Der Faxversand von Patienteninformationen gehört im Gesundheitswesen zum Alltag, und HIPAA erlaubt ihn. Das Gesetz verlangt lediglich die richtigen Schutzmaßnahmen für jedes einzelne Fax. Dieser Leitfaden erklärt diese Schutzmaßnahmen in verständlicher Sprache, wie Sie sie mit einem Online-Faxdienst erfüllen und was sich in Ihrem Konto ändert, wenn der HIPAA-Modus aktiviert ist.
- HIPAA erlaubt den Faxversand von PHI mit angemessenen Schutzmaßnahmen und einem unterzeichneten BAA mit Ihrem Anbieter.
- Bei Fax.Plus ist HIPAA-konformes Faxen Teil von Enterprise, wobei Advanced Security Controls für das gesamte Konto gelten.
- Der HIPAA-Modus aktiviert E-Mail-Benachrichtigungen ohne Anhang. Optionale Anhänge erfordern die Zustimmung des Administrators, eine individuelle Aktivierung und TLS 1.2 oder höher auf dem empfangenden Mailserver. Zapier ist deaktiviert; die API, Streaming und Webhooks funktionieren weiterhin.
Ist der Faxversand nach HIPAA erlaubt?
Ja. Das U.S. Department of Health and Human Services (HHS) bestätigt, dass ein Leistungserbringer für die Behandlung geschützte Gesundheitsinformationen per Fax an einen anderen Leistungserbringer senden darf. Geschützte Gesundheitsinformationen (Protected Health Information, PHI) sind alle Gesundheitsinformationen, die einen Patienten identifizieren können, von der Diagnose bis zum Geburtsdatum.
HIPAA verlangt Sorgfalt, keine bestimmte Technologie. Das HHS verweist auf 45 CFR 164.530(c), die Anforderung der Datenschutzregel (Privacy Rule) an Schutzmaßnahmen, und nennt einfache Beispiele: Bestätigen Sie die Faxnummer, bevor Sie senden, und stellen Sie das Faxgerät an einen Ort, zu dem Unbefugte keinen Zugang haben.
Was verlangt HIPAA beim Faxversand?
HIPAA beschreibt Schutzmaßnahmen in drei Gruppen. Hier erfahren Sie, was jede davon für den Faxversand bedeutet.
Administrative Schutzmaßnahmen. Richtlinien und Personen. Legen Sie fest, wer PHI per Fax senden und empfangen darf, schulen Sie diese Personen und bestätigen Sie die Empfängernummern vor dem Senden. Senden Sie nur die Informationen, die der Empfänger benötigt.
Physische Schutzmaßnahmen. Wo Dokumente landen. Ein Papierfax in einem gemeinsam genutzten Ablagefach ist das klassische Risiko. Beim Online-Fax bedeutet das, dass Faxe in einem geschützten Posteingang landen und nicht auf einem Gerät oder in einem gemeinsam genutzten Postfach.
Technische Schutzmaßnahmen. Wie die Daten in Systemen geschützt werden. Dazu gehören Verschlüsselung, individueller Benutzerzugriff und Protokolle, die zeigen, wer ein Fax gesendet, empfangen oder angesehen hat.
Viele Organisationen verwenden außerdem ein Deckblatt mit Vertraulichkeitshinweis. HIPAA schreibt dies nicht ausdrücklich vor, es ist aber gängige Praxis. Fax.Plus bietet eine kostenlose HIPAA-Faxdeckblatt-Vorlage an.
Was ändert sich, wenn Sie einen Online-Faxdienst nutzen?
Wenn ein Anbieter PHI für Sie speichert oder überträgt, wird er zu Ihrem Auftragsverarbeiter im Sinne von HIPAA (Business Associate). HIPAA verlangt dann einen Business Associate Agreement (BAA): einen Vertrag, in dem sich der Anbieter verpflichtet, die PHI, die er für Sie verarbeitet, zu schützen. Ohne BAA ist das Senden von PHI über den Dienst nicht konform, egal wie sicher der Dienst ist.
Außerdem sollten die technischen Schutzmaßnahmen integriert sein. Beim Fax.Plus-Tarif Enterprise gehören dazu:
- AES-256-Verschlüsselung für gespeicherte Faxe und TLS-Verschlüsselung bei der Übertragung
- Rollenbasierter Zugriff, sodass Mitglieder nur sehen, was ihre Rolle zulässt
- Zwei-Faktor-Authentifizierung, die Administratoren für das Team verbindlich vorschreiben können
- Audit-Trails der Konto- und Faxaktivitäten
- Eine Auswahl, wo Ihre Fax-Daten gespeichert werden, darunter die USA und Kanada
Es gibt keine offizielle HIPAA-Zertifizierung, weder für Fax noch für irgendetwas anderes. Wenn ein Anbieter sagt, er sei „HIPAA-konform“, kommt es darauf an, dass er einen BAA unterzeichnet und die erforderlichen Schutzmaßnahmen umsetzt.
