51 HIPAA-Statistiken, die jedes Gesundheitsunternehmen im Jahr 2023 kennen muss

Die HIPAA Privacy Rule (Health Insurance Portability and Accountability Act von 1996) ist ein Cybersicherheits-Framework für das Gesundheitswesen, das Sicherheitsstandards für alle HIPAA-abgedeckten Unternehmen vorschreibt. HIPAA zielt darauf ab, Patientendaten im öffentlichen Gesundheitswesen zu schützen und strengere Cybersicherheitsrichtlinien zu fördern. Seitdem wurden die HIPAA-Standards weltweit übernommen und in den Vereinigten Staaten als Bundesgesetz durchgesetzt.

Dieser Artikel konzentriert sich auf HIPAA-Statistiken, die für alle Gesundheitsdienstleister und -einrichtungen (einschließlich Apotheken, psychiatrische Einrichtungen und Betriebsdienste im Gesundheitswesen) unerlässlich sind, um Cybersicherheit zu kennen und zu lernen, um Datenschutzverletzungen zu verhindern und ihr Cyberrisiko zu verringern.

Übersicht über Datenschutzverletzungen im Gesundheitswesen

Vorfälle im Zusammenhang mit HIPAA haben in den letzten Jahren rapide zugenommen. Organisationen im Gesundheitswesen müssen sich an die sich verändernden Bedrohungslandschaften anpassen, um die Rechte des Einzelnen im Gesundheitssektor zu schützen und sicherzustellen, dass der Schutz der Privatsphäre den HIPAA- und nationalen Standards entspricht.

Anhand von Daten aus den vergangenen Jahren prognostizieren Experten, dass die digitale Landschaft des Gesundheitswesens auch in Zukunft erheblichen Cyberbedrohungen ausgesetzt sein wird.

Hier sind die häufigsten Trends im Zusammenhang mit HIPAA-Verstößen:

Etwa 95 % der US-Bevölkerung haben zwischen 2009 und 2021 ihre medizinischen Daten offengelegt.
Jeder Mitarbeiter in einer Organisation des Gesundheitswesens hat Zugriff auf fast 20 % der Dateien.
88 % der Hacker, die Einrichtungen des Gesundheitswesens angreifen, tun dies aus finanziellen Gründen.
95 % aller Identitätsdiebstahlfälle sind auf gestohlene Gesundheitsakten zurückzuführen. Solche Informationen sind etwa 50-mal mehr wert als Kreditkarteninformationen.
Rund 75 % der befragten Gesundheitsdienste gaben an, dass ihre Cybersicherheitsinfrastruktur weitgehend unvorbereitet auf Cyberbedrohungen ist, und bestätigten, dass die Privatsphäre und die Gesundheitsdaten ihrer Patienten gefährdet sein könnten.

Im Gesundheitswesen gibt es die höchste Anzahl von Sicherheitsverletzungen

Laut dem HIPAA Journal ist der Gesundheitssektor im Vergleich zu anderen Branchen für die meisten Sicherheitsverletzungen verantwortlich.

Die meisten Verstöße betreffen PHI (geschützte Gesundheitsinformationen, auch als persönliche Gesundheitsinformationen bezeichnet), zu denen sensible Daten von Patienten und Ärzten, Labortestergebnisse, Rezepte, Arztbesuche und Impfergebnisse oder andere persönlich identifizierbare Patienteninformationen (PII) wie Namen, Adressen, E-Mails und Sozialversicherungsnummern gehören. Es ist erwähnenswert, dass PHI, die von Krankenhäusern aufbewahrt werden, in der Regel in elektronischer Form vorliegen, auch bekannt als ePHI.

Wichtige Statistiken zu Datenschutzverletzungen, die aus dem HIPAA Journal sowie aus anderen Quellen wie Verizon, TechJury, OCR (Office for Civil Rights), Versicherungsunternehmen, Strafverfolgungsbehörden und anderen Anbietern von Gesundheitsinformationstechnologie gesammelt wurden, zeigen, dass Gesundheitsdienstleister ihre Cybersicherheitsbemühungen priorisieren müssen, um nicht wichtige Daten zu verlieren und massive Geldstrafen zu erhalten.

