen. Stimmen Sie die Absicherung auf das Risiko ab: Die Buchung eines Routinetermins braucht weniger, als Proxy-Zugang zur psychiatrischen Akte eines Teenagers zu gewähren. Nutzen Sie anerkannte Ansätze der Identitätssicherung (NHS login, Muster von GOV.UK One Login) und achten Sie auf die verräterischen Zeichen von Zwang – dieselbe Telefonnummer oder dasselbe Gerät mit vielen Konten verknüpft, oder eine „Betreuungsperson“, die sich jedem direkten Kontakt mit dem Patienten widersetzt.

5. Bauen Sie klare Eskalation und Weiterleitung in den Service ein, nicht drumherum. Wenn eine Mitarbeiterin – oder ein automatisiertes Signal – über einen digitalen Kanal ein Safeguarding-Bedenken erkennt, muss der Weg zur Weiterleitung offensichtlich, schnell und protokolliert sein. Binden Sie sich an behördenübergreifende Safeguarding-Hubs der Kommunalverwaltung (MASH) und benannte Safeguarding-Verantwortliche an und stellen Sie sicher, dass ein um 2 Uhr nachts über einen Nachrichtendienst geäußertes Bedenken einen Menschen erreicht, der handeln kann. Lassen Sie einen digitalen Service nie zu einem Ort werden, an dem Offenbarungen empfangen, aber nicht weitergeleitet werden.

6. Moderieren Sie gehostete Räume aktiv und rechtmäßig. Wenn Ihr Service Peer-Unterstützung, Foren oder Nutzer-zu-Nutzer-Nachrichten hostet, haben Sie sowohl eine Sorgfaltspflicht als auch, nach dem Online Safety Act 2023, rechtliche Pflichten zu illegalen und schädlichen Inhalten. Kombinieren Sie automatisierte Filterung mit geschulten menschlichen Moderatorinnen, klaren Meldewerkzeugen und Eskalationswegen für Offenbarungen von Missbrauch, Selbstverletzung oder Suizidabsicht. Veröffentlichen Sie die Regeln, reagieren Sie auf Meldungen innerhalb einer genannten Zeit und sichern Sie Beweise angemessen, wenn Sie weiterleiten.

7. Schulen Sie Personal, Risiken über digitale Kanäle zu erkennen und darauf zu reagieren. Missbrauch über Chat, Video oder eine Portalnachricht zu erkennen ist eine andere Fähigkeit, als ihn in einer Klinik zu erkennen. Geben Sie Personal an der Front und im Contact-Center szenariobasierte Schulung zu digitaler Offenbarung, Anzeichen von Zwang und der Mechanik, Aktenschwärzung und Benachrichtigungsunterdrückung anzuwenden. Safeguarding-Verantwortliche sollten die Kontrollen des Systems gut genug verstehen, um ihre Nutzung unter Druck anzuleiten.

8. Denken Sie daran, dass sich digitaler Ausschluss bei gefährdeten Menschen konzentriert. Die Gruppen, die am ehesten ausgeschlossen sind – Menschen, die Missbrauch erleben, Menschen mit kognitiver Beeinträchtigung, Care Leaver, Menschen in Armut –, überschneiden sich stark mit denen, die der Service am meisten schützen muss. Ein „digital by default“-Kanal kann sie von Hilfe abschneiden oder auf ein Gerät zwingen, das ein Täter kontrolliert. Halten Sie stets einen sicheren nichtdigitalen Weg offen und behandeln Sie Ausschluss selbst als Safeguarding-Risiko (siehe Thema 1.9 — Digitale Inklusion und Barrierefreiheit und Thema 3.3 — Digitale Services für Patientinnen, Patienten und Bürgerinnen und Bürger).

