Die 10 besten HIPAA-konformen Lösungen für verschlüsselte E-Mails für Gesundheitsdienstleister im Jahr 2026

Die Authentifizierung ist die Ebene, die die meisten Anbieter übersehen. Vergleichen Sie HIPAA-konforme, verschlüsselte E-Mail-Plattformen für das Gesundheitswesen und entdecken Sie sichere, portalunabhängige Lösungen, die sich in E-Mail-Dienste wie Gmail und Outlook integrieren lassen.

Angesichts sich weiterentwickelnder HIPAA-Richtlinien und zunehmender Kontrollen durch die Aufsichtsbehörden ist die Verschlüsselung von E-Mails längst kein optionaler Schritt mehr. Sie werden jedoch feststellen, dass nicht alle Lösungen hinsichtlich ihrer Eigenschaften und Leistung gleichwertig sind. Viele Organisationen im Gesundheitswesen haben Schwierigkeiten, Tools zu finden, die sowohl Compliance als auch Benutzerfreundlichkeit in Einklang bringen. Letztendlich bleiben Portale ungenutzt, Integrationen erweisen sich als umständlich, und die Mitarbeiter können die Verschlüsselung gänzlich umgehen. Führende E-Mail-Service-Plattformen lösen dieses Problem, indem sie nahtlos mit Ihrem bestehenden E-Mail-System zusammenarbeiten und gleichzeitig ein reibungsloses Patientenerlebnis gewährleisten.

In diesem Leitfaden vergleichen wir 10 führende verschlüsselte E-Mail-Lösungen, die speziell für das Gesundheitswesen entwickelt wurden, sowie eine neue Plattform, die es verdient, in die Liste aufgenommen zu werden. Finden Sie das für Sie am besten geeignete Tool, damit Ihre E-Mails auf beiden Seiten sicher, unkompliziert und konform bleiben.

Was sich 2026 ändert: Die Aktualisierung der HIPAA-Sicherheitsvorschriften

Stand Mitte 2026 befindet sich die vom HHS vorgeschlagene Überarbeitung der HIPAA-Sicherheitsvorschrift – die erste größere Aktualisierung seit 2013 – noch im Entwurfsstadium und wird derzeit vom OCR geprüft; sie ist noch nicht endgültig verabschiedet. Der NPRM wurde am 6. Januar 2025 im Federal Register veröffentlicht, die Frist für Stellungnahmen endete im März 2025 (mit über 4.700 eingegangenen Stellungnahmen), und die OCR strebt eine endgültige Verabschiedung etwa Mitte 2026 an. In der Zwischenzeit bleibt die derzeitige Sicherheitsvorschrift in Kraft.

Sollte die Regelung wie vorgeschlagen verabschiedet werden, würde die Unterscheidung zwischen „empfehlenswert“ und „vorgeschrieben“ wegfallen und die Verschlüsselung von ePHI sowohl während der Übertragung als auch im Ruhezustand neben Multi-Faktor-Authentifizierung, Netzwerksegmentierung und strengeren Dokumentationspflichten. Sie erhalten ein Zeitfenster von etwa 240 Tagen ab Veröffentlichung bis zur erforderlichen Einhaltung (eine 60-tägige Inkrafttretungsfrist plus ein 180-tägiges Umsetzungsfenster).

Warum das gerade jetzt wichtig ist: Laut dem „2026 Healthcare Email Security Report“ von Paubox wurden im Jahr 2025 170 Sicherheitsvorfälle im Gesundheitswesen im Zusammenhang mit E-Mails gemeldet, wobei 53 % dieser Vorfälle auf Microsoft 365 stattfanden. Dies entspricht einem Anstieg gegenüber 43 % im Jahr 2024. Phishing war im Jahr 2025 branchenübergreifend der häufigste Erstzugangsvektor. Es ist offensichtlich, dass Verschlüsselung und Authentifizierung mittlerweile zu unverzichtbaren Grundvoraussetzungen geworden sind und nicht mehr nur als „nice-to-have“ gelten.

