E-Mail-Verschlüsselung: Pflicht für Apotheker, Ärzte und Rechtsanwälte

News

Der Sächsische Landesdatenschutzbeauftragte Andreas Schurig hat in seinem aktuellen Tätigkeitsbericht auf die Pflicht zur Verschlüsselung bei E-Mails von Berufsgeheimnisträgern hingewiesen, wenn diese sensible personenbezogene Daten enthalten.

Unverschlüsselte E-Mails rechtswidrig

Laut Schurig ist insbesondere das Versenden von Gesundheitsdaten per unverschlüsselter E-Mail rechtlich unzulässig, da es sich hierbei um besondere Arten von personenbezogenen Daten i.S.v. § 3 Abs. 9 BDSG handelt. Dies würde nicht den Anforderungen der Nr. 4 der Anlage zu § 9 BDSG entsprechen. Danach muss gewährleistet sein, dass personenbezogene Daten bei der elektronischen Übertragung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können. Schurig begründet dies mit der Tatsache, dass eine unverschlüsselte E-Mail von allen an der Übertragung beteiligten Stellen problemlos mitgelesen werden kann und nicht dem aktuellen Stand der Technik entsprechen.

Strafbarkeit möglich

Für die in § 203 Strafgesetzbuch (StGB) genannten Berufsgeheimnisträger wie z.B. Apotheker, Ärzte und Rechtsanwälte kann dies laut Schurig auch zu einer Strafbarkeit wegen der Verletzung von Privatgeheimnissen führen. § 203 StGB schütze die Individualinteressen Betroffener in besonderer Weise dadurch, dass er Geheimnisträgern wie z.B. Rechtsanwälten, denen Betroffene im Rahmen der Mandatserteilung regelmäßig Geheimnisse anvertrauen, für den Fall der Verletzung ihrer Geheimhaltungs- und Verschwiegenheitspflichten entsprechende Strafen androht. Wegen des hohen Schutzbedarfs der Kommunikationsinhalte sei daher in jedem Fall eine Verschlüsselung des E-Mail Verkehrs erforderlich.

Verschlüsselung in der Praxis (noch) nicht ausreichend vorhanden

Soweit die rechtliche Theorie. In der Realität ist dieses Problembewusstsein jedoch noch nicht verbreitet genug. Die Nutzung einer Verschlüsselungslösung wird oft aufgrund des vermeintlich hohen Aufwands und den Kosten nicht in Erwägung gezogen. Tatsächlich hält sich beides aber mittlerweile in Grenzen und bei einer modernen Softwarelösung verschickt der Anwender seine E-Mails ganz normal ohne zusätzlichen Aufwand. Der Knackpunkt ist, dass auch der Empfänger die Verschlüsselung einsetzen muss damit das Ganze funktioniert. Letztlich scheitert daran die verschlüsselte Kommunikation oftmals in der Praxis.

Berufsgeheimnisträger sollten sich daher auf sichere Kommunikationswege wie Post oder Fax beschränken, wenn sie keine E-Mail Verschlüsselung nutzen können. Falls es in dieser Ausgangslage doch einmal notwendig sein sollte, eine E-Mail mit sensiblen Daten zu verschicken, sollte man diese in einer verschlüsselten und passwortgeschützten Zip-Datei verschicken. Dabei muss man natürlich ein ausreichend starkes Passwort verwenden. Dieses lässt man dann dem Empfänger durch ein anderes, sicheres Kommunikationsmittel (z.B. am Telefon) zukommen.

intersoft consulting services AG

Als Experten für Datenschutz, IT-Sicherheit und IT-Forensik beraten wir deutschlandweit Unternehmen. Informieren Sie sich hier über unser Leistungsspektrum:

