Kleiner Fehler – große Wirkung
Am Kreiskrankenhaus Emmendingen ist es zu einem schwerwiegenden Datenschutzvorfall gekommen: Persönliche Angaben von rund 135.000 Patientinnen und Patienten wurden versehentlich an eine unbekannte E-Mail-Adresse verschickt. Ursache war laut Klinik ein einfacher Tippfehler in der Empfängeradresse.
Was war passiert?
Im Rahmen der Umstellung des klinikinternen Informationssystems – der zentralen Software, mit der ein Krankenhaus organisatorisch arbeitet – sollte ein großer Datensatz bearbeitet werden. Dabei wurde die E-Mail mit den Patientendaten an eine falsche, bislang unbekannte Adresse gesendet, statt an die eigentlich vorgesehene Stelle. Betroffen sind Datensätze von Patientinnen und Patienten, die seit dem Jahr 2002 im Kreiskrankenhaus behandelt wurden.
Aufgefallen ist der Fehler erst am nächsten Morgen. Nach eigenen Angaben hat das Krankenhaus daraufhin sofort reagiert, einen externen Datenschutzbeauftragten sowie die Landesdatenschutzbehörde eingeschaltet und begonnen, den Vorfall aufzuarbeiten.
Welche Daten betroffen sind
Bei der überwiegenden Mehrheit der rund 135.000 Datensätze handelt es sich um sogenannte Stammdaten: Vor- und Nachname, Anschrift, Geburtsdatum sowie der Zeitpunkt der letzten Behandlung im Haus. Medizinische Unterlagen wie Diagnosen, Arztbriefe oder Röntgen- und MRT-Aufnahmen waren nach Klinikangaben nicht Teil des Versands.
Sensibler wird es bei einer kleineren Gruppe: Bei rund 7.000 Personen sollen zusätzlich Angaben zu Allergien oder Medikamentenunverträglichkeiten enthalten gewesen sein, in etwa 150 Fällen der Hinweis, dass die betreffende Person nicht krankenversichert ist.
Reaktion der Klinik
Die stellvertretende Geschäftsführerin Gela Sonnenschein räumte im Interview mit dem SWR ein, dass die Daten grundsätzlich – unabhängig vom Tippfehler – gar nicht per E-Mail hätten verschickt werden dürfen. Man sei „sehr betroffen“, dass Patientendaten auf diesem Weg abhandengekommen seien.
Bislang gibt es laut Krankenhaus keine Hinweise darauf, dass die Daten missbraucht wurden oder in kriminelle Hände gelangt sind. Auch ist unklar, ob die unbekannte Empfängerin oder der unbekannte Empfänger die Nachricht überhaupt gelesen hat – möglich sei auch, dass die E-Mail ungelesen gelöscht wurde. Die Klinik versucht derzeit, die Person ausfindig zu machen.
Seit vergangenem Freitag informiert das Krankenhaus die betroffenen Patientinnen und Patienten aktiv über den Vorfall – rund zwei Wochen nach dem eigentlichen Vorkommnis. Für Betroffene wurde zudem eine zentrale Anlaufstelle mit Hotline und eigener E-Mail-Adresse eingerichtet, über die geprüft werden kann, ob die eigenen Daten betroffen sind. Das Kreiskrankenhaus hat sich für den Vorfall ausdrücklich entschuldigt.
Einordnung
Der Fall zeigt einmal mehr, wie schnell aus einem simplen menschlichen Fehler – einem einzigen falsch eingetippten Buchstaben in einer E-Mail-Adresse – ein Datenschutzvorfall mit fünfstelliger Betroffenenzahl entstehen kann. Gerade im Gesundheitswesen, wo neben Stammdaten auch besonders schützenswerte Gesundheitsinformationen verarbeitet werden, dürfte der Vorfall die Diskussion um Datenschutz und IT-Sicherheit bei laufenden Systemumstellungen in Kliniken neu befeuern
Service der Klinik
Zur Unterstützung und Information, ob Ihre persönlichen Daten betroffen sind, hat das Krankenhaus eine zentrale Anlaufstelle eingerichtet.
Email: ds-vorfall@krankenhaus-emmendingen.de
Bitte geben Sie bei Nachrichten an die Klinik Ihren Namen, Vornamen sowie Ihr Geburtsdatum an, wenn Sie Patient bei uns waren.
Diese Informationen nutzen wir lediglich zum Abgleich bzw. zu Ihrer Information.
Hotline: 07641-454 2288
Erreichbar ist diese wochentäglich von 9.00 bis 16.00 Uhr.
Symbolbild: KI
Über den Autor