Worauf Sie bei einer verschlüsselten E-Mail im Gesundheitswesen achten sollten

Bei der Bewertung von Lösungen für verschlüsselte E-Mails im Gesundheitswesen sollten Sie Plattformen den Vorzug geben, die ein optimales Gleichgewicht zwischen Sicherheit, Benutzerfreundlichkeit und Compliance bieten:

• E-Mail-Authentifizierung und -Verschlüsselung. Schutz vor Abfangen (Verschlüsselung) und Identitätsbetrug (SPF, DKIM, DMARC), da Spoofing eine gängige Taktik bei Phishing-Angriffen im Gesundheitswesen ist Phishing-Angriffen.
• Verschlüsselung als Standard. Die Plattform sollte jede ausgehende Nachricht automatisch verschlüsseln, sodass die Nutzer nicht mehr darauf angewiesen sind. Menschliches Versagen ist die Ursache für die meisten Datenschutzverletzungen im Gesundheitswesen.
• Keine Patientenportale. Bevorzugen Sie Tools, die verschlüsselte Nachrichten direkt in den Posteingang des Empfängers senden, um die Interaktions- und Antwortraten zu maximieren.
• Nahtlose Integration. Funktioniert nativ mit Microsoft 365 oder Google Workspace, sodass die Mitarbeiter ihre aktuellen Adressen und Arbeitsabläufe beibehalten können.
• BAA enthalten. Eine Business Associate Agreement (BAA) ist gemäß HIPAA für jeden Anbieter, der mit PHI (geschützten Gesundheitsdaten) umgeht, unverzichtbar.
• Einfache Einrichtung und Dokumentation der Compliance. Minimaler IT-Aufwand bei gleichzeitigem Zugriff auf Audit-Protokolle, Verschlüsselungszertifikate und Compliance-Berichte.
• Erschwingliche, skalierbare Preisgestaltung. Stellen Sie sicher, dass notwendige Funktionen oder Nutzerbeschränkungen nicht durch Tarife oder versteckte Gebühren eingeschränkt werden.
• Förderung der Qualität und der Einhaltung gesetzlicher Vorschriften. Anbieter, die sich mit HIPAA auskennen und deren Strategie mit den für 2026 vorgeschlagenen Änderungen im Einklang steht.
• Mehrkanal-Sicherheit und KI-gestützte Bedrohungserkennung. Sichere Nachrichtenübermittlung per SMS, Fax und über Portale, wo erforderlich, sowie ML/DLP (Data Loss Prevention) sowie Anomalieerkennung für einen proaktiven Schutz, der über die einfache Verschlüsselung hinausgeht.

Schnellvergleich (2026)

Im Folgenden finden Sie einen allgemeinen Überblick über alle 11 in diesem Blog vorgestellten Lösungen. Werfen Sie zur Orientierung einen kurzen Blick darauf. 

*PowerDMARC gewährleistet die Sicherheit des Datenübertragungsweges (zwangsweise TLS-Verschlüsselung über MTA-STS) und die Authentifizierung, nicht jedoch die Verschlüsselung des Nachrichtentextes.

**Preise und Tarife ändern sich häufig. Bitte informieren Sie sich vor dem Kauf auf der Seite des Anbieters.

Wenden wir uns nun einer detaillierten Betrachtung der einzelnen Tools zu. Als erste Lösung auf unserer Liste spielt PowerDMARC eine grundlegende Rolle, da es die Authentifizierungslücke schließt, die von reinen Verschlüsselungsplattformen am häufigsten übersehen wird.

Die 10 Lösungen (plus ein neuer Mitstreiter)

1. PowerDMARC: E-Mail-Authentifizierung und Transportsicherheit

PowerDMARC ist eine E-Mail-Authentifizierungsplattform, die DMARC, SPF, DKIM, BIMI, MTA-STS und TLS-RPT einsetzt, um Spoofing und Identitätsbetrug zu verhindern. Sie ergänzt verschlüsselte E-Mail-Dienste, indem sie sicherstellt, dass jede ausgehende Nachricht von Ihrer Domain authentifiziert und über erzwungene TLSübermittelt wird, was die E-Mail-Sicherheit gemäß HIPAA E-Mail-Sicherheit.

Warum dieses Tool: Es dient als grundlegende Basis, die Tools, die ausschließlich auf Verschlüsselung setzen, oft vermissen lassen. Es belegt, dass Ihre Nachrichten tatsächlich von Ihrer Domain stammen und dass geschützte Gesundheitsdaten (PHI) unter Einhaltung der Verschlüsselungsvorschriften übertragen werden – mit auditfähigen Berichten.

