Berufsgeheimnis: Fax in der Kanzlei und Praxis sicher machen

Kurze Antwort: In einer Kanzlei, einer Praxis oder einer Verwaltungsstelle entstehen Lecks bei per Fax übermittelten Dokumenten so gut wie nie durch das Abhören der Leitung. Sie entstehen durch das Empfangsfach, das in einem Durchgangsflur steht, durch das Nummernverzeichnis, das nie überprüft wird, durch das Deckblatt, auf dem bereits der Name des Patienten oder Mandanten steht, und durch das Fehlen einer Regel, wer das Gerät leert. Das Berufsgeheimnis – Artikel 226-13 des französischen Strafgesetzbuchs, Artikel 4 der Berufsordnung der Rechtsanwaltschaft (Règlement intérieur national), Artikel R. 4127-4 des Gesundheitsgesetzbuchs für Ärztinnen und Ärzte – endet nicht in dem Moment, in dem das Dokument aus dem Gerät kommt. Faxe abzusichern ist deshalb zuallererst eine Frage der Raumgestaltung und der Abläufe: das Gerät versetzen, den Zugang beschränken, das Deckblatt standardisieren, das Adressbuch sperren – und erst danach über Verschlüsselung und papierlosen Empfang nachdenken.

Das echte Risiko liegt nicht dort, wo man es vermutet

Wenn von der Vertraulichkeit des Faxes die Rede ist, kommt der Einwand immer in derselben Form: „Das läuft doch sowieso unverschlüsselt über das Telefonnetz." Im Prinzip stimmt das, und in der Praxis ist es das geringste Risiko. Eine Telefonleitung abzuhören setzt physischen Zugang zur Teilnehmeranschlussleitung oder eine richterliche Anordnung voraus. Das ist nicht das Szenario, das die Akten der Datenschutzbehörde füllt.

Die tatsächlich gemeldeten Vorfälle sehen eher so aus: Ein radiologischer Befund, der zwölf Stunden im Ausgabefach eines Multifunktionsgeräts im Wartezimmer einer Gemeinschaftspraxis liegt. Ein Schriftsatz an die Geschäftsstelle des Gerichts, der an die alte Nummer eines in den Ruhestand gegangenen Kollegen geht – eine Nummer, die inzwischen an ein Bauunternehmen neu vergeben wurde. Ein Deckblatt, auf dem in großen Lettern „Serologiebefund – Frau Dupont" steht und das einen halben Tag lang oben auf dem Stapel sichtbar bleibt. Ein Praktikant, der das Gerät „hilfsbereit" leert und die Dokumente auf den Schreibtischen verteilt.

Keines dieser Ereignisse gehört in den Bereich der Cybersicherheit. Alle gehören in den Bereich der Organisation. Und alle stellen im Sinne der DSGVO eine Verletzung des Schutzes personenbezogener Daten dar: eine unbefugte Offenlegung von Daten, die im Verzeichnis der Datenschutzverletzungen dokumentiert und – bei hohem Risiko für die Betroffenen – innerhalb von 72 Stunden der Aufsichtsbehörde gemeldet und den Betroffenen mitgeteilt werden muss. Bei Gesundheitsdaten ist diese Schwelle schnell erreicht.

Die Kette kartieren – vom Ausgabefach bis in die Schublade

Bevor Sie irgendetwas ändern, müssen Sie beschreiben, was tatsächlich passiert. Die Übung dauert eine Stunde und findet beim Gang durch die Räume statt, nicht in einer Besprechung.

Stellen Sie sich die Fragen in der Reihenfolge, die ein eingehendes Dokument durchläuft:

1. Wo klingelt das Gerät? In einem abschließbaren Raum, im Sekretariat, in einem Bereich, den Patienten oder Mandanten durchqueren?
2. Wer kann das Fach einsehen? Ist ein wartendes Dokument von einem Wartezimmersessel, vom Empfangstresen oder vom Flur aus lesbar?
3. Wer leert das Gerät, und wie oft? Eine namentlich benannte Person oder „wer gerade vorbeikommt"?
4. Was geschieht mit dem Dokument nach der Verteilung? Wird es gescannt und vernichtet, wird es in die Papierakte geheftet, bleibt es auf einem Schreibtisch liegen?
5. Wo landet das Papier? Im normalen Papierkorb, im gemeinsamen Altpapierbehälter oder in der sicheren Vernichtung?
6. Was speichert das Gerät? Viele Multifunktionsgeräte bewahren ein Abbild der zuletzt empfangenen Dokumente sowie ein detailliertes Protokoll auf – abrufbar über das Display oder über die Weboberfläche des Geräts, die oft durch ein nie geändertes Werkspasswort geschützt ist.

