Gmail-HIPAA-Konformität mit BAAs, Schutzmaßnahmen und Optionen

Wenn es eine Berufsgruppe gibt, die ständig von Phishing-Angriffen betroffen ist, dann sind es Angehörige der Gesundheitsberufe. Ärzte, Pflegekräfte oder Mitarbeiter, die Gmail zum Austausch sensibler Daten nutzen, laufen deutlich häufiger Gefahr, dass ihre sensiblen Daten kompromittiert werden.

Um Ihr Unternehmen vor Verstößen gegen HIPAA zu schützen , ist ein geeigneter Plan erforderlich. Die Kenntnis der Kosten für eine HIPAA-Zertifizierung hilft Unternehmen bei der Budgetplanung für die technischen Kontrollmaßnahmen – verschlüsselte E-Mail-Infrastruktur, Google Workspace-Lizenzen, Umsetzung von BAA-Vereinbarungen und laufende Überwachung –, die für eine HIPAA-konforme Kommunikation notwendig sind.

So sind Sie bestens vorbereitet, falls das OCR jemals zu einer Prüfung ansteht!

Aber hier ist die Frage, die Sie sich stellen sollten und müssen: Ist Gmail HIPAA-konform?

Lass uns tauchen ...

Ist Gmail HIPAA-konform?

Gmail hat sich für viele Unternehmen und Organisationen zum bevorzugten E-Mail-Dienst entwickelt. Das ist leicht nachzuvollziehen: Gmail ist kostenlos, benutzerfreundlich und bietet viele Funktionen, die Unternehmen benötigen, wie z. B. Portabilität, Speicherplatz und Sicherheit. 

Gmail hat jedoch einen Schwachpunkt: die Einhaltung der HIPAA-Bestimmungen. Betroffene Einrichtungen und Geschäftspartner sind verpflichtet, die Sicherheit von PHI (geschützten Gesundheitsdaten) zu gewährleisten, und Gmail erfüllt nicht alle HIPAA-Anforderungen. 

Gmail erlaubt es Unternehmen beispielsweise nicht, E-Mails mit geschützten Gesundheitsdaten (PHI) zu verschlüsseln. Daher setzen sich Unternehmen, die Gmail für die offizielle Kommunikation nutzen, möglicherweise dem Risiko eines Verstoßes gegen HIPAA aus.

Wenn Sie PHI per E-Mail versenden möchten, ist Gmail nicht die richtige Plattform, da sie nicht HIPAA-konform ist.

Wenn Sie jedoch ein kompatibles Google Workspace-Konto erstellen, können Sie direkt loslegen.

Google Workspace bietet die erforderlichen Sicherheitsstufen, um Gmail und Drive HIPAA-konform zu machen. Die HIPAA-konformen Anforderungen an die Datenspeicherung gelten speziell für Drive und umfassen die Verschlüsselung ruhender Daten, Zugriffskontrollen sowie die Bestimmungen der Business Associate Agreements (BAA), die regeln, wie Google in Workspace gespeicherte elektronische Gesundheitsdaten (ePHI) verarbeitet.

Da Beschäftigte im Gesundheitswesen ständig Ziel von Phishing-Angriffen sind, ist die Wahrscheinlichkeit erhöht, dass sensible Daten kompromittiert werden. Um Ihr Unternehmen vor Verstößen gegen das US-amerikanische HIPAA-Gesetz zu schützen , benötigen Sie einen geeigneten Plan.

Beispielsweise kann die Übermittlung sensibler Gesundheitsdaten per E-Mail ohne angemessene Verschlüsselung zu einem Datenleck führen. Schauen wir uns nun an, was Gmail HIPAA-konform macht.

Wie kann man Gmail HIPAA-konform gestalten?