Belegpunkte für 2026: PowerDMARC ist laut den DMARC-Software-Berichten von G2 aus dem Frühjahr 2026 ein Marktführer, sichert E-Mails für mehr als 10.000 Organisationen in über 100 Ländern (darunter Regierungsbehörden und Fortune-100-Unternehmen) und verfügt über SOC-2-Typ-2-, ISO-27001- und DSGVO-Zertifizierungen. Dies sind einige Referenzen, die bei der Bewertung von Anbietern im Gesundheitswesen von großer Bedeutung sind.

Wichtige Fähigkeiten

• Implementiert DMARC zusammen mit SPF/DKIM, um betrügerische E-Mails zu blockieren und Patientendaten vor Phishing; beinhaltet gehostetes BIMI sowie KI-gestützte Bedrohungsinformationen für Echtzeit-Warnungen vor Spoofing.
• Erzwingt TLS 1.2+ für alle E-Mails, die über MTA-STSund verhindert so Downgrade-Angriffe, sodass geschützte Gesundheitsdaten (PHI) niemals über unverschlüsselte Kanäle übertragen werden. Zudem bietet es TLS-RPT-Berichte für Transparenz bei der Zustellung.
• Liefert detaillierte Berichte zu Sicherheit, Compliance und Zustellbarkeitsberichte , die IT-Teams dabei helfen, E-Mail-Abläufe zu überprüfen und technische Schutzmaßnahmen gemäß HIPAA (Authentifizierung, erzwungene Verschlüsselung, Protokollierung) zu dokumentieren.
• Die Integration in bestehende Anbieter wie Microsoft 365, Google Workspace und EHR-Systeme erfolgt über ein geführtes Onboarding. Ein zentrales Dashboard überwacht alle Domains rund um die Uhr und gibt bei verdächtigen Aktivitäten sofortige Warnmeldungen aus.

Profis

• Blockiert unberechtigte Absender und gefälschte E-Mails, sodass Angreifer sich nicht als die Domain Ihrer Praxis ausgeben können.
• Überprüft ausgehende E-Mails auf ihre Echtheit, damit legitime Nachrichten nicht als Spam markiert oder aussortiert werden, und gewährleistet so eine zuverlässige Zustellung vertraulicher E-Mails bei geringerem Betrugsrisiko.
• Geführte Einrichtung veröffentlicht DNS-Einträge (SPF/DKIM/DMARC) innerhalb weniger Minuten; das Cloud-Portal bietet kontinuierliche Überwachung, Richtlinienänderungen mit einem Klick und aggregierte Berichte bei minimalem IT-Aufwand.
• Ergänzt jeden verschlüsselten E-Mail-Dienst um eine Authentifizierungsebene und liefert zusätzliche Nachweise für die HIPAA-Dokumentation.

Nachteile

• Der Inhalt von E-Mails wird nicht verschlüsselt, da der Schwerpunkt auf Identität und Übertragung liegt. Daher benötigen Sie weiterhin einen Verschlüsselungsdienst, um die Vertraulichkeit Ihrer Nachrichten zu gewährleisten (PowerDMARC stellt sicher, dass diese E-Mails nicht gefälscht oder unbemerkt abgefangen werden können).
• Keine E-Mail-Verschlüsselung für das Patientenportal oder den Posteingang; die Funktion beschränkt sich ausschließlich auf den Backend-Bereich E-Mail-Sicherheit.

Am besten geeignet für: Krankenhäuser, Kliniken und Gesundheitssysteme von Unternehmen, die bereits über ein Verschlüsselungstool verfügen (oder die Einführung eines solchen planen) und Domain-Spoofingverhindern, sicherstellen, dass E-Mails mit geschützten Gesundheitsdaten vertrauenswürdig und TLS-verschlüsselt sind, sowie auditfähige Berichte zur Einhaltung gesetzlicher Vorschriften führen müssen.

Preisgestaltung: 

• Starter: 8 $ pro Nutzer und Monat (volumenabhängig, mehrere Domains)
• Unternehmen/MSP: Individuell (Bedrohungsinformationen, SIEM-/API-Integrationen)

15-tägige kostenlose Testphase für alle Tarife.

Nutzerbewertung: 4,9 / 5 (G2)

2. Paubox: Nahtlose E-Mail-Verschlüsselung gemäß HIPAA

Paubox verschlüsselt standardmäßig automatisch jede ausgehende E-Mail – ganz ohne Portale oder zusätzliche Schritte. Die Lösung lässt sich direkt in Ihre bestehende E-Mail-Plattform integrieren, sodass Anbieter geschützte Gesundheitsdaten genauso einfach versenden können wie normale E-Mails.