Die letzte Frage überrascht immer. Ein Multifunktionsgerät ist ein Computer mit Festplatte: Beim Austausch des Geräteparks oder bei der Rückgabe eines Leasinggeräts wandert die Festplatte mitsamt allem, was darauf ist, aus dem Haus. Die durchgängige Empfehlung der Datenschutz- und IT-Sicherheitsbehörden lautet, die Datenträger vor der Rückgabe zu löschen oder zu vernichten.

Fünf Maßnahmen zur Raumgestaltung, die 80 % des Problems lösen

Das Gerät versetzen, nicht die Menschen

Die wirksamste Maßnahme ist zugleich die einfachste: Vertrauliche Faxe dürfen niemals in einem öffentlich zugänglichen Bereich landen. Ein geschlossener Raum, ein Sekretariat mit Tür, notfalls ein eigener Unterschrank mit kontrolliertem Zugang. Wenn ein Umbau der Räume nicht möglich ist, erlaubt ein schlichter abschließbarer Rollcontainer unter dem Gerät, die Dokumente direkt nach der Ausgabe darin abzulegen – und kostet weniger als ein halber Beratungstag.

Vertrauliche und alltägliche Ströme trennen

Zwei Nummern sind besser als eine. Eine „allgemeine" Nummer für Lieferanten, Hausverwaltungen und Logistikdienste; eine „vertrauliche" Nummer für Kolleginnen und Kollegen, Labore und Gerichte, die nur sehr sparsam weitergegeben und nie auf öffentlichen Dokumenten abgedruckt wird. Die erste darf auf einem Gerät im Empfangsbereich ausgegeben werden, die zweite muss in einem geschützten Bereich landen oder – besser noch – in einem gesicherten, personenbezogenen Postfach.

Das Deckblatt entschärfen

Das Deckblatt ist der blinde Fleck. Es ist dafür gemacht, aus der Ferne gelesen zu werden – und genau das ist das Problem, denn es bleibt oben auf dem Stapel liegen. Ein korrektes Deckblatt enthält den Absender, den Empfänger mit Funktion oder Initialen, die Seitenzahl und einen Vertraulichkeitshinweis. Es enthält weder den Anlass noch den vollständigen Namen des Patienten, noch die Art der Untersuchung, noch eine lesbare Aktennummer.

Standardformulierung, die einmalig in die Vorlage eingefügt wird:

Dieses Dokument unterliegt dem Berufsgeheimnis. Sollte es nicht für Sie bestimmt sein, sind das Lesen, Vervielfältigen und Weitergeben untersagt. Bitte vernichten Sie sämtliche Seiten und benachrichtigen Sie den Absender unverzüglich unter der oben angegebenen Nummer.

Das Nummernverzeichnis sperren

Die falsche Nummer ist die häufigste Ursache für Zwischenfälle; wir haben ihr einen eigenen Beitrag gewidmet: siehe das Vorgehen innerhalb von 72 Stunden. Zur Vorbeugung genügen drei Regeln: nur gespeicherte und geprüfte Einträge verwenden, die manuelle Eingabe bei sensiblen Sendungen untersagen und das Verzeichnis einmal jährlich bereinigen, indem jeder Eintrag mit dem offiziellen Verzeichnis der jeweiligen Stelle abgeglichen wird. Ein gebundenes Kontrollbuch, in dem Datum, Empfänger und Prüfung festgehalten werden, bleibt das zuverlässigste Format, um diese Bereinigung nachzuweisen – gebundene A4-Nachweisbücher erfüllen diesen Zweck perfekt und halten jahrelang.