30 % aller größeren Datenschutzverletzungen beziehen sich auf Krankenhäuser.
67 % der Datenschutzverletzungen in Organisationen des Gesundheitswesens betreffen kompromittierte medizinische Informationen.
34 % der Datenschutzverletzungen im Gesundheitswesen sind auf unbefugten Zugriff oder unbefugte Offenlegung von PHI zurückzuführen.
79 % aller gemeldeten Verstöße entfallen auf das Gesundheitswesen.
18 % der Lehrkrankenhäuser gaben an, von einer Datenschutzverletzung betroffen zu sein.
Malware-Angriffe und IT-bezogene Vorfälle machten 67 % der Datenschutzverletzungen im Gesundheitswesen aus und machen 92 % aller verletzten Krankenakten aus.
Datenschutzverletzungen durch ausgenutzte Anmeldeinformationen benötigen durchschnittlich 341 Tage, um eingedämmt und behoben zu werden.
6 % der Kinderkrankenhäuser meldeten Datenschutzverletzungen.

Erfahren Sie, wie Sie ein Cybersicherheitsprogramm für das Gesundheitswesen implementieren >

Die Zahl der offengelegten Krankenakten steigt von Jahr zu Jahr rasant an

Viele Krankenhäuser und Gesundheitssysteme arbeiten immer noch mit veralteter Technologie, was sie einem extremen Risiko einer Datenschutzverletzung aussetzt. Einer der häufigsten HIPAA-Verstöße, für die Gesundheitssysteme bestraft werden, ist das Versäumnis, ihre digitalen Geräte zu verschlüsseln, weil sie immer noch veraltete Sicherheitsrichtlinien verwenden.

Tatsächlich sind in vielen Gesundheitssystemen keine Cybersicherheitsprozesse implementiert, was zu erheblichen Geldstrafen und Strafen durch das US-Gesundheitsministerium (HHS) führen kann.

In den letzten zehn Jahren wurden bei fast 4500 verschiedenen Datenschutzverletzungen 500 oder mehr Krankenakten offengelegt.
Datenschutzverletzungen haben im Vergleich zum Vorjahr um durchschnittlich 25 % zugenommen
Laut dem US Healthcare Data Breach Report des HIPAA-Journals haben sich die Häufigkeit von Datenschutzverletzungen sowohl in großen als auch in kleinen Krankenhäusern und Kliniken seit 2014 verdoppelt.
Im Jahr 2021 dauerte es durchschnittlich 212 Tage, um die Datenschutzverletzung zu identifizieren, und 75 Tage, um sie einzudämmen.

Erfahren Sie, wie Sie das beste Produkt für das Management von Angriffsflächen im Gesundheitswesen auswählen >

Ein Indikator für schlecht gesicherte Systeme ist die rasant wachsende Menge an Patienten- und Krankenakten, die weiterhin offengelegt werden.

Von 2010 bis 2014 wurden rund 50 Millionen Patientenakten offengelegt. In den folgenden fünf Jahren vervierfachte sich diese Zahl.
Allein im Jahr 2021 wurden rund 45 Millionen Gesundheitsakten gestohlen oder kompromittiert. Im Jahr 2022 wird diese Zahl fast 50 Millionen Datensätze erreichen.
2015 war mit mehr als 133 Millionen offengelegten Krankenakten wohl das schlechteste Jahr für die Cybersicherheit im Gesundheitswesen. Dies resultierte aus drei verheerenden Datenschutzverletzungen, die große Gesundheitseinrichtungen wie Anthem Inc., Premera Blue Cross und die Excellus-Datenschutzverletzung betrafen.
Im Jahr 2020 erlitten 39 namhafte Gesundheitsbranchen eine Datenschutzverletzung, davon 663 schwerwiegende Datenschutzverletzungen.
Im Jahr 2020 wurden mehr als 29 Millionen Gesundheitsakten aufgrund von Datenschutzverletzungen offengelegt.
Im Jahr 2021 erlitten mehr als 57 % der Organisationen im Gesundheitswesen mehr als fünf Datenschutzverletzungen.
Im Jahr 2021 wurden 713 schwerwiegende Datenschutzverletzungen gemeldet, von denen mehr als 45 Millionen Menschen betroffen waren, was die höchste Zahl seit der Datenschutzverletzung von Anthem im Jahr 2015 ist, von der 80 Millionen Personen betroffen waren.
Im Februar 2022 wurden 46 Datenschutzverletzungen im Gesundheitswesen gemeldet, von denen mehr als 2,5 Millionen Menschen betroffen waren - ein Rückgang der Vorfälle um 8 % im Januar.
Das HHS berichtet, dass es im März 2022 30 Verstöße im Gesundheitswesen gab, von denen 1,4 Millionen Menschen betroffen waren.