9. Protokollieren, prüfen und überprüfen Sie Zugriffe, um Missbrauch zu erkennen. Führen Sie manipulationssichere Zugriffsprotokolle, führen Sie proaktive Prüfungen auf anomalen Zugriff durch (ein Proxy, der weit mehr sieht als erwartet, Personal, das Akten ohne Versorgungsbeziehung nachschlägt) und geben Sie Patientinnen und Patienten Transparenz darüber, wer ihre Daten gesehen hat. Prüfbarkeit schreckt Missbrauch durch Insider ab und liefert Beweise, wenn ein Bedenken untersucht wird. Speisen Sie Muster in das Design zurück, damit wiederkehrende Risiken herausentwickelt werden.

Fragen zur Diskussion im Team#

1. Wer könnte bei jeder Information, die unser Service zeigt oder sendet, geschädigt werden, wenn die falsche Person sie sähe – und kann eine Fachkraft an der Front das innerhalb von Minuten stoppen? Diese Frage zwingt Sie vom Nutzer auf dem „Happy Path“ zu der Person, die mit einem Täter lebt, dem Teenager, dessen Elternteil noch Proxy-Zugang hält, dem Erwachsenen, dessen Aufenthaltsort verborgen bleiben muss. Die Spannung liegt zwischen Bequemlichkeit für die Mehrheit und Sicherheit für eine verletzliche Minderheit: Standardmäßig eingeschaltete Erinnerungen und reichhaltige gemeinsame Akten helfen den meisten Menschen und gefährden wenige. Gehen Sie konkrete Abläufe durch – eine Termin-SMS, eine Folgerezept-Benachrichtigung, eine Proxy-Ansicht klinischer Notizen – und fragen Sie in jedem Fall, wer das Gerät und das Konto hält. Eine gute Antwort benennt die konkreten Kontrollen (Unterdrückung, Schwärzung, Markierung sensibler Adressen), bestätigt, dass eine nichttechnische Fachkraft sie schnell anwenden kann, und räumt ehrlich ein, wo heute die einzige Option eine langsame manuelle Umgehung ist, die Menschen in der Zwischenzeit exponiert lässt.

2. Wie gehen wir mit Proxy- und delegiertem Zugang um, wenn sich Entscheidungsfähigkeit, Alter und Beziehungen im Lauf der Zeit ändern? Proxy-Zugang ist selten in dem Moment falsch, in dem er gewährt wird, und oft später falsch – das Kind wächst heran, die Betreuungsbeziehung zerbricht, die Entscheidungsfähigkeit schwankt. Die Debatte sollte offenlegen, wie Sie diese Übergänge erkennen und darauf reagieren, statt veralteten Zugang bestehen zu lassen. Denken Sie an das elfjährige Kind, dessen Elternteil noch alles sieht, den Erwachsenen, dessen Bevollmächtigter Interessen verfolgt, die von den eigenen abweichen, die Person, deren Entscheidungsfähigkeit nach einer Krise zurückkehrt. Verankern Sie die Diskussion im Grundsatz des Mental Capacity Act, dass Entscheidungsfähigkeit entscheidungsspezifisch und vermutet ist. Eine starke Antwort beschreibt automatische Überprüfungsauslöser, granulare Zugriffsstufen, leichten Widerruf und eine klare Aufzeichnung, wer jede Gewährung autorisiert hat und auf welcher Grundlage – und ist ehrlich, wie viel davon derzeit manuell ist oder fehlt.