Papier wie Daten behandeln

Ein empfangenes und gescanntes Dokument muss nicht länger auf Papier existieren. Die Vernichtung muss sofort und unumkehrbar erfolgen: Ein Aktenvernichter mit Kreuzschnitt mindestens der Sicherheitsstufe P-4, aufgestellt direkt neben dem Gerät und nicht am anderen Ende des Flurs, verändert das Verhalten radikal. Der gemeinsame Altpapierbehälter ist keine Vernichtung.

Was die DSGVO konkret von einer Kanzlei oder Praxis erwartet

Das Fax ist nicht verboten, entgegen dem, was man gelegentlich hört. Es ist eine Verarbeitung wie jede andere und unterliegt den Artikeln 5 und 32 der DSGVO: Integrität, Vertraulichkeit, dem Risiko angemessene technische und organisatorische Maßnahmen. „Angemessen" ist das entscheidende Wort: Von einer Praxis mit zwei Personen erwartet niemand die Vorkehrungen eines Krankenhauses – wohl aber, dass sie nachgedacht und es aufgeschrieben hat.

Was Sie bei einer Kontrolle vorzeigen können sollten:

Für Angehörige der Gesundheitsberufe kommt der besondere Rahmen des Hostings von Gesundheitsdaten und der sicheren Messaging-Dienste hinzu. Die von der Agence du Numérique en Santé vorangetriebene Digitalstrategie im Gesundheitswesen drängt seit mehreren Jahren zu MSSanté für den Austausch zwischen Fachpersonen: Das Fax wird dort als Rückfalllösung geduldet, nicht als Hauptkanal. Das Thema vertiefen wir in unserem Beitrag über Fax in der Medizin und Gesundheitsdaten.

Der Sonderfall geteilter Räume und der Telearbeit

Zwei Konstellationen verdienen gesonderte Aufmerksamkeit.

Die Gemeinschaftspraxis oder der geteilte Büroraum. Wenn mehrere Behandelnde oder mehrere Strukturen ein Sekretariat und ein Gerät teilen, wird das Berufsgeheimnis deshalb noch lange nicht geteilt. Eine gemeinsam beschäftigte Sekretariatskraft muss durch eine schriftliche Vertraulichkeitsklausel gebunden sein, und die Organisation muss eine Sortierung an der Quelle vorsehen: farbige Mappen je Behandelnden, verschlossene namentliche Ablagefächer oder ersatzweise blickdichte Umschläge. Blickdichte Klappmappen je Behandelnden kosten wenige Euro und verhindern das versehentliche Mitlesen durch eine Kollegin oder einen Kollegen, die oder der die Akte nicht kennen muss.

Das Arbeiten aus der Ferne. Faxe auf einer privaten E-Mail-Adresse zu empfangen, die vom Familiencomputer aus abgerufen wird, ist eine schlechte Idee, die in den letzten Jahren zur Gewohnheit geworden ist. Wenn der papierlose Empfang notwendig ist – und das ist er oft – muss er über ein berufliches Konto erfolgen, mit Zwei-Faktor-Authentifizierung und auf einem dedizierten Gerät. Ein physischer FIDO2-Sicherheitsschlüssel für die Zwei-Faktor-Authentifizierung bleibt das robusteste Mittel, um dieses Postfach zu schützen, und ein Blickschutzfilter für den Bildschirm verhindert das seitliche Mitlesen im Zug oder im Coworking-Space.

Was der papierlose Empfang verändert

Der Wechsel von einem Papiergerät zu einem Online-Faxdienst verlagert die Risiken eher, als dass er sie beseitigt – aber er verlagert sie in die richtige Richtung: Ein schwer kontrollierbares Problem der Raumgestaltung wird durch ein Problem der Kontenverwaltung ersetzt, und das lässt sich steuern.

Die Vorteile sind real. Keine wartenden Dokumente mehr im Ausgabefach. Eine zeitgestempelte Nachvollziehbarkeit von Sendungen und Empfängen. Namentliche und widerrufbare Zugriffsrechte. Die Möglichkeit, direkt in der elektronischen Akte zu archivieren, ohne den Zwischenschritt der Digitalisierung – ein Thema, das wir in unserem Leitfaden zur Archivierung von Faxen und ihrer Beweiskraft behandeln.

