Was ist HIPAA? Eine verständliche Erklärung

HIPAA, der Health Insurance Portability and Accountability Act, ist ein US-Bundesgesetz von 1996, das nationale Standards für den Schutz von Patientengesundheitsdaten festlegt und Gesundheitsorganisationen sowie deren Dienstleister zu deren Schutz verpflichtet. Viele nehmen an, HIPAA gelte nur für Krankenhäuser und Ärzte. Tatsächlich erfasst das Gesetz auch Abrechnungsunternehmen, IT-Dienstleister, Cloud-Anbieter und den Fax-Dienst, der eine Überweisung übermittelt.

Präsident Bill Clinton unterzeichnete HIPAA am 21. August 1996 als Public Law 104-191. Kongress und HHS haben das Gesetz viermal modernisiert: Privacy Rule (2003), Security Rule (2005), Breach Notification Rule (2009) und Omnibus Rule (2013). Eine fünfte Aktualisierung, die größte Überarbeitung der Security Rule seit 20 Jahren, steht für Mai 2026 auf der Regulierungsagenda des OCR.

Dieser Leitfaden erklärt, was HIPAA bedeutet, stellt die vier Regeln vor und zeigt, was als PHI gilt, wer sich daran halten muss, welche Strafen bei Verstößen drohen und wie HIPAA für Fax, E-Mail, SMS und Slack gilt. Außerdem enthält er eine Starter-Checkliste mit acht Schritten. Nach der Lektüre wissen Sie, ob HIPAA für Ihre Organisation gilt und was Sie als Nächstes tun sollten.

HIPAA-Definition und ein kurzer geschichtlicher Überblick (von 1996 bis heute)

HIPAA wurde ursprünglich geschaffen, damit Arbeitnehmer beim Jobwechsel ihren Krankenversicherungsschutz behalten können. Die Datenschutz- und Sicherheitsregeln, die man heute damit verbindet, kamen erst später hinzu.

Wofür HIPAA steht

HIPAA steht für den Health Insurance Portability and Accountability Act von 1996. Präsident Bill Clinton unterzeichnete ihn am 21. August 1996 als Public Law 104-191. Das Gesetz verfolgte ursprünglich vier Ziele: Krankenversicherungen beim Jobwechsel übertragbar machen, Betrug und Missbrauch im Gesundheitswesen verringern, elektronische Gesundheitstransaktionen standardisieren und Gesundheitsinformationen schützen.

Der Schutz von Gesundheitsinformationen war der kleinste Teil des ursprünglichen Gesetzes. Der Kongress beauftragte das Gesundheitsministerium (Department of Health and Human Services, HHS), die eigentlichen Datenschutz- und Sicherheitsvorschriften später zu erlassen. Diese Vorschriften sind es, die die meisten heute meinen, wenn sie „HIPAA“ sagen.

Die Entwicklung von HIPAA: die vier wichtigsten Aktualisierungen

• Die Privacy Rule (2003) legte die ersten nationalen Standards dafür fest, wer PHI verwenden und offenlegen darf, und gab Patienten Rechte an ihren Unterlagen.
• Die Security Rule (2005) ergänzte administrative, physische und technische Schutzmaßnahmen für elektronische PHI.
• HITECH Act und Breach Notification Rule (2009) erhöhten die maximale Strafe von 25.000 $ pro Jahr auf 1,5 Mio. $ pro Jahr, führten eine verpflichtende Meldung von Datenschutzverletzungen ein und förderten die Einführung elektronischer Patientenakten (EHR) mit Anreizen von 25 Mrd. $. HITECH gab außerdem den Generalstaatsanwälten der Bundesstaaten die Befugnis, HIPAA durchzusetzen.
• Omnibus Rule (2013) machte Business Associates direkt für HIPAA-Verstöße haftbar und kehrte die Beweislast bei der Meldung von Datenschutzverletzungen um.