Warum dieses Tool: Einfache und weitgehend nahtlose verschlüsselte E-Mail-Kommunikation für das Gesundheitswesen; für die Mitarbeiter ist sie unsichtbar, und die Empfänger lesen die Nachrichten in ihrem normalen Posteingang.

Wichtige Fähigkeiten

• Verschlüsselt jede ausgehende E-Mail automatisch (ohne Schlüsselwörter oder Benutzereingriff).
• Liefert verschlüsselte E-Mails über TLS 1.2+ direkt in den normalen Posteingang des Empfängers, ohne dass eine separate Anmeldung, ein Link oder ein Portal erforderlich ist.
• Fungiert als sicheres Gateway für Google Workspace und Microsoft 365, sodass die Nutzer Gmail, Outlook und die mobilen Apps unverändert weiter nutzen können.
• In den höheren Tarifen ist eine KI-gestützte E-Mail-Sicherheit (Phishing, Spam, Malware), sichere Patientenformulare und eine E-Mail-API.
• HITRUST CSF-zertifiziert mit Audit-Protokollen und Archivierung.

Profis

• Die standardmäßige Verschlüsselung geht über die „adressierbare“ Anforderung der HIPAA hinaus und beseitigt das Risiko, dass geschützte Gesundheitsdaten (PHI) versehentlich unverschlüsselt versendet werden.
• Die höheren Tarife kombinieren Schutz vor eingehenden Bedrohungen und Entwickler-APIs, wodurch sich die Notwendigkeit mehrerer Anbieter verringert.

Nachteile

• Durch die Implementierung wird der E-Mail-Verkehr über Paubox geleitet (Änderung der DNS-MX-Einträge), wodurch eine Abhängigkeit von einem Cloud-Dienst eines Drittanbieters entsteht.
• Es gibt keine spezielle Patienten-App oder kein Patientenportal, das Funktionen wie das Abrufen von Nachrichten oder die Lesebestätigung unterstützt.

Am besten geeignet für: Anbieter im Gesundheitswesen und Geschäftspartner, die eine zuverlässige, verschlüsselte E-Mail-Lösung suchen, die zudem intuitiv zu bedienen ist.

Preisgestaltung:

• Standard: 42 $/Monat (bis zu 5 Benutzer; verschlüsselte E-Mails, BAA, grundlegende Sicherheit für eingehende E-Mails)
• Plus: 85 $/Monat (umfasst Spam-, Viren- und ExecProtect-Phishing-Schutz)
• Premium: 98 $/Monat (inklusive Archivierung und DLP)

Nutzerbewertung: 4,9 / 5 (G2)

3. Virtru: E-Mail- und Dateiverschlüsselung mit Zugriffskontrolle

Virtru ist eine benutzerfreundliche E-Mail- und Datenschutzplattform, die sich direkt in Gmail und Outlook integrieren lässt und eine End-to-End-Verschlüsselung von E-Mails und Anhängen ermöglicht. Außerdem bietet sie detaillierte Kontrollmöglichkeiten wie Widerruf, Ablauf und die Verhinderung von Weiterleitungen.

Warum dieses Tool: Ideal, wenn Sie nach dem Versand dauerhafte Kontrolle über die Daten benötigen (Nachrichten widerrufen, ablaufen lassen oder einschränken), ohne die E-Mail-Clients zu verlassen, die Ihre Mitarbeiter bereits nutzen.

Wichtige Fähigkeiten

• AES-256-Verschlüsselung auf Basis des offenen Trusted Data Format (TDF), die beim Versand über ein Gmail- und Outlook-Plugin angewendet wird; durchsetzbar sowohl während der Übertragung als auch im Ruhezustand.
• Verschlüsselung per Schalter in Gmail und Outlook sowie Administratorregeln zur automatischen Verschlüsselung bestimmter E-Mails.
• Kontrollmöglichkeiten nach dem Versand: Zugriff jederzeit widerrufen, Ablaufdatum festlegen, Weiterleitung/Herunterladen deaktivieren und überprüfen, ob eine Nachricht geöffnet wurde.
• Verwaltung von DLP-Regeln (z. B. automatische Verschlüsselung aller Daten, die eine Sozialversicherungsnummer oder „PHI“ enthalten), Prüfprotokolle, SIEM-Integration und ein optionaler Kundenschlüsselserver für selbst gehostete Schlüssel.