3. Wenn jemand über einen digitalen Kanal Schaden oder Missbrauch offenbart, was geschieht genau danach – und woher wissen wir, dass es funktioniert hat? Digitale Kanäle laden zu Offenbarungen ein, die in einer Klinik nie auftauchen, was eine echte Chance ist, aber nur, wenn die Offenbarung jemanden erreicht, der handeln kann. Die Diskussion sollte den vollständigen Weg nachzeichnen, von einer Chatnachricht um 2 Uhr nachts, einer Portalnotiz oder einem automatisierten Risikokennzeichen bis zu einer protokollierten Weiterleitung an einen behördenübergreifenden Safeguarding-Hub oder eine benannte Verantwortliche. Debattieren Sie die harten Ränder: Abdeckung außerhalb der Dienstzeiten, die Grenze zwischen der Pflicht des Services und der gesetzlicher Dienste und was geschieht, wenn ein moderiertes Forum einen suizidalen Beitrag zutage fördert. Schauen Sie auf Ihre eigenen Vorfall- und Weiterleitungsdaten – werden Offenbarungen empfangen, aber nicht weitergeleitet? Eine gute Antwort zeigt einen getesteten, protokollierten, von Menschen getragenen Eskalationsweg, benennt, wer ihn verantwortet, und kann Belege dafür zeigen, dass Weiterleitungen tatsächlich abgeschlossen werden, statt es anzunehmen.

4. Woran würden wir erkennen, dass unser eigener Service genutzt wird, um jemanden zu missbrauchen, zu stalken oder zu nötigen – und wer achtet darauf? Die gefährlichen Fälle kündigen sich selten an; der Täter sieht aus wie ein legitimer Proxy, ein fürsorglicher Verwandter oder die Kontoinhaberin selbst. Diese Frage verschiebt das Team vom Gestalten von Kontrollen zum aktiven Erkennen von Missbrauch: das gemeinsam genutzte Gerät, das mit einem Dutzend Konten verknüpft ist, der Proxy, der weit mehr liest, als die Versorgung des Kindes erfordert, die „Betreuungsperson“, die jeden direkten Kontakt mit dem Patienten blockiert. Debattieren Sie, welche Signale Sie aus Zugriffsprotokollen und Registrierungsdaten sichtbar machen könnten, wer für ihre Überprüfung rechenschaftspflichtig ist und wie aus einem Verdacht eine Safeguarding-Maßnahme wird statt einer Notiz, die niemand liest. Wägen Sie die Privatsphärenkosten proaktiver Überwachung gegen den Schaden ab, blind zu bleiben. Eine ehrliche Antwort benennt die Anomalien, nach denen Sie suchen würden, sagt, wer die Prüfung verantwortet, und räumt ein, wo Missbrauch heute schlicht unbemerkt bliebe, bis jemand verletzt wird.

5. Wenn Sicherheit und Privatsphäre in entgegengesetzte Richtungen ziehen, wie entscheiden wir – und wer sitzt im Raum? Safeguarding ist kein sauberer Gewinn für den Datenschutz: Eine Akte vor einem Proxy zu verbergen, ein Bedenken der Polizei mitzuteilen oder den erklärten Willen einer Person zu übergehen, kann jeweils in Spannung zur Vertraulichkeit und zur eigenen Autonomie der Person stehen. Diese Frage zwingt das Team, die Zielkonflikte ausdrücklich zu benennen, statt zuzulassen, dass die Disziplin, die am lautesten ruft, per Voreinstellung entscheidet. Denken Sie an den Erwachsenen mit schwankender Entscheidungsfähigkeit, der Sie bittet, Zugriff zu gewähren, den sein Wohl womöglich nicht stützt, oder an die behördenübergreifende Weitergabe, die ein Kind schützt, aber die Privatsphäreerwartung eines Erwachsenen verletzt. Verankern Sie die Debatte im Mental Capacity Act, den Caldicott-Prinzipien und den Rechtsgrundlagen für das Teilen zur Verhütung schweren Schadens. Eine gute Antwort beschreibt, wer diese Fälle entscheidet – Verantwortliche für Safeguarding, klinische Sicherheit und Informationsgovernance gemeinsam –, wie die Begründung festgehalten wird und wie Sie sowohl reflexhaftes Zuviel-Teilen als auch gelähmtes Zuwenig-Teilen vermeiden.