Der Stand von HIPAA 2025–2026

Das HHS hat im Januar 2025 eine umfassende Aktualisierung der Security Rule vorgeschlagen. Sie würde Multi-Faktor-Authentifizierung und Verschlüsselung verpflichtend machen und die Unterscheidung zwischen „erforderlichen“ und „adressierbaren“ Spezifikationen abschaffen. Branchenschätzungen beziffern die Kosten auf 34 Mrd. $. Das Office for Civil Rights hat die Fertigstellung für Mai 2026 auf seiner Regulierungsagenda belassen. Behandeln Sie MFA und Verschlüsselung schon jetzt als verpflichtend, um später nicht in Zeitnot zu geraten.

Die vier HIPAA-Regeln erklärt

Man spricht von „HIPAA“, als wäre es eine einzige Sache. Tatsächlich sind es vier ineinandergreifende Regeln, und die meisten Verstöße geschehen an den Schnittstellen zwischen ihnen.

Privacy Rule (2003)

Die Privacy Rule definiert PHI und legt fest, wer unter welchen Bedingungen darauf zugreifen darf. Patientinnen und Patienten haben das Recht, ihre Unterlagen einzusehen, Berichtigungen zu beantragen, eine Aufstellung der Offenlegungen zu erhalten und Einschränkungen der Verwendung ihrer Daten zu verlangen. Leistungserbringer müssen Auskunftsanfragen innerhalb von 30 Tagen beantworten, wobei eine einmalige Verlängerung um 30 Tage zulässig ist.

Die Regel erlaubt die Verwendung von PHI ohne Einwilligung der Patientin oder des Patienten für Behandlung, Zahlung und Gesundheitsversorgungsabläufe (die „TPO“-Ausnahme). Alles andere unterliegt dem Grundsatz der minimal erforderlichen Datenmenge: Es wird nur offengelegt, was zur Erreichung des Zwecks nötig ist. Die Behandlung ist die einzige Ausnahme, bei der vollständige Unterlagen zwischen Leistungserbringern ausgetauscht werden dürfen.

Ein klassischer Verstoß gegen die Privacy Rule: Eine Arztpraxis faxt den HIV-Status einer Patientin oder eines Patienten an eine Stelle, die das Personal für die Hausarztpraxis hält, die sich aber als Arbeitgeber entpuppt. Falsche Nummer, keine Kontrollen zur minimal erforderlichen Datenmenge, keine Überprüfung.

Security Rule (2005)

Die Security Rule gilt nur für elektronische PHI (ePHI). Sie definiert drei Kategorien von Schutzmaßnahmen:

• Administrativ: Risikoanalyse, Mitarbeiterschulung, Sanktionsrichtlinie, Zugriffsverwaltung
• Physisch: Zutrittskontrollen, Arbeitsplatzsicherheit, Entsorgung von Geräten
• Technisch: Zugriffskontrollen, Audit-Protokolle, Integritätskontrollen, Verschlüsselung der Übertragung

Die derzeitige Unterscheidung zwischen „erforderlichen“ und „adressierbaren“ Spezifikationen wird mit dem vorgeschlagenen Update von 2025 voraussichtlich wegfallen. Versäumnisse bei der Risikoanalyse dominieren die Durchsetzung. Sie traten in 13 der 22 im Jahr 2024 abgeschlossenen OCR-Verfahren auf.

Breach Notification Rule (2009, über HITECH)

Wenn ungesicherte PHI betroffen sind, müssen Covered Entities drei Gruppen benachrichtigen:

• Betroffene Personen innerhalb von 60 Tagen
• Das HHS (unverzüglich bei Verstößen mit 500 oder mehr Betroffenen, bei kleineren Verstößen innerhalb von 60 Tagen nach Jahresende)
• Bedeutende Medien, wenn 500 oder mehr Einwohner eines einzelnen Bundesstaats betroffen sind

Verschlüsselung schafft einen sicheren Hafen (Safe Harbor). Ordnungsgemäß verschlüsselte Daten, die verloren gehen oder gestohlen werden, lösen keine Meldepflicht aus. Der Vergleich von Warby Parker über 1,5 Mio. $ im Jahr 2025 betraf kombinierte Verstöße gegen die Security Rule und die Breach Notification Rule, nachdem ein Credential-Stuffing-Angriff Daten zu Brillenrezepten von Kunden offengelegt hatte.