Datenschutzverletzungen, die 500 oder mehr Krankenakten betreffen

Zwischen 2009 und 2021 erhielt die OCR 4.419 Berichte über Datenschutzverletzungen, die 500 oder mehr Krankenakten von US-Gesundheitseinrichtungen betrafen, die rund 314 Millionen medizinische Daten ohne schriftliche Genehmigung offenlegten.
Im Jahr 2018 gab es fast zwei Datenschutzverletzungen pro Tag, an denen mehr als 500 oder mehr Krankenakten beteiligt waren.
Im Jahr 2020 wurden 642 Datenschutzverletzungen gemeldet, die mehr als 500 oder mehr Krankenakten betrafen. Im Jahr 2021 stieg diese Zahl auf 714 Meldungen von Datenschutzverletzungen, die 500 oder mehr Krankenakten betrafen, was durchschnittlich 1,95 Meldungen von Datenschutzverletzungen pro Tag entspricht.
Von März 2021 bis Februar 2022 wurden 723 Datenschutzverletzungen mit 500 oder mehr Datensätzen gemeldet, eine Rekordzahl von Datenschutzverletzungen innerhalb eines Zeitraums von 12 Monaten.
Im Jahr 2022 lag die durchschnittliche Rate der gemeldeten Datenschutzverletzungen mit 500 oder mehr Datensätzen bei etwa zwei Meldungen pro Tag, fast doppelt so viele wie im Jahr 2018 (Stand: 30. Juni 2022).

Erfahren Sie mehr über die 13 größten Datenschutzverletzungen im Gesundheitswesen >

Die Kosten für die Prävention sind hoch, aber die Kosten für HIPAA-Strafen und Datenschutzverletzungen sind noch höher

Da das digitale Zeitalter noch relativ neu ist, haben viele Branchen, insbesondere das Gesundheitswesen, der Cybersicherheit noch keine Priorität eingeräumt. Viele Unternehmen würden lieber in den Geschäftsbetrieb oder das Personal investieren, als die Datensicherheit zu gewährleisten, aber die jüngsten Verstöße gegen die HIPAA-Sicherheitsregeln haben gezeigt, dass es extrem kostspielig sein kann, Patientendaten nicht zu schützen und keine Benachrichtigungen über Sicherheitsverletzungen bereitzustellen.

Erfahren Sie mehr über Strafen für HIPAA-Verstöße >

Es ist fast wichtig hervorzuheben, dass Gesundheitseinrichtungen, die es versäumen, Geschäftspartnervereinbarungen (Business Associate Agreements, BAA) abzuschließen, auch erhebliche HIPAA-Strafen riskieren.

Im Jahr 2020 beliefen sich die Sicherheitsverletzungen allein auf über 6 Billionen US-Dollar. Von 2020 bis 2022 verzeichnete das Gesundheitswesen Verluste in Höhe von rund 25 Milliarden US-Dollar durch Cyberangriffe.

Mehr als 60 % der Gesundheitsdienstleister geben an, dass sie sich bei der Risikobewertung, Planung und Kosten auf ihre eigenen Cybersicherheitsrichtlinien verlassen, anstatt den HIPAA-Compliance-Standards zu folgen.
75 % des Gesundheitswesens investieren nur 6 % oder weniger seines Budgets in IT-Sicherheit.

Im Jahr 2020 beliefen sich die durchschnittlichen Kosten einer Datenschutzverletzung in der Gesundheitsbranche auf 7,13 Millionen US-Dollar. Im Jahr 2021 kosteten Datenschutzverletzungen die Kliniken im Gesundheitswesen durchschnittlich 9,3 Millionen US-Dollar, fast 30 % mehr als im Jahr 2020.
Die durchschnittlichen Gesamtkosten für Datenschutzverletzungen im Gesundheitswesen überstiegen im Jahr 2022 10 Millionen US-Dollar, verglichen mit 9,3 Millionen US-Dollar im Jahr 2021, was einem Anstieg von etwa 9-10 % entspricht.

