Access Governance: rollenbasierte Kontrollen und Break-the-Glass-Audits

# Access Governance: rollenbasierte Kontrollen und Break-the-Glass-Audits

2013 wurden Mitarbeiter eines Krankenhauses in Los Angeles entlassen, weil sie in die Patientenakte eines Reality-TV-Stars geschaut hatten, der zur Behandlung aufgenommen worden war. Das war kein Einzelfall. Krankenhäuser haben Mitarbeiter abgemahnt und gekündigt, weil sie in Akten von Prominenten, Politikern, Kollegen, Ex-Partnern und Nachbarn geschnüffelt haben. Die Versuchung ist echt, der Klick ist leicht, und der Schaden ist dauerhaft.

Diese Lektion verfolgt einen Schnüffelvorfall vom Klick bis zur Konsequenz und zeigt dann, wie Sie die Kontrollen gestalten, die ihn erkennen: rollenbasierter Zugriff, Break-the-Glass-Workflows und das Audit-Log, das unangemessene Zugriffe auf PHI markiert.

PHI (Protected Health Information) sind alle Gesundheitsdaten, die einer Person zugeordnet werden kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnen: Name, Diagnose, Laborwerte, Aufnahmedaten, sogar eine Zimmernummer, die mit einer Person verknüpft ist.

Der Vorfall: eine Pflegekraft und die Akte einer Prominenten

Ein lokaler Musiker wird nachts wegen einer vermuteten Überdosis in ein großes Universitätsklinikum aufgenommen. Am Morgen trendet es in den sozialen Medien.

Nadia ist Pflegekraft auf der Kardiologie, drei Gebäude entfernt. Der Musiker liegt auf der Toxikologie. Nadia war diesem Patienten nie zugeteilt. Aus Neugier öffnet sie die elektronische Patientenakte (EHR), sucht den Namen des Patienten und liest die Akte: Laborwerte, Notizen, alles. Zwei Minuten, dann schließt sie sie wieder.

Im Moment des Klicks hält sie nichts auf. Das ist das erste Versagen. Aber jeder Tastenanschlag wird aufgezeichnet. Sechs Tage später führt das Datenschutzteam des Krankenhauses ein Routine-Audit durch, und Nadias Name erscheint in einem Alert.

Nach HIPAA (dem US Health Insurance Portability and Accountability Act, durchgesetzt vom HHS Office for Civil Rights, kurz OCR) ist dieser unbefugte Zugriff eine Datenschutzverletzung. Das Krankenhaus muss untersuchen, möglicherweise einen Breach melden und die Mitarbeiterin sanktionieren. In Europa ist das Pendant die DSGVO (Datenschutz-Grundverordnung), in der Gesundheitsdaten eine „besondere Kategorie" mit zusätzlichem Schutzbedarf sind, durchgesetzt von den nationalen Datenschutzbehörden.

Ebene 1: Role-Based Access Control (RBAC)

RBAC bedeutet, dass Zugriff auf Basis der Jobrolle gewährt wird, nicht der Identität. Sie bekommen keine Schlüssel für alles, Sie bekommen Schlüssel für das, was Ihre Rolle braucht.

Das zugrunde liegende Governance-Prinzip ist minimum necessary: HIPAA verlangt, dass der Zugriff auf das Minimum an PHI beschränkt wird, das für die Arbeit nötig ist.

Zugriffsstufen gestalten

Ein praxisnahes Stufenmodell für ein Krankenhaus kkThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →önnte so aussehen:

| Rolle | Zugriff auf | Kein Zugriff auf |

|---|---|---|

| Oberarzt | Akten der Patienten auf seiner Station | Akten auf nicht zugehörigen Einheiten |

| Pflegekraft Station | Patienten ihrer Einheit und Schicht | Andere Einheiten, historisch entlassene Patienten |

| Abrechnungskraft | Diagnosecodes, Versicherung, Daten | Klinische Notizen, Bildgebung |

| Labortechniker | Testaufträge und Ergebnisse, die ererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → bearbeitet | Vollständige klinische Historie, psychiatrische Notizen |

| Aufnahme | Demografie, Versicherung | Diagnosen, Laborwerte |

Beachten Sie Nadias Problem. Als Kardiologie-Pflegekraft gab ihre Rolle ihr die Möglichkeit, jeden Patienten in der EHR zu suchen und zu öffnen, nicht nur ihre zugeteilten Patienten. Das ist ein Designfehler. Ein strengeres RBAC-Modell hätte ihren Zugriff auf den aktiven Patientenbestand ihrer Einheit begrenzt.

