Sicherheit und Datenschutz
Technischer Stand der Anwendung, offen dargestellt.
Wo die Daten liegen
Datenbank und Anwendungsserver laufen ausschließlich in der Google-Cloud-Region europe-west3 (Frankfurt am Main). Der Versand der Anmeldecodes läuft über Amazon SES in eu-central-1 (Frankfurt). Es findet keine planmäßige Verarbeitung von Behandlungsdaten außerhalb der EU statt.
Der Browser spricht nie mit der Datenbank
Anders als bei vielen Web-Anwendungen greift die Oberfläche nicht direkt auf die Datenbank zu. Jeder Lese- und Schreibvorgang läuft über eine Schnittstelle, die Berechtigung und Praxiszugehörigkeit prüft. Der direkte Datenbankzugriff aus dem Browser ist technisch gesperrt.
Das ist kein Umweg, sondern die Voraussetzung dafür, dass jeder Zugriff auf eine Patientenakte vollständig protokolliert werden kann.
Zugriffsprotokoll
Wer wann welche Akte geöffnet oder verändert hat, wird in einem nur erweiterbaren Protokoll festgehalten – mit Benutzer, Rolle, Zeitpunkt, Vorgang und Zugriffsgerät. Einträge lassen sich nicht nachträglich ändern.
Anmeldung ohne Passwort
Der Zugang erfolgt über einen sechsstelligen Einmalcode per E-Mail. Es gibt kein Passwort, das wiederverwendet, notiert oder am Empfang weitergegeben werden kann. Codes sind zehn Minuten gültig, nur einmal verwendbar und werden ausschließlich als kryptografische Prüfsumme gespeichert – nie im Klartext. Nach fünf Fehlversuchen verfällt ein Code sofort.
Die Sitzung selbst liegt in einem Cookie, das JavaScript nicht auslesen kann. Damit reicht eine Schwachstelle im Browser nicht aus, um eine Sitzung zu übernehmen.
Trennung nach Praxis
Jede Praxis ist ein eigener, technisch abgeschotteter Mandant. Die Zugehörigkeit wird ausschließlich aus der geprüften Sitzung abgeleitet und kann von der Anwendung nicht überschrieben werden. Rollen für Inhaber, Ärzte und medizinische Fachangestellte steuern den Umfang des Zugriffs.
Was noch aussteht
Ehrlichkeit gehört zum Thema dazu. Diese Punkte sind vorgesehen, aber noch nicht umgesetzt:
- Zweiter Faktor (Authenticator-App) zusätzlich zum Einmalcode
- Getrennte Umgebungen für Entwicklung und Produktivbetrieb
- Abgeschlossene Auftragsverarbeitungsverträge mit allen Unterauftragnehmern
- Ausgearbeitetes Löschkonzept unter Berücksichtigung der gesetzlichen Aufbewahrungsfristen für Behandlungsdokumentation
Vor der Verarbeitung echter Patientendaten werden diese Punkte abgeschlossen.
Fragen
Für Rückfragen zur Verarbeitung: datenschutz@ihre-domain.de eintragen