6. Wie halten wir Safeguarding funktionsfähig, während sich der Service, seine Lieferanten und die Bedrohungen um ihn herum ändern? Safeguarding-Kontrollen verfallen: Ein neuer Release schaltet still eine Standardbenachrichtigung wieder ein, ein Nachrichtenanbieter ändert seine Moderation, ein Plattform-Update bricht eine Unterdrückungsregel, und eine neue Nötigungstaktik taucht auf, für die niemand gestaltet hat. Diese Frage lässt das Team Safeguarding als lebendige Eigenschaft des laufenden Services behandeln, nicht als einmaliges Tor, das beim Go-live passiert wird. Besprechen Sie, wie Änderungskontrolle, Lieferantenabsicherung und Lernen nach Vorfällen in die Kontrollen zurückfließen und wer die Konfiguration für gefährdete Personen nach jeder wesentlichen Änderung neu testet. Schauen Sie, ob Regressionstests Safeguarding-Szenarien überhaupt abdecken. Eine ehrliche Antwort verweist auf eine benannte Verantwortliche, einen Überprüfungsrhythmus, Belege, dass Kontrollen nach Änderungen erneut geprüft werden, und einen Mechanismus, neue Bedrohungen und Beinahe-Vorfälle in das Design zurückzuführen, statt sie durch Schaden neu zu entdecken.

In der Praxis: ein Beispiel aus Gesundheit und Pflege#

Ein Integrated Care System (ICS) führt eine gemeinsame Patientenakte und eine begleitende Patienten-App über seine Partner in Akutversorgung, Gemeinde, psychischer Gesundheit und Sozialfürsorge ein. Die frühe Annahme ist stark, und Proxy-Zugang ist aktiviert, damit Eltern die Versorgung ihrer Kinder verwalten und Betreuende ältere Verwandte unterstützen können.

Drei Monate später äußert eine Gemeindehebamme ein Bedenken. Eine schwangere Frau hat leise gefragt, ob ihr Partner, der Proxy-Zugang zur Akte ihres Kleinkindes hat, ihre Termine und ihre Adresse sehen kann. Er kann es: Die Proxy-Beziehung wurde bei der Registrierung eingerichtet und gewährt breite Sichtbarkeit, und ihre Erinnerungen an pränatale Termine werden standardmäßig per SMS an ein Telefon geschickt, das er gelegentlich prüft. Die Frau wird kontrolliert und plant zu gehen; der Service, wie er konfiguriert ist, hilft ihrem Täter, sie zu verfolgen.

Die Safeguarding-Verantwortliche ruft die Verantwortlichen für Digitales, klinische Sicherheit und Informationsgovernance zusammen. Kurzfristig setzen sie ein Kennzeichen für sensible Adresse, unterdrücken ihre SMS-Erinnerungen zugunsten eines Anrufs an eine sichere Nummer und widerrufen die Möglichkeit des Partners, ihre Akten zu sehen, während sein legitimer Zugang zur Akte des Kindes erhalten bleibt. Sie stellen fest, dass dies einen Tag manuellen Aufwands über drei Systeme hinweg kostete – viel zu langsam, um im großen Maßstab sicher zu sein.

Die dauerhafte Lösung ist eine Designänderung. Das ICS baut eine einzige „Gefährdungs“-Konfiguration, die eine Fachkraft an der Front in Minuten anwenden kann: Sie unterdrückt oder anonymisiert Benachrichtigungen, verbirgt die sensible Akte vor benannten Proxies und leitet künftige Korrespondenz auf einen sicheren Kanal um. Sie fügen allen Kinder-Proxy-Gewährungen einen Überprüfungsauslöser bei elf und sechzehn hinzu, verschärfen die Identitätsprüfungen bei neuen Proxy-Verknüpfungen und schulen Contact-Center-Personal, Zwangssignale zu erkennen. Die Änderung wird als Verbesserung von klinischer Sicherheit und Safeguarding protokolliert, im ICS-Assurance-Gremium überprüft und mit benachbarten Systemen geteilt, die dieselbe Plattform nutzen.