Es gibt drei Ausnahmen für Datenschutzverletzungen: unbeabsichtigter Zugriff durch eine befugte beschäftigte Person, versehentliche Offenlegung zwischen zwei befugten Personen und Offenlegung gegenüber einer Partei, die die Informationen vernünftigerweise nicht behalten konnte.

Omnibus Rule (2013)

Die Omnibus Rule machte Business Associates und deren Subunternehmer direkt für HIPAA haftbar. Vor 2013 drohten nur Covered Entities Bußgelder.

Die Omnibus Rule kehrte außerdem die Beweislast bei Datenschutzverletzungen um. Eine nach der Privacy Rule nicht zulässige Verwendung oder Offenlegung gilt nun als Datenschutzverletzung, es sei denn, die Covered Entity kann anhand einer Risikobewertung mit vier Faktoren eine geringe Wahrscheinlichkeit nachweisen, dass PHI kompromittiert wurden.

Was sind PHI? Die 18 Identifikatoren, die HIPAA auslösen

PHI sind alle 18 bestimmten Identifikatoren in Verbindung mit einem Bezug zur Gesundheit, zur Gesundheitsversorgung oder zur Bezahlung der Gesundheitsversorgung einer Person. Werden alle 18 Identifikatoren korrekt entfernt, sind die Daten de-identifiziert und gelten nicht mehr als PHI.

Die 18 HIPAA-Identifikatoren

1. Namen
2. Geografische Angaben unterhalb der Ebene eines Bundesstaats
3. Alle Datumsangaben außer dem Jahr, die sich auf eine Person beziehen
4. Telefonnummern
5. Faxnummern
6. E-Mail-Adressen
7. Sozialversicherungsnummern
8. Krankenaktennummern
9. Versichertennummern von Krankenversicherungen
10. Kontonummern
11. Zertifikats- oder Lizenznummern
12. Fahrzeugkennungen einschließlich Kennzeichen
13. Gerätekennungen und Seriennummern
14. Web-URLs
15. IP-Adressen
16. Biometrische Kennungen einschließlich Fingerabdrücken und Stimmabdrücken
17. Ganzgesichtsfotos und vergleichbare Bilder
18. Jede weitere eindeutige Kennnummer, jedes weitere identifizierende Merkmal oder jeder weitere Code

Wann dieselben Daten KEINE PHI sind

Identifikatoren ohne Gesundheitsbezug sind keine PHI. Der Name eines Kunden auf der Mailingliste eines Händlers ist lediglich ein Name. Ein Gesundheitsbezug ohne Identifikatoren ist ebenfalls keine PHI. Aggregierte, ordnungsgemäß de-identifizierte Krankenhausstatistiken fallen nicht unter HIPAA. Beide Elemente müssen gleichzeitig vorliegen, damit das Gesetz greift. Der Name eines Patienten plus eine Diagnose ist PHI. Eine Diagnose ohne jeden Identifikator ist es nicht.

Wer HIPAA einhalten muss (und wer nicht)

Ihre Fitbit-Daten sind nicht durch HIPAA geschützt. Das Wellnessprogramm Ihres Arbeitgebers wahrscheinlich ebenfalls nicht. HIPAA gilt für eine bestimmte Liste von Organisationen, und diese Liste ist enger gefasst, als die meisten annehmen.

Erfasste Einrichtungen (Covered Entities, CEs)

Eine unter HIPAA fallende Covered Entity gehört zu einer von drei Kategorien:

1. Krankenversicherungspläne: Versicherer, HMOs, Medicare, Medicaid und Gruppenkrankenversicherungspläne von Arbeitgebern. Die meisten Gruppenkrankenversicherungspläne von Arbeitgebern sind unabhängig von ihrer Größe erfasst. Die enge Ausnahme ist ein selbstverwalteter Gruppenkrankenversicherungsplan mit weniger als 50 Teilnehmenden – solche Pläne fallen nicht unter HIPAA. Wird der Plan von einem Versicherer oder einem externen Verwalter betrieben, ist er erfasst.
2. Clearingstellen im Gesundheitswesen: Stellen, die nicht standardisierte Daten in standardisierte elektronische Transaktionen umwandeln.
3. Leistungserbringer im Gesundheitswesen, die im Zusammenhang mit einer erfassten Transaktion (Abrechnungen, Anspruchsprüfungen, Überweisungen) Gesundheitsinformationen elektronisch übermitteln.

