NHS warnt Personal vor Haftstrafen für unbefugten Datenzugriff

Was ist passiert

Der Nationale Gesundheitsdienst des Vereinigten Königreichs (NHS) hat eine deutliche Warnung an sein Personal ausgesprochen: Mitarbeiter, die des unbefugten Zugriffs auf Patientendaten ohne legitimen Grund für schuldig befunden werden, könnten mit einer Gefängnisstrafe rechnen. Diese entschlossene Haltung folgt auf mehrere kürzliche, öffentlichkeitswirksame Datenschutzvorfälle, die das Vertrauen der Öffentlichkeit erschüttert haben. Der NHS macht unmissverständlich klar, dass solche Handlungen nicht nur eine Verletzung der Privatsphäre der Patienten, sondern auch gesetzeswidrig sind.

Jim Mackey, der Leiter des NHS, bezeichnete den unangemessenen Zugriff auf Krankenakten als „völlig inakzeptabel, einen schändlichen Bruch des Patientenvertrauens und gesetzeswidrig“. Seine scharfen Worte signalisieren eine Null-Toleranz-Politik gegenüber Insider-Bedrohungen innerhalb der Organisation. Um diese Botschaft zu verstärken, hat der NHS eine neue Sensibilisierungskampagne für seine Mitarbeiter gestartet. Unter dem Motto „Lass nicht zu, dass Neugier deine Karriere zerstört“ soll die Kampagne die schwerwiegenden Konsequenzen aufzeigen, die aus einem kurzen Moment der Unachtsamkeit resultieren können. Die Initiative wird von neuen Leitlinien für Gesundheitsorganisationen begleitet, wie unbefugter Zugriff verhindert, überwacht und gemeldet werden kann.

Welche Daten wurden kompromittiert

Der Quellartikel spezifiziert nicht die genauen Arten von Patientendaten, die bei diesen unbefugten Zugriffen eingesehen wurden. Es wird jedoch ausdrücklich erwähnt, dass es sich um persönliche Krankenakten handelte. Diese Akten enthalten wahrscheinlich sensible Informationen wie Patientendiagnosen, Behandlungsverläufe, persönliche Gesundheitsdetails und andere vertrauliche Daten. Aufgrund der Natur dieser Verstöße griffen die Mitarbeiter außerhalb ihres dienstlichen Aufgabenbereichs auf diese Informationen zu, angetrieben von persönlicher Neugier oder anderen Motiven. Die Vorfälle im Zusammenhang mit den Opfern der Messerangriffe von Nottingham und einem schwer verletzten Kind unterstreichen die extreme Sensibilität der Situation. Darüber hinaus zeigt der Fall der Prinzessin von Wales, bei dem versucht wurde, die Daten zu verkaufen, dass die Motivation für solche Verstöße über bloße Neugier hinausgehen und auf finanziellen Gewinn abzielen kann.

Wie erfolgte der Angriff

Diese Vorfälle sind klassische Beispiele für eine „Insider-Bedrohung“ und nicht für einen externen Cyberangriff. Die Täter waren NHS-Mitarbeiter, die bereits autorisierten Zugriff auf das System hatten. Sie nutzten ihre legitimen Anmeldedaten, um sich in Patientenaktensysteme einzuloggen und vertrauliche Informationen einzusehen, die für ihre beruflichen Aufgaben nicht relevant waren.

Um solche Handlungen aufzudecken und zu verhindern, hat der NHS neue Leitlinien herausgegeben. Diese Leitlinien beschreiben, wie Gesundheitsorganisationen unbefugten Zugriff überwachen und regelmäßige Audits durchführen können. Moderne elektronische Patientenaktensysteme können Audit-Protokolle (Audit Trails) erstellen, die aufzeichnen, wer wann auf welche Akte zugegriffen hat. Die Leitlinien ermutigen Organisationen, diese technischen Kontrollen aktiv zu nutzen und verdächtige Aktivitäten proaktiv zu untersuchen. In diesen Fällen war der „Angriff“ kein raffinierter Hack, sondern ein Missbrauch bestehender Berechtigungen.