Externer Datenschutzbeauftragter

13 Kommentare zu diesem Beitrag

  1. Zitat:
    „Berufsgeheimnisträger sollten sich daher auf sichere Kommunikationswege wie Post oder Fax beschränken, wenn sie keine E-Mail Verschlüsselung nutzen können.“
    Das leider auch keine sicheren Kommunikationswege. Die „Wege“ sind vielleicht etwas sicherer, aber beim Empfänger sieht das Ganze schon anders aus.
    Woher weiß ich, dass der richtige Empfänger die Post öffnet? Wie kann ich sicher sein, dass das Fax nicht durch hundert Hände geht, bevor es beim Empfänger ankommt.
    Bestes Beispiel ist das sog. Umschlagsverfahren, indem Entlassberichte an die KK gesendet wurden mit dem Hinweis „Nur vom MDK zu öffnen“, und wer hat’s geöffnet??
    Zitat:
    „Der Knackpunkt ist, dass auch der Empfänger die Verschlüsselung einsetzen muss damit das Ganze funktioniert.“
    In der Zwischenzeit gibt es sog. Verschlüsselungs-Gateways, die sich um alles kümmern.
    Zertifikate holen, erneuern, verschlüsseln, entschlüsseln, usw.
    Sollte vom Empfänger kein Zertifikat oder PGP Schlüssel vorliegen, wird die Mail als passwortgeschützter Anhang versendet.
    Es gibt also keine Ausreden mehr nicht zu verschlüsseln. Man muss sich halt nur mal etwas intensiver damit befassen.
    Eine Strafe gemäß DSGVO wäre sicherlich höher.

  2. für einmalige Verschlüsselung:
    neben verschlüsselten Zip-Dateien (nicht jeder Mitarbeiter hat ein Zip-Programm mit Verschlüsselungsfunktion) funktionieren hier auch die fast jedermann zugänglichen Microsoft-Office-Dateien (.docx, .xlmx) der Office-Versionen ab Office 2007.

    für ständige Kommunikation:
    hier wäre auch die „Volksverschlüsselung“ eine Möglichkeit, da hier ein Schlüsselaustausch und deren Verteilung kein Problem mehr darstellt.
    (Leider ist diese Art der Verschlüsselung noch nicht für alle Systeme möglich)

    • Kontodaten, Vermögensverhältnisse oder ähnliche Bankdaten sind zwar sensible Daten, zählen aber nicht zu den gesetzlich definierten besonderen Kategorien von personenbezogenen Daten und Banker sind auch keine Berufsgeheimnisträger im Sinne des § 203 StGB. Trotzdem gibt es natürlich ein (allerdings mittlerweile stark vom Gesetzgeber ausgehöhltes) Bankgeheimnis und wie Sie richtig sagen, regelmäßig einen sensiblen Datenaustausch bei Banken. Insofern ist auch von einer Verschlüsselungspflicht bei Banken auszugehen, wenn denn sensible personenbezogene Daten per E-Mail übertragen werden sollten.

  3. Eine ZIP-Datei reversibel mit einem Passwort zu verschlüsseln ist eher albern. Dann kann man die Zip-Datei auch gleich unverschlüsselt verschicken.

    Wenn man eine ernsthafte Verschlüsselung möchte, dann heißt das: Eine starke symmetrische Verschlüsselung, etwa mit AES. Schlüssel und IV dafür werden mit dem öffentlichen Teil eines asymmetrischen RSA-Schlüssels (8192 Bit) verschlüsselt und mitgeschickt. Der Empfänger kann mit seinem privaten RSA-Teil den symmetrischen Schlüssel entschlüsseln, damit die Datei entschlüsseln. Ferner kann der öffentliche Teil eines RSA-Schlüssels problemlos (da ohne privaten Schlüssel nicht zum Hacken nutzbar) per Mail zum Versender der Mail geschickt werden.

