Rechtshandbuch Cybersicherheit im Gesundheitswesen E-Book

Carsten Dochow

• Herausgeber: C.F. Müller
• Kategorie: Fachliteratur
• Sprache: Deutsch

Veröffentlichungsjahr: 2024

Beschreibung

Cybersicherheitsvorfälle im Gesundheitswesen häufen sich angesichts globaler Krisen und neuartiger Angriffsmöglichkeiten in den letzten Jahren enorm. Das Recht der IT-Sicherheit, Datensicherheit oder Informationssicherheit hat mittlerweile die Aufmerksamkeit in der praktischen Rechtsberatung und bei den Unternehmensleitungen erlangt. Dabei ist die Verzahnung von Gesundheitsrecht und Cybersicherheitsrecht in einem Rechtshandbuch mit einer Darstellung der einschlägigen Vorschriften angesichts der komplexen Regelungslage und einer fortschreitenden Digitalisierung im Gesundheitsbereich hochgradig praxisrelevant. Das Rechtshandbuch Cybersicherheit im Gesundheitswesen führt die Bestimmungen für die verschiedenen Sektoren und Bereiche des Gesundheitswesens zusammen. Abgedeckt werden dabei u.a. die Themenfelder - Krankenhäuser - Medizinprodukte und Arzneimittel - Telematikinfrastruktur - Ambulante Gesundheitsversorgung - Notrufleitstellen und Rettungsdienste - Digitale Gesundheitsanwendungen - Telemedizin - Öffentlicher Gesundheitsdienst - Haftungsgefahren beim Einsatz Künstlicher Intelligenz. Das Rechtshandbuch verfolgt das Ziel, die rechtlichen Anforderungen für die Cybersicherheit in allen relevanten Bereichen des Gesundheitswesens abzubilden. Aktuelle Gesetze oder Gesetzesvorhaben auf europäischer und nationaler Ebene werden dabei berücksichtigt, wie - NIS-2-Richtlinie - Entwurf eines NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz - Entwurf eines KRITIS-Dachgesetz - Digitalgesetz für den Gesundheitsbereich (DigiG) - Gesundheitsdatennutzungsgesetz (GDNG) Das Rechtshandbuch ist zugleich Ratgeber zur effektiven Umsetzung von cybersicherheitsrechtlichen Anforderungen im Gesundheitswesen. Es schafft dazu mit einem Überblick über die technischen Voraussetzungen und mit der Vermittlung von Informationen für die Prävention von Cybergefahren einen Mehrwert für die Praxis und die Wissenschaft. Gerade für die verantwortlichen Leitungspersonen im Gesundheitswesen besteht die Frage nach Risiken und Lösungen für ein effektives Cybersicherheitsmanagement. Diesem Interesse begegnet das Buch durch Ausführungen zum Compliance-Management, zu Versicherungslösungen und für die praktische Vertragsgestaltung. Bei der Bewältigung eines Vorfalls steht eine "Cyber Incident – Legal-Checkliste" parat. Zudem werden Fragen zu strafrechtlichen und zivilrechtlichen Konsequenzen für die Leitungsebene bei Personenschäden erörtert. Das Rechtshandbuch soll Juristen als interne und externe Berater in Einrichtungen des Gesundheitswesens, Herstellern von Arzneimitteln oder Medizinprodukten sowie speziellen IT-Produkten (Apps), Unternehmensleitungen und Compliance-Abteilungen, Berufs- und Interessenverbänden oder IT-Spezialisten und Vertretern aus der Wissenschaft eine Grundlage bieten, sich die Regelungen für das Cybersicherheitsrecht in der Praxis zu erschließen.

Leseprobe

Rechtshandbuch Cybersicherheit im Gesundheitswesen

Herausgegeben von

Tilmann Dittrich

Dr. Carsten Dochow

Jan Ippach

Bearbeitet von

Dr. Philipp Adelberg; Victoria Copeland; Tilmann Dittrich, LL.M.; Dr. Carsten Dochow; Prof. Dr. Lorenz Franck; Mareike Gehrmann; Ferdinand Grieger; Dr. Mathias Grzesiek; Prof. Dr. Dr. Erik Hahn; Dr. h.c. Marit Hansen; Franz-Josef Herpers; Jan Ippach, LL.M.; Dr. Philipp Kircher; Kristin Kirsch, LL.M.; Elisabeth Kohoutek; Julian Monschke; Dr. Carolin Monsees; Dr. Nadja Müller; Peter Schüller, LL.M.; Dr. Andreas Staufer; Vanessa Stenzel; Prof. Dr. Frank Stollmann; Dr. Paul Vogel, LL.M.; Dr. Sebastian T. Vogel; Dr. Marcus Vogeler; Dr. Thilo Weichert; Dr. Ole Ziegler

www.cfmueller.de

Impressum

Bibliografische Information der Deutschen Nationalbibliothek

Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über <https://portal.dnb.de> abrufbar.

ISBN 978-3-8114-8941-7

E-Mail: [email protected]

Telefon: [phone]Telefax: [phone]

www.cfmueller.de

© 2024 C.F. Müller GmbH, Heidelberg

Hinweis des Verlages zum Urheberrecht und Digitalen Rechtemanagement (DRM)

Dieses Werk, einschließlich aller seiner Teile, ist urheberrechtlich geschützt. Der Verlag räumt Ihnen mit dem Kauf des e-Books das Recht ein, die Inhalte im Rahmen des geltenden Urheberrechts zu nutzen.

Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlages unzulässig und strafbar. Dies gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und Einspeicherung und Verarbeitung in elektronischen Systemen.

Der Verlag schützt seine e-Books vor Missbrauch des Urheberrechts durch ein digitales Rechtemanagement. Angaben zu diesem DRM finden Sie auf den Seiten der jeweiligen Anbieter.

Vorwort

Die Gesellschaft ist für den Schutz der Gesundheit und des Lebens Einzelner darauf angewiesen, dass ihre Gesundheitsversorgung flächendeckend und dauerhaft zur Verfügung steht. Zudem besteht die Notwendigkeit, Informationen, die im Zusammenhang mit der Gesundheit stehen, aufgrund ihrer Sensibilität stets vorsichtig zu behandeln. Auch Unternehmen haben ein Interesse am Schutz ihrer Geschäftsgeheimnisse. Im Zuge der immer weiter fortschreitenden Digitalisierung des Gesundheitswesens bestehen aber für diese Schutzgüter Gefahren. Gleichzeitig bietet sie aber auch eine immense Möglichkeit, die Gesundheitsversorgung der Gesellschaft durch Digitalisierungspotentiale voranzubringen. Um diese Interessenlage zu wahren, ist der Cybersicherheit im Gesundheitswesen ein hoher Stellenwert beizumessen.

Dies hat auch der Gesetzgeber auf allen Ebenen erkannt. Insbesondere durch Europäische Vorgaben im Kontext der Cybersicherheit kommt auf die Unternehmen und öffentlichen Einrichtungen im Gesundheitssektor eine wahre Mammutaufgabe zu. Die Herausforderungen durch die Datenschutz-Grundverordnung sind längst in der Praxis angekommen, da rollen gleichzeitig neue Vorschriften auf die Akteure zu. Zu nennen sind hier vor allem die NIS-2-Richtlinie und die Resilienz-Richtlinie, die jeweils bis Oktober 2024 in nationales Recht umzusetzen sind. Gleichzeitig initiiert auch der nationale Gesetzgeber neue Vorhaben, etwa durch das Digitalgesetz für noch umfassendere Regelungen zur IT-Sicherheit im Gesundheitswesen, wodurch die noch jungen sozialrechtlichen Sondervorschriften bereits wieder überarbeitet werden.

Diese Herausforderungen durch eine breitflächige Regulierung gaben für uns den Ausschlag, dem Gesundheitswesen unter die Arme zu greifen. Dabei haben wir versucht, keinen blinden Fleck im Gesundheitswesen zu hinterlassen, der nicht durch fachkundige Autorinnen und Autoren aus Praxis, Behörden und Wissenschaft beleuchtet wurde. Herausgekommen ist dieses Rechtshandbuch der Cybersicherheit im Gesundheitswesen. Es soll eine Grundlage geben für einen wissenschaftlichen und praktischen Diskurs zu sämtlichen Teilsektoren des Gesundheitswesens. Es soll die Resilienz der Einrichtungen stärken und im Notfall eine Hilfestellung sein.

An dieser Stelle möchten Verlag und Herausgeber außerdem auf Folgendes hinweisen:

Sämtliche Links auch in den Fußnoten wurden zuletzt abgerufen am 15.4.2024.

Aus Gründen der besseren Lesbarkeit und Darstellbarkeit in allen Medien wird in diesem Werk bei Personenbezeichnungen und personenbezogenen Formulierungen das generische Maskulinum verwendet. Entsprechende Begriffe gelten im Sinne der Gleichbehandlung grundsätzlich für alle Geschlechter. Die verkürzte Sprachform hat nur redaktionelle Gründe und beinhaltet keine Wertung.

Wir danken den Autorinnen und Autoren aller Kapitel für ihren Einsatz, das Rechtshandbuch möglichst aktuell auf den Markt zu bringen, was aufgrund der teilweise verzögerten Gesetzgebung nicht ganz leichtfiel. Dennoch ist es gelungen, in allen relevanten Kapiteln bereits das Digitalgesetz sowie die Entwürfe für das NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz und das KRITIS-Dachgesetz zu berücksichtigen. Der Dank gilt aber auch dem C.F. Müller Verlag, der sich von Beginn an begeistert für unsere Buch-Idee gezeigt hat. Besonders zu danken ist dem Lektorat des C.F. Müller Verlages für seine tatkräftige Unterstützung, diese Erstauflage unter Berücksichtigung der Umstände eines eifrigen Gesetzgebers auf die Beine zu stellen.

Wir freuen uns über Anregungen und Verbesserungsvorschläge, wünschen eine gute Lektüre sowie einen kühlen Kopf in Krisensituationen!

Düsseldorf/Berlin/Köln, im Juni 2024

Tilmann Dittrich, LL.M.

Dr. Carsten Dochow

Jan Ippach, LL.M.

Bearbeiterverzeichnis

Dr. Philipp AdelbergRechtsanwalt, Köln

Victoria CopelandRechtsassessorin, Georgetown University Law Center

Tilmann Dittrich, LL.M.(Medizinrecht)Rechtsreferendar im OLG-Bezirk Düsseldorf

Dr. Carsten DochowLeiter Personal, Organisation und Datenschutz, Bundesärztekammer, Berlin

Prof. Dr. Lorenz FranckHochschule des Bundes für öffentliche Verwaltung, Brühl

Mareike GehrmannRechtsanwältin, Fachanwältin für Informationstechnologierecht, Düsseldorf

Ferdinand GriegerRechtsanwalt, Zürich

Dr. Mathias GrzesiekRechtsanwalt, Fachanwalt für Strafrecht, Frankfurt

Prof. Dr. Dr. Erik HahnProfessor für Gesundheitsrecht und Sozialrecht an der Hochschule Zittau/Görlitz

Dr. h.c. Dipl.-Inf. Marit HansenLandesbeauftragte für Datenschutz Schleswig-Holstein und damit Leiterin des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein (ULD), Kiel

Dipl.-Inf. Franz-Josef Herpers Referent Digitalisierung, Bundesärztekammer, Berlin

Jan Ippach, LL.M. (Medizinrecht)Rechtsanwalt, Köln

Dr. Philipp Kircher Rechtsanwalt, Berlin

Kristin Kirsch, LL.M. (Legal Tech)Rechtsanwältin, Fachanwältin für Informationstechnologierecht, München

Elisabeth KohoutekRechtsanwältin, Frankfurt

Julian MonschkeRechtsanwalt, Frankfurt

Dr. Carolin MonseesRechtsanwältin, Fachanwältin für Informationstechnologierecht, Hamburg

Dr. Nadja MüllerRechtsanwältin, Köln

Peter Schüller, LL.M. (Medizinrecht)Director Legal, Berlin

Dr. Andreas StauferRechtsanwalt, Fachanwalt für Informationstechnologierecht, Fachanwalt für Medizinrecht, München

Vanessa StenzelRegierungsdirektorin, Düsseldorf

Prof. Dr. Frank StollmannLeitender Ministerialrat, Honorarprofessor an der Heinrich-Heine-Universität Düsseldorf

