BSI-Datenklassen verstehen: So klassifizieren Sie Patientendaten richtig

# BSI-Datenklassen verstehen: So klassifizieren Sie Patientendaten richtig

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit seinem IT-Grundschutz-Kompendium ein strukturiertes Klassifizierungssystem entwickelt, das auch für Arztpraxen handlungsleitend ist. Die Einteilung in vier Datenklassen hilft dabei, Schutzmaßnahmen risikoangemessen und wirtschaftlich sinnvoll umzusetzen.

Die korrekte Klassifizierung von Patientendaten nach BSI-Vorgaben ist keine akademische Übung, sondern hat direkte Auswirkungen auf Ihre IT-Infrastruktur, Backup-Strategien und den Umgang mit Praxissoftware. Wer hier systematisch vorgeht, erfüllt nicht nur DSGVO-Anforderungen, sondern schützt seine Praxis auch vor Haftungsrisiken.

Die vier BSI-Datenklassen im Überblick

Das BSI unterscheidet vier Schutzbedarf-Kategorien, die sich nach den möglichen Folgen einer Verletzung von Vertraulichkeit, Integrität oder Verfügbarkeit richten:

Datenklasse 1 – Öffentlich: Informationen, deren Veröffentlichung keine negativen Folgen hätte. In Arztpraxen gehören dazu beispielsweise Sprechstundenzeiten, allgemeine Praxisinformationen oder öffentlich zugängliche Formulare. Diese Daten erfordern keine besonderen Schutzmaßnahmen.

Datenklasse 2 – Intern: Daten, deren unbefugte Weitergabe zu geringen Schäden führen würde. Hierunter fallen etwa interne Arbeitsanweisungen, allgemeine Terminkalender ohne Patientenbezug oder Gerätewartungspläne. Der Schutzbedarf ist moderat, Standardsicherheitsmaßnahmen sind ausreichend.

Datenklasse 3 – Vertraulich: Informationen, deren Kompromittierung erhebliche Schäden verursachen würde. Dies ist die relevanteste Klasse für Arztpraxen, denn hier sind alle personenbezogenen Patientendaten einzuordnen: Anamnesen, Diagnosen, Behandlungsverläufe, Rezepte und Abrechnungsdaten. Nach DSGVO gelten diese als besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO. Hier sind verstärkte technische und organisatorische Maßnahmen erforderlich.

Datenklasse 4 – Streng vertraulich: Daten, deren Verlust existenzbedrohende Folgen hätte. In Praxen können hierzu beispielsweise psychiatrische Gutachten mit forensischer Relevanz, HIV-Befunde in sensiblen Kontexten oder Behandlungsdaten exponierter Persönlichkeiten gehören. Diese Klasse erfordert maximale Schutzmaßnahmen.

Klassifizierung von Patientendaten in der Praxis

Für die tägliche Arbeit gilt: Der überwiegende Teil der Patientendaten in Ihrer Praxis fällt in Datenklasse 3. Dies betrifft alle Informationen, die in Ihrer Praxissoftware gespeichert sind – von der Patientenakte über Laborwerte bis zu Impfdokumentationen.

Die Einstufung in Klasse 3 ist nicht verhandelbar, da Gesundheitsdaten nach Art. 9 DSGVO automatisch als besonders schützenswert gelten. Eine niedrigere Einstufung wäre rechtswidrig und würde bei Datenschutzverstößen zu erheblichen Bußgeldern führen. Die Datenschutzkonferenzen der Länder haben Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes für schwere Verstöße festgelegt.

Einzelne Datensätze können auch Klasse 4 zugeordnet werden. Dies ist immer dann angezeigt, wenn besondere Vertraulichkeitsanforderungen bestehen oder wenn die Offenlegung für Betroffene existenzielle Folgen hätte. Die Entscheidung sollten Sie zusammen mit Ihrem Datenschutzbeauftragten treffen.

Technische Konsequenzen der Datenklassifizierung

Die Zuordnung zu einer Datenklasse ist nicht selbstzwecklich, sondern bestimmt konkrete Schutzmaßnahmen:

Verschlüsselung: Daten der Klasse 3 müssen sowohl bei der Speicherung als auch bei der Übertragung verschlüsselt werden. Moderne Praxissoftware wie Praxis-IT implementiert diese Anforderungen standardmäßig durch TLS-Verschlüsselung für die Datenübertragung und AES-256-Verschlüsselung für gespeicherte Daten.

Zugriffskontrolle: Für Klasse-3-Daten ist ein rollenbasiertes Berechtigungskonzept zwingend erforderlich. Nicht jeder Mitarbeiter darf auf alle Patientendaten zugreifen. MFA-Mitarbeiter benötigen andere Zugriffsrechte als Ärzte oder Verwaltungskräfte. Die Dokumentation der Berechtigungsvergabe muss nachvollziehbar sein.

Backup und Archivierung: Klasse-3-Daten erfordern verschlüsselte Backups mit räumlich getrennter Speicherung. Das 3-2-1-Prinzip sollte umgesetzt werden: drei Kopien auf zwei verschiedenen Medientypen, eine davon extern. Die Aufbewahrungsfristen nach § 630f BGB (zehn Jahre für Patientenakten) müssen technisch sichergestellt sein.

Protokollierung: Alle Zugriffe auf Patientendaten der Klasse 3 müssen protokolliert werden. Dies umfasst Lese- und Schreibzugriffe, einschließlich Zeitpunkt, Nutzer und Art des Zugriffs. Diese Protokolle sind selbst schützenswerte Daten und müssen mindestens sechs Monate aufbewahrt werden.

Netzwerksegmentierung: Systeme mit Klasse-3-Daten sollten in separaten Netzwerksegmenten betrieben werden, getrennt von öffentlichen Bereichen wie dem Wartezimmer-WLAN.

Praktische Umsetzung in der Arztpraxis

Beginnen Sie mit einer Bestandsaufnahme: Erstellen Sie eine Liste aller Systeme und Speicherorte, an denen Patientendaten verarbeitet werden. Dazu gehören nicht nur die Praxissoftware, sondern auch Backup-Medien, mobile Geräte, Cloud-Speicher und auch physische Akten.

Dokumentieren Sie für jeden Speicherort die Datenklasse und die implementierten Schutzmaßnahmen. Diese Dokumentation ist bei Audits durch Datenschutzbehörden oder im Schadensfall essentiell. Ein einfaches Tabellenformat reicht aus: Speicherort, Datenklasse, Schutzmaßnahmen, Verantwortlicher, Prüfdatum.

Schulen Sie Ihr Praxisteam regelmäßig. Die beste technische Infrastruktur hilft nichts, wenn Mitarbeiter Passwörter auf Post-its notieren oder vertrauliche Daten unverschlüsselt per E-Mail versenden. Mindestens einmal jährlich sollte eine Sensibilisierung erfolgen.

Überprüfen Sie Ihre technischen Maßnahmen kontinuierlich. Software-Updates müssen zeitnah eingespielt werden, da sie oft sicherheitsrelevante Patches enthalten. Ein Patch-Management-Prozess sollte definieren, wer wann welche Updates einspielt und wie dies dokumentiert wird.