Weil die elektronische Transaktion der Auslöser ist, ist fast jeder moderne Leistungserbringer erfasst. Sobald Sie elektronisch mit Versicherungen abrechnen oder eine elektronische Überweisung versenden, fallen Sie darunter.

Geschäftspartner (Business Associates, BAs)

Ein Business Associate ist jede Person oder Organisation, die im Auftrag einer Covered Entity eine Funktion ausübt, die mit PHI zu tun hat. Typische Beispiele: Abrechnungsunternehmen, IT-Dienstleister, cloud-Speicheranbieter, Aktenvernichtungsdienste, Anwaltskanzleien mit Zugriff auf PHI, Transkriptionsdienste und HIPAA-konforme fax-Anbieter.

Seit der Omnibus Rule von 2013 haften Business Associates direkt gegenüber dem OCR. Schließen Sie ein Business Associate Agreement (BAA) ab, bevor PHI weitergegeben wird. Gulf Coast Pain Consultants zahlte 1,19 Mio. $, nachdem ein Auftragnehmer nach Beendigung der Zusammenarbeit weiterhin Systemzugriff behielt und betrügerische Medicare-Abrechnungen einreichte – ein Beispiel dafür, was passiert, wenn die Zugriffskontrollen bei Business Associates versagen.

Wer NICHT unter HIPAA fällt

• Arbeitgeber, die Gesundheitsinformationen von Beschäftigten außerhalb eines Gruppenkrankenversicherungsplans verarbeiten (stattdessen gelten ADA und FMLA)
• Verbraucher-Fitness-Apps, die nicht an Leistungserbringer verkaufen, darunter Fitbit, Apple Health und MyFitnessPal (stattdessen gilt die FTC Health Breach Notification Rule)
• Schulen und Universitäten (für Schülerakten und Studierendenakten gilt FERPA)
• Lebensversicherer, Träger der Arbeitnehmerunfallversicherung und die meisten Erwerbsunfähigkeitsversicherer
• Strafverfolgungsbehörden
• Marketing-Analyseunternehmen ohne Zugriff auf PHI

HIPAA und Kommunikationskanäle: fax, E-Mail, SMS, Slack, Video

Eine Zahnarztpraxis in Texas zahlte 10.000 $, weil eine Mitarbeiterin oder ein Mitarbeiter auf eine Ein-Sterne-Bewertung bei Yelp mit Patientendaten geantwortet hatte. HIPAA folgt der Nachricht, nicht dem Medium. Für jeden Kanal, über den Ihr Team PHI übermittelt, braucht es eine eigene Antwort.

Die Compliance-Matrix

‍

Fax: nach wie vor das Arbeitspferd im Gesundheitswesen

Nach der Conduit-Ausnahme ist der Telefonanbieter bei der Übertragung eines Faxes kein Business Associate, da er den Inhalt weder einsieht noch speichert. Dadurch zählt das herkömmliche Fax weiterhin zu den nach HIPAA zulässigen Kanälen.

Analoges Fax hat zwei praktische Probleme. Es gibt keinen Prüfpfad, und eine einzige falsche Ziffer kann PHI offenlegen (der Vorfall, bei dem der HIV-Status an den Arbeitgeber ging). Ein HIPAA-konformer Cloud-Fax-Dienst wie Fax.Plus unterzeichnet im Enterprise-Tarif ein BAA, verschlüsselt den Datenverkehr bei der Übertragung und im Ruhezustand, protokolliert jeden Versand und Empfang und ermöglicht es dem Personal, per E-Mail oder Webbrowser zu senden. Mitarbeitende können Faxe direkt per E-Mail senden, ohne den gewohnten Arbeitsablauf zu verlassen.

E-Mail und Messaging

Kostenlose E-Mail-Dienste für Privatnutzer sind der häufigste unbemerkte HIPAA-Verstoß. Gmail, Outlook.com, Yahoo und iCloud unterzeichnen in den kostenlosen Tarifen kein BAA. Das kostenpflichtige Google Workspace und Microsoft 365 sind HIPAA-fähig, aber erst, nachdem Sie das BAA abgeschlossen und die Konfiguration abgesichert haben (Zugriff durch Drittanbieter-Apps deaktivieren, Audit-Protokollierung aktivieren, MFA erzwingen).