Dr. Paul Vogel, LL.M. (Eur.)Rechtsanwalt, München

Dr. Sebastian T. VogelRechtsanwalt, Fachanwalt für Strafrecht, Berlin

Dr. Marcus VogelerRechtsanwalt, Fachanwalt für Medizinrecht, Hannover

Dr. Thilo WeichertDeutsche Vereinigung für Datenschutz e.V., Kiel

Dr. Ole ZieglerRechtsanwalt, Fachanwalt für Medizinrecht, Fachanwalt für Handels- und Gesellschaftsrecht, Frankfurt

Inhaltsübersicht

 Vorwort

 Bearbeiterverzeichnis

 Inhaltsverzeichnis

 Abkürzungsverzeichnis

 Gesamtliteraturverzeichnis

 1. KapitelCyberbedrohungslage im Gesundheitswesen(Dochow)

 2. KapitelRechtsgrundlagen der Cybersicherheit im Gesundheitswesen(Dittrich/Dochow/Ippach)

 3. KapitelTechnische Grundlagen(Hansen)

 4. KapitelKrankenhäuser(Monsees/Gehrmann)

 5. KapitelMedizinprodukte(Kohoutek)

 6. KapitelArzneimittel(Monschke/Copeland)

 7. KapitelLaborbereich(Dittrich/Ippach)

 8. KapitelTelematikinfrastruktur(Dochow/Herpers)

 9. KapitelAmbulante Gesundheitsversorgung(Grzesiek)

 10. KapitelPflege(Staufer/Kirsch)

 11. KapitelRettungsdienste, Katastrophenschutz und Notrufleitstellen(Staufer/Kirsch)

 12. KapitelDigitale Gesundheitsanwendungen und Health Apps(Kohoutek)

 13. KapitelTelemedizin(Hahn/Schüller)

 14. KapitelSozialdatenverwaltung(Kircher)

 15. KapitelGesundheitsforschung(Weichert)

 16. KapitelRegister des Gesundheitswesens(Stollmann/Stenzel)

 17. KapitelCybersicherheit im öffentlichen Gesundheitsdienst(Franck)

 18. KapitelCompliance und Cybersicherheitsmanagement(Müller/Dittrich)

 19. KapitelCybercrime im Gesundheitswesen(S. T. Vogel)

 20. KapitelPatientenschäden und Cybersicherheit: Haftung der Behandlerseite(Vogeler)

 21. KapitelKünstliche Intelligenz und Cybersicherheit im Krankenhaus(P. Vogel)

 22. KapitelVersicherungslösungen für Cybergefahren(Grieger)

 23. KapitelAnforderungen an die Vertragsgestaltung(Ziegler)

 24. KapitelCyber Incident – Legal-Checkliste(Adelberg/Dittrich)

 Stichwortverzeichnis

Inhaltsverzeichnis

 Vorwort

 Bearbeiterverzeichnis

 Inhaltsübersicht

 Abkürzungsverzeichnis

 Gesamtliteraturverzeichnis

 1. KapitelCyberbedrohungslage im Gesundheitswesen

  A.Einführung1

  B.Lageberichte zur IT-Sicherheit in Deutschland2 – 6

  C.Bedrohungslage aus Sicht von Cyberkriminellen7, 8

  D.Bedrohungslage nach Sektoren und anderen Bereichen9 – 39

   I.Stationärer Gesundheitssektor9 – 18

    1.Lukas-Krankenhaus Neuss 201610

    2.DRK-Kliniken Südwest 201911, 12

    3.Universitätsklinikum Düsseldorf 202013

    4.Klinikum Bremen 202314

    5.Universitätsklinikum Frankfurt 202315

    6.Krankenhaus Esslingen 202316

    7.Betroffene Kliniken im Jahr 202417, 18

   II.Ambulanter Sektor19 – 22

    1.Angriffe auf Arztpraxen19, 20

    2.Angriffe auf Dienstleister21, 22

   III.Krankenversicherungen23 – 25

   IV.Telematikinfrastruktur26 – 30

   V.Medizinprodukte31

   VI.Arzneimittelbereich und Apotheken32 – 34

   VII.Gesundheits-Apps35 – 37

   VIII.Einrichtungen der Gesundheits- und Selbstverwaltung38, 39

  E.Fazit40, 41

 2. KapitelRechtsgrundlagen der Cybersicherheit im Gesundheitswesen

  A.Einführung1 – 3

  B.Verfassungsrecht und Grundrechte (Überblick)4 – 8

  C.Europarecht9 – 33

   I.EU-Grundrechte-Charta10, 11

   II.NIS-Richtlinie12, 13

   III.NIS-2-Richtlinie14 – 19

   IV.Resilienz-Richtlinie20, 21

   V.DSGVO22 – 31

    1.Grundsätze und Anforderungen23 – 25

    2.Technische und organisatorische Maßnahmen26 – 30

    3.Meldungen von Datenschutzverletzungen31

   VI.Europäischer Gesundheitsdatenraum und weitere Vorhaben32, 33

  D.Nationales Recht34 – 61

   I.BSIG mit BSI-KritisV37 – 39

   II.BSIG-E aufgrund NIS2UmsuCG40 – 49

   III.KRITIS-DachG-E50 – 53

   IV.SGB V54 – 58

    1.Cybersicherheit nach den Richtlinien gemäß § 390 SGB V56

    2.Cybersicherheit nach § 391 SGB V57

    3.Cybersicherheit in der Telematikinfrastruktur58

   V.Cybersicherheit und Berufsgeheimnisschutz59 – 61

  E.Fazit und Ausblick62 – 64

 3. KapitelTechnische Grundlagen

  A.Einführung1 – 3

  B.Begriff der Cybersicherheit4, 5

  C.Anforderungen an die Cybersicherheit6 – 24

   I.Schutzziele der Cybersicherheit7 – 22

    1.Klassische Schutzziele7 – 11

    2.Authentizität als ableitbares Schutzziel12

    3.Bedeutung von Resilienz13, 14

    4.Die Gewährleistungsziele des Standard-Datenschutzmodells15 – 22

   II.Stand der Technik23, 24

  D.Bedrohungen25 – 32

   I.Schwachstellen25 – 30

   II.Angriffsarten von Cyberkriminellen31, 32

  E.Maßnahmen zur Gewährleistung des Schutzes33 – 40

   I.Allgemeine Schutzmaßnahmen33, 34

   II.Verschlüsselung35

   III.Authentifizierung, Autorisierung, Signaturen36

   IV.Absicherung von Kommunikationsnetzen37

   V.Anonymisierung, Pseudonymisierung und Löschen38

   VI.Umgang mit Sicherheitsvorfällen39, 40

  F.Standards im Bereich Cybersicherheit41 – 48

   I.Allgemeine Cybersicherheitsstandards42 – 44

   II.Spezifische Cybersicherheitsstandards für den Gesundheitsbereich45 – 48

  G.Fazit und Ausblick49

 4. KapitelKrankenhäuser

  A.Krankenhäuser1 – 99

   I.Bedeutung der Cybersicherheit im Krankenhausbereich1 – 3

   II.Grundlegende Regelungssystematik für Krankenhäuser4 – 17

   III.Anforderungen für Krankenhäuser als Kritische Infrastrukturen nach dem BSIG18 – 55

    1.Umsetzung der OTV mit B3S21 – 33

    2.Nachweispflichten34 – 37

    3.Meldepflicht38 – 49

    4.Kooperations- und sonstige Pflichten50, 51

    5.Sanktionen52 – 55

   IV.Anforderungen für Krankenhäuser nach § 391 SGB V56 – 61

    1.Regelungsgeschichte und Anwendungsbereich57

    2.Umsetzung der OTV mit Empfehlung für B3S58, 59

    3.Rechtsfolgen mangelhafter Umsetzung60, 61

   V.Cybersicherheit nach der DSGVO62 – 92

    1.Besonderheiten im Krankenhaus62 – 80

     a)Öffentliche Träger72 – 75

     b)Private Träger76

     c)Freigemeinnütziger Träger77 – 80

    2.Meldepflichten nach der DSGVO81 – 83

    3.Umsetzungshinweise von Behörden84, 85

    4.Sanktionen nach der DSGVO86 – 88

    5.Vorfälle aus Datenschutzberichten/Praxis89 – 92

   VI.Förderung von Cybersicherheit (KHZG u.a.) und Förderungsbedarf93 – 97

  B.Fazit und Ausblick98, 99

 5. KapitelMedizinprodukte

  A.Einführung1

  B.Kritische Infrastrukturen nach dem BSIG2 – 15

   I.Versorgung mit Medizinprodukten4, 5

   II.Sicherheit in der Informationstechnik6 – 8

   III.Umsetzung der OTV bzw. TOM mit B3S9 – 11

   IV.Weitere Rechtspflichten und Sanktionen12 – 15

  C.Cybersicherheit nach Medizinprodukterecht16 – 37

   I.Einleitung16 – 20

   II.„Secure by Design“21 – 29

   III.Dokumentation und Gebrauchsanweisung30 – 32

   IV.Überwachung nach dem Inverkehrbringen und Vigilanz33 – 35

   V.Betrieb und Anwendung von Medizinprodukten36, 37

  D.Cybersicherheit und Produkthaftung38 – 43

   I.Haftung nach dem ProdHaftG39 – 41

   II.Deliktische Haftung42, 43

  E.Cybersicherheit nach der DSGVO44 – 46

  F.Fazit und Ausblick47, 48

 6. KapitelArzneimittel

  A.Einleitung1 – 42

   I.Kritische Infrastrukturen nach dem BSIG5 – 25

    1.Anwendungsbereich5 – 17

     a)Herstellung8 – 11

     b)Vertrieb12 – 14

     c)Abgabe durch Apotheken15 – 17

    2.Umsetzung der OTV mit B3S18, 19

    3.Weitere Rechtspflichten und Sanktionen 20

    4.Ausblick auf die Umsetzung der NIS-2-RL und die CER-Richtlinie21 – 25

   II.Cybersicherheit im nationalen Arzneimittelrecht26 – 29

   III.Cybersicherheit nach der DSGVO30 – 35

    1.Begriff der Gesundheitsdaten als besondere Kategorie personenbezogen Daten31 – 33

    2.Rechtliche Einordnung und Besonderheiten34, 35

   IV.Geschäftsgeheimnisschutz in der Pharmaforschung36 – 39

   V.Das E-Rezept40 – 42

  B.Fazit und Ausblick43 – 46

 7. KapitelLaborbereich

  A.Einführung1, 2

  B.Labormedizin im Anwendungsbereich des BSIG3 – 12

   I.Anwendungsbereich der BSI-KritisV seit 20173 – 5

   II.Anwendungsbereich der BSI-KritisV seit 20216, 7

   III.Labormedizin als Kritische Infrastruktur in den nächsten Jahren8, 9

   IV.Pflichtenprogramm und drohende Sanktionen aus dem BSIG10 – 12

  C.Anwendungsbereich des KRITIS-Dachgesetzes13 – 15

  D.DSGVO16 – 20

  E.Fazit und Ausblick21, 22

 8. KapitelTelematikinfrastruktur

  A.Einführung: Bedeutung der Telematikinfrastruktur1, 2

  B.Grundlagen zur Telematikinfrastruktur3 – 31

   I.Rechtliche Einordnung3 – 5

   II.Definitionen und Begriffe6 – 11

   III.Anwendungen im Überblick12 – 15

   IV.Sicherheitsarchitektur und Sicherheitsleistungen der TI16 – 31

    1.Sichere Anbindung an das Netz der TI17, 18

    2.Digitale Identitäten19 – 24

     a)Smartcards und PKI20 – 22

     b)Kartenunabhängige Identitäten und Identity Provider23, 24

    3.Ver- und Entschlüsselung25 – 27

    4.Elektronische Signaturen28 – 31

  C.Regulierung der Cybersicherheit32 – 80

   I.Rolle und Aufgaben der gematik35 – 39

   II.Betriebsverantwortung der gematik40, 41

   III.Nachweis von Produktsicherheit42 – 54

    1.Auftragsvergabe und Zulassung von Betriebsleistungen 44 – 46

    2.Zulassung von Komponenten und Diensten 47 – 50

    3.Zulassung von Herstellern und Anbietern51, 52

    4.Bestätigung von weiteren Diensten und Anwendungen53, 54

   IV.Überwachung von Funktionsfähigkeit und Sicherheit55 – 74

    1.Meldepflichten und Maßnahmen zur Gefahrenabwehr (§ 329 SGB V) 56 – 63

     a)Meldepflichten56 – 60

     b)Gefahrenabwehrmaßnahmen61 – 63

    2.Vorkehrungen zur Vermeidung von Störungen (§ 330 SGB V) 64, 65

    3.Maßnahmen zur Betriebsüberwachung (§ 331 SGB V)66 – 69

    4.Anforderungen an Dienstleister (§ 332 SGB V)70, 71

    5.Überprüfung durch das BSI (§ 333 SGB V)72 – 74

   V.Zugriffskonzept75, 76

   VI.Sanktionen77 – 80

  D.Fazit und Ausblick81, 82

 9. KapitelAmbulante Gesundheitsversorgung

  A.Steigende Bedrohung der ambulanten Gesundheitsversorgung durch Cyberattacken1 – 4