Die neuen Aufmerksamkeitspunkte sind hingegen klassisch: Wo werden die Daten gehostet, unter welcher Rechtsordnung, wie lange bewahrt der Anbieter die übermittelten Dokumente auf, bietet er einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO an, und verfügt er für Gesundheitsdaten über die Zertifizierung als Hébergeur de Données de Santé? Diese Fragen stellen sich vor der Vertragsunterzeichnung, nicht nach dem Vorfall. Unsere FAQ erläutert die Kriterien, die bei einem Anbieter zu prüfen sind, und die Seite verfügbare Länder nennt die abgedeckten Zielorte.

Häufige Fragen

Darf ein empfangenes Fax die ganze Nacht im Fach liegen bleiben?

Nein, sofern das Dokument personenbezogene Daten enthält und der Raum nicht abgeschlossen ist. Die praktische Regel: Entweder steht das Gerät außerhalb der Anwesenheitszeiten in einem verschlossenen Raum, oder es wird vor Dienstschluss geleert. Ein Gerät, das nachts in einem ungesicherten Bereich druckt, ist ein Dauerrisiko.

Sollte man Faxe verschlüsseln?

Klassische Telefaxe lassen sich nicht Ende-zu-Ende verschlüsseln. Das ist ein starkes Argument für papierlose Lösungen, bei denen die Übertragung zwischen Ihnen und dem Anbieter über TLS läuft und die Speicherung verschlüsselt sein kann. Für den Austausch zwischen Gesundheitsfachkräften bleibt ein sicherer Messaging-Dienst dem Fax vorzuziehen, sobald er auf beiden Seiten verfügbar ist.

Was tun mit einem Stapel alter Papierfaxe?

Drei Möglichkeiten: in die Akte aufnehmen, wenn das Dokument Beweiskraft hat; nach einem verlässlichen Verfahren digitalisieren und anschließend vernichten; oder direkt vernichten, wenn die Aufbewahrungsfrist abgelaufen ist. Sortiert wird Akte für Akte, niemals pauschal. Zur Digitalisierung siehe unsere Regeln zur verlässlichen Kopie.

Schützt ein Vertraulichkeitshinweis in der Fußzeile rechtlich?

Er verhindert materiell nichts, hat aber zwei nützliche Wirkungen: Er macht es einem bösgläubigen Dritten schwer, sich zu entschuldigen, und er belegt, dass Sie eine organisatorische Maßnahme getroffen haben – was bei der Beurteilung Ihrer Sorgfalt durch die Aufsichtsbehörde oder ein Gericht ins Gewicht fällt.

Muss das Personal eigens geschult werden?

Ja, und das kann in zwanzig Minuten pro Jahr geschehen. Ein einseitiger schriftlicher Hinweis, ausgehängt neben dem Gerät, bringt mehr als eine Jahresschulung, die am nächsten Tag vergessen ist. Ein praktischer DSGVO-Leitfaden für Kleinstunternehmen, im Sekretariat frei zugänglich ausgelegt, hilft, die Sprachregelung ohne Fachjargon zu finden.

Zusammengefasst

• Faxlecks entstehen durch Raumgestaltung und Gewohnheiten, nicht durch die Telefonleitung.
• Stellen Sie das Gerät in einen nicht öffentlich zugänglichen Bereich oder legen Sie die Dokumente sofort in einen abschließbaren Schrank.
• Trennen Sie eine „allgemeine" Nummer von einer „vertraulichen" Nummer mit eingeschränkter Verbreitung.
• Das Deckblatt darf niemals Anlass, Untersuchung oder vollständigen Namen preisgeben.
• Versenden Sie nur aus geprüften Verzeichniseinträgen und bereinigen Sie dieses Verzeichnis einmal jährlich.
• Vernichten Sie das Papier vor Ort mit einem Kreuzschnitt-Aktenvernichter, niemals im Altpapierbehälter.
• Löschen Sie die Festplatte des Multifunktionsgeräts vor jeder Rückgabe oder jedem Weiterverkauf.
• Dokumentieren Sie jeden Empfängerfehler im Verzeichnis der Datenschutzverletzungen, auch ohne Meldung.
• Prüfen Sie bei papierlosen Lösungen Hosting, Auftragsverarbeitungsvertrag nach Artikel 28 und die HDS-Zertifizierung für Gesundheitsdaten.