Profis

• Die Verschlüsselung mit nur einem Klick in vertrauten Clients sorgt für eine hohe Akzeptanz bei Klinikpersonal und Administratoren.
• Das offene TDF-Format ermöglicht es, verschlüsselte Daten systemübergreifend auszutauschen, wobei der Schutz der Daten gewährleistet bleibt.
• DLP-Regeln tragen dazu bei, die Einhaltung der HIPAA-Vorschriften nachzuweisen und menschliche Fehler zu reduzieren.

Nachteile

• Einige erweiterte Funktionen sind nur in den höheren Tarifen verfügbar, weshalb die Wahl des richtigen Tarifs entscheidend ist.
• Empfänger, die Virtru nicht nutzen, müssen den Link zu einem sicheren Webportal öffnen, um die Nachricht lesen zu können.
• Für die Bereitstellung von Outlook auf dem Desktop ist ein clientseitiges Add-In oder die Endpunktverwaltung erforderlich.

Am besten geeignet für: Teams, die geschützte Gesundheitsdaten (PHI) über Gmail oder Outlook austauschen, wie beispielsweise Krankenhäuser, die Patientenakten versenden, oder Abrechnungsunternehmen, die mit vertraulichen Tabellenkalkulationen arbeiten – insbesondere dann, wenn das Rückrufen von Nachrichten oder detaillierte Prüfpfade erforderlich sind.

Preisgestaltung: 

• Starter: 119 $/Monat (5 Benutzer)
• Business: 219 $/Monat (5 Benutzer)
• Compliance: 499 $/Monat (5 Benutzer)
• Unternehmen: benutzerdefiniert

Nutzerbewertung: 4,4 / 5 (G2)

4. LuxSci: SecureLine-E-Mail mit flexibler Zustellung

LuxSci ist ein seit langem etablierter Anbieter von HIPAA-konformen, sicheren E-Mail- und Webdiensten. Dank der SecureLine-Technologie können Sie verschlüsselte E-Mails an jeden versenden, ohne dass die Empfänger über ein LuxSci-Konto oder spezielle Software verfügen müssen. Die Lösung bietet zudem umfassende Verwaltungskontrollen, sichere Formulare und Hosting-Funktionen.

Warum dieses Tool: Die flexibelste Option: Es wählt für jeden Empfänger die beste Verschlüsselungsmethode aus und kann Ihre E-Mail-Infrastruktur vollständig ersetzen, wenn Sie möchten, dass ein HIPAA-Spezialist alles hostet.

Wichtige Fähigkeiten

• Verschlüsselung über SMTP-TLS, ein sicheres Webportal (Escrow-Abholung), S/MIME oder PGP, wobei zum Zeitpunkt des Versands je nach Empfänger und auf Grundlage der Richtlinien die beste Methode ausgewählt wird.
• Sicheres Webmail und umfassendes E-Mail-Hosting (IMAP/POP, kompatibel mit Outlook und Apple Mail) mit Ihrer eigenen Domain; kann auch als Smart-Host für bestehende Systeme fungieren.
• Portal für die sichere Nachrichtenabholung (Escrow) für Empfänger, deren Systeme keine direkte Verschlüsselung unterstützen, mit sicherer Antwortfunktion.
• HIPAA-konforme Webformulare und Unterstützung für elektronische Signaturen; erzwungen 2FA, IP-Beschränkungen, automatische Datensicherung, 6-jährige Aufbewahrungsfrist, detaillierte Prüfprotokolle, BAA und HITRUST-Zertifizierung.

Profis

• Detaillierte Steuerung der Verschlüsselungsmethode für jede einzelne Nachricht (opportunistisches TLS, erzwungenes Portal oder S/MIME).
• Die Empfänger benötigen kein LuxSci-Konto; sie greifen über einen sicheren Link darauf zu und können sicher antworten.
• Ein echter Komplettanbieter mit verschlüsselter E-Mail, normaler E-Mail, Webmail und Spamfilterund sogar Webhosting.

Nachteile

• Die Abholung am Portal ist für manche Empfänger ein zusätzlicher Schritt und nicht so unkompliziert wie die Zustellung in den Posteingang.
• Flexibilität bringt eine Komplexität bei der Konfiguration mit sich, die Büros ohne IT-Unterstützung überfordern kann.
• Möglicherweise ist ein separater Spam-/Virenfilter erforderlich (bietet nur einen grundlegenden Schutz).