  B.§ 390 SGB V und KBV-Richtlinie5 – 18

   I.Rechtliche Grundlagen nach § 390 SGB V7 – 9

   II.Anwendungsbereich der IT-Sicherheitsrichtlinien10, 11

   III.Pflichten nach der KBV-Richtlinie zur IT-Sicherheit12 – 17

    1.Grundlegende Anforderungen an alle Arztpraxen13, 14

    2.Weitere Anforderungen15 – 17

   IV.Rechtsfolgen mangelhafter Umsetzung18

  C.Cybersicherheit nach der DSGVO19 – 48

   I.Besonderheiten in der vertrags(zahn)ärztlichen Versorgung21

   II.Privatärztlicher Bereich22 – 32

    1.Abstrakte Anforderungen nach der DSGVO23 – 27

    2.Berufsrecht28, 29

    3.Umsetzungshinweise von Behörden30 – 32

   III.Zusammenarbeit mit externen Dienstleistern33 – 46

   IV.Meldepflichten nach der DSGVO47, 48

  D.Das Digital-Gesetz49 – 68

   I.Die Einrichtung der elektronischen Patientenakte52 – 54

   II.Beratung und Unterstützung durch den sog. Digitalbeirat55

   III.Verbesserung der Interoperabilität56, 57

   IV.Erhöhung der Cybersicherheit58 – 68

    1.IT-Sicherheit in der vertrags(zahn)ärztlichen Versorgung61, 62

    2.IT-Sicherheit in Krankenhäusern63, 64

    3.IT-Sicherheit in gesetzlichen Krankenkassen65, 66

    4.Cloud-Einsatz im Gesundheitswesen67, 68

  E.Rechtsfolgen und Sanktionen69 – 79

   1.Zivilrechtlicher Schadenersatz70, 71

   2.Datenschutzrechtliche Sanktionen72 – 74

   3.Strafrechtliche Risiken75 – 79

  F.Basis-IT-Sicherheitskonzept80 – 82

  G.Fazit und Ausblick83 – 86

 10. KapitelPflege

  A.Allgemeine Anmerkungen1 – 5

  B.Cybersicherheit in der Pflege6 – 18

   I.Übersicht, Aufgaben und Ziele der Pflege6 – 9

   II.Gesetzliche Grundlagen der Cybersicherheit10, 11

   III.Cybersicherheit von Pflegeeinrichtungen in Gesundheitskonzernen12 – 15

   IV.Cybersicherheit bei Herstellern16, 17

  C.Fazit18

 11. KapitelRettungsdienste, Katastrophenschutz und Notrufleitstellen

  A.Allgemeine Anmerkungen1 – 8

  B.Cybersicherheit im Rettungsdienst9 – 40

   I.Übersicht9 – 12

   II.Gefahrenlage im Rettungsdienst bei Digitalisierung und Vernetzung13 – 17

   III.Gesetzliche Bestimmungen zur Cybersicherheit18 – 36

    1.Baden-Württemberg19

    2.Bayern20

    3.Berlin21

    4.Brandenburg22

    5.Bremen23

    6.Hamburg24

    7.Hessen25

    8.Mecklenburg-Vorpommern26

    9.Niedersachsen27

    10.Nordrhein-Westfalen28

    11.Rheinland-Pfalz29

    12.Saarland30

    13.Sachsen31

    14.Sachsen-Anhalt32

    15.Schleswig-Holstein33

    16.Thüringen34 – 36

   IV.Cybersicherheit in der Luftrettung37 – 39

   V.Reformbedarf bei Änderung der Notfallversorgung40

  C.Cybersicherheit bei Notrufleitstellen und Lagezentren41 – 50

   I.Übersicht, Aufgaben und Rechtsgrundlagen41 – 45

   II.Gefahrenlage für Notrufleitstellen und Lagezentren46 – 49

   III.Reformbedarf und Gesetzgebungskompetenzen50

  D.Fazit und Ausblick51, 52

 12. KapitelDigitale Gesundheitsanwendungen und Health Apps

  A.Digitale Gesundheits- und Pflegeanwendungen1 – 18

   I.Hintergrund und Anwendungsgebiete von DiGA1 – 4

   II.Zulassungsverfahren mit Schwerpunkt Cybersicherheit5 – 11

    1.Fast-Track-Verfahren5 – 9

    2.Streichung aus DiGA-Verzeichnis wegen Cybervorfällen10, 11

   III.Datenschutz im Zulassungsverfahren12 – 14

   IV.Digitale Pflegeanwendungen nach dem SGB XI15 – 18

  B.Cybersicherheit nach der DSGVO19 – 21

  C.Cybersicherheit nach der MDR22, 23

  D.Fazit und Ausblick24, 25

 13. KapitelTelemedizin

  A.Telemedizin in Deutschland1 – 6

   I.Einführung1

   II.(Zulässige) Anwendungsmöglichkeiten2 – 6

  B.Cybersicherheit nach der DSGVO7 – 25

   I.Grundsätze der Datensicherheit8

   II.Pflichten des Verantwortlichen9

   III.Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellung10

   IV.Sicherheit der Verarbeitung11 – 20

    1.Grundsätzliches11

    2.Technische und organisatorische Maßnahmen (TOM)12 – 20

   V.Datenschutz-Folgenabschätzung21 – 25

    1.Erforderlichkeit22 – 24

    2.Zeitpunkt der Durchführung25

  C.Telemedizin und Anforderungen an die Cybersicherheit nach SGB V, BMV-Ä, BMV-Z und weiteren Vereinbarungen26 – 46

   I.Vereinbarung über telemedizinische Leistungen in der vertragsärztlichen Versorgung (Anlage 31 BMV-Ä)27

   II.Konsiliarische Befundbeurteilung von Röntgenaufnahmen (§ 364 SGB V)28 – 32

   III.Videosprechstunde in der vertrags(zahn)ärztlichen Versorgung (§§ 365 und 366 SGB V)33 – 38

   IV.Telemedizinische Konsilien (§ 367 SGB V)39

   V.Telemedizinisches Monitoring (§ 367a SGB V)40, 41

   VI.Versorgung mit Hebammenhilfe im Wege der Videobetreuung (§ 134a Abs. 1d S. 1 Nr. 1 und 2 SGB V)42 – 45

   VII.Ambulante Behandlung in stationären Pflegeeinrichtungen (§ 119b Abs. 2b SGB V)46

  D.Fazit und Ausblick47

 14. KapitelSozialdatenverwaltung

  A.IT-Sicherheitsrecht in der Sozialdatenverwaltung1, 2

  B.Cybersicherheit im Sozialrecht (Regelungen im SGB X)3 – 12

  C.Kranken- und Pflegeversicherungen (einschl. KRITIS-Sektor nach BSIG und BSI-KritisV)13 – 23

  D.Fazit und Ausblick24 – 27

 15. KapitelGesundheitsforschung

  A.Verfassungsrechtliche Vorgaben für die Forschung1 – 6

  B.Forschung in der DSGVO7 – 12

   I.Zweckbindung8, 9

   II.Betroffenenrechte10 – 12

  C.Weitere EU-Regelungen13 – 16

  D.Nationalgesetzliche Regelungen17 – 26

   I.Datenschutz- und Medizinrecht19

   II.Allgemeine Regelungen20 – 23

    1.Einwilligung21

    2.Gesetzliche Abwägungsregelungen22, 23

   III.Spezifische Regelungen 24 – 26

  E.Spezifische Garantien27 – 61

   I.Verarbeitungsverbote28, 29

   II.Personelle Anforderungen30 – 32

   III.Prozedurale Anforderungen33 – 35

   IV.Weitere formelle Anforderungen36

   V.Insbesondere Datenminimierung37 – 44

   VI.Treuhänder 45, 46

   VII.Forschungsprozesse47, 48

   VIII.Transparenz und Betroffenenrechte49 – 51

   IX.Technisch-organisatorische Vorkehrungen52

   X.Register und Biobanken53 – 60

   XI.Forschungsdateninfrastruktur61

  F.Ausblick62 – 64

 16. KapitelRegister des Gesundheitswesens

  A.Besondere Rechtsvorschriften bei Registern1 – 34

   I.Ausgangslage1 – 7

   II.Registerlandschaft in Deutschland8 – 34

    1.Transplantationsregister10 – 21

    2.Implantate Register22 – 26

    3.Klinische Krebsregister27 – 34

  B.Cybersicherheit nach der DSGVO35 – 45

  C.Fazit und Ausblick46 – 48

 17. KapitelCybersicherheit im öffentlichen Gesundheitsdienst

  A.Einführung1

  B.Informationssicherheitsrecht(e) der öffentlichen Verwaltung2 – 17

   I.Verwaltungsverfahrensgeheimnis3 – 5

   II.Datenschutzrecht6 – 10

   III.IT-Sicherheitsrecht11 – 13

   IV.Geheimschutzrecht14 – 17

  C.Cybersicherheitsrecht(e) der Gesundheitsämter in den Ländern18 – 57

   I.Baden-Württemberg19 – 22

   II.Bayern23, 24

   III.Berlin25, 26

   IV.Brandenburg27, 28

   V.Bremen29, 30

   VI.Hamburg31, 32

   VII.Hessen33, 34

   VIII.Mecklenburg-Vorpommern35, 36

   IX.Niedersachsen37, 38

   X.Nordrhein-Westfalen39, 40

   XI.Rheinland-Pfalz41 – 43

   XII.Saarland44, 45

   XIII.Sachsen46 – 50

   XIV.Sachsen-Anhalt51 – 53

   XV.Schleswig-Holstein54, 55

   XVI.Thüringen56, 57

  D.Pakt für den Öffentlichen Gesundheitsdienst58 – 63

  E.Zusammenfassung und Ausblick64 – 68

 18. KapitelCompliance und Cybersicherheitsmanagement

  A.Cybersicherheit als Pflicht der Unternehmensleitung1 – 49

   I.Gesetzliche Grundlagen für Compliance-Pflichten und Anforderungen für Geschäftsleitungen2 – 40

    1.Leitungspflichten aus dem Gesellschaftsrecht3 – 12

     a)Einleitung zu den Leitungspflichten3 – 5

     b)Rechtsprechung zu den gesellschaftsrechtlichen Compliance-Pflichten6 – 12

    2.Compliance-Pflichten aus dem OWiG13 – 20

     a)Organisationsverschulden nach § 130 OWiG14, 15

     b)Verbandsgeldbuße nach § 30 OWiG16

     c)Panzerhaubitzen-Entscheidung des BGH vom 9.5.201717

     d)Rechtspolitische Erwägungen18 – 20

    3.Compliance-Pflichten aus der DSGVO21, 22

    4.Compliance-Pflichten aus dem Geschäftsgeheimnisschutzgesetz23 – 27

    5.Compliance-Pflichten aus dem BSIG28 – 40

     a)Stand des BSIG vor dem NIS2UmsuCG29

     b)Exkurs: Referentenentwurf zum NIS2UmsuCG30 – 40

   II.Wirkung von Compliance auf Bußgelder und andere Sanktionen41 – 49

    1.Folgen von Rechtsverstößen für die Geschäftsführung41 – 43

    2.Folgen von Rechtsverstößen für das Unternehmen44

    3.Bußgeldmindernde Wirkung eines Compliance-Management-Systems45 – 49

  B.Umsetzungsmaßnahmen zur Cybersicherheits-Compliance50 – 77

   I.Allgemeine Hinweise zum Compliance-Management50 – 57

   II.Hinweisgebersysteme bei Cybergefahren58 – 67

    1.Hinweisgebersystem nach dem Hinweisgeberschutzgesetz59 – 63

     a)EU-Whistleblowerrichtlinie59

     b)IT-Sicherheit im HinSchG60 – 62

     c)Sanktionsrelevanz des HinSchG63

    2.Hinweisgebersysteme außerhalb des HinSchG64 – 67

   III.Internal Investigations68 – 71

   IV.Standards im Bereich Compliance und Cybersicherheit72, 73

   V.Kooperation mit Behörden und Dritten74 – 77

  C.Fazit und Ausblick78 – 81

 19. KapitelCybercrime im Gesundheitswesen

  A.Cybercrime-Tatbestände bei Cyberangriffen und anderen Vorfällen1 – 14

   I.Straftatbestände nach dem StGB2 – 10

   II.Die Verletzung von Geschäftsgeheimnissen nach § 23 GeschGehG11 – 14

    1.Betrachtung aus Sicht der Täter11, 12

    2.Strafbarkeitsrisiken für die Leistungserbringer13, 14

  B.Körperverletzungs- und Tötungsdelikte im Zusammenhang mit Cyberangriffen15 – 27