Standard-SMS ist nicht konform. Mobilfunkanbieter unterzeichnen keine BAAs, und Nachrichten werden unverschlüsselt auf Geräten und in den Systemen der Anbieter gespeichert. Verwenden Sie stattdessen eine HIPAA-sichere Messaging-App.

Video und Zusammenarbeit

FaceTime und private Zoom-Konten sind ausgeschlossen. Zoom for Healthcare, Doxy.me und Microsoft Teams (mit BAA) sind zulässig. Slack unterzeichnet erst mit Enterprise Grid ein BAA. Standard-Slack-Workspaces sind, egal wie gut sie konfiguriert sind, nicht HIPAA-konform.

HIPAA-Verstöße und Strafen: Was Nichtkonformität kostet

Im Jahr 2024 schloss das HHS Office for Civil Rights 22 Durchsetzungsverfahren mit einem Gesamtwert von 9,9 Mio. $ ab. Dieselbe Ursache, „Versäumnis, eine ordnungsgemäße Risikoanalyse durchzuführen“, tauchte in 13 davon auf.

Stufen der zivilrechtlichen Strafen (2026)

• Stufe 1 (mangelndes Wissen): 145 bis 73.011 $ pro Verstoß, bis zu 2.190.294 $ pro Jahr
• Stufe 2 (hinreichender Grund): 1.461 bis 73.011 $ pro Verstoß
• Stufe 3 (vorsätzliche Vernachlässigung, innerhalb von 30 Tagen behoben): 14.618 bis 73.011 $ pro Verstoß
• Stufe 4 (vorsätzliche Vernachlässigung, nicht behoben): 73.011 bis 2.190.294 $ pro Verstoß

Strafrechtliche Sanktionen

Das OCR übergibt Strafsachen an das Justizministerium (Department of Justice), das sie strafrechtlich verfolgt. Wissentliches Beschaffen oder Offenlegen von PHI: bis zu 50.000 $ und 1 Jahr Haft. Unter falschem Vorwand: bis zu 100.000 $ und 5 Jahre Haft. Mit der Absicht, die Daten zu verkaufen, weiterzugeben oder zu kommerziellen Vorteilen bzw. zu böswilligem Schaden zu nutzen: bis zu 250.000 $ und 10 Jahre Haft.

Reale Durchsetzungsfälle aus den Jahren 2024–2025

• Warby Parker, 1,5 Mio. $ (2025): Credential-Stuffing-Angriff; der Brillenhändler war eine Covered Entity
• Montefiore Medical Center, 4,75 Mio. $: Ein Insider stahl mehr als 12.000 Datensätze; schwache Audit-Kontrollen
• Enzo Biochem, 4,5 Mio. $: Ransomware-Vorfall, zurückgeführt auf gemeinsam genutzte Zugangsdaten und ein zehn Jahre altes Passwort
• Gulf Coast Pain Consultants, 1,19 Mio. $: Ein entlassener Auftragnehmer behielt den Systemzugang und reichte betrügerische Medicare-Abrechnungen ein
• Zahnarztpraxis in Texas, 10.000 $: Der Inhaber antwortete auf eine Yelp-Bewertung mit Patientendetails

Die Right of Access Initiative des OCR hat seit 2019 zu 54 Durchsetzungsmaßnahmen geführt, mit Geldbußen von 3.500 bis 160.000 $ für Leistungserbringer, die Unterlagen nicht rechtzeitig herausgegeben haben.

Wer HIPAA durchsetzt

Das HHS Office for Civil Rights ist für die zivilrechtliche Durchsetzung zuständig. Auch die Generalstaatsanwälte der Bundesstaaten können HIPAA-Verfahren einleiten (diese Befugnis wurde ihnen 2009 durch HITECH eingeräumt). Das Justizministerium verfolgt Strafsachen. Die FTC setzt die Health Breach Notification Rule für Gesundheits-Apps außerhalb von HIPAA durch, etwa Fitness-Tracker.