    Da ich einen ähnlichen Beitrag vor einigen Tagen bei Heise gelesen hatte, wurde eine Verschlüsselung aus meiner Hauptdienstleistung Server-Daten als kleines Freeware-Tool ausgelagert. sd-encrypt-tool nutzt die obigen Prinzipien und hat keinen eingebauten statischen Schlüssel. Der verlinkte Blogbeitrag enthält nähere Infos. https://blog.server-daten.de/de/-75

  4. Zitat:
    „…Da ich einen ähnlichen Beitrag vor einigen Tagen bei Heise gelesen hatte, wurde eine Verschlüsselung aus meiner Hauptdienstleistung Server-Daten als kleines Freeware-Tool ausgelagert. sd-encrypt-tool nutzt die obigen Prinzipien und hat keinen eingebauten statischen Schlüssel. Der verlinkte Blogbeitrag enthält nähere Infos. https://blog.server-daten.de/de/-75
    Sie haben recht, es ist wirklich eine interessantes Tool. Nur leider für den Otto Normalverschlüssler zu komplex.
    Mit einer graphischen Oberfläche und Integrationsmöglichkeit in ein Mailprogramm wäre es sicherlich eine Alternative für Privatanwender.
    Für Firmen zu aufwendig, da sich, so habe ich es zumindest verstanden, jeder nutzer selber um sein Schlüsselpaar kümmer muss. Und da sind wir eben wieder beim Otto.

  5. Die graphische Oberfläche hätte ich auch noch gerne. Kommt wahrscheinlich noch dazu (kostet eben Zeit). Da das Tool praktisch jetzt schon funktioniert (auf meiner Website gibt es diverse analoge Tools für die Kommandozeile, teils mehr als 10 Jahre alt, die genutzt werden), hatte ich das schon am Sonntag online gestellt.

    Die Schlüsselverwaltung ist seit Jahrzehnten ein ungelöstes Problem. Aber so kann man das zumindest per Eigeninitiative erledigen. Wer Mails verschlüsselt empfangen will, erstellt sich einmalig ein Schlüsselpaar und kann den öffentlichen Schlüssel problemlos verteilen.
    Die Integration in Mailclients wäre nett. Aber angesichts der Fülle von Mailclients würde es immer Nutzer geben, deren Mailclient unversorgt ist. Folglich lieber komplett von Mailclients entkoppeln.

    Der eigentliche Punkt dabei: „Händisch definierte Passwörter“ nutzen meist nur Buchstaben / Zahlen / Sonderzeichen, damit stehen für ein Byte etwa 100 Varianten zur Verfügung. Bei Passwortlängen von 8 – 12 Zeichen kommt das in die Nähe von Brute-Force-Hackmöglichkeiten.

    Algorithmisch erzeugte Passwörter nutzen dagegen für ein Byte alle 256 Möglichkeiten und haben eine Passwortlänge von 32 Byte = 256 Bit. Plus der Initialisierungsvektor von 16 Byte. Macht ein Passwort von 48 Byte. Das ist per Brute Force aussichtslos.

  6. Wir sind eine Arztpraxis und können von dem Versand von Patientendaten per Fax nur abraten.
    Eine Kollegenpraxis hatte die Mitarbeiter der Datenschutzbehörde bei sich stehen, weil ein Fax durch einen Zahlendreher an die falsche Adresse gegangen war und der Empfänger dies gleich gemeldet hat.
    Patientendaten an unsere Überweiser senden wir über Outlook als verschlüsselten E-mail Anhang über das Programm EasyCryptMail von FZ it systems. Der Empfänger braucht dafür kein extra Programm und hat stets das gleiche Passwort. Funktioniert großartig. Für Arzt-u.Zahnarztpraxen mit Stamm-Überweisern eine prima Lösung.

  7. Man merkt, dass dieser Artikel nicht von einem IT-Experten geschrieben wurde.

    Zum einen ist es in der Praxis kaum möglich, mit Mandanten verschlüsselt zu kommunizieren, weil dies erfordert, dass die Mandaten in der Lage sind, die entsprechende Software zu installieren und zu bedienen (= schwieriges Thema).