   I.Betrachtung aus Sicht der Täter16 – 21

   II.Strafbarkeitsrisiken für die Leistungserbringer22 – 27

  C.Strafbarkeit der Lösegeldzahlung28 – 47

   I.Einführung28

   II.Empfehlungen contra Lösegeldzahlungen29

   III.Strafbarkeit bei der Zahlung von Lösegeld30 – 46

    1.Unterstützung einer kriminellen Vereinigung, § 129 Abs. 1 S. 2 StGB32 – 39

    2.Terrorismusfinanzierung40, 41

    3.Geldwäsche42

    4.Verstöße gegen das Außenwirtschafts- und EU-Sanktionsrecht43, 44

    5.Untreue45, 46

   IV.Strafbarkeit von Versicherern47

  D.Strafbare Schweigepflichtverletzung durch Unterlassen48 – 52

  E.Strafanzeige bei Cybercrime als Mittel der Wahl53 – 55

  F.Behördliche Ermittlungsmaßnahmen bei Cybercrime mit Auswirkungen auf die Leistungserbringer56 – 63

   I.Durchsuchung57 – 59

   II.Beschlagnahme und Sicherstellung60, 61

   III.Ermittlungen infolge von Hinweisen durch Whistleblower62, 63

  G.Fazit und Ausblick64, 65

 20. KapitelPatientenschäden und Cybersicherheit: Haftung der Behandlerseite

  A.Problemstellung und Haftungsgrundlagen1 – 9

   I.Inkorporierung des Cybersicherheitsrechts in das allgemeine Arzthaftungsrecht2 – 7

    1.Ausgangslage: Nichterbringung des Facharztstandards2

    2.„Cybersicherheit“ – dogmatische Einordnung3 – 5

    3.Aufklärungsfehlerhaftung?6, 7

   II.Weitere mögliche Anspruchsgrundlagen8, 9

  B.(Haftungserhebliche) Standards der Cybersicherheit10 – 15

   I.Standard und Verkehrspflichten10 – 12

   II.Konkrete Cybersicherheitsstandards13 – 15

  C.Auswirkungen auf die Darlegungs- und Beweislast16 – 26

   I.Sekundäre Darlegungslast17, 18

   II.Cybersicherheit als voll beherrschbares Behandlungsrisiko19 – 21

   III.Cybersicherheit und grober Behandlungsfehler22 – 24

   IV.Anscheinsbeweis25, 26

  D.Mithaftung Dritter und die Auswirkung auf die Haftung27 – 29

   I.Cyberkriminelle27

   II.Fehlverhalten von Angestellten28

   III.Externe Dienstleister29

  E.Fazit und Ausblick30

 21. KapitelKünstliche Intelligenz und Cybersicherheit im Krankenhaus

  A.Einführung1 – 5

  B.Chancen und Risiken des Einsatzes von KI im Krankenhaus6 – 12

  C.Regulatorischer Rahmen für den Einsatz von KI im Hinblick auf Cybersicherheit13 – 20

   I.DSGVO14 – 17

   II.KI-VO-E18 – 20

  D.Fazit und Ausblick21, 22

 22. KapitelVersicherungslösungen für Cybergefahren

  A.Cyberversicherungen nach AVB Cyber1 – 10

   I.Inhalt von Cyberversicherungen1 – 7

   II.Patientenschäden und Versicherungslösungen8 – 10

  B.Obliegenheiten im Versicherungsverhältnis11 – 25

   I.Vor Abschluss der Versicherung11, 12

   II.Nach Abschluss der Versicherungen mit Rechtsfolgen bei Verletzungen13 – 25

    1.Umsetzung gesetzlicher Vorgaben zur IT-Sicherheit13 – 15

    2.Umsetzung vertraglicher Vorgaben zur IT-Sicherheit16 – 21

    3.Anzeigepflicht und Schadensverminderungspflicht22 – 25

  C.Unterstützung durch Versicherungsgeber bei IT-Vorfall26 – 30

  D.Fazit und Ausblick31 – 36

 23. KapitelAnforderungen an die Vertragsgestaltung

  A.Einleitung1 – 5

  B.Verträge mit IT-Dienstleistern6 – 32

   I.Pflichten des medizinischen Leistungserbringers6 – 13

    1.Anschluss an die Telematikinfrastruktur7, 8

    2.Vorgaben zur IT-Sicherheit in der vertrags(zahn)ärztlichen Versorgung gemäß § 390 SGB V9, 10

    3.Vorgaben zur IT-Sicherheit in Krankenhäusern gemäß § 391 SGB V11, 12

    4.Vorgaben zur IT-Sicherheit für den Einsatz von Cloud-Diensten gemäß § 393 SGB V13

   II.IT-Dienstleister als Verantwortlicher14 – 18

    1.Gesetzliche Verantwortlichkeit15, 16

    2.Vertragliche Verantwortlichkeit17, 18

   III.Möglichkeiten der Vertragsgestaltung19 – 32

    1.Konkretisierung des Leistungsgegenstands20 – 25

    2.Anforderungen an das Personal26, 27

    3.Mangelfreiheit der Leistungserbringung28

    4.Haftung im Innenverhältnis und Freistellung29, 30

    5.Vertragsstrafe31, 32

  C.Aspekte der Cybersicherheit bei Kooperationen von medizinischen Einrichtungen33 – 52

   I.Gesetzliches Rücksichtnahmegebot und Verantwortlichkeiten33 – 39

   II.Möglichkeiten der Vertragsgestaltung40 – 52

    1.Proaktiv wirkende vertragliche Instrumente40 – 44

    2.Vertragliche Instrumente in Bezug auf die Durchführung einer Kooperation45, 46

    3.Vertragliche Regelungen in Bezug auf den Umgang mit unerwünschten IT-Sicherheitsvorfällen47 – 52

  D.Aspekte von Kooperationen mit internationalen Vertragspartnern53 – 58

   I.Datenschutzrecht53

   II.Anwendbares Recht und Rechtswahlklausel54 – 57

   III.Gerichtsstandvereinbarungen58

  E.Fazit59

 24. KapitelCyber Incident – Legal-Checkliste

  A.Einführung zu Cyber Incident Plänen1 – 5

  B.Die vorbereitende Arbeit mit der Legal-Checkliste6 – 9

  C.Die Arbeit mit der Legal-Checkliste im Notfall10 – 13

  D.Anhang: Legal-Checkliste (als Übersicht)14

 Stichwortverzeichnis

Abkürzungsverzeichnis

a.A.

andere/r Ansicht

Abk.

Abkommen

abl.

ablehnend

Abs.

Absatz

abw.

abweichend

a.E.

am Ende

AEUV

Vertrag über die Arbeitsweise der Europäischen Union

a.F.

alte Fassung

allg.

allgemein

allg.M.

allgemeine Meinung

AMG

Arzneimittelgesetz

Anm.

Anmerkung

ApoG

Apothekengesetz

APT

Advanced Persistent Threats

Art.

Artikel

BÄK

Bundesärztekammer

Beschl.

Beschluss

BBK

Bundesamt für Bevölkerungsschutz und Katastrophenhilfe

BDSG

Bundesdatenschutzgesetz

BfArM

Bundesinstitut für Arzneimittel und Medizinprodukte

BGBl.

Bundesgesetzblatt

BMV-Ä

Bundesmantelvertrag-Ärzte

BSI

Bundesamt für Sicherheit in der Informationstechnik

BSIG

Gesetz über das Bundesamt für Sicherheit in der Informationstechnik

BSIG-E

Entwurf des Gesetzes über das Bundesamt für Sicherheit in der Informationstechnik

BSI-KritisV

Verordnung zur Bestimmung Kritischer Infrastrukturen nach dem BSI-Gesetz

Bsp.

Beispiel

BT-Drucks.

Bundestagsdrucksache

bzgl.

bezüglich

bzw.

beziehungsweise

CCaaS

Cybercrime-as-a-Service

CER-RL

Resilienz-Richtlinie

CERT

Computer Emergency Response Teams

CPU

Central Processing Unit

CSIRT

Computer Security Incident Response Team

CVSS

Common Vulnerability Scoring System

DAkkS

Deutsche Akkreditierungsstelle GmbH

DDoS

Distributed-Denial-of-Service

d.h.

das heißt

DiGA

Digitale Gesundheitsanwendung(en)

DiGAV

Digitale Gesundheitsanwendungen-Verordnung

DigiG

Gesetz zur Beschleunigung der Digitalisierung des Gesundheitswesens (Digital-Gesetz)

DiPA

Digitale Pflegeanwendungen

DORA

Digital Operational Resilience Act

DoS

Denial-of-Service

DSGVO

Datenschutz-Grundverordnung

DSK

Konferenz der Datenschutzbeauftragten des Bundes und der Länder (Datenschutzkonferenz)

DVG

Digitale-Versorgung-Gesetz

eAU

elektronische Arbeitsunfähigkeitsbescheinigung

EDSA

Europäische Datenschutzausschuss

EDPB

European Data Protection Board

EHDS

European Health Data Space/Europäischer Gesundheitsdatenraum

EHDS-VO

Verordnung zur Schaffung eines europäischen Raums für Gesundheitsdaten

entspr.

entsprechend

ePA

elektronische Patientenakte

ErwG

Erwägungsgrund

f.; ff.

(fort)folgende

Fn.

Fußnote

FS

Festschrift

GAMP

Good Automated Manufacturing Practice

GCP

Good Clinical Practice

GDNG

Gesundheitsdatennutzungsgesetz

GeschGehG

Gesetz zum Schutz von Geschäftsgeheimnissen

ggf.

gegebenenfalls

ggü.

gegenüber

GLP

Good Laboratory Practice

GMP

Good Manufacturing Practice

GRCh

Grundrechte-Charta

h.M.

herrschende Meinung

i.d.F.(v.)

in der Fassung (vom)

IEC

International Electrotechnical Commission

IKT

Informations- und Kommunikationstechnologie

i.S.d./v.

im Sinne des/von

ISMS

Informations-Sicherheits-Management-System

ISO

International Organization for Standardization

IT

Informationstechnik

IVDR

Verordnung (EU) 2017/746 über In-vitro-Diagnostika

i.V.m.

in Verbindung mit

Kap.

Kapitel

KBV

Kassenärztliche Bundesvereinigung

KHG

Krankenhausfinanzierungsgesetz

KHSFV

Verordnung zur Verwaltung des Strukturfonds im Krankenhausbereich

KHZG

Krankenhauszukunftsgesetz

KIM

Kommunikation im Medizinwesen

KI-VO

Verordnung zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz

krit.

kritisch

KRITIS

Kritische Infrastruktur

KRITIS-DachG

KRITIS-Dachgesetz

KZBV

Kassenzahnärztliche Bundesvereinigung

MBO-Ä

Musterberufsordnung für Ärzte

MDCG

Koordinierungsgruppe Medizinprodukte

MDR

Verordnung (EU) 2017/745 über Medizinprodukte

MIRT

Mobile Incident Response-Team

MISP

Malware Information Sharing Platform

MPA-MIV

Medizinprodukte-Anwendermelde- und Informationsverordnung

MPBetreibV

Medizinproduktebetreiberverordnung

m.w.N.

mit weiteren Nachweisen

NDA

Non-Disclosure Agreements

n.F.

neue Fassung

NIS2UmsuCG

NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz

NIS-Richtlinie

Richtlinie des Europäischen Parlaments und des Rates über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union

OH KIS

Orientierungshilfe Krankenhausinformationssysteme

OTV

organisatorische und technische Vorkehrungen; teils auch TOV

ProdHaftG

Produkthaftungsgesetz

RaaS

Ransomware-as-a-Service

RL

Richtlinie

Rz.