Landesgesetze, die über HIPAA hinausgehen

HIPAA ist die bundesweite Untergrenze. Einige Bundesstaaten haben darauf höhere Gebäude errichtet, und das Landesrecht hat Vorrang, wenn es strenger ist.

• California CMIA: weiter gefasste Definition medizinischer Informationen, gilt für mehr Arten von Einrichtungen, räumt Patienten ein privates Klagerecht ein und verlangt den Zugang zu Unterlagen innerhalb von 5 Tagen statt der 30 Tage von HIPAA.
• Texas HB 300: weitet den Begriff „Covered Entity“ auf praktisch jeden aus, der in Texas mit PHI umgeht, schreibt alle zwei Jahre Schulungen der Mitarbeitenden sowie eine Schulung innerhalb von 90 Tagen nach der Einstellung vor und ermächtigt den Generalstaatsanwalt zu Geldbußen von bis zu 1,5 Mio. $ pro Jahr.
• Washington MHMDA: das umfassendste US-Gesetz zum Schutz von Verbrauchergesundheitsdaten. Es erfasst Daten von Fitness-Trackern, Zyklus-Apps und Wellness-Apps, die HIPAA ausnimmt, und gewährt ein privates Klagerecht.

Der SHIELD Act von New York und der Genetic Information Privacy Act von Illinois fügen in ihren jeweiligen Bundesstaaten weitere Schutzebenen hinzu.

Ist das Landesrecht strenger als HIPAA, gilt das Landesrecht. Ist HIPAA strenger, gilt HIPAA. Erfassen Sie beides für jeden Bundesstaat, in dem Sie mit PHI umgehen.

So starten Sie mit der HIPAA-Compliance: eine praktische Checkliste

HIPAA-Compliance lässt sich nicht „abschließen“. Sie ist ein fortlaufendes Programm. In acht Schritten können Sie ein glaubwürdiges Programm aufbauen.

Die HIPAA-Starter-Checkliste in 8 Schritten

1. Bestimmen Sie Ihren Status. Sind Sie eine Covered Entity, ein Business Associate oder keines von beiden? Die Antwort bestimmt jeden weiteren Schritt.
2. Führen Sie eine Sicherheitsrisikoanalyse (Security Risk Analysis, SRA) durch. Sie ist das am häufigsten vom OCR beanstandete Defizit (13 von 22 im Jahr 2024). Erfassen Sie jeden Ort, an dem PHI gespeichert ist, jedes System, das damit in Berührung kommt, und jede Bedrohung.
3. Ernennen Sie Datenschutz- und Sicherheitsbeauftragte. In kleinen Organisationen kann dies dieselbe Person sein. Legen Sie die Rolle schriftlich fest.
4. Verfassen Sie die erforderlichen Richtlinien. Datenschutzrichtlinien, Sicherheitsrichtlinien, einen Plan zur Reaktion auf Datenschutzverletzungen, eine Sanktionsrichtlinie und eine Geräterichtlinie. Allgemeine Vorlagen sind ein Ausgangspunkt, nicht das Ziel.
5. Schließen Sie BAAs mit jedem Dienstleister ab, der mit PHI in Berührung kommt. E-Mail-Anbieter, cloud-Speicher, fax-Dienst (Fax.Plus Enterprise enthält ein BAA), Abrechnungsunternehmen, IT-Support, Transkriptionsdienst. Kein BAA, keine PHI.
6. Schulen Sie Ihre Mitarbeitenden. Erstschulung bei der Einstellung, regelmäßige Auffrischungen, rollenspezifische Schulungen für klinisches und IT-Personal. Dokumentieren Sie die Teilnahme.
7. Setzen Sie technische Schutzmaßnahmen um. Rollenbasierte Zugriffskontrollen, Audit-Protokolle, Verschlüsselung bei der Übertragung und im Ruhezustand, MFA für jedes Konto, das mit PHI in Berührung kommt.
8. Erstellen Sie ein Playbook für die Reaktion auf Datenschutzverletzungen. Ein Verfahren zur Risikobewertung anhand von vier Faktoren, eine Benachrichtigungsfrist von 60 Tagen, eine Kontaktliste für das OCR und die Generalstaatsanwälte der Bundesstaaten sowie mindestens einmal jährlich eine Planspielübung (Tabletop-Übung).

‍