Erlebnisse aus meinem Alltag als Datenschutzbeauftragter und IT-Sicherheitsbeauftragter: Kurze Anekdoten, die tatsächlich passiert sind. Gewürzt mit einer Prise Humor und einer Spur von Sarkasmus, aber vor allem mit wertvollen Erkenntnissen, die das Verständnis für Datenschutz und Datensicherheit verbessern sollen.
Mein Name ist Torben Bues. Ich bin Geschäftsführer der TBCS IT GmbH und arbeite als externer Datenschutzbeauftragter, Berater für Informationssicherheit und Auditor nach ISO 27001 und ISO 22301 – unter anderem für Betriebe mit kritischen Infrastrukturen. Meine berufliche Herkunft liegt in der IT: Über viele Jahre habe ich mit meinem Team als Dienstleister für HPE (Hewlett Packard Enterprise) zahlreiche mittelständische Kunden aus unterschiedlichen Branchen betreut.
Unser Fokus lag dabei auf der Bereitstellung von Server-, Storage- und Netzwerktechnologien, die von Hewlett Packard Enterprise entwickelt und in Rechenzentren quer über ganz Europa implementiert wurden. Im Verlauf von über 20 Jahren haben wir durch enge Kooperationen mit Forschungseinrichtungen, öffentlichen Rechenzentren und Technologieunternehmen unser Fachwissen kontinuierlich erweitert. Dadurch konnten wir uns zunehmend auf technische Lösungen spezialisieren, die der Sicherung von Unternehmensdaten dienten und die unterbrechungsfreie Durchführung zeitkritischer Geschäftsprozesse gewährleisteten.
Meine Kunden sind heute Organisationen, die ihren Datenschutz zeitgemäß aufstellen, Informationssicherheit nach Standards wie ISO 27001 oder TISAX umsetzen oder die Anforderungen aus NIS-2 und der KI-Verordnung erfüllen müssen. Mein Schwerpunkt liegt in der Auditierung, Konzeption und Kontrolle technischer und organisatorischer Maßnahmen (TOM). Als IT-Sachverständiger und Gutachter bin ich im Bundesfachverband BISG e. V. aktiv, außerdem in der Gesellschaft für Datenschutz und Datensicherheit (GDD) und bei Niedersachsen Digital e. V. im Rahmen der Unternehmerverbände Niedersachsen (UVN).
So verarbeiten Arztpraxen häufig Ihre Daten
Datenschutz-Audit bei einer Arztpraxis
Eine mittelgroße Praxis bestehend aus vier Ärzt:innen und ca. 15 Arbeitnehmer:innen verarbeitete Patientendaten auf einem eigenen Server, der im Keller der Praxis stand. Der Server, ein besserer PC mit einem stark veralteten Windows Betriebssystem, war nicht nur hoffnungslos veraltet, sondern auch noch schlecht konfiguriert. Denn der fachlich grenzwertige IT-Dienstleister hatte alle Schwierigkeiten damit, den Windows-Server mit den „fancy“ I-Macs im Praxisbereich so zu verknüpfen, dass den Anforderungen an eine halbwegs sichere Netzwerkkonfiguration Genüge getan wurde. Die Inhaber:innen der Praxis konnten die Missstände weder fachlich noch betriebswirtschaftlich einordnen und weder die Leistungsbeschreibung des IT-Dienstleisters noch der Auftragsverarbeitungsvertrag sicherten diese MacGyver-Lösung angemessen ab.
Auf den Datenplatten des Servers befanden sich neben der Datenbank des Windows-MAC-Praxisverwaltungsprogramms eine Vielzahl an sensiblen Patienten-Dokumenten. Darunter Befunde, Röntgenbilder, Informationen über Unverträglichkeiten, Vorerkrankungen, bestimmte Medikationen und vieles mehr. In der DSGVO sprechen wir hier umgangssprachlich von Artikel 9 Daten.