Hier sind die 3 wichtigsten Schritte, um Ihr Gmail-Konto HIPAA-konform zu gestalten:

Sicherheit – So schützen Sie Ihr Gmail-Konto

Da Gmail nicht automatisch HIPAA-konform ist, erfahren Sie hier, was Sie tun können, um E-Mails HIPAA-konform für die sichere Übertragung von PHI zu gestalten:

1. Verwenden Sie ein starkes Passwort

Das sollte eigentlich selbstverständlich sein, aber ein sicheres Passwort ist der wichtigste Schritt, um Ihr Gmail-Konto zu schützen. Ein sicheres Passwort besteht aus mindestens acht Zeichen und enthält eine Mischung aus Klein- und Großbuchstaben, Sonderzeichen und Zahlen.

2. Aktivieren Sie die Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung bietet neben einem sicheren Passwort eine zusätzliche Sicherheitsebene. Jedes Mal, wenn Sie sich in Ihr Gmail-Konto einloggen, wird ein Sicherheitscode zur Bestätigung an Ihr registriertes Mobilgerät gesendet. 

Sie können erst auf Ihr Konto zugreifen, nachdem Sie den an Ihr registriertes Mobilgerät gesendeten Zugangscode eingegeben haben. Dadurch wird es deutlich erschwert, dass jemand Ihr E-Mail-Konto hackt und unbefugten Zugriff erlangt, selbst wenn er Ihr Passwort kennt.

3. Klicken Sie nicht auf verdächtige Links

Melden Sie diese Vorfälle Ihrem Sicherheitsbeauftragten. Sollte Ihr Unternehmen keine Person mit der Funktion eines Sicherheitsbeauftragten haben, wenden Sie sich bitte an Ihren CTO oder den Leiter der Entwicklungsabteilung.

Melden Sie diese Vorfälle Ihrem Sicherheitsbeauftragten. Sollte Ihr Unternehmen keine Person mit der Funktion eines Sicherheitsbeauftragten haben, wenden Sie sich bitte an Ihren CTO oder den Leiter der Entwicklungsabteilung.

So sieht eine Phishing-E-Mail aus:

4. Halten Sie Ihre Software auf dem neuesten Stand

Eine der besten Möglichkeiten, Ihr Gmail-Konto zu schützen, besteht darin, sicherzustellen, dass Sie die neueste Version von Gmail und aller anderen Software auf Ihrem Computer verwenden. Software-Updates enthalten häufig Sicherheitspatches, die Sie vor neuen Bedrohungen schützen können.

5. Seien Sie vorsichtig mit öffentlichen WLAN-Netzen.

Wenn Sie Gmail in einem öffentlichen WLAN nutzen, sollten Sie sich bewusst sein, dass jeder im selben Netzwerk Ihren Datenverkehr möglicherweise mitlesen und Ihre Aktivitäten verfolgen kann. Um dies zu vermeiden, verwenden Sie ausschließlich HTTPS-Websites und stellen Sie sicher, dass auf Ihrem Computer ein VPN installiert ist. 

Wenn Sie beispielsweise ein VPN (Virtual Private Network) verwenden, wird Ihr Internetverkehr automatisch verschlüsselt. Dadurch kann niemand Ihre Netzwerkverbindung abfangen, wenn Sie öffentliche WLAN-Netze nutzen.

Zustimmung

Der Versand von Gesundheitsdaten per E-Mail ist nur mit einer vorherigen schriftlichen Einwilligungserklärung des Empfängers möglich. Geschäftspartner und betroffene Stellen müssen potenzielle Empfänger außerdem darauf hinweisen, dass selbst große E-Mail-Anbieter (wie Google oder Yahoo) keine absolute Sicherheit garantieren können.

Also was kannst du tun? 

Am sichersten versenden Sie E-Mails von einem Gerät mit Passwortschutz und aktueller Antivirensoftware. Wählen Sie sichere Passwörter und geben Sie Ihre Zugangsdaten niemals an Dritte weiter. 

Die nächstbeste Option für Unternehmen ist die Nutzung eines sicheren Online-Portals, auf dem jeder Mitarbeiter ein eigenes Konto hat. Die Mitarbeiter erhalten dann lediglich Benachrichtigungen, sobald eine neue Nachricht im Portal eingeht.