Randzahl

s./S.

siehe/Seite

SDM

Standard-Datenschutzmodell

s.o./u.

siehe oben/unten

sog.

sogenannte/r/s

TI

Telematikinfrastruktur

TLS

Transport Layer Security

TOM

technische und organisatorische Maßnahmen

TOV

technisch-organisatorische Vorkehrungen

u.a.

unter anderem

Uabs.

Unterabsatz

vgl.

vergleiche

VO

Verordnung

VPN

Virtual Private Networks

VZD

Verzeichnisdienst

ZAC

Zentrale Ansprechstelle Cybercrime

Gesamtliteraturverzeichnis

Bücher

Acker Ausschließliche Fernbehandlung im digitalen Zeitalter, 2023 (zit.: Acker S.)

Ahrens/Spickhoff Deliktsrecht, 2022 (zit.: Ahrens/Spickhoff § Rn.)

Auer-Reinsdorff/Conrad (Hrsg.) Handbuch IT- und Datenschutzrecht, 3. Aufl. 2019 (zit.: Auer-Reinsdorff/Conrad/Bearbeiter § Rz.)

Barthe/Gericke (Hrsg.) Karlsruher Kommentar zur Strafprozessordnung, 9. Aufl. 2023 (zit.: KK-StPO/Bearbeiter § Rz.)

Bay/Hastenrath (Hrsg.) Compliance-Management-Systeme, 3. Aufl. 2022 (Bay/Hastenrath/Bearbeiter § Rz.)

Becker/Kingreen (Hrsg.) SGB V, Gesetzliche Krankenversicherung, 8. Aufl. 2022 (zit.: Becker/Kingreen/Bearbeiter SGB V, § Rz.)

Bittner/Guntermann/Müller/Rostam(Hrsg.) Cybersecurity als Unternehmensleitungsaufgabe, 2021 (zit.: Bittner/Guntermann/Müller/Rostam/Bearbeiter Beitrag, S.)

Bürkle/Hauschka (Hrsg.) Der Compliance Officer, 2015 (Bürkle/Hauschka/Bearbeiter § Rz.)

Clausen/Schroeder-Printzen (Hrsg.) Münchener Anwaltshandbuch Medizinrecht, 3. Aufl. 2020 (zit.: MAH MedR/Bearbeiter § Rz.)

Dann Compliance im Krankenhaus, 2015 (Dann/Bearbeiter Compliance im Krankenhaus S.)

Dannecker/Dittrich/Schaich/Müller(Hrsg.) Das krisenresiliente Krankenhaus und MVZ – Kontinuität von Betriebsabläufen in Zeiten von Krisen und Cyberangriffen sichern, im Erscheinen (Frühjahr 2024) (zit.: Dannecker/Dittrich/Schaich/Müller/Bearbeiter S.)

Deinert/Körner/Knickrehm/Krasney/Mutschler/Rolfs (Hrsg.) BeckOGK SGB, Stand 15.2.2023 (zit.: BeckOGK SGB/Bearbeiter Gesetz § Rz.)

Dettling/Gerlach (Hrsg.) BeckOK Krankenhausrecht, 7. Ed. 2024, (zit.: BeckOK KHR/Bearbeiter § Rz.)

Dieners (Hrsg.) Handbuch Compliance im Gesundheitswesen, 4. Auf. 2022 (Dieners/Bearbeiter Compliance im Gesundheitswesen, Kap. Rz.)

Dierks/Roßnagel(Hrsg.) Sekundärnutzung von Sozial- und Gesundheitsdaten, 2019 (zit.: Dierks/Roßnagel/Bearbeiter Kapitel, S.)

Dochow Grundlagen und normativer Rahmen der Telematik im Gesundheitswesen, Zugleich eine Betrachtung des Systems der Schutzebenen des Gesundheitsdaten- und Patientengeheimnisschutzrechts, 2017 (zit.: Dochow Grundlagen, S.)

Dochow/Dörfer/Halbe/Hübner/Ippach/Schröder/Schütz/Strüve Datenschutz in der ärztlichen Praxis, 2019 (zit.: Dochow/Dörfer/Halbe u.a./Bearbeiter Kap. S.)

Ebers/Heinze/Krügel/Steinrötter Künstliche Intelligenz und Robotik, Rechtshandbuch, 2020 (zit.: Ebers/Heinze/Krügel/Steinrötter/Bearbeiter § Rz.)

Ehmann/Selmayr (Hrsg.) DS-GVO, 2. Aufl. 2018 (Ehmann/Selmayr/Bearbeiter Art. Rz.)

Ehring/Taeger (Hrsg.) NomosKommentar Produkthaftungs- und Produktsicherheitsrecht, 2022 (zit.: Ehring/Taeger/Bearbeiter NK-ProdR Gesetz § Rz. )

Erb/Schäfer (Hrsg.) Münchener Kommentar zum StGB, Bd. 1, 4. Aufl. 2020; Bd. 4, 4. Aufl. 2021; Bd. 6, 4. Aufl. 2022 (zit.: MüKo-StGB/Bearbeiter Bd., § Rz.)

Erbs/Kohlhaas Strafrechtliche Nebengesetze, 246. EL April 2023 (zit.: Erbs/Kohlhaas/Bearbeiter § Rz.)

Fischer Die Business Judgment Rule als typübergreifendes Institut, 2018 (zit.: Fischer S.)

Fischer Strafgesetzbuch mit Nebengesetzen, 71. Aufl. 2024 (zit.: Fischer StGB, § Rz.)

Forgó/Helfrich/Schneider (Hrsg.) Betrieblicher Datenschutz, 3. Aufl. 2019 (zit.: Forgó/Helfrich/Schneider/Bearbeiter Teil Kap. Rz.)

Frahm/Walter Arzthaftungsrecht, 7. Aufl. 2020 (zit.: Frahm/Walter Rz.)

Freimuth Die Gewährleistung der IT-Sicherheit Kritischer Infrastrukturen, 2018 (zit.: Freimuth S.)

Fuchs/Janda (Hrsg.) Europäisches Sozialrecht, 8. Aufl. 2022 (zit.: Fuchs/Janda/Bearbeiter EuSozR, Art.  Rz.)

Fuhlrott/Hiéramente BeckOK GeschGehG, 17. Ed., Stand 15.9.2023 (zit.: BeckOK GeschGehG/Bearbeiter § Rz.)

Fuhrmann/Klein/Fleischfresser (Hrsg.) Arzneimittelrecht, Handbuch für die pharmazeutische Rechtspraxis, 3. Aufl. 2020 (zit.: Fuhrmann/Klein/Fleischfresser/Bearbeiter Arzneimittelrecht, § Rz.)

Gabel/Heinrich/Kiefner (Hrsg.) Rechtshandbuch Cyber-Security, 2019 (zit.: Gabel/Heinrich/Kiefner/Bearbeiter Kap. Rz.)

Geiß/Greiner Arzthaftpflichtrecht, 8. Aufl. 2022 (zit.: Geiß/Greiner Arzthaftpflichtrecht, Rz.)

Gersdorf/Paal BeckOK Informations- und Medienrecht, 38. Ed. 2021 (zit.: BeckOK Informations- und Medienrecht/Bearbeiter Art. Rz.)

Goette/Arnold (Hrsg.) Handbuch Aufsichtsrat, 2021 (Goette/Arnold/Bearbeiter AR-HdB § Rz.)

Goette/Habersack/Kalss (Hrsg.) Münchener Kommentar zum Aktiengesetz, 5. Aufl. 2022, (MüKo-AktG/Bearbeiter Bd. § Rz.)

Gola/Heckmann (Hrsg.) DS-GVO BDSG, 3. Aufl. 2022 (zit.: Gola/Heckmann/Bearbeiter Gesetz Art./§  Rz.)

Grüneberg Bürgerliches Gesetzbuch, 81. Aufl. 2022 (zit.: Grüneberg/Bearbeiter § Rz.)

Gsell/Krüger/Lorenz/Reymann (Hrsg.) BeckOGK ProdHaftG, Stand 1.9.2022 (zit.: BeckOGK ProdHaftG/Bearbeiter § Rz.)

Hahn Telemedizin - Das Recht der Fernbehandlung, 2019 (zit.: Hahn S.)

Hänlein/Schuler (Hrsg.) Sozialgesetzbuch V, Gesetzliche Krankenversicherung, 6. Aufl. 2022 (zit.: Hänlein/Schuler/Bearbeiter LNK-SGB V § Rz.)

Hau/Posek (Hrsg.) BeckOK BGB, 67. Ed. 2023 (zit.: BeckOK BGB/Bearbeiter BGB § Rz.)

Hausch Der grobe Behandlungsfehler in der gerichtlichen Praxis, 2007 (zit.: Hausch S.)

Hauschka/Moosmayer/Lösler (Hrsg.) Corporate Compliance, 3. Aufl. 2016 (Hauschka/Moosmayer/Lösler/Bearbeiter § Rz.)

Hauser/Haag Datenschutz im Krankenhaus, 5. Aufl. 2019 (zit.: Hauser/Haag S.)

Henssler/Strohn (Hrsg.) Gesellschaftsrecht, 5. Aufl. 2021 (Henssler/Strohn/Bearbeiter Gesetz § Rz.)

Höra/Schubach (Hrsg.) Münchener Anwaltshandbuch Versicherungsrecht, 5. Aufl. 2022 (zit.: Höra/Schubach/Bearbeiter MAH VersR § Rz.)

Hoeren/Sieber/Holznagel (Hrsg.) Handbuch Multimedia-Recht, 59. EL Juni 2023 (zit.: Hoeren/Sieber/Holznagel/Bearbeiter Handbuch Multimedia-Recht, Teil Rz.)

Hoffmann-Riem (Hrsg.) Big Data – Regulative Herausforderungen, 2018 (zit.: Hoffmann-Riem/Bearbeiter Big Data – Regulative Herausforderungen, S.)

Hornung/Schallbruch (Hrsg.) IT-Sicherheitsrecht, 2021 (zit.: Hornung/Schallbruch/Bearbeiter IT-Sicherheitsrecht, Kap. Rz.)

Huster/Kaltenborn (Hrsg.) Krankenhausrecht, 2. Aufl. 2017 (zit.: Huster/Kaltenborn/Bearbeiter § Rz.)

Jarass/Pieroth Grundgesetz, 17. Aufl. 2022 (zit.: Jarass/Pieroth/Bearbeiter Art. Rz.)

Katzenmeier Arzthaftung, 2002 (zit.: Katzenmeier S.)

Kaulartz/Braegelmann (Hrsg.) Rechtshandbuch Artificial Intelligence and Machine Learning, 2020 (zit.: Kaulartz/Braegelmann/Bearbeiter Kap. Rz.)

Keller/Schönknecht/Glinke Geschäftsgeheimnisgesetz, 2021 (zit.: Keller/Schönknecht/Glinke/Bearbeiter § Rz.)

Kindhäuser/Neumann/Paeffgen/Saliger (Hrsg.) Strafgesetzbuch, 6. Aufl. 2023 (zit.: NK-StGB/Bearbeiter § Rz.)

Kipker (Hrsg.) Cybersecurity, 2. Aufl. 2023 (zit.: Kipker/Bearbeiter Cybersecurity, Kap. Rz.)

Kipker/Reusch/Ritter (Hrsg.) Recht der Informationssicherheit, 2023 (zit.: Kipker/Reusch/Ritter/Bearbeiter § Rz.)

Kipker/Voskamp (Hrsg.) Sozialdatenschutz in der Praxis, 2021 (zit.: Kipker/Voskamp/Bearbeiter Kap. Rz.)

Kircher Der Schutz personenbezogener Gesundheitsdaten im Gesundheitswesen, 2016 (zit.: Kircher S.)

Koch Aktiengesetz: AktG, 17. Aufl. 2023 (zit.: Koch § Rz.)

Kochheim Cybercrime und Strafrecht in der Informations- und Kommunikationstechnik, 2. Aufl. 2018 (zit.: Kochheim Kap. Rz.)

Körner/Krasney/Mutschler/Rolfs (Hrsg.) BeckOK (Kasseler Kommentar) SGB V (zit.: BeckOGK (KassKomm)/Bearbeiter SGB V § Rz.)

Krieger/Schneider(Hrsg.) HdB Managerhaftung, 4. Aufl. 2023 (Krieger/Schneider/Wilsing/Goslar HdB Managerhaftung § Rz.)

Krüger/Rauscher (Hrsg.) Münchener Kommentar zur Zivilprozessordnung, Bd. 1, §§ 1 – 354, 6. Aufl. 2020 (zit.: MüKo-ZPO/Bearbeiter Bd.1 § Rz.)