Wer war betroffen

Die direkt von diesen unbefugten Zugriffen betroffenen Personen sind die Patienten, deren Akten eingesehen wurden. Die Quelle hebt drei spezifische Fälle hervor:

• Opfer der Messerangriffe von Nottingham 2023: Auf die Krankenakten der Opfer dieses tragischen Ereignisses wurde von NHS-Mitarbeitern unrechtmäßig zugegriffen, was zur Entlassung von 11 Mitarbeitern und schriftlichen Verwarnungen für weitere 14 führte.
• Ein schwer verletztes Kind: In einem Krankenhaus in Cambridgeshire wurde eine Untersuchung eingeleitet, nachdem etwa 40 Mitarbeiter ohne triftigen Grund auf die Akten eines schwer verletzten Kindes zugegriffen hatten.
• Die Prinzessin von Wales: Das Problem beschränkt sich nicht nur auf den NHS. Ein ehemaliger Mitarbeiter des Gesundheitswesens in einem privaten Londoner Krankenhaus erhielt eine formelle Verwarnung vom Information Commissioner's Office (ICO), weil er versucht hatte, auf die Krankenakten der Prinzessin von Wales zuzugreifen und diese zu verkaufen.

Diese Ereignisse zeigen die Anfälligkeit von Patientendaten für Insider-Bedrohungen sowohl im öffentlichen als auch im privaten Gesundheitssektor.

Was können Sie tun

Diese Nachricht enthält wichtige Botschaften vor allem für medizinisches Fachpersonal und Administratoren, weniger für die allgemeine Öffentlichkeit.

• Für medizinisches Personal: Nehmen Sie die Warnung des NHS „Lass nicht zu, dass Neugier deine Karriere zerstört“ ernst. Greifen Sie nur auf die Patientendaten zu, die für die Ausübung Ihrer Tätigkeit erforderlich sind. Der Zugriff auf Akten aus Neugier oder um sich über Freunde oder Familie zu informieren, ist kein legitimer Grund und kann Ihre Karriere beenden und zu einer Gefängnisstrafe führen.
• Für Gesundheitsorganisationen: Überprüfen Sie sorgfältig die neuen Leitlinien des NHS. Stärken Sie technische Kontrollen und Audit-Mechanismen zur Überwachung des Datenzugriffs. Implementieren Sie einen proaktiven Audit-Prozess, der hinterfragt, wer auf welche Daten und warum zugreift. Führen Sie regelmäßige Schulungen zu Datenschutz und Privatsphäre durch, um die Mitarbeiter an ihre rechtlichen und ethischen Verantwortlichkeiten zu erinnern.

Wie reagiert das Unternehmen

NHS-Leiter Jim Mackey hat eine sehr klare und feste Haltung zu diesem Thema eingenommen. Er erklärte: „Unangemessener Zugriff auf Krankenakten war ‘völlig inakzeptabel, ein schändlicher Bruch des Patientenvertrauens und gesetzeswidrig’.“ Diese Aussage macht deutlich, dass die NHS-Führung diese Vorfälle äußerst ernst nimmt und dass die Täter mit Konsequenzen rechnen müssen. Mit der neuen Kampagne und den Leitlinien erinnert die Organisation nicht nur an die Strafmaßnahmen, sondern unterstreicht auch ihr Engagement, proaktive Schritte zur Verhinderung solcher Verstöße zu unternehmen. Die Leitlinien stellen auch klar, dass Mitarbeiter im Falle eines solchen Vorfalls dem Information Commissioner's Office (ICO) und der Polizei für eine mögliche strafrechtliche Verfolgung gemeldet werden.

Quelle

https://www.infosecurity-magazine.com/news/nhs-warns-staff-unauthorized/