Geschäftspartnervereinbarung mit Google

Um HIPAA-konforme Gmail-Nachrichten zu versenden, ist eine Vereinbarung zur Auftragsverarbeitung ( Business Associate Agreement , BAA ) mit Google erforderlich. Google verwendet die virtuelle Dokumentensignatur, daher benötigen Sie kein physisch unterschriebenes Dokument. Die Vereinbarung gilt als abgeschlossen, sobald Sie das Administratorkonto in Ihrem G Suite-Profil eingerichtet haben.

Klicken Sie auf den Tab „Zusätzliche Datenschutzbestimmungen“, um die Vereinbarung zur Zusammenarbeit mit Google (Business Associates Agreement) einzusehen. Mit der Annahme dieser Vereinbarung erfahren Ihre Geschäftspartner, wie sie geschützte Gesundheitsdaten (PHI) verwenden dürfen und welche Sicherheitsmaßnahmen erforderlich sind. Für weitere Informationen können Sie sich auch an Fachanwälte für Gesundheitsrecht wenden.

Allerdings schützt BAA zwar die auf Google gespeicherten Daten, jedoch nicht die E-Mail-Verschlüsselung. Zudem ist die Einrichtung eines Google Workspace-E-Mail-Kontos recht kompliziert.

Darüber hinaus müssen Sie nach Unterzeichnung der BAA zusätzliche Vorsichtsmaßnahmen treffen, um sicherzustellen, dass die per E-Mail übermittelten Patientendaten gut geschützt sind. Durch Verschlüsselung können Sie darauf vertrauen, dass die Patientendaten während der Übertragung weder von Mitarbeitern noch von Hackern manipuliert werden.

Betrachten Sie es im Hinblick darauf, Folgendes zu erreichen:

• Sie können sicherstellen, dass Sie nur mit der beabsichtigten Partei kommunizieren, indem Sie die folgenden Bestimmungen einhalten: Datenschutzgesetz HIPAADie Nutzung einer PKI (Public-Key-Infrastruktur) und die Verschlüsselung von E-Mails mit dem öffentlichen Schlüssel des Patienten erhöhen die Vertraulichkeit der Kommunikation.

Gibt es eine HIPAA-konforme Alternative zu Gmail?

Die kurze Antwort lautet: Ja. Googles beliebter E-Mail-Dienst erfüllt derzeit nicht die notwendigen Sicherheitsanforderungen für die HIPAA-Konformität. Es gibt jedoch zahlreiche alternative E-Mail-Anbieter, die die HIPAA-Standards erfüllen. 

Hier ist eine Liste der besten HIPAA-konformen Gmail-Alternativen, die Sie kennen sollten:

• Austritt
• Hushmail
• MailHippo
• LuxSci
• Protonmail
• Virtu
• Neozertifiziert
• Identillect

Was kommt als Nächstes?

Wie Sie sehen, bietet ein HIPAA-konformes Gmail-Konto viele Vorteile. Ihre E-Mails sind nicht nur sicherer, sondern Sie erhalten auch Zugriff auf bessere Tools und Funktionen. 

Damit Sie keine kostspieligen Folgen erleiden, setzt Sprinto alles daran, Sie auf dem richtigen Weg der Compliance zu halten, damit Sie sich auf Ihr Geschäft konzentrieren können und sich keine Sorgen um die HIPAA-Bestimmungen machen müssen.

Mit leicht verständlichen Schritten, editierbaren Richtlinienvorlagen und in der App integrierten Mitarbeiterschulungsmodulen sorgt Sprinto dafür, dass Sie stets über die neuesten Änderungen im HIPAA-Gesetz informiert sind. 

Das Echtzeit-Dashboard informiert Sie über Ihren gesamten Compliance-Status, hebt Lücken hervor und bietet Aufgaben zur Verbesserung Ihres Status. Erfahren Sie mehr darüber, wie Sprinto die Compliance für Ihr Unternehmen vereinfachen kann, indem Sie unsere Website besuchen oder noch heute eine Demo vereinbaren.

Häufig gestellte Fragen