Am besten geeignet für: Größere Kliniken, Krankenhäuser oder IT-Abteilungen im Gesundheitswesen, die eine hochgradig anpassbare Lösung, individuelle E-Mail-Konfigurationen, langfristige Archivierung und die Möglichkeit der Integration in andere Systeme suchen.

Preise: Die Preise für die Tarife sind individuell gestaltet und müssen angefragt werden. Alle Tarife beinhalten SecureLine, Archivierung und eine BAA.

Nutzerbewertung: 4,7 / 5 (G2)

5. MailHippo: Kostengünstige, sichere E-Mail

MailHippo ist ein Cloud-Dienst zum Senden und Empfangen verschlüsselter E-Mails über Ihre bestehende E-Mail-Adresse – ganz ohne Konfiguration oder Installation. Der Dienst schützt alle Daten mit 256-Bit-AES und stellt Ihnen eine eindeutige „SendSafe“-Adresse zur Verfügung, über die Sie verschlüsselte E-Mails von jedem Empfänger empfangen können.

Warum dieses Tool: Eine der kostengünstigsten und am schnellsten einsetzbaren HIPAA-E-Mail-Lösungen; ideal für Einzel- und Kleinpraxen ohne IT-Personal.

Wichtige Fähigkeiten

• Es lässt sich mit jedem Anbieter oder über die Weboberfläche nutzen. Registrieren Sie sich und versenden Sie innerhalb weniger Minuten HIPAA-konforme, verschlüsselte E-Mails. 
• Mit einer persönlichen SendSafe-Adresse (z. B. [email protected]) kann Ihnen jeder verschlüsselte E-Mails senden, wodurch das Problem der von Patienten initiierten sicheren E-Mail-Eingänge gelöst wird.
• 256-Bit-AES-Verschlüsselung im Ruhezustand und TLS während der Übertragung; ein Outlook-Plugin für Pro-Nutzer unter Windows Outlook 2016/2019/2021.
• In den höheren Tarifen sind Funktionen wie das Abrufen von Nachrichten, Ablaufzeiten und die Einbindung des eigenen Markenauftritts enthalten.

Profis

• Es sind keine IT-Kenntnisse erforderlich. Man muss sich einfach nur anmelden und kann sofort loslegen.
• Eine der günstigsten HIPAA-E-Mail-Lösungen; bereits im Basic-Paket sind die BAA und eine SendSafe-Adresse enthalten.
• Einfacher, sicherer E-Mail-Empfang für Patienten über SendSafe; „Sicher senden“ mit einem Klick in Windows Outlook.

Nachteile

• Externe Empfänger öffnen Nachrichten in einer sicheren Browsersitzung (ein Portalschritt) und nicht direkt in ihrem Posteingang.
• Die Schaltfläche „Outlook“ ist nur unter Windows verfügbar und steht auf Mac und anderen Clients nicht zur Verfügung.
• Ausrichtung auf die US-amerikanische HIPAA-Verordnung; unklare Regelung zur Datenverlagerung in mehrere Regionen für internationale Anforderungen.

Am besten geeignet für: Einzelpraktizierende Ärzte, Therapeuten, Berater und kleine Praxen, die eine besonders einfache und kostengünstige HIPAA-konforme E-Mail-Lösung benötigen.

Preisgestaltung: 

• Basic: 5,95 $ pro Benutzer und Monat (5.000 sichere Nachrichten, 5 GB, SendSafe, Branding)
• Pro: 8,95 $ pro Benutzer und Monat (10.000 Nachrichten, 10 GB, Rückruf, Ablauf, Outlook-Integration)

30-tägige kostenlose Testphase; alle Tarife beinhalten eine BAA.

Benutzerbewertung: Es wurden noch keine Nutzerbewertungen veröffentlicht.

6. Hushmail: Verschlüsselte E-Mails und Formulare für Praxen

Hushmail ist ein etablierter Anbieter sicherer E-Mail-Dienste, der HIPAA-konforme verschlüsselte E-Mails und elektronisch unterzeichnungsfähige Webformulare speziell für Fachkräfte im Gesundheitswesen anbietet – mit automatischer Verschlüsselung und einem sicheren Webportal für die Kommunikation mit externen Patienten.