Sektorperspektiven#

Startup#

Ein kleines Unternehmen der digitalen Gesundheit, das etwa eine App für die psychische Gesundheit von Teenagern baut, trägt ein Safeguarding-Risiko, das seine Mitarbeiterzahl weit übersteigt – seine Nutzenden sind Minderjährige, die Selbstverletzung und Missbrauch offenbaren. Mit begrenzten Ressourcen ist die Versuchung, Moderation und Eskalation auf „später“ zu verschieben, doch eine einzige unbehandelte Offenbarung von Suizidabsicht ist ein existenzielles und ethisches Versagen. Priorisieren Sie vom ersten Tag an einen schlanken, aber realen Safeguarding-Stack: eine geschulte Bereitschaftsverantwortliche oder einen beauftragten Partner für Krisen-Eskalation, klare Inhaltsregeln und risikoverhältnismäßige Identitätsprüfungen. Bauen Sie Safeguarding-Akzeptanzkriterien in Ihre Definition of Done ein und seien Sie bereit, sie Käufern unter DTAC und für den Online Safety Act 2023 nachzuweisen.

Kleines Unternehmen#

Ein etablierter kleiner Anbieter – eine Hausarztpraxis, eine Gemeindeapotheke, ein Pflegeheim oder ein ambulanter Pflegedienst – trägt dieselben Safeguarding-Pflichten wie ein großer Trust, hat aber kein eigenes Digital- oder IT-Team, sie anzuwenden. Er betreibt typischerweise vom Lieferanten bereitgestellte Systeme, die er nicht umkonfigurieren kann; die praktische Aufgabe ist daher zu wissen, welche Safeguarding-Kontrollen diese Systeme bereits bieten und wie man sie schnell nutzt: eine Terminerinnerung unterdrücken, eine sensible Adresse kennzeichnen, eine Akte vor einem Proxy verbergen. Benennen Sie eine Safeguarding-Verantwortliche und stellen Sie sicher, dass mindestens eine Person weiß, wie Benachrichtigungsunterdrückung und Proxy-Widerruf angewandt werden, ohne auf den Lieferanten zu warten. Weil Geld und Zeit knapp sind, stützen Sie sich auf geteilte Ressourcen – CQC-Erwartungen, MASH-Kontakte der Kommunalverwaltung und die Leitlinien von NHS England zu Proxy-Zugang –, statt eigene zu bauen, und drängen Sie Lieferanten, Kontrollen für gefährdete Personen schnell und offensichtlich zu machen. Halten Sie einen sicheren nichtdigitalen Weg offen, da Ihre Patientinnen und Patienten nicht auf einen internen Helpdesk zurückgreifen können, den Sie nicht haben.

Großunternehmen#

Ein NHS Trust oder ICS betreibt viele Systeme, viele Proxies und Millionen Akten; die Herausforderung ist daher Konsistenz und Geschwindigkeit im großen Maßstab. Das Risiko ist Fragmentierung – jedes System mit einer eigenen, langsamen, uneinheitlichen Art, Daten zu verbergen –, die Lücken hinterlässt, die ein Täter ausnutzen kann, und Fachkräfte, die nicht schnell genug handeln können. Investieren Sie in zentralisierte, wiederverwendbare Safeguarding-Kontrollen (Kennzeichen für Sensibles, Benachrichtigungsunterdrückung, Proxy-Governance), die über den gesamten Bestand gelten, gestützt auf benannte Safeguarding-Verantwortliche, MASH-Integration und proaktive Zugriffsprüfungen. Governance- und Assurance-Gremien (siehe Thema 6.4 — Governance und Assurance) sollten Safeguarding by Design als ständiges Tor behandeln, nicht als einmaliges.