    Des weiteren ist die Übermittlung des Schlüssels über das Telefon genau so unsicher wie das Versenden von E-Mails.

    Dass ZIP- und RAR-Dateien mittlerweile problemlos geknackt werden können, sei an dieser Stelle auch noch erwähnt. Wer es schafft eine E-Mail abzufangen, für den dürfte dies ein Kinderspiel sein.

    Lange Rede, kurzer Sinn: Die Naivität der Möchtegern-Datenschützer ist erschreckend.

    • Vielen Dank für Ihren netten Beitrag. Sie verkennen allerdings, dass es sich hier um einen rechtlichen Artikel handelt und nicht um einen Beitrag zur IT-Sicherheit. Es sollte auf eine im Raum stehende Strafbarkeit für Ärzte und andere Berufsgeheimnisträger hingewiesen werden, wenn diese E-Mails komplett ohne Sicherheitsmaßnahmen verschicken. In diesem Fall braucht es nämlich die von Ihnen geschilderten Angriffsszenarien gar nicht, um die E-Mail einen unbestimmten Kreis von potentiellen Mitlesern zugänglich zu machen. Daher die mögliche Strafbarkeit aus § 203 StGB. Aus rechtlicher Sicht und für eine mögliche Strafbarkeit oder ggf. auch Strafzumessung, macht es daher einen ganz erheblichen Unterschied, ob Sie Daten zumindest so sichern, dass Sie nur durch einen gezielten Angriff ausgelesen werden können, oder sie völlig offen durch die Gegend schicken.

      PS: Wie knackt man denn „problemlos“ ZIP und RAR abseits von langwierigen Brute Force-Attacken?

    • Würde mich auch interessieren, wie man moderne Office-Dateien oder sichere Zip-Programme mit einem 20-stelligen Kennwort einfach so knackt. ;)
      Und auch wenn diese Handhabung (Kennwort über einen zweiten Kommunikationsweg) nicht die beste Lösung einer Verschlüsselung ist, so genügt sie meines Wissens nach den Erfordernissen von § 203 StGB. Denn der Provider kann so nicht direkt auf die Inhalte zugreifen. Darüber hinaus gibt es ja seit einigen Jahren eine Transportverschlüsselung, die von allen großen deutschen Providern durchgeführt wird.

      Mein Angebot:
      Ich schicke Ihnen (Neric) eine von mir gesicherte Datei (Zip/Ofiice-Datei) und Sie knacken diese in einem Tag, um Ihren Worten auch Taten folgen zu lassen.

  8. Fax ist natürlich nicht sicherer als E-Mail. Nur weil es etabliert ist, ist es nicht weniger problematisch. Fax und Telefon sind ebenso unverschlüsselte elektronische Übertragungswege bei denen Dritte mithören können und dies auch regelmäßig tun. Nur weil wir uns daran gewöhnt haben, heißt dies nicht, dass dies unproblematisch wäre.

    Die andere Frage ist, ob der Mandant in die unverschlüsselte Übertragung einwilligen kann. Im Sinne der informationellen Selbstbestimmung kann es nicht sein, dass man dies dem Mandanten verweigert. Er kann den RA ja auch damit beauftragen, etwas an die Presse zu senden oder ins Internet zu stellen. Die Frage ist eher, ob die Einwilligung per Formular rechtswirksam ist, wenn der Wunsch vom RA und nicht vom Mandanten kommt. Aus meiner Sicht muss ein Anwalt die verschlüsselte Übertragung zumindest ernsthaft anbieten, damit der Mandant eine freie Wahl hat.

Hinterlassen Sie einen Kommentar

Die von Ihnen verfassten Kommentare erscheinen nicht sofort, sondern erst nach Prüfung und Freigabe durch unseren Administrator. Bitte beachten Sie auch unsere Nutzungsbedingungen und unsere Datenschutzerklärung.