Warum dieses Tool: Eine bewährte Plug-and-Play-Lösung für Einzelpraktiker und kleine Teams, die ebenfalls HIPAA-konforme Online-Aufnahmeformulare nutzen möchten.

Wichtige Fähigkeiten

• End-to-End-Verschlüsselung zwischen Hushmail-Nutzern; externe Nachrichten werden über ein sicheres Webportal zugestellt, das durch eine einfache Sicherheitsfrage entsperrt wird.
• Integrierter, sicherer Webformular-Generator (Erfassungsformulare, Fragebögen) mit Feldern für elektronische Signaturen bei Krankenversicherungen.
• Signierte BAA und integriertes Archiv für alle Gesundheitsversicherungen mit OpenPGP-Verschlüsselung und zweistufiger Authentifizierung.
• E-Mail-Vorlagen und zeitgesteuerter Versand in den höheren Tarifen sowie eine iPhone-App und eine Android-Web-App.

Profis

• Ein benutzerfreundliches und zugleich sicheres Portal. Kunden klicken auf einen Link, beantworten eine Sicherheitsfrage und können dann sicher antworten, ohne sich registrieren zu müssen.
• HIPAA-konforme Formulare machen die Erfassung auf Papier überflüssig und reduzieren den Aufwand für die Dateneingabe.
• Optionen zur Einschränkung von Anmeldungen nach Land.

Nachteile

• Sie müssen sich an die E-Mail-Plattform von Hushmail gewöhnen, deren Arbeitsablauf sich von dem von Outlook oder dem Standard-Gmail unterscheidet.
• Externe Empfänger nutzen ein Portal, was einen zusätzlichen Schritt beim Abruf darstellt.
• Zusätzliche Kosten für sichere Formulare (jeweils 25 $).

Am besten geeignet für: Einzelunternehmer und kleine Teams wie Therapeuten, Berater und kleine medizinische Praxen, die zuverlässige, sofort einsatzbereite, verschlüsselte E-Mail- und Formularfunktionen benötigen.

Preisgestaltung: 

• Basic: 11,99 $ pro Benutzer und Monat (verschlüsselte E-Mails, eigene Domain, Archivierung, BAA)
• Essentials: 14,99 $ pro Benutzer und Monat (umfasst Formulare, Vorlagen und elektronische Signaturen)
• Growth: 17,99 $ pro Nutzer und Monat (mehr Formulare, Branding, obligatorische 2FA)

Nutzerbewertung: 3,7 / 5 (G2)

7. Aspida Mail: Einfache verschlüsselte E-Mail-Lösung für kleine Büros

Mit Aspida Mail können Praxen eine neue sichere E-Mail-Adresse einrichten oder ihre eigene Domain beibehalten und diese zusätzlich verschlüsseln. Das System funktioniert mit jedem IMAP-fähigen Gerät oder Client (Outlook, Apple Mail, E-Mail-Anwendung auf Smartphones) und legt dabei besonderen Wert auf Kompatibilität und einfache Integration.

Warum dieses Tool: Ein wartungsarmer, auf Kompatibilität ausgerichteter und sicherer E-Mail-Host für kleine Zahnarzt- und Arztpraxen, die ihre gewohnten E-Mail-Anwendungen weiter nutzen möchten.

Wichtige Fähigkeiten

• AES-256-Verschlüsselung für Nachrichten während der Übertragung und im Ruhezustand.
• Echtzeit-Spamfilterung und Virenschutz für eingehende E-Mails, serverseitig abgewickelt.
• Funktioniert mit jedem IMAP-fähigen Gerät oder jeder IMAP-fähigen Software.
• Automatische E-Mail-Sicherung und 6-jährige Aufbewahrungsfrist ohne Größenbeschränkung – ideal für Compliance und Audits.

Profis

• Funktioniert mit gängigen E-Mail-Programmen, wodurch der Schulungsaufwand und Betriebsunterbrechungen auf ein Minimum reduziert werden.
• Enthält eine BAA und sogar eine E-Mail-Richtlinie für Ihr HIPAA-Handbuch, die auf die Anforderungen kleiner Büros zugeschnitten sind.

Nachteile

• Die Verschlüsselung ausgehender Daten erfolgt häufig triggerbasiert (ein Schlüsselwort wie „verschlüsseln“ oder eine Aktion zum Versenden über das Portal), was das Risiko menschlicher Fehler erhöht.
• Einfacher ausgestattet als Konkurrenten wie Hushmail oder Paubox. Es gibt keine individuell anpassbare Benutzeroberfläche, keinen integrierten Formular-Generator, keine elektronische Signatur und keine mobile App.