Regierung#

Eine nationale Stelle – NHS England, DHSC oder eine dezentrale Regierung – setzt die Standards, Plattformen und Identitätsinfrastruktur, auf denen alle anderen bauen, sodass ihre Designentscheidungen durch das ganze System wirken. Entscheidungen über NHS login, GOV.UK One Login, Proxy-Zugriffsregeln und Standardeinstellungen zur Aktenweitergabe bestimmen, welche Safeguarding-Kontrollen nachgelagert überhaupt möglich sind. Die Rechenschaft gilt gegenüber dem Parlament und der Öffentlichkeit, und das Fehlerbild ist eine nationale Voreinstellung, die gefährdete Bürgerinnen und Bürger im großen Maßstab still exponiert. Die Regierung sollte Safeguarding by Design in Servicestandards vorschreiben, gemeinsame Komponenten finanzieren (Umgang mit sicheren Adressen, Unterdrückung sensibler Akten) und – über den Online Safety Act 2023 und Ofcom – so regeln und gesetzlich bestimmen, dass verletzliche Nutzende ausdrücklich im Geltungsbereich sind.

Häufige Fehlermuster#

• Angeflanschtes Safeguarding. Safeguarding als Richtlinien-PDF statt als Designanforderung behandeln, sodass Kontrollen fehlen, wenn das Risiko eintritt, und Fachkräfte langsame manuelle Lösungen improvisieren.
• Standardmäßig an, kein Weg heraus. Erinnerungen, Briefe und Benachrichtigungen standardmäßig senden, ohne schnellen, von Fachkräften anwendbaren Weg, sie für gefährdete Personen zu unterdrücken oder zu anonymisieren.
• Alles-oder-nichts-Proxy-Zugang. Breiten, dauerhaften Proxy-Zugang gewähren, ohne Granularität, ohne Überprüfung in Schlüsselaltern und ohne leichten Widerruf – und so veralteten Zugang zum Ausnutzen zurücklassen.
• Schwache oder blinde Identitätsprüfungen. Prüfung zu schwach, um Identitätsvortäuschung zu stoppen, oder zu schwer, sodass sie gefährdete Nutzende ausschließt, ohne Beobachtung von Zwangssignalen wie gemeinsam genutzten Geräten.
• Offenbarungen empfangen, aber nicht weitergeleitet. Nachrichten oder moderierte Foren anbieten, ohne getestete, protokollierte, von Menschen getragene Eskalation an Safeguarding-Dienste, besonders außerhalb der Dienstzeiten.
• Die auszuschließen, die man schützen muss. „Digital by default“ ohne sicheren nichtdigitalen Weg, der die Missbrauchten, Verwirrten und Armen abschneidet oder gefährdet.
• Kein Audit, kein Lernen. Zugriffe nicht protokollieren und prüfen, sodass Missbrauch durch Insider unerkannt bleibt und wiederkehrende Risiken nie herausentwickelt werden.

Reifegradmodell#

Checkliste#

• Jede Informationen offenbarende Funktion hat ein dokumentiertes Review „was, wenn die falsche Person das sieht?“ mit Freigabe durch klinische bzw. Safeguarding-Verantwortliche.
• Eine Fachkraft an der Front kann Benachrichtigungen innerhalb von Minuten über alle Kanäle unterdrücken oder anonymisieren und eine sensible Adresse kennzeichnen.
• Bestimmte Akteneinträge können vor benannten Proxies verborgen oder geschwärzt werden, ohne legitimen Zugang zu entfernen.
• Proxy-Zugang ist granular, befristet und wird in Schlüsselaltern (gemeinhin 11 und 16) und bei Änderung der Entscheidungsfähigkeit automatisch überprüft.
• Die Identitätsprüfung ist risikoverhältnismäßig, schützt vor Identitätsvortäuschung und beobachtet Zwangssignale.
• Ein getesteter, protokollierter, von Menschen getragener Eskalationsweg läuft von jedem digitalen Kanal zu MASH und benannten Safeguarding-Verantwortlichen, auch außerhalb der Dienstzeiten.
• Gehostete Peer-Unterstützung und Nachrichtenfunktionen haben aktive Moderation, Meldewerkzeuge und Konformität mit dem Online Safety Act.
• Personal an der Front und im Contact-Center ist geschult, Risiken über digitale Kanäle zu erkennen und darauf zu reagieren.
• Ein sicherer nichtdigitaler Weg existiert für alle, die den digitalen nicht nutzen können oder wagen.
• Zugriffe werden protokolliert, proaktiv auf Missbrauch geprüft, und Muster fließen in das Design zurück.