Wer nun denkt, das sei bereits das dicke Ei der Geschichte – es geht noch besser:
Das Backup der sensiblen Daten bestand aus einem selbst geschriebenen Skript des IT-Dienstleisters, das allabendlich die Daten (völlig ungeschützt) über eine ungesicherte Leitung auf einen FTP-Server „kopierte“. Ohne Verschlüsselung, ohne Transportkontrolle und ohne Quittung der Gegenseite. Als Vergleich stellen Sie sich vor, Sie würden Ihr Handy, Ihre Familienalben und alle Ihre vertraulichen Nachrichten zwischen Ihnen und Ihrer besten Freund:in ungeschützt auf einen Marktplatz Ihrer Wahl legen und hoffen, dass jeder daran vorbeigeht ohne reinzugucken.
Aber auch das war (noch) nicht der Höhepunkt dieses grandiosen IT-Konzepts. Das Backup lagerte auf den eigenen Servern des IT-Dienstleisters. Vermutlich neben hunderttausenden anderen, unverschlüsselten Daten weiterer Arztpraxen.
Einzelfall?
Leider nein.
Besonders die sogenannten „geschützten Berufsgruppen“, darunter Mediziner und Juristen, arbeiten bildlich gesprochen, häufig noch auf Steintafeln. Besonders Praxisnetzwerke sind oftmals unzureichend geschützt und bieten halbwegs (aus-)gebildeten Cyberkriminellen in Sekundenschnelle Zugriff auf hochsensible Personendaten. Es fehlt genauso an kompetenten IT-Dienstleistern wie an entsprechend sensibilisierten Arzt:innen. Schauen Sie mal, wie viele Praxen noch mit einem Faxgerät arbeiten.
Was hat sich seit 2023 getan?
Für Arztpraxen gibt es inzwischen klare Vorgaben: Die IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung nach § 390 SGB V ist verbindlich, die aktuelle Fassung gilt seit dem 1. April 2025. Regelmäßige Datensicherungen nach festgelegtem Plan sind schon seit 2021 Pflicht. Außerdem führt die KBV ein Verzeichnis zertifizierter IT-Dienstleister – ein freiwilliges Angebot, aber eine gute Orientierung bei der Auswahl.
Ein unverschlüsseltes Backup über eine ungesicherte Leitung war und ist mit Art. 32 DSGVO nicht vereinbar. Geändert hat sich nur, dass der Rahmen heute deutlich klarer ist – Ausreden werden damit knapp.
Was können Sie tun?
Nehmen Sie Ihr Recht auf Auskunft wahr (Artikel 15 DSGVO) und fragen Sie konkret nach, welche personenbezogenen Daten zu welchem Zweck wohin weitergeleitet werden. Verzichten Sie auf keinen Fall auf die Verschlüsselung Ihrer Daten, etwa wenn Labordaten weitergeleitet werden sollen. Darauf verzichten viele Praxen gern, um Geld zu sparen und technische Sicherungsmaßnahmen zu vermeiden. Für die „Sicherheit der Verarbeitung“ nach Artikel 32 DSGVO ist die Praxis verantwortlich, und diese Anforderung kann sie nicht durch eine Einwilligung Ihrerseits aushebeln.
Und fragen Sie ruhig auch, ob Ihre Praxis die IT-Sicherheitsrichtlinie der KBV umsetzt. Eine gut aufgestellte Praxis beantwortet das gern.
App Aufsichtsbehörden Auftragsverarbeitung awareness BCM BDSG Betroffenenrechte BSI Business Continuity Bußgeld Cloud Compliance Corona Cybersicherheit Daten Datenpanne Datenschutz Datenschutz-Manager Datenschutzbeauftragter Datensicherheit Digitale Souveränität DSB DSGVO E-Mail Informationssicherheit Internet IT-Security IT-Sicherheit KI KI-Verordnung KMU Künstliche Intelligenz Lerneinheit Lernvideo Microsoft 365 Mittelstand NIS-2 Ortsbegehung personenbezogene Daten Resilienz Schutz Sicherheit Sicherheitslücken Unternehmen Verschlüsselung