Kühling/Buchner (Hrsg.) DS-GVO – BDSG, 4. Aufl. 2024 (zit.: Kühling/Buchner/Bearbeiter Gesetz Art./§ Rz.)

Lackner/Kühl/Heger Strafgesetzbuch, 30. Aufl. 2023 (zit.: Lackner/Kühl/Heger/Bearbeiter StGB, § Rz.)

Laufs/Katzenmeier/Lipp Arztrecht, 8. Aufl. 2021 (zit.: Laufs/Katzenmeier/Lipp/Bearbeiter ArztR Kap. Rz.)

Laufs/Kern/Rehborn Handbuch des Arztrechts, 5. Aufl. 2019 (zit.: Laufs/Kern/Rehborn ArztR-HdB/Bearbeiter § Rz.)

Leipholz/Rinck GG (zit.: Leipholz/Rinck/Bearbeiter Art. Rz.)

Leupold/Wiebe/Glossner (Hrsg.) IT-Recht, 4. Aufl. 2021 (zit.: Leupold/Wiebe/Glossner/Bearbeiter Teil Rz.)

Marsch-Barner/Schäfer HdB börsennotierte AG, 5. Aufl. 2022 (zit.: Marsch-Barner/Schäfer/Bearbeiter Rz.)

Martis/Winkhart-Martis Arzthaftungsrecht, 6. Aufl. 2021 (zit.: Martis/Winkhart-Martis Rz.)

Melot de Beauregard/Lieder/Liersch (Hrsg.) Managerhaftung, 2022 (Melot de Beauregard/Lieder/Liersch/Bearbeiter § Rz.)

Moosmayer Compliance - Praxisleitfaden für Unternehmen, 4. Aufl. 2021 (zit.: Moosmayer § Rz.)

Mrozynski SGB I, 6. Aufl. 2019 (zit.: Mrozynski § Rz.)

Müller/Schlothauer/Knauer (Hrsg.) Münchener Anwaltshandbuch Strafverteidigung, 3. Aufl. 2022 (zit.: MAH Strafverteidigung/Bearbeiter § Rz.)

Oesterhoff/Gocke/Schneider/Debatin(Hrsg.) Digitalisierung im Krankenhaus, 2021 (zit.: Oesterhoff/Gocke/Schneider/Debatin/Bearbeiter Kap. S.)

Omlor Weltbürgerliches Recht, Festschrift für Michael Martinek zum 70. Geburtstag, 2020 (zit.: Omlor FS Martinek, S.)

Paal/Pauly (Hrsg.) Datenschutz-Grundverordnung - Bundesdatenschutzgesetz, 3. Aufl. 2021 (zit.: Paal/Pauly/Bearbeiter Gesetz Art./§ Rz.)

Plath (Hrsg.) DSGVO/BDSG/TTDSG, 4. Aufl. 2023 (zit.: Plath/Bearbeiter Gesetz Art./§ Rz.)

Park(Hrsg.) Kapitalmarktstrafrecht, 5. Aufl. 2019 (Park/Bearbeiter Kapitalmarktstrafrecht Kap. Rz.)

Park Durchsuchung und Beschlagnahme, 5. Aufl. 2022 (Park Durchsuchung § Rz.)

Peters Handbuch der Krankenversicherung – Teil II Sozialgesetzbuch V, Stand: Dezember 2023 (zit.: Peters/Bearbeiter HbKrV-SGB V, § Rz.)

Prölss/Martin (Hrsg.) Versicherungsvertragsgesetz: VVG, 31. Aufl. 2021 (zit.: Prölss/Martin/Bearbeiter Kap. Rz.)

Prütting (Hrsg.) Formularbuch Medizinrecht, 3. Aufl. 2023 (zit.: Prütting FormBMedR/Bearbeiter Kap. Rz.)

Ratzel/Lippert/Prütting MBO-Ä, 8. Auf. 2022 (zit.: MBO-Ä/Bearbeiter § Rz.)

Rehmann/Tillmanns E-Health/Digital Health, 2022 (zit.: Rehmann/Tillmanns/Bearbeiter Kap. Rz.)

Rieger/Dahm/Katzenmeier/Stellpflug/Ziegler (Hrsg.), Heidelberger Kommentar Arztrecht Krankenhausrecht Medizinrecht HK-AKM (zit.: HK-AKM/Bearbeiter Ordnungsnummer Rz.)

Rolfs/Giesen/Meßling/Udsching (Hrsg.) BeckOK Sozialrecht, 71. Ed., Stand 1.12.2023 (zit.: BeckOK SozR/Bearbeiter Gesetz § Rz.)

Rotsch Criminal Compliance, 2015 (zit.: Rotsch/Bearbeiter § Rz.)

Rüffer/Halbach/Schimikowski (Hrsg.) Versicherungsvertragsgesetz, 4. Aufl. 2020 (zit.: Rüffer/Halbach/Schimikowski/Bearbeiter Kap. Rz.)

Rust Die Substantiierungslast im Zivilprozess, 2021 (zit.: Rust S.)

Säcker/Rixecker/Oetker/Limperg (Hrsg.) Münchener Kommentar zum Bürgerlichen Gesetzbuch, Bd. 7, 8. Aufl. 2020 (zit.: MüKo-BGB/Bearbeiter Bd.7 § Rz.)

Saliger/Tsambikakis(Hrsg.) Strafrecht der Medizin, 2022 (zit.: Saliger/Tsambikakis MedStrafR-HdB/Bearbeiter § Rz.)

Saliger/Tsambikakis/Mückenberger/Huber (Hrsg.) Münchner Entwurf eines Verbandssanktionengesetzes, 2019 (zit.: Verbandssanktionengesetz/Bearbeiter S.)

Sassenberg/Faber (Hrsg.) Rechtshandbuch der Industrie 4.0 und Internet of Things, 2. Aufl. 2020 (zit.: Sassenberg/Faber/Bearbeiter § Rz.)

Satzger/Schluckebier/Widmaier Strafgesetzbuch, 5. Aufl. 2021 (zit.: SSW-StGB/Bearbeiter § Rz.)

Schantz/Wolff Das neue Datenschutzrecht, 2017 (zit.: Schantz/Wolff/Bearbeiter Rz.)

Schenke/Graulich/Ruthig (Hrsg.) Sicherheitsrecht des Bundes, 2. Aufl. 2018 (zit.: Schenke/Graulich/Ruthig/Bearbeiter Gesetz § Rz.)

Schiller Bundesmantelvertrag Ärzte, 2. Aufl. 2021 (zit.: Schiller/Bearbeiter § Rz.)

Schneider Meldepflichten im IT-Sicherheitsrecht – Datenschutz, Kritische Infrastrukturen und besondere IT-Dienste, 2017 (zit.: Schneider S.)

Schönke/Schröder Strafgesetzbuch, 30. Aufl. 2019 (zit.: Schönke/Schröder/Bearbeiter § Rz.)

Schwartmann/Pabst (Hrsg.) Landesdatenschutzgesetz Nordrhein-Westfalen, 2020 (zit.: Schwartmann/Pabst/Bearbeiter § Rz.)

Schweizer Kognitive Täuschungen vor Gericht, 2005 (zit.: Schweizer S.)

Siglmüller Rechtsfragen der Fernbehandlung, 2020 (zit.: Siglmüller S.)

Simitis/Hornung/Spiecker genannt Döhmann (Hrsg.) Datenschutzrecht, 2019 (zit.: Simitis/Hornung/Spiecker gen. Döhmann/Bearbeiter Gesetz Art./§ Rz.)

Spickhoff (Hrsg.) Medizinrecht, 4. Aufl. 2022 (zit.: Spickhoff/Bearbeiter Gesetz § Rz.)

Spindler Medizin und IT, insbesondere Arzthaftungs- und IT-Sicherheitsrecht, Katzenmeier (Hrsg.) Festschrift für Dieter Hart, 2020 (zit.: Spindler S.)

Staudinger BGB, Buch 2: Recht der Schuldverhältnisse: §§ 630a-630h (Behandlungsvertrag), 16. Aufl. 2021 (zit.: Staudinger/Bearbeiter BGB Buch § Rz.)

Steege Organisationspflichten und Organisationsverschulden, 2022 (zit.: Steege Organisationspflichten S.)

Steege/Chibanguza (Hrsg.) Metaverse, 2023 (zit.: Metaverse/Bearbeiter S.)

Stelkens/Bonk/Sachs (Hrsg.) Verwaltungsverfahrensgesetz: VwVfG, 10. Aufl. 2023 (zit.: Stelkens/Bonk/Sachs/Bearbeiter § Rz.)

Steinfath/Wiesemann (Hrsg.) Autonomie und Vertrauen, 2016 (zit.: Steinfath/Wiesemann/Bearbeiter Beitrag Kap. Rz.)

Sydow/Marsch (Hrsg.) DS-GVO | BDSG, 3. Aufl. 2022 (zit.: Sydow/Marsch/Bearbeiter Gesetz Art. Rz.)

Taeger/Gabel (Hrsg.) DSGVO, BDSG, TTDSG Kommentar, 4. Aufl. 2022 (zit.: Taeger/Gabel/Bearbeiter Gesetz §/Art. Rz.)

Taeger/Pohle (Hrsg.) Computerrechts-Handbuch, 38. EL 2023 (zit.: Taeger/Pohle/Bearbeiter Kap. Rz.)

Ulsenheimer/Gaede Arztstrafrecht in der Praxis, 6. Aufl. 2020 (Ulsenheimer/Gaede/Bearbeiter Rz.)

Veith/Gräfe/Gebert (Hrsg.) Der Versicherungsprozess, 4. Aufl. 2020 (zit.: Veith/Gräfe/Gebert/Bearbeiter § Rz.)

Voigt IT-Sicherheitsrecht, 2. Aufl. 2021 (zit.: Voigt IT-Sicherheitsrecht, Rz.)

von Heintschel-Heinegg (Hrsg.) BeckOK StGB, 57. Ed., Stand 1.5.2023 (zit.: BeckOK StGB/Bearbeiter § Rz.)

Vorwerk/Wolf(Hrsg.) BeckOK ZPO, 50. Ed. 2023 (zit.: BeckOK ZPO/Bearbeiter ZPO § Rz.)

Wabnitz/Janovsky/Schmitt (Hrsg.) Handbuch Wirtschafts- und Steuerstrafrecht, 5. Aufl. 2020 (Wabnitz/Janovsky/Schmitt/Bearbeiter Kap. Rz.)

Wagner Deliktsrecht, 14. Aufl. 2021 (zit.: Wagner S.)

Wolf/Brink/ v. Ungern-Sternberg (Hrsg.) BeckOK Datenschutzrecht, 45. Ed. 2023 (zit.: BeckOK DatenschutzR/Bearbeiter Gesetz Art./§ Rz.)

Wollinger/Schulze (Hrsg.) Handbuch Cybersecurity für die öffentliche Verwaltung, 2020 (zit.: Wollinger/Schulze/Bearbeiter S.)

Wolter/Hoyer (Hrsg.) SK-StGB, 10. Aufl. 2023 (zit.: SK-StGB/Bearbeiter § Rz.)