Im Jahr 2021 beliefen sich die Gesamtkosten für entgangene Unternehmen aufgrund einer Datenschutzverletzung auf etwa 1,6 Millionen US-Dollar - fast 38 % der weltweiten Durchschnittskosten von 4,24 Millionen US-Dollar.
Bis November 2022 hat das Office for Civil Rights (OCR) 126 Fälle von HIPAA-Verstößen für über 133 Millionen US-Dollar beigelegt.
OCR hat in 52.000 Fällen interveniert und HIPAA-abgedeckten Einrichtungen Leitlinien zur Verfügung gestellt, bevor Untersuchungen oder Strafen erforderlich waren.

Erfahren Sie mehr über die schlimmsten HIPAA-Verstöße >

Malware- und Ransomware-Angriffe sind extrem gefährlich

Kleine Kliniken und staatliche Krankenhäuser sind dem Risiko von Datenschutzverletzungen ausgesetzt, die aus Ransomware-Angriffen resultieren, bei denen Angreifer die Sicherheit eines Krankenhauses kompromittieren, Systeme sperren, kritische PHI-Daten stehlen und Geld sowohl für die Freigabe der Systeme als auch für die Freigabe der Daten verlangen.

Böswillige Akteure verwenden dann die gestohlenen medizinischen Daten, um Betrug im Gesundheitswesen zu begehen oder an das Dark Web zu verkaufen. Der Diebstahl von Gesundheitsdaten ist ein lukratives Cyberverbrechen, da es im Durchschnitt bis zu 50-mal profitabler sein kann als die Ausnutzung von Kreditkarteninformationen.

Laut diesem Sophos-Bericht meldeten im Jahr 2021 mehr als 65 % der Gesundheitsdienste einen Ransomware-Angriff, was einer Verdoppelung gegenüber 2020 entspricht, als 34 % gemeldet wurden.
Im Jahr 2021 waren bei vielen Cybervorfällen im Gesundheitswesen Ransomware-Angriffe die häufigste Bedrohung. Das DOJ hat Ransomware-Angriffe kürzlich als Terrorangriffe gleichgesetzt und Führungskräften und IT-Sicherheitsteams dringend geraten, richtig zu kommunizieren und zusammenzuarbeiten, um sich auf die Prävention und den Umgang mit Ransomware-Angriffen zu konzentrieren.
Die durchschnittlichen Ransomware-Zahlungen im 1. Quartal 2022 beliefen sich auf 211.259 US-Dollar, was einem Rückgang von 34 % im Vergleich zum 4. Quartal 2021 entspricht. Es wird spekuliert, dass Hackergruppen es auf kleinere Krankenhäuser abgesehen haben, die eine höhere Chance haben, Lösegeld zu zahlen, da sie oft eine schlechte Cybersicherheit haben. Größere Angriffe erfordern auch mehr Strafverfolgung und größere Ermittlungen.
Im ersten Quartal 2019 zahlten mehr als 85 % der Krankenhäuser, die Opfer von Ransomware-Angriffen wurden, das erforderliche Lösegeld. Aufgrund der starken Empfehlungen der Strafverfolgungsbehörden, das Lösegeld nicht zu zahlen, sank die Zahl der Krankenhäuser, die das Lösegeld zahlten, im 1. Quartal 2022 auf 46 %.

Erfahren Sie, wie Sie ein Produkt zur Behebung von Cyberrisiken im Gesundheitswesen auswählen >

Fahrlässigkeit von Mitarbeitern trägt zu HIPAA-Verstößen bei

Medizinische Kunstfehler, menschliches Versagen und ein allgemeiner Mangel an Cybersicherheitspraktiken beim Umgang mit Krankenakten sind weitere wichtige Faktoren, die zu Verstößen gegen die HIPAA-Vorschriften und Verstößen gegen das Datenschutzrecht führen. Das Fehlen strenger Datenschutzpraktiken ist in der Regel auf einen Mangel an Sicherheitsschulungen oder -schulungen zurückzuführen.

