HIPAA, PCI-DSS und branchenspezifische Vorschriften

Allgemeine Datenschutzgesetze wie die DSGVO legen einen branchenübergreifenden Mindeststandard fest. Bestimmte Branchen verarbeiten jedoch so sensible Daten, dass Regierungen zusätzliche, sektorspezifische Anforderungen auferlegen. Bei Gesundheitsdaten geht es um Entscheidungen über Leben und Tod. Finanzdaten ermöglichen Betrug und Identitätsdiebstahl. Zahlungskartendaten befeuern die weltweite Cyberkriminalität. Sektorspezifische Vorschriften schreiben Mindeststandards vor, deren Einhaltung unabhängig geprüft wird. Die Sanktionen sollen sicherstellen, dass Compliance nicht einfach als Geschäftskosten betrachtet wird.

Der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-amerikanisches Bundesgesetz zum Schutz von geschützten Gesundheitsinformationen (Protected Health Information, PHI). PHI umfasst alle Informationen, die einen Patienten identifizieren und sich auf seinen Gesundheitszustand, seine Behandlung oder die Abrechnung beziehen. HIPAA gilt für erfasste Einrichtungen (Gesundheitsdienstleister, Krankenversicherungen und Clearingstellen im Gesundheitswesen) sowie deren Geschäftspartner (Anbieter mit Zugriff auf PHI, etwa Cloud-Anbieter, Abrechnungsunternehmen und EHR-Systeme). Geschäftspartner müssen eine Vereinbarung mit einem Geschäftspartner (Business Associate Agreement, BAA) unterzeichnen.

Die HIPAA-Sicherheitsregel befasst sich speziell mit elektronisch geschützten Gesundheitsdaten (ePHI) und verpflichtet betroffene Einrichtungen zur Umsetzung administrativer, physischer und technischer Schutzmaßnahmen. Zu den administrativen Schutzmaßnahmen gehören die Benennung eines Sicherheitsbeauftragten, die Schulung der Beschäftigten und Notfallpläne. Physische Schutzmaßnahmen umfassen Zugangskontrollen zu Einrichtungen und die sichere Entsorgung von Geräten. Technische Schutzmaßnahmen erfordern Zugriffskontrollen, Auditkontrollen, Verschlüsselung bei der Übertragung und die Überprüfung der Datenintegrität. Im Gegensatz zu PCI-DSS verwendet HIPAA für einige Anforderungen den Begriff „addressable“ – das bedeutet, dass Organisationen diese Anforderungen umsetzen oder dokumentieren müssen, warum eine alternative Maßnahme gleichwertig ist.

Die HIPAA-Regel zur Meldung von Datenschutzverletzungen verpflichtet betroffene Einrichtungen, betroffene Personen innerhalb von 60 Tagen nach Entdeckung einer Datenschutzverletzung bei ungesicherten PHI zu benachrichtigen. Auch der HHS Secretary muss benachrichtigt werden. Betrifft die Verletzung 500 oder mehr Personen in einem Bundesstaat, muss die Meldung innerhalb von 60 Tagen erfolgen und eine deutliche Information der Medien umfassen. Datenschutzverletzungen, die weniger als 500 Personen betreffen, werden jährlich gemeldet. Ungesicherte PHI sind Daten, die nicht gemäß den Richtlinien des HHS verschlüsselt oder vernichtet wurden – eine Datenschutzverletzung bei verschlüsselten PHI löst keine Meldepflicht aus.

Die HIPAA-Sanktionen sind nach dem Grad des Verschuldens gestaffelt. Stufe 1: 100–50.000 $ pro Verstoß, bis zu 25.000 $ pro Kategorie und Jahr (keine Kenntnis). Stufe 2: 1.000–50.000 $ pro Verstoß (angemessene Sorgfalt). Stufe 3: 10.000–50.000 $ (vorsätzliche Vernachlässigung, behoben). Stufe 4: 50.000 $ pro Verstoß (vorsätzliche Vernachlässigung, nicht behoben). Strafrechtliche Sanktionen nach HIPAA können bei vorsätzlichen Verstößen bis zu 250.000 $ und 10 Jahre Freiheitsstrafe betragen. Die Anthem-Datenschutzverletzung von 2018 führte zu einem Vergleich in Höhe von 115 Mio. $, und die Kronos-Datenschutzverletzung von 2021 führte zu mehreren Untersuchungen durch das OCR.

PCI-DSS (Payment Card Industry Data Security Standard) ist kein Gesetz, sondern ein vertraglicher Standard, der von den großen Kartenorganisationen (Visa, Mastercard, Amex, Discover, JCB) über das PCI Security Standards Council entwickelt wurde. Jede Organisation, die Karteninhaberdaten speichert, verarbeitet oder überträgt, muss die Vorgaben einhalten. Die aktuelle Version ist PCI-DSS v4.0 (veröffentlicht 2022). Verstöße können zu Geldstrafen der Kartenorganisationen (5.000–100.000 $ pro Monat), erhöhten Transaktionsgebühren und letztlich zum Verlust der Möglichkeit führen, Kartenzahlungen anzunehmen – für die meisten Händler wäre das existenzbedrohend.

