Break-Glass-Zugänge: der blinde Fleck in fast jedem Krankenhaus

In jedem Krankenhaus gibt es einen Zugang, über den nachts um vier jede Akte offensteht. Er muss existieren, weil es Situationen gibt, in denen Rechteprüfung Menschenleben kostet. In den meisten Häusern kann aber niemand sagen, wie oft er im letzten Quartal benutzt wurde. Das ist der Punkt, an dem aus einer medizinisch richtigen Entscheidung ein Prüfbefund wird.

Warum es diesen Zugang gibt

Ein Patient kommt bewusstlos in die Notaufnahme. Der diensthabende Arzt ist der Fachabteilung zugeordnet, in der der Patient nicht liegt. Die Akte ist da, die Berechtigung nicht. Die Alternative zur Notfallöffnung ist, auf den Rufdienst der IT zu warten — bei einer Anamnese, die über die nächste Medikation entscheidet.

Deshalb hat jedes ernstzunehmende KIS eine Break-Glass-Funktion, und deshalb ist sie richtig. Der Notfallzugang ist kein Sicherheitsmangel. Ein Notfallzugang ohne Spur ist einer.

Der Unterschied ist die gesamte Diskussion. Wer die Funktion abschaffen will, hat den Klinikbetrieb nicht verstanden. Wer sie nicht kontrolliert, hat die Prüfung nicht verstanden.

Warum er selten protokolliert ist

Die Protokollierung ist in aller Regel technisch vorhanden. Das KIS schreibt den Zugriff mit. Nur liest ihn niemand.

Das hat einen nachvollziehbaren Grund: Das Protokoll landet in einer Tabelle, die man aktiv aufrufen muss, es enthält pro Monat einige hundert Zeilen, davon sind die allermeisten legitim, und es gibt keine Rolle, in deren Aufgabenbeschreibung die Durchsicht steht. Die IT sieht sich nicht zuständig, weil es ein fachlicher Vorgang ist. Die Fachabteilung sieht sich nicht zuständig, weil es ein Systemprotokoll ist. Der Datenschutzbeauftragte erfährt davon, wenn etwas passiert ist.

Dazu kommt eine zweite Lücke, die noch häufiger ist: Der Zugang ist an eine Funktionskennung gebunden, nicht an eine Person. Dann steht im Protokoll „notfall_ambulanz“ — und die Frage, wer tatsächlich in der Akte war, ist technisch nicht mehr beantwortbar.

Was eine Prüfung daraus macht

Notfallzugänge fallen unter die Zugriffskontrolle nach § 30 BSIG und unter die Rechenschaftspflicht der DSGVO. Beide verlangen dasselbe: nicht die Verhinderung des Zugriffs, sondern seine Nachvollziehbarkeit.

Die Frage in der Prüfung lautet erfahrungsgemäß nicht „Haben Sie Break-Glass-Zugänge?“ — die Antwort ist bekannt. Sie lautet: „Zeigen Sie mir die letzten zehn Notfallzugriffe und die Begründung dazu.“

An dieser Stelle entscheidet sich der Befund. Eine Liste mit zehn Zeilen, Personenbezug, Zeitstempel und einer Begründung je Fall ist eine erledigte Frage. Ein „das protokolliert das System mit“ ohne vorzeigbare Auswertung ist eine Feststellung — und bei einem Datenschutzvorfall zusätzlich der Punkt, an dem die Beweislast kippt: Wer nicht zeigen kann, wer zugegriffen hat, kann auch nicht zeigen, dass es berechtigt war.

Der Fix, der eine Woche dauert

Tag eins: Bestandsaufnahme. Welche Systeme haben eine Notfallöffnung — KIS, PACS, LIS, Medikationssoftware? Erfahrungsgemäß sind es mehr als zwei, und mindestens eines fällt jedem erst beim Nachfragen ein.

Tag zwei: Personenbezug herstellen. Funktionskennungen für Notfallzugänge abschaffen, jeder Zugriff läuft über die persönliche Kennung mit gesonderter Bestätigung. Das ist in den meisten KIS eine Konfiguration, kein Projekt.

Tag drei: Pflichtbegründung aktivieren. Ein Freitextfeld, das vor der Öffnung ausgefüllt werden muss. Zwei Wörter genügen — der Effekt entsteht dadurch, dass jemand mitliest, nicht durch die Textlänge.

Tag vier: Zuständigkeit benennen. Eine Person prüft monatlich die Liste. Bei einem Haus mittlerer Größe sind das zwanzig Minuten. Auffälligkeiten gehen an die ärztliche Leitung, nicht an die IT — es ist ein fachlicher Vorgang.

Tag fünf: einmal rückwärts schauen. Die letzten drei Monate auswerten und das Ergebnis dokumentieren. Diese eine Auswertung ist der Nachweis, dass der Prozess nicht nur beschrieben, sondern gelebt wird.

Der Nebeneffekt, der die Sache trägt

Fast jedes Haus, das diese Woche investiert, findet dabei etwas — meist keinen Missbrauch, sondern eine falsch gesetzte Berechtigung, die den Notfallzugang überhaupt erst zur Gewohnheit gemacht hat. Wenn eine Station den Break-Glass zwölfmal im Monat zieht, ist nicht der Zugang das Problem, sondern das Rechtekonzept dahinter.

Genau diese Erkenntnis ist der eigentliche Wert. Sie kommt nicht aus einer Richtlinie, sondern daraus, dass zum ersten Mal jemand hingesehen hat.