Unzureichend geschultes medizinisches Personal hat Schwierigkeiten, bösartige Aktivitäten wie Phishing-Versuche zu erkennen, und neigt dazu, Krankenakten und digitale Geräte wie Telefone oder Laptops falsch zu platzieren oder falsch zu handhaben. Dies führt dazu, dass individuell identifizierbare Gesundheitsinformationen wie Patienteninformationen und Sozialversicherungsnummern offengelegt werden.

Erfahren Sie, wie Sie ein ideales HIPAA-Compliance-Produkt auswählen >

Laut HIPAA bezieht sich Kunstfehler auf den unsachgemäßen Umgang mit medizinischen Daten, der zu kritischen Verletzungen des Datenschutzes von Gesundheitsinformationen führt. Fahrlässige Praktiken können in zwei Arten unterteilt werden:

Versehentliche Fahrlässigkeit bei der Verlegung von Krankenakten oder unsachgemäßer Offenlegung vertraulicher PHI
Böswillige Fahrlässigkeit beinhaltet den vorsätzlichen falschen Umgang mit PHI durch verärgerte Mitarbeiter, oft zum persönlichen Vorteil. Dies kann die absichtliche Absicht beinhalten, vertrauliche Daten zu verkaufen, offenzulegen oder einzusehen.

Beide Arten von Fahrlässigkeit gelten als Insider-Bedrohung, solange sie Zugang zu elektronischen Patientenakten wie ePHI (Electronic Protected Health Information) haben und diese missbrauchen, was sich nachteilig auf den Gesundheitsdienstleister auswirkt.

Im Gegensatz zu Fahrlässigkeit stellt die böswillige Verwendung von Krankenakten jedoch einen schwerwiegenderen Verstoß gegen die HIPAA-Vorschriften dar, und böswillige Akteure können mit Gefängnisstrafen oder anderen strafrechtlichen Sanktionen rechnen.

Hier sind einige Statistiken in Bezug auf fahrlässige Insider:

Zwischen 2016 und 2017 führten Institutionen, die versehentlich Daten an den falschen Empfänger sendeten, zu mehr als 350.000 Fällen von PHI-Exposition.
Versehentliche Fahrlässigkeit ist doppelt so wahrscheinlich wie böswillige Fahrlässigkeit.
Fahrlässige Insider sind für mehr als 60% aller Insider-Vorfälle und menschlichen Fehler verantwortlich.
Mehr als 25 % der Insider-Bedrohungen stehen im Zusammenhang mit dem Diebstahl von Bankdaten.
Im Jahr 2020 stiegen Insider-Bedrohungsvorfälle mit versehentlichem Datenverlust und böswilliger Offenlegung im Vergleich zu 2018 um 47 %.
22 % aller Cybersicherheitsvorfälle im Gesundheitswesen sind auf Insider-Bedrohungen zurückzuführen.
Die vier häufigsten Ursachen für Datenschutzverletzungen im Gesundheitswesen waren 1) kompromittierte Anmeldedaten, 2) Phishing, 3) Fehlkonfigurationen in der Cloud und 4) Kompromittierung von Geschäfts-E-Mails (BEC).

Erfahren Sie mehr über die häufigsten HIPAA-Verstöße >

Jede Einrichtung im Gesundheitswesen muss verstehen, wie wichtig es ist, die Cyberrisiken zu erhöhen, und wie eine nicht ordnungsgemäße Sicherung von Daten zu erheblichen finanziellen, Reputations- und Betriebsschäden führen kann. Noch wichtiger ist, dass die Privatsphäre der Patienten und vertrauliche medizinische Daten von der Öffentlichkeit und den Bedrohungsakteuren verletzt und möglicherweise offengelegt wurden.

UpGuard unterstützt Organisationen im Gesundheitswesen, Gesundheitsdienstleister und alle damit verbundenen Geschäftspartner bei der Einhaltung von HIPAA-Vorschriften, um Datenschutzverletzungen zu verhindern. UpGuard unterstützt das Gesundheitswesen, indem es bei der Verwaltung der Sicherheitslage hilft und mithilfe unserer branchenführenden Software für das Angriffsflächenmanagement und die Überwachung von Drittanbietern einen besseren Einblick in Drittanbieter erhält.