PCI-DSS ist in 12 Anforderungen gegliedert, die sechs Zielbereichen zugeordnet sind. Ein sicheres Netzwerk aufbauen und aufrechterhalten: Firewalls, keine Standardpasswörter. Karteninhaberdaten schützen: Übertragungen verschlüsseln, Speicherung beschränken. Ein Programm für das Schwachstellenmanagement aufrechterhalten: Antivirensoftware, sichere Entwicklung. Starke Zugriffskontrollen umsetzen: Prinzip der geringsten Privilegien, eindeutige IDs, physischer Zugriff. Netzwerke überwachen und testen: Protokollierung, Angriffserkennung, Penetrationstests. Eine Informationssicherheitsrichtlinie aufrechterhalten: schriftliche Richtlinien, Sicherheitsbewusstsein. Wer diese sechs Bereiche beherrscht, deckt alle 12 Anforderungen ab.

Die PCI-DSS-Konformitätsanforderungen richten sich nach dem Transaktionsvolumen. Stufe 1: mehr als 6 Mio. Kartentransaktionen pro Jahr – erfordert eine jährliche Prüfung vor Ort durch einen Qualified Security Assessor (QSA) und vierteljährliche Netzwerk-Scans durch einen Approved Scanning Vendor (ASV). Stufe 2: 1–6 Mio. Transaktionen – jährlicher Self-Assessment Questionnaire (SAQ). Stufe 3: 20.000–1 Mio. E-Commerce-Transaktionen – jährlicher SAQ. Stufe 4: weniger als 20.000 E-Commerce-Transaktionen – jährlicher SAQ, vierteljährlicher Scan empfohlen. Für größere Händler gelten strengere Prüfanforderungen.

Neben HIPAA und PCI-DSS sind mehrere weitere branchenspezifische Gesetze für die Security+-Prüfung relevant. GLBA (Gramm-Leach-Bliley Act): Finanzinstitute müssen finanzielle Informationen von Verbrauchern schützen und ein schriftliches Informationssicherheitsprogramm umsetzen. FERPA: Bildungseinrichtungen müssen Bildungsunterlagen von Studierenden schützen. COPPA: Websites müssen die Zustimmung der Eltern einholen, bevor sie Daten von Kindern unter 13 Jahren erheben. SOX (Sarbanes-Oxley): Börsennotierte Unternehmen müssen genaue Finanzunterlagen mit internen Kontrollen führen; IT-Systeme, die die Finanzberichterstattung unterstützen, fallen in den Geltungsbereich von SOX.

Die Einhaltung von Vorgaben wird durch Dokumentation (Richtlinien, Verfahren, Risikobewertungen), technische Nachweise (Scanberichte, Ergebnisse von Penetrationstests, Zugriffsprotokolle) und Befragungen nachgewiesen (Prüfer überprüfen, ob Mitarbeitende die dokumentierten Verfahren verstehen und befolgen). Sowohl QSA-Prüfungen (PCI) als auch HIPAA-Audits (OCR) erfordern eine strukturierte Sammlung von Nachweisen. Viele Organisationen verwenden GRC-Plattformen (Governance, Risk, and Compliance), um Nachweise für Kontrollen zentral zu verwalten, Kontrollen mehreren Frameworks zuzuordnen und bei Bedarf prüfungsfertige Berichte zu erstellen.

Organisationen unterliegen häufig gleichzeitig mehreren regulatorischen Frameworks. Ein Zahlungssystem eines Krankenhauses kann zur selben Zeit Anforderungen aus HIPAA, PCI-DSS und GLBA erfüllen müssen. Intelligente Compliance-Programme suchen nach Überschneidungen bei Kontrollen – beispielsweise Verschlüsselungskontrollen, die gleichzeitig die technischen Schutzmaßnahmen von HIPAA, PCI-DSS-Anforderung 4 und Anhang A von ISO 27001 erfüllen. Die Zuordnung von Kontrollen über mehrere Frameworks hinweg reduziert den Aufwand durch doppelte Arbeit und ermöglicht es Organisationen, bei mehreren Audits anhand derselben Nachweise effizient Compliance nachzuweisen.

In dieser Lektion haben Sie gelernt: HIPAA schützt PHI durch administrative, physische und technische Schutzmaßnahmen sowie eine 60-tägige Meldefrist bei Datenschutzverletzungen. PCI-DSS ist ein vertraglicher Standard mit 12 Anforderungen und Konformitätsstufen, die sich nach dem Transaktionsvolumen richten. Weitere branchenspezifische Vorschriften (GLBA, FERPA, COPPA, SOX) regeln jeweils bestimmte Datentypen mit branchenspezifischen Pflichten. Als Nächstes beschäftigen wir uns mit den Prinzipien des Datenschutzes durch Technikgestaltung und Richtlinien zur Datenaufbewahrung.