Aufsätze, Berichte

Auffermann/Vogel Wider die Betriebsblindheit – Verhalten bei Durchsuchungen in Arztpraxen und Krankenhäusern, NStZ 2016, 387 (zit.: Auffermann/Vogel NStZ 2016, 387)

Bales/Holland/Pellens Zulassungsentscheidungen der gematik - Rechtsanspruch, Rechtsnatur, Rechtsschutz, GesR 2008, 9 (zit.: Bales/Holland/Pellens GesR 2008, 9)

Bales/von Schwanenflügel Die elektronische Gesundheitskarte, Rechtliche Fragen und zukünftige Herausforderungen, NJW 2012, 2475 (zit.: Bales/v. Schwanenflügel NJW 2012, 2475)

Brand/Lenk Probleme des Nötigungsnotstands, JuS 2013, 883 (zit.: Brand/Lenk JuS 2013, 883)

Brodowski Tue Böses und rede darüber – Geldwäscheverdachtsmeldungen und das Strafrecht, wistra 2021, 417 (zit.: Brodowski wistra 2021, 41)

Dittrich Geschäftsgeheimnisse im Visier von Cyberkriminellen – die Bedeutung der Cybersicherheit für den Geheimnisschutz in Unternehmen, NZWiSt 2023, 8 (zit.: Dittrich NZWiSt 2023, 8)

Dittrich Sanktionskompetenz des BSI im Kampf für mehr Cybersicherheit – Eine kritische Untersuchung der „Bußgeldpraxis“ nach dem BSIG, MMR 2022, 267 (zit.: Dittrich MMR 2022, 267)

Dittrich Die Verankerung der IT-Sicherheit von Krankenhäusern im Sozialrecht – worin liegt der Nutzen des § 75c SGB V?, GuP 2021, 165 (zit.: Dittrich GuP 2021, 165)

Dittrich/Dochow Cybersicherheitsrecht in der Telematikinfrastruktur mit Blick auf Arztpraxen, GesR 2022, 414 (zit.: Dittrich/Dochow GesR 2022, 414)

Dittrich/Dochow/Ippach Auswirkungen der neuen EU-Cybersicherheitsstrategie auf das Gesundheitswesen – der Entwurf der NIS-2-Richtlinie und der „Resilienz-Richtlinie“, GesR 2021, 613, (zit.: Dittrich/Dochow/Ippach GesR 2021, 613)

Dochow Cybersicherheitsrecht im Gesundheitswesen, MedR 2022, 100 (zit.: Dochow MedR 2022, 100)

Dochow Das Patienten-Datenschutz-Gesetz (Teil 1): Die elektronische Gesundheitskarte und Telematikinfrastruktur, MedR 2020, 979-993 (zit.: Dochow MedR 2020, 979-993)

BSI Technische Richtlinie TR-03107-1 Elektronische Identitäten und Vertrauensdienste im E-Government, Version 1.1.1, 7.5.2019, abrufbar unter https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR03107/TR-03107-1.pdf?__blob=publicationFile&v=1 (zit.: BSI TR-03107-1, S.)

Gematik Betriebskonzept Online-Produktivbetrieb, Version 3.32.0, 19.3.2024, abrufbar unter https://fachportal.gematik.de/fachportal-import/files/gemKPT_Betr_V3.32.0.pdf (zit.: Gematik gemKPT Betr, S.)

Gematik Feature: Highspeed-Konnektor, Version 1.4.0, 23.2.2024, abrufbar unter https://fachportal.gematik.de/fachportal-import/files/gemF_Highspeed-Konnektor_V1.4.0.pdf (zit.: Gematik gemF_Highspeed-Konnektor, S.)

Gematik Feature: TI-Gateway, Version 1.3.0, 23.2.2024, abrufbar unter https://fachportal.gematik.de/fachportal-import/files/gemF_TIGateway_V1.3.0.pdf (zit.: Gematik gemF_TI-Gateway, S.)

Gematik Konzept PKI der TI-Plattform, Version 2.12.0, 20.2.2024, abrufbar unter https://fachportal.gematik.de/fachportal-import/files/gemKPT_PKI_TIP_V2.12.0.pdf (zit.: Gematik gemKPT_PKI_TIP, S.)

Gematik Spezifikation eHealth Kartenterminal, Version 3.17.0, 12.2.2024, abrufbar unter: https://fachportal.gematik.de/fachportal-import/files/gemSpec_KT_V3.17.0.pdf (zit.: Gematik gemSpec_KT, S.)

Gematik Spezifikation Signaturdienst, Version 1.6.0, 30.1.2024, abrufbar unter: https://fachportal.gematik.de/fachportal-import/files/gemSpec_SigD_V1.6.0.pdf (zit.: Gematik gemSpec_SigD, S.)

Gematik Whitepaper TI 2.0 – Arena für digitale Medizin, abrufbar unter https://www.gematik.de/media/gematik/Medien/Telematikinfrastruktur/Dokumente/gematik_Whitepaper_Arena_digitale_Medizin_TI_2.0_Web.pdf (zit.: Gematik gemWP_TI20, S.)

Grieger Haftung des AG-Vorstands bei Schäden durch Cyberangriffe, WM 2021, 8 (zit.: Grieger 2021, 8)

Grzesiek Neue Anforderungen an die IT-Sicherheit in der Arztpraxis, GuP 2021, 171 (zit.: Grzesiek GuP 2021, 171)

Habbe/Gergen Compliance vor und bei Cyberangriffen – Pflichten der Geschäftsleitung und deren konkrete Umsetzung in der Praxis, CCZ 2020, 281 (zit.: Habbe/Gergen CCZ 2020, 281)

Kipker/Dittrich Rolle der Kritischen Infrastrukturen nach dem neuen NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz, Nationale Besonderheiten und europäische Überformung, MMR 2023, 481 (zit.: Kipker/Dittrich MMR 2023, 481)

Kircher Datenschutzrechtliche Fragen der elektronischen Patientenakte (ePA) nach § 341 SGB V, ZMGR 2021, 353-359 (zit.: Kircher ZMGR 2021, 353-359)

Kircher Das Patientendaten-Schutz-Gesetz (PDSG) und die elektronische Patientenakte (ePA), GuP 2021, 1-1 (zit.: Kircher GuP 2021, 1-1)

Kircher Urteilsanmerkung zu BSG, Urteil vom 20.1.2021 – B 1 KR 7/20 R; B 1 KR 15/20 R, betrifft Datenschutzkonformität der elektronischen Gesundheitskarte, SGb – Die Sozialgerichtsbarkeit 2021, 636-652 (zit.: Kircher SGb 2021, S.)

Kircher Urteilsanmerkung zu SG München, Urteil vom 26.1.2023 – S 38 KA 72/22: Rechtmäßigkeit der Honorarkürzung wegen Nicht-Teilnahme an der Telematikinfrastruktur (TI), GuP 2023, 121-124 (zit.: Kircher GuP 2023, S.)

Kircher Das Patientendaten-Schutz-Gesetz (PDSG) und die elektronische Patientenakte (ePA), – Regelungsüberblick und Vereinbarkeit mit der DS-GVO, GuP 2021, 1 ff. (zit.: Kircher GuP 2021, S.)

Köhler Der Schutz kritischer Infrastrukturen im Gesundheitswesen – gesetzliche Anforderungen an die IT-Sicherheit, GesR 2017, 145 (zit.: Köhler GesR 2017, 145)

König Lösegeldzahlungen bei Angriffen mit Ransomware – Rettungsanker oder strafrechtliches Risiko, NZWiSt 2023, 167 (zit.: König NZWiSt 2023, 167)

Meyer/Biermann Ransomware-Angriff – Strafrechtliche Einordnung von Lösegeldzahlungen und Aufzeigen notwendiger Compliance-Maßnahmen für die Cybersicherheit, MMR 2020, 940 (zit.: Meyer/Biermann MMR 2020, S.)

Nadeborn/Dittrich Cybersicherheit in Krankenhäusern Teil 1: IT-Compliance als Leitungsaufgabe, ICLR 2022, 147 (zit.: Nadeborn/Dittrich Teil 1 S.)

Nadeborn/Dittrich Cybersicherheit in Krankenhäusern Teil 2: vom Normalfall zum Notfall, ICLR 2022, 273 (zit.: Nadeborn/Dittrich Teil 2 S.)

Nadeborn/Erdogan Cyberrisiken in Krankenhäusern – rechtliche Aspekte und praktische Umsetzungshinweise, KH-J 2022, 37 (zit.: Nadeborn/Erdogan KH-J 2022, 37)

Neuhöfer/Schefer Anmerkung zu BGH, Beschl. v. 8.4.2021 – 1 StR 78/21, jurisPR-Compl 5/2021 Anm. 3 (zit.: Neuhöfer/Schefer jurisPR-Compl 5/2021 Anm. 3)

Rückert Zahlen oder nicht zahlen, das ist hier die Frage – Strafbarkeitsrisiken für Unternehmen bei Ransomware-Zahlungen, GWuR 2021, 103 (zit.: Rückert GWuR 2021, 103)

Salomon Cybercrime und Lösegeld – Strafbarkeit der Zahlung von Lösegeld als Reaktion auf Erpressungstrojaner, MMR 2016, 575 (zit.: Salomon MMR 2016, 575)

Schadly/Schömann/Schulz Großbaustelle Sozialdatenschutz – eine kritische Bestandsaufnahme, Zugleich: Anregungen für Anpassungen in der 20. Legislaturperiode, RDV 2021, 258 (zit.: Schadly/Schömann/Schulz RDV 2021, 258)

Schuster Arztpraxen in der Cloud? – Strafbarkeitsrisiken nach § 203 StGB und weitere Fragestellungen, medstra 2015, 280 (zit.: Schuster medstra 2015, 280)

Sieg/Schilbach Versicherbarkeit von Lösegeldzahlungen in der Cyberversicherung unter Berücksichtigung privatrechtlicher Beschränkungen der Vertragsfreiheit, VersR 2023, 745 (zit.: Sieg/Schilbach VersR 2023, 745)

Sydow/Schmitz Das E-Rezept-Konzept als neuer Sicherheitsstandard für elektronische Verordnungen?! ICLR 2024, 31, s.a. online, https://doi.org/10.1365/s43439-023-00103-z (zit.: Sydow/Schmitz ICLR 2023 (online) https://doi.org/10.1365/s43439-023-00103-z, 235)

Vogel Durchsuchungen im Krankenhaus richtig managen, Healthcare & Hospital Law 2022, 84 (zit.: Vogel Healthcare & Hospital Law 2022, 84)

Vogel/Berndt Der Rückschaufehler im Arztstrafverfahren, medstra 2020, 271 (zit.: Vogel/Berndt medstra 2020, 27)

Vogelsang/Möllers/Potel Strafrechtliche Bewertung von „Honeypots“ bei DoS-Angriffen – Strafbarkeit bei der digitalen Spurensuche, MMR 2017, 291 (zit.: Vogelsang/Möllers/Potel MMR 2017, 291)

Werkmeister/Steinbeck Cybercrime mit Bitcoins–Straftaten mit virtuellen Währungen, deren Verfolgung und Prävention, wistra 2015, 209 (zit.: Werkmeister/Steinbeck wistra 2015, 209)

Ziegler Aktuelle datenschutzrechtliche Fragen der Anwendung von IT im Gesundheitswesen unter Berücksichtigung der EU-Datenschutzgrundverordnung ZMGR 2016, 211. (zit: Ziegler ZMGR 2016, 211)

1. KapitelCyberbedrohungslage im Gesundheitswesen

 A.Einführung1

 B.Lageberichte zur IT-Sicherheit in Deutschland2 – 6

 C.Bedrohungslage aus Sicht von Cyberkriminellen7, 8

 D.Bedrohungslage nach Sektoren und anderen Bereichen9 – 39

  I.Stationärer Gesundheitssektor9 – 18

   1.Lukas-Krankenhaus Neuss 201610

   2.DRK-Kliniken Südwest 201911, 12

   3.Universitätsklinikum Düsseldorf 202013

   4.Klinikum Bremen 202314

   5.Universitätsklinikum Frankfurt 202315

   6.Krankenhaus Esslingen 202316

   7.Betroffene Kliniken im Jahr 202417, 18

  II.Ambulanter Sektor19 – 22

   1.Angriffe auf Arztpraxen19, 20

   2.Angriffe auf Dienstleister21, 22

  III.Krankenversicherungen23 – 25

  IV.Telematikinfrastruktur26 – 30

  V.Medizinprodukte31

  VI.Arzneimittelbereich und Apotheken32 – 34

  VII.Gesundheits-Apps35 – 37

  VIII.Einrichtungen der Gesundheits- und Selbstverwaltung38, 39

 E.Fazit40, 41

Literatur:

Dittrich Das Risiko Cybervorfall in der Pflegeeinrichtung – über drohende Gefahren, rechtliche Rahmenbedingungen und vermeidbare Stressfaktoren, SRa 2022, 129; Dittrich Muss die vertragsärztliche Versorgung Kritische Infrastruktur werden?, GesR 2023, 360; Dochow Cybersicherheitsrecht im Gesundheitswesen, MedR 2022, 100; Dochow Editorial, ICLR 2/2022, 247; Grzesiek Neue Anforderungen an die IT-Sicherheit in der Arztpraxis, GuP 2021, 171; Hessel/Callewaert Das aktuelle und zukünftige Cybersicherheitsrecht der EU – Die wesentlichen Pflichten für Unternehmen und deren praktische Umsetzung, DB 2022, 2589; Hessel/Potel/Beerwald Rechtliche Vorgaben für Cybersicherheit in der Lieferkette und Maßnahmen zur Abwehr von Cyberangriffen, K&R 2021, 771; Nadeborn/Dittrich Cybersicherheit in Krankenhäusern – Teil 1: vom Normalfall zum Notfall, ICLR 1/2022, 147; Ziegler Aktuelle datenschutzrechtliche Fragen der Anwendung von IT im Gesundheitswesen unter Berücksichtigung der EU-Datenschutzgrundverordnung ZMGR 2016, 211.