Wie richten Sie HIPAA-konformes Faxen auf Fax.Plus ein?
HIPAA-konformes Faxen auf Fax.Plus ist im Tarif Enterprise verfügbar. Die Einrichtung umfasst drei Schritte:
- Nutzen Sie den Tarif Enterprise. Die Tarife Free, Basic, Premium und Business sind nicht HIPAA-geeignet und sollten nicht für PHI verwendet werden.
- Aktivieren Sie die Advanced Security Controls. Ein Kontoinhaber oder Administrator aktiviert sie unter Einstellungen, Sicherheit. Sie gelten für das gesamte Team gleichzeitig.
- Fordern Sie den BAA an und unterzeichnen Sie ihn. Sobald der BAA unterzeichnet und die Sicherheitskontrollen aktiviert sind, kann Ihr Team PHI senden und empfangen.
Der HIPAA-Modus wird auf Kontoebene festgelegt, nicht pro Nutzer oder pro Abteilung. Alle im Enterprise-Konto arbeiten in derselben geschützten Umgebung. So besteht nicht das Risiko, dass ein Teammitglied PHI aus einem ungeschützten Bereich des Kontos faxt.
Was ändert sich, wenn der HIPAA-Modus aktiviert ist?
Teams möchten dies in der Regel vor dem Umschalten geklärt haben, deshalb hier der vollständige Überblick.
| Funktion | Standardkonto | Mit aktiviertem HIPAA-Modus |
|---|---|---|
| E-Mail-Benachrichtigungen | Können das Fax als Anhang enthalten | Standardmäßig nur Benachrichtigung; optionale Anhänge nach Zustimmung des Administrators und individueller Aktivierung, mit TLS 1.2 oder höher auf dem empfangenden Mailserver. |
| Slack-Benachrichtigungen | Können das Fax als Anhang enthalten | Nur Benachrichtigung, kein Anhang. |
| Empfangene Faxe per E-Mail | Zustellung von Anhängen, sofern aktiviert; Optionen für PDF oder TIFF | Standardmäßig nur Benachrichtigung oder Anhänge nach der erforderlichen Zustimmung und TLS-Einrichtung. Der Kunde ist dafür verantwortlich, zugestellte PHI in seiner E-Mail-Umgebung zu schützen. |
| Email-to-Fax | Senden Sie von Ihrer verifizierten Konto-E-Mail-Adresse an number@fax.plus | Senden Sie an number@tls.fax.plus, mit erzwungenem TLS; nur im Konto bereitgestellte Nutzer können senden |
| Zapier | Verfügbar im Tarif Enterprise | Deaktiviert |
| REST-API und Webhooks | Verfügbar im Tarif Enterprise | Funktionieren weiterhin, einschließlich Fax.Plus-KI |
| Web- und Mobile-Apps | Verfügbar | Funktionieren weiterhin |
| Nutzerverwaltung und Nummernzuweisung | Verfügbar | Funktionieren weiterhin |
Zwei Details sind wissenswert. Wenn jemand in einem HIPAA-Konto versehentlich eine E-Mail an die Standardadresse @fax.plus sendet, leitet Fax.Plus die Nachricht automatisch in die TLS-gesicherte Verarbeitung um. Und da Zapier deaktiviert ist, ist die API der Weg, um Fax in einem HIPAA-Workflow mit Ihren anderen Systemen zu verbinden. Details finden Sie in der HIPAA-Fax-API.
HIPAA-konforme Fax-Workflows automatisieren
Der HIPAA-Modus schaltet Zapier ab, stoppt aber nicht die Automatisierung. E-Mail-Anhänge sind ein optionaler, separat aktivierter Workflow. Bei einem HIPAA-Konto funktioniert die Fax.Plus-API weiterhin, und drei Funktionen sind für die Patientenaufnahme im Gesundheitswesen besonders wichtig:
- Fax-Streaming. Jede Seite eines eingehenden Faxes wird an Ihr System gesendet, sobald sie empfangen wurde, sodass eine Überweisung bereits ab Seite 1 priorisiert werden kann. Streaming wird auf Anfrage aktiviert und funktioniert mit HIPAA-Konten.
- Webhooks in Produktionsqualität. Ereignisse sind signiert, sodass Ihr Server sie überprüfen kann, lassen sich nach Ereignistyp und Fax-Nummer filtern und werden mit einem Zustellungsprotokoll, der Wiedergabe verpasster Ereignisse und Benachrichtigungen bei wiederholten Endpunktfehlern geliefert.