Attribute-Based Access Control (ABAC) geht weiter und legt Kontext über die Rolle: Einheit, Schicht und Zuordnung zum Behandlungsteam. Unter ABAC wäre Nadias Zugriff auf einen Toxikologie-Patienten drei Gebäude entfernt direkt an der Prüfung gescheitert, weil sie nicht in diesem Behandlungsteam ist.

Eine gute Einführung in den regulatorischen Rahmen bietet die HHS-Summary of the HIPAA Privacy Rule.

Ebene 2: Break-the-Glass

Hier liegt der Konflikt. Wenn Sie den Zugriff zu hart abriegeln, kostet das Menschenleben. Ein Patient kollabiert in der Notaufnahme, ein Arzt von außerhalb der Station eilt zur Hilfe, und das System sagt „Zugriff verweigert". Diese Verzögerung kann tödlich sein.

Break-the-Glass löst das. Es erlaubt einem autorisierten Kliniker, die normalen Zugriffsbeschränkungen im Notfall zu übergehen, aber nur nach einer bewussten, protokollierten Handlung.

Wie sich der Workflow in der Praxis anfühlt

1. Ein Kliniker versucht, eine Akte außerhalb seines normalen Zugriffsbereichs zu öffnen.

2. Das System verweigert nicht einfach. Es zeigt einen Warnbildschirm: „Sie versuchen, auf eine Akte außerhalb Ihres zugeteilten Behandlungsteams zuzugreifen. Dieser Zugriff wird protokolliert und überprüft. Geben Sie einen Grund an, um fortzufahren."

3. Der Kliniker muss eine Begründung auswählen oder eingeben: „Notfallversorgung", „Vertretung eines Kollegen", „Konsil angefordert".

4. Der Zugriff wird gewährt. Ein Flag mit hoher Priorität wird ins Audit-Log geschrieben.

Break-the-Glass verschiebt das Modell von „verhindern" zu „erlauben, aber prüfen". Jeder Glass-Break ist ein Kandidat für eine Überprüfung, denn Notfälle sind legitim, als Notfall verkleidete Neugier ist es nicht.

Hätte Break-the-Glass Nadia erwischt? Nur, wenn ihre Suche die Barriere ausgelöst hätte. Wenn ihre Rolle sie jede Akte lautlos öffnen ließ, gab es kein Glas zu brechen. Deshalb müssen RBAC-Scope und Break-the-Glass zusammen gestaltet werden: die Barriere erzwingt das Logging-Ereignis.

🎬 [VIDEO: „How Hospitals Track Who Views Your Medical Records" - youtube.com - eine leicht verständliche Einführung in EHR-Audit-Logging und Datenschutz-Monitoring]

Ebene 3: Das Access-Log-Audit

Jede EHR erfasst ein Access Log (auch Audit Trail genannt): wer was wann und von wo eingesehen hat. Das ist die Beweisebene. RBAC verhindert, Break-the-Glass hält ab, und das Audit-Log fängt, was durchrutscht.

Ein einzelner Access-Log-Eintrag erfasst typischerweise:

• User-ID und Rolle
• Patienten-ID
• Zeitstempel
• Aktion (ansehen, bearbeiten, drucken, exportieren)
• Zugriffspunkt (Arbeitsplatz, Abteilung)
• Break-the-Glass-Flag und Begründung, falls vorhanden

Worauf Auditoren achten

Rohe Logs sind ohne Mustererkennung nutzlos. Wirksame PHI-Audits suchen nach bestimmten Signalen:

• Zugriff bei gleichem Nachnamen: ein Mitarbeiter sieht einen Patienten mit demselben Nachnamen ein (möglicher Verwandter).
• Zugriff bei gleicher Adresse: Mitarbeiter und Patient mit derselben Wohnadresse.
• Zugriff auf VIP- oder markierte Patienten: jeder Zugriff auf eine als „sensibel" markierte Akte (Prominente, Mitarbeiter, Fälle mit hoher Öffentlichkeitswirkung).
• Einheitenübergreifender Zugriff: ein Kliniker sieht Patienten außerhalb seiner zugeteilten Einheit ein, ohne Behandlungsbeziehung.
• Mengenanomalien: ein User öffnet deutlich mehr Akten als Kollegen in derselben Rolle.

Nadia wird bei zwei davon erwischt: der prominente Patient war VIP-markiert, und ihr Zugriff war einheitenübergreifend ohne Behandlungsbeziehung.