A.Einführung

1

Cyberbedrohungen im Gesundheitswesen sind kein neues Phänomen. Mit der zunehmenden elektronischen Kommunikation und Vernetzung von Arztpraxen und in Anbetracht des Schutzes der ärztlichen Schweigepflicht wurden Ärzte unter dem Topos der „IT-Sicherheit“ schon frühzeitig darin unterstützt, Schutzmaßnahmen zur Vermeidung von Strafbarkeitsrisiken und Haftung zu ergreifen. So wurde bereits seit 2008 die „Technische Anlage zu den Hinweisen und Empfehlungen zur ärztlichen Schweigepflicht, Datenschutz und Datenverarbeitung in der Arztpraxis“[1] der Kassenärztlichen Bundesvereinigung und der Bundesärztekammer herausgeben, damit Berufsträger und Vertragsärzte im ambulanten Bereich zum Thema IT- und Datensicherheit umfassend sensibilisiert werden. Zudem stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit 2013 auch für den Krankenhausbereich einen Leitfaden „Schutz Kritischer Infrastrukturen: Risikoanalyse Krankenhaus-IT“ und weitere Materialien und Hilfsmittel bereit.[2] Trotz der frühzeitigen Sensibilisierung sind die Bedrohungen im Gesundheitswesen in Deutschland – entsprechend dem Trend der internationalen Entwicklungen – weiter angestiegen und seit dem Jahr 2016 durch WanaCry und Ransomware in der öffentlichen Wahrnehmung deutlich präsenter geworden.[3] Dabei sind nicht nur Aktivitäten von Cyberkriminellen (Datendiebstahl, Erpressung von Lösegeldern, Manipulationen) relevant, sondern auch Schwachstellen, die zu Funktionsausfällen führen, sind ein bedeutsamer Gesichtspunkt der Cybersicherheit. Die Gewähr von Systemsicherheit erlangt vor allem in besonders sensiblen Bereichen, wie dem des Gesundheitswesens, große Aufmerksamkeit, gerade wenn mit zunehmender Digitalisierung von Prozessen – beispielsweise durch das elektronische Rezept und die elektronische Patientenakten – die Abhängigkeiten von der Technik steigen. Ein Blick auf die Cyberbedrohungslage im Gesundheitswesen zeigt das breite Spektrum und gibt einen ersten Eindruck davon, wie Sektoren, Bereiche, Technologien und sonstige Einrichtungen betroffen sind.

B.Lageberichte zur IT-Sicherheit in Deutschland

2

Seit 2005 veröffentlicht das Bundesamt für Sicherheit in der Informationstechnik (BSI) jährlich seine Einschätzung zur Lage der IT-Sicherheit in Deutschland.[4] In jüngster Zeit betonen diese Lageberichte stets die sich immer weiter verschärfende Gefährdungslage im Cyberbereich und betonen dabei auch für das Gesundheitswesen eine zunehmend besorgniserregende Situation.[5]

3

Im Lagebericht für 2020 blieb die Gefährdungslage der IT-Sicherheit angespannt und es konnten Abflüsse von personenbezogenen Daten, u.a. von Patientendaten, beobachtet werden.[6] Das BSI betonte für den Gesundheitssektor die große Verantwortung von Diensteanbietern aufgrund der möglichen negativen Folgen von Datenabflüssen.[7] Anhand der Nachweise von KRITIS-Betreibern (s. 4. Kap. Rz. 34) aus dem Sektor Gesundheit konstatiert das BSI einen Fokus der Betreiber auf die technischen IT-Sicherheitsmaßnahmen, während im organisatorischen Bereich noch Verbesserungspotenzial erkennbar sei (s. 2. Kap. Rz. 30). Aufgrund einer oftmals noch fehlenden Sensibilisierung der Managementebene in Bezug auf die IT-Sicherheit fehle es bei einer Vielzahl an Betreibern noch an notwendigen Richtlinien zur IT-Sicherheit (s. 18. Kap. Rz. 56). In Pharmaunternehmen sei festzustellen, dass vor allem die zentrale Absicherung von mehreren Standorten und die Absicherung der bei der Arzneimittelherstellung eingesetzten industriellen Steuerungssysteme besondere Herausforderungen darstellten.[8]

4

Auch im Bericht 2021 sieht das BSI eine angespannte bis kritische IT-Sicherheitslage in Deutschland, die natürlich unter den besonderen Bedingungen der Corona-Pandemie stand. Es berichtet von erfindungsreichen Cyber-Erpressern, die u.a. auf Schutzgeld-, Lösegeld- und Schweigegelderpressungen setzten und somit vermehrt auf das Opferverhalten reagierten.[9] Eine herausgehobene Stellung im Lagebericht nehmen das Praxisbeispiel zum Angriff auf das Universitätsklinikum Düsseldorf (s. Rz. 13) sowie auf die Europäische Arzneimittelagentur (EMA) (s. Rz. 32) ein. Zudem berichtet das BSI von Schwachstellen in Verwaltungs- und Informationssoftware, die im Gesundheitswesen verwendet wird. Das BSI habe die Schwachstellen an die Hersteller gemeldet.[10]

5

Zusätzlich zur Corona-Pandemie kam im Berichtsjahr 2022 noch der Ausbruch des Russland-Ukraine-Krieges hinzu, der die Lage der IT-Sicherheit in Deutschland und der Welt bedeutsam beeinflusste. Das BSI sah daher eine zugespitzte Sicherheitslage wie nie zuvor. Die Angriffsmethode mittels Ransomware (s. 3. Kap. Rz. 31) blieb laut BSI die Hauptbedrohung, besonders für Unternehmen. Hinzukamen insbesondere im Zusammenhang mit dem Russland-Ukraine-Krieg durch sog. Hacktivismus[11] beobachtete Distributed-Denial-of-Service-Angriffe (DDoS) (s. 3. Kap. Rz. 31).[12] Hinsichtlich der Sicherheit im Gesundheitswesen erwähnt der Bericht ausdrücklich Vorfälle im Medizinproduktebereich (s. 5. Kap.), die Herausforderung der sicheren Telematikinfrastruktur (TI) (s. 8. Kap.) sowie die digitale Pandemiebekämpfung.[13] Im KRITIS-Sektor Gesundheit entfielen die größten Anteile der identifizierten Mängel auf die Bereiche Informations-Sicherheits-Management-System (ISMS) (s. 3. Kap. Rz. 42), Continuity- und Notfallmanagement (s. 3. Kap. Rz. 43) und das Asset Management.[14]

6

Im aktuellen Bericht für das Berichtsjahr 2023 betont das BSI den Anstieg der Bedrohung im Bereich Schwachstellen. So würden täglich 70 neue Schwachstellen in Softwareprodukten entdeckt, was eine Steigerung um 25 Prozent im Vergleich zum vorherigen Berichtsraum darstelle. Weiterhin sei die rasante Weiterentwicklung neuer und angepasster Angriffsmethoden und der zunehmende Dienstleistungscharakter (Cybercrime-as-a-Service) (s. 3. Kap. Rz. 32) besorgniserregend, während sich Ransomware weiterhin als Hauptbedrohung halte.[15] Für das Gesundheitswesen verzeichnet der Bericht 132 Meldungen von Cybersicherheitsvorfällen, womit es der Sektor mit den meisten Meldungen aus dem Bereich der Kritischen Infrastrukturen[16] ist.[17] Dem Gesundheitssektor konstatiert das BSI jedoch auch eine vergleichsweise hohe Meldebereitschaft von Sicherheitsvorfällen (u.a. 4. Kap. Rz. 38). Fast die Hälfte der eingegangenen Meldungen zeigten einen Ausfall oder eine Beeinträchtigung der durch den Betreiber erbrachten kritischen Dienstleistungen. Hierbei würde als Ursache meist technisches Versagen angegeben, was mit der Erkenntnis des BSI aus den Nachweisen des Sektors Gesundheit korreliere, da dort die meisten Mängel den Bereich „Technische Informationssicherheit“ beträfen. Bei rund 20 Prozent der Meldungen spielten Angriffe eine Rolle. Insgesamt konnte das BSI beobachten, dass die Angreifer meist sog. Supply-Chain-Angriffe[18] (auf Diensteanbieter, Lieferanten und damit die etablierte Lieferkette) verübten, da sich hier ein Multiplikatoreffekt erzielen lasse.[19]

C.Bedrohungslage aus Sicht von Cyberkriminellen

7

Eine der größten Herausforderungen im Kampf gegen die Cyberkriminalität stellt die Entwicklung der Tätergruppen dar. Diese agieren unter dem Begriff Cybercrime-as-a-Service bzw. Ransomware-as-a-Service (s. 3. Kap. Rz. 31) hochprofessionell. Um das Phänomen der Cybersicherheit verstehen zu können, lohnt der Blick in das Innenleben solcher Gruppen. Das BSI führte im Lagebericht 2021 hierzu aus, einige der Gruppierungen erlegten ihren Affiliates[20] Bedingungen zum Umgang mit der Schadsoftware auf. Es gebe Ausschlusskriterien, z.B. betreffend Organisationen aus dem Gesundheitssektor, sowie auch die Pflicht, eine Erlaubnis bei den Betreibern der Schadsoftware einzuholen.[21]

8

„Ehrenkodex“ einer Cybergruppierung mit Bezug zum Gesundheitswesen:[22]

„Es ist erlaubt, sehr vorsichtig und selektiv medizinische Einrichtungen anzugreifen, wie z.B. pharmazeutische Unternehmen, Zahnkliniken, plastische Operationen, insbesondere solche, die das Geschlecht ändern und in Thailand zu großer Vorsicht zwingen, sowie alle anderen Organisationen, sofern sie privat sind und Einnahmen haben. Es ist verboten, Einrichtungen zu verschlüsseln, bei denen eine Beschädigung der Dateien zum Tod führen könnte, wie z. B. kardiologische Zentren, neurochirurgische Abteilungen, Entbindungskliniken und dergleichen, d. h. Einrichtungen, in denen chirurgische Eingriffe an High-Tech-Geräten unter Verwendung von Computern durchgeführt werden können. Es ist erlaubt, Daten aus allen medizinischen Einrichtungen unverschlüsselt zu stehlen, da es sich um ein medizinisches Geheimnis handeln kann, das nach dem Gesetz streng geschützt werden muss. Wenn Sie nicht genau wissen, ob eine bestimmte medizinische Einrichtung angegriffen werden kann oder nicht, wenden Sie sich an den Helpdesk.“

D.Bedrohungslage nach Sektoren und anderen Bereichen

I.Stationärer Gesundheitssektor

9

Krankenhäuser sind wesentliche Versorgungseirichtungen des Gesundheitswesens. Störungen der digitalen Infrastrukturen in diesem Sektor können besonders fatale Auswirkungen haben. Die Zahl der Angriffe auf Kliniken und Klinikverbünde steigt an,[23] wobei in der Regel Sicherheitslücken in der IT-Infrastruktur ausgenutzt werden. Infolgedessen entfällt z.B. der Zugriff auf die Patientenakten, Buchungssysteme für Operationen oder auf bildgebende Systeme. Dem LG Flensburg lag im Kontext eines Radiologie-Programms (PACS) ein Fall des Unterlassens organisatorischer Vorkehrungen zur Vermeidung unrechtmäßiger Zugriffe auf Patientendaten vor, wobei allerdings ein etwaiger Schadensersatzanspruch aufgrund einer Verjährung nicht bejaht wurde.[24] Nach Expertenmeinung gebe es zudem auch bei Infusionspumpen oder Geräten zum Auslesen und Programmieren von Herzschrittmachern zumindest potentielle ernsthafte Sicherheitsrisiken.[25] Laut Bundesministerium für Gesundheit BMG gehe die Zahl der offiziell registrierten Cyberangriffe auf Krankenhäuser kontinuierlich zurück. Demnach habe es in im Jahr 2024 bis zum 18. März bislang drei Vorfälle gegeben, „auf das Jahr hochgerechnet also etwa ein Dutzend – 2019 waren es noch 61 registrierte Fälle, danach stetig weniger […] Auf die 61 Vorfälle 2019 folgten 2020 dann 55, 2021 und 2022 jeweils 35 und 2023 dann 21 Vorfälle.[26]