- Keine PHI in der Payload. Webhook-Ereignisse enthalten Fax-Details wie Status und Seitenzahl, nicht aber das Dokument. Ihr System lädt das Fax selbst über die API herunter.
Der Fax.Plus-MCP-Server, über den KI-Assistenten mit Fax arbeiten können, ist bei Konten mit Advanced Security Controls nicht verfügbar. HIPAA-Workflows nutzen daher stattdessen die API.
Welche Fax.Plus-Tarife können für PHI verwendet werden?
Nur Enterprise. Dieser Tarif vereint, was HIPAA-konformes Faxen erfordert: den BAA, Advanced Security Controls, Audit-Protokollierung, rollenbasierten Zugriff und Optionen zur Datenresidenz. Niedrigere Tarife enthalten diese nicht und sind daher für PHI nicht geeignet.
Die vollständige Liste der Kontrollen finden Sie unter HIPAA-konformes Fax. Eine Einführung in das Gesetz selbst finden Sie unter Was ist HIPAA.
Eine HIPAA-Fax-Checkliste
Bevor Ihr Team PHI per Fax versendet, vergewissern Sie sich, dass Folgendes erfüllt ist:
- Mit Ihrem Fax-Anbieter ist ein BAA unterzeichnet.
- Der HIPAA-Modus (Advanced Security Controls bei Fax.Plus) ist für das Konto aktiviert.
- Nur geschulte Mitarbeitende haben Zugriff, mit Rollen, die zu ihrer Tätigkeit passen.
- Die Zwei-Faktor-Authentifizierung ist verpflichtend.
- Empfängernummern werden vor dem Senden bestätigt und nach Möglichkeit als Kontakte gespeichert.
- Faxe werden nur mit den Informationen versendet, die der Empfänger benötigt.
- Die Mitarbeitenden wissen, wo empfangene Faxe eingehen und dass PHI nicht an persönliche E-Mail-Adressen oder nicht genehmigte Tools weitergeleitet werden darf.
Häufig gestellte Fragen
Wie senden Sie ein HIPAA-konformes Fax?
Nutzen Sie einen Fax-Dienst, der einen BAA unterzeichnet und Faxe mit Verschlüsselung und Zugriffskontrollen schützt. Bei Fax.Plus bedeutet das ein Enterprise-Konto mit aktivierten Advanced Security Controls und einem unterzeichneten BAA. Bestätigen Sie anschließend die Nummer des Empfängers, senden Sie nur die benötigten Informationen und verwenden Sie ein Deckblatt mit Vertraulichkeitshinweis.
Ist eine Fax-Nummer durch HIPAA geschützt?
Eine Fax-Nummer allein ist keine Gesundheitsinformation. Allerdings stehen Fax-Nummern auf der HIPAA-Liste der Identifikatoren. Eine Fax-Nummer, die mit den Gesundheitsinformationen eines Patienten verknüpft ist, gehört daher zu dessen PHI und erfordert denselben Schutz.
Verlangt HIPAA ein Fax-Deckblatt?
Nein, keine konkrete Vorschrift verlangt eines. Viele Organisationen verwenden im Rahmen ihrer Schutzmaßnahmen ein Deckblatt mit Vertraulichkeitshinweis. Sie können mit der kostenlosen Vorlage für ein HIPAA-Fax-Deckblatt beginnen und nachlesen, was ein HIPAA-Deckblatt enthalten sollte.
Ist Fax.Plus HIPAA-zertifiziert?
Es gibt kein offizielles HIPAA-Zertifizierungsprogramm. Fax.Plus setzt im Enterprise-Tarif die technischen Schutzmaßnahmen von HIPAA um und schließt BAAs mit Covered Entities und Business Associates ab.
Kann ich den HIPAA-Modus nur für eine Abteilung aktivieren?
Nein. Bei Fax.Plus gilt der HIPAA-Modus für das gesamte Enterprise-Konto. Ein BAA deckt das Konto ab, und alle Mitglieder arbeiten innerhalb der geschützten Umgebung.
Kann ich bei aktiviertem HIPAA-Modus weiterhin Faxe per E-Mail senden?
Ja. HIPAA-Konten senden Email-to-Fax über eine dedizierte Adresse, number@tls.fax.plus, mit erzwungener TLS-Verschlüsselung. Nur in Ihrem Konto bereitgestellte Nutzer können auf diese Weise senden.
Kann ich Fax.Plus für PHI im Basic-, Premium- oder Business-Tarif verwenden?
Nein. HIPAA-konformes Faxen erfordert den Enterprise-Tarif mit Advanced Security Controls und einem unterzeichneten BAA.
Ausgewählte Artikel
Alle anzeigen
Confédération Suisse
Confederazione Svizzera
Confederaziun Svizra
Schweizerische Eidgenossenschaft
Innosuisse – Schweizerische Agentur für Innovationsförderung