Eine einfache Erkennungsabfrage

Hier die Logik eines Flags für gleiche Nachnamen, ausgedrückt in SQLSQLSales Qualified Lead: a prospect the sales team has validated as ready for direct outreach and a proposal, having passed clear qualification criteria.Vollständige Definition ansehen → auf einer Access-Log-Tabelle, verknüpft mit Mitarbeiter- und Patientenverzeichnis:

SELECT a.user_id, a.patient_id, a.access_time
FROM access_log a
JOIN staff s   ON a.user_id = s.user_id
JOIN patient p ON a.patient_id = p.patient_id
WHERE s.last_name = p.last_name          -- shared surname
  AND a.care_relationship = FALSE         -- not on the care team
  AND a.action = 'VIEW'
ORDER BY a.access_time DESC;

Moderne EHR-Anbieter und Drittanbieter-Tools (zum Beispiel Privacy-Monitoring-Plattformen, die neben Systemen wie Epic und Oracle Health eingesetzt werden) automatisieren das mit Machine Learning, bewerten jeden Zugriff nach Risiko und legen die AusreißererThe ratio of interactions (likes, comments, shares) to reach for a given piece of content, used to gauge how well audiences respond relative to how many people saw it.Vollständige Definition ansehen → der menschlichen Prüfung vor. Die Entscheidung trifft immer der Mensch, denn ein gleicher Nachname kann Zufall sein und ein einheitenübergreifender Zugriff ein legitimes Konsil.

Die drei Ebenen zusammengesetzt

Denken Sie die Ebenen als FunnelFunnelThe customer journey from awareness to purchase, typically Awareness, Interest, Consideration, Decision, Action, with prospects narrowing at each stage.Vollständige Definition ansehen →:

• RBAC/ABAC blockiert die meisten unangemessenen Zugriffe, bevor sie passieren. Das ist Ihre günstigste und stärkste Kontrolle.
• Break-the-Glass deckt die Ausnahmen ab, erlaubt Notfallzugriff und erzwingt dabei eine bewusste, protokollierte Begründung.
• Audit-Logs fangen alles, was durchgekommen ist, einschließlich missbrauchter Break-the-Glass-Ereignisse und Designlücken.

Die Governance-Aufgabe ist, alle drei straff zu halten und zu überprüfen. Ein Break-the-Glass-Log, das niemand liest, ist wertlos. Ein RBAC-Modell, das niemand aktualisiert, wenn Mitarbeiter die Rolle wechseln, driftet innerhalb von Monaten in Überberechtigung.

Eine kurze Governance-Kadenz

Ein praktikabler Monatsrhythmus für ein Krankenhaus-Datenschutzbüro:

1. Automatisierte Flags laufen lassen (Nachname, Adresse, VIP, einheitenübergreifend, Menge).

2. 100 Prozent der VIP-markierten und Break-the-Glass-Zugriffe prüfen.

3. Für den Rest einen Prozentsatz der Routinezugriffe stichprobenartig auditieren.

4. RBAC-Rollen quartalsweise rezertifizieren: bestätigen, dass jeder User seinen Zugriff noch braucht.

Für Nadia ist das wahrscheinliche Ergebnis die KKThe average number of new users each existing user generates through referrals. Above 1.0, growth compounds on itself and becomes exponential.Vollständige Definition ansehen →ündigung und ein dokumentierter Disziplinareintrag. Für das Krankenhaus kann es eine Breach-Bewertung bedeuten und, falls meldepflichtig, eine Meldung an OCR. Unter der DSGVO kann vergleichbarer unbefugter Zugriff auf Gesundheitsdaten Bußgelder und eine Pflichtmeldung an die Aufsichtsbehörde nach sich ziehen, typischerweise innerhalb von 72 Stunden nach Kenntnisnahme.

Key Takeaways

• Gestalten Sie RBAC nach dem Prinzip „minimum necessary". Begrenzen Sie Zugriff auf Rolle, Einheit und aktive Behandlungsbeziehung. Nadias Schnüffeln war nur möglich, weil ihre Rolle sie jede Akte öffnen ließ.
• Break-the-Glass ist ein Feature, keine Hintertür. Es erlaubt Notfallzugriff und erzwingt dabei eine protokollierte Begründung, wodurch stille Neugier zu einem prüfbaren Ereignis wird.
• Das Access-Log ist Ihre Beweisebene. Automatisierte Flags für gleiche Nachnamen, gleiche Adressen, VIP-Patienten und einheitenübergreifende Zugriffe fangen, was die Prävention verpasst hat.
• Governance ist eine Kadenz, kein einmaliges Setup. Prüfen Sie VIP- und Break-the-Glass-Zugriffe in jedem Zyklus und rezertifizieren Sie Rollen quartalsweise, damit Berechtigungen nicht driften.
• Das Gesetz hat Zähne. HIPAA (durchgesetzt vom HHS OCR) und DSGVO behandeln unbefugten PHI-Zugriff beide als meldepflichtigen Verstoß mit realen finanziellen und disziplinarischen Folgen.