Zentrale Quellen#

• Care Act 2014 und die gesetzlichen Care and Support Guidance — die Rechtsgrundlage für das Safeguarding von Erwachsenen in England (Department of Health and Social Care).
• Working Together to Safeguard Children — behördenübergreifende gesetzliche Leitlinien zum Kinderschutz (HM Government / Department for Education).
• Mental Capacity Act 2005 und sein Code of Practice — der Rahmen für Entscheidungen und Proxy-Zugang, wo die Entscheidungsfähigkeit in Frage steht.
• Leitlinien von NHS England zu Safeguarding sowie zu Online-Konsultationen / Online-Zugang für Patientinnen und Patienten, einschließlich Proxy-Zugang und Zwangsrisiken in Online-Services der Hausarztpraxen.
• Ressourcen zu häuslicher Gewalt und „safe surgeries“/Safeguarding by Design — z. B. SafeLives, Refuge und die gesetzlichen Leitlinien zum Domestic Abuse Act 2021.
• Online Safety Act 2023 und die Verhaltenskodizes von Ofcom — Pflichten für Nutzer-zu-Nutzer- und Inhalte hostende Services.
• NHS Digital Technology Assessment Criteria (DTAC) und der NHS Service Standard — Erwartungen an Safeguarding und Sicherheit für digitale Gesundheitsprodukte.
• Digitale Identität: NHS login und GOV.UK One Login — Leitlinien zur Identitätssicherung.

Referenzen#

1. Safeguarding — Wikipedia — https://en.wikipedia.org/wiki/Safeguarding
2. Child protection — Wikipedia — https://en.wikipedia.org/wiki/Child_protection
3. Care Act 2014 — Wikipedia — https://en.wikipedia.org/wiki/Care_Act_2014
4. Mental Capacity Act 2005 — Wikipedia — https://en.wikipedia.org/wiki/Mental_Capacity_Act_2005
5. Domestic violence — Wikipedia — https://en.wikipedia.org/wiki/Domestic_violence
6. Controlling behavior in relationships (coercive control) — Wikipedia — https://en.wikipedia.org/wiki/Controlling_behavior_in_relationships
7. Stalking — Wikipedia — https://en.wikipedia.org/wiki/Stalking
8. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
9. Identity verification service — Wikipedia — https://en.wikipedia.org/wiki/Identity_verification_service
10. Digital identity — Wikipedia — https://en.wikipedia.org/wiki/Digital_identity
11. Content moderation — Wikipedia — https://en.wikipedia.org/wiki/Content_moderation
12. Online Safety Act 2023 — Wikipedia — https://en.wikipedia.org/wiki/Online_Safety_Act_2023
13. Care Act 2014 and Care and Support Statutory Guidance — Department of Health and Social Care / GOV.UK — https://www.gov.uk/government/publications/care-act-statutory-guidance
14. Working Together to Safeguard Children — HM Government / Department for Education — https://www.gov.uk/government/publications/working-together-to-safeguard-children--2
15. Mental Capacity Act Code of Practice — Ministry of Justice / GOV.UK — https://www.gov.uk/government/publications/mental-capacity-act-code-of-practice
16. Patient online access and proxy access guidance — NHS England — https://www.england.nhs.uk/long-read/patient-online-access-to-general-practice/
17. Online Safety Act 2023: guidance and codes — Ofcom — https://www.ofcom.org.uk/online-safety
18. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
19. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/