Am besten geeignet für: Kleine Zahnarzt- und Arztpraxen, die eine unkomplizierte, wartungsarme und verschlüsselte E-Mail-Lösung suchen, die sich nahtlos in ihre täglichen Arbeitsabläufe integrieren lässt.

Preisgestaltung: 

• Aspida Mail: 10 $ pro Benutzer und Monat (E-Mail-Adresse mit der Endung @aspidamail.net)
• Aspida Mail+: 15 $ für die erste E-Mail-Adresse mit eigener Domain, 10 $ für jede weitere.

Die Tarife umfassen Verschlüsselung, 30 GB Speicherplatz, 6 Jahre Backup, Spamfilterung, BAA und Support.

Benutzerbewertung: Es wurden keine Nutzerbewertungen veröffentlicht.

8. Microsoft 365 + Purview Message Encryption: Verschlüsselung auf Unternehmensniveau

Microsoft 365 bietet für bestimmte Tarife (Enterprise E3/E5/E7, Business Premium) eine integrierte Verschlüsselung über Microsoft Purview Message Encryption. Sie können verschlüsselte E-Mails über Outlook versenden, Richtlinien wie „Nicht weiterleiten“ anwenden und den Zugriff auf die vorgesehenen Empfänger beschränken, vorausgesetzt, die Konfiguration ist korrekt und es liegt eine BAA vor.

Warum dieses Tool: Wenn Sie bereits Microsoft 365 nutzen, können Sie eine HIPAA-konforme Verschlüsselung aktivieren, ohne einen Drittanbieter hinzuzuziehen.

Wichtige Fähigkeiten

• E-Mail-Fluss- und DLP-Regeln in Exchange Online können E-Mails anhand von Schlüsselwörtern, Empfängern oder Vertraulichkeitskennzeichnungen automatisch verschlüsseln.
• Andere M365- und Outlook-Benutzer können verschlüsselte E-Mails nahtlos in ihrem Client öffnen.
• Microsoft unterzeichnet eine HIPAA-BAA im Rahmen der Online Services DPA; die Daten werden standardmäßig sowohl im Ruhezustand als auch während der Übertragung verschlüsselt, wobei umfangreiche Prüfprotokolle geführt werden.
• Lässt sich in Ihren bestehenden Outlook-/Exchange-Workflow und andere M365-Anwendungen integrieren.

Profis

• Detaillierte Steuerung: Bestimmte E-Mail-Typen automatisch verschlüsseln, Vertraulichkeitskennzeichnungen verwenden und die Verschlüsselung in definierten Szenarien verpflichtend machen.
• In den Microsoft-Tarifen enthalten, sodass für die Basisverschlüsselung kein neuer Anbieter und kein neuer Vertrag erforderlich sind.
• Langjährige Erfahrung im Bereich HIPAA sowie HITRUST- und FedRAMP-Zertifizierung.

Nachteile

• Der Einsatz von Office 365 allein reicht nicht aus, um die Compliance-Anforderungen zu erfüllen; Sie müssen die BAA von Microsoft unterzeichnen und DLP sowie die Verschlüsselung konfigurieren.
• Externe Empfänger nutzen das Verschlüsselungsportal von Microsoft und nicht ihre eigenen Tools.
• Da keine Zusatzoptionen verfügbar sind, war ein erzwungenes Upgrade der Tarife erforderlich.

Am besten geeignet für: Mittlere bis große Gesundheitsdienstleister, die bereits Microsoft 365 nutzen und Verschlüsselung sowie DLP zentral für alle Mitarbeiter aktivieren möchten.

Preisgestaltung:

Enthalten in:

• Microsoft 365 Business Premium: 26,40 $ pro Benutzer und Monat
• Microsoft 365 E3: 36 $ pro Benutzer und Monat
• Microsoft 365 E5: 57 $ pro Benutzer und Monat
• Microsoft 365 E7: 99 $ pro Benutzer und Monat

Nutzerbewertung: 4,7 / 5 (G2)

Realitätscheck 2026: Der Bericht von Paubox für das Jahr 2026 ergab, dass 53 % der Datenschutzverletzungen im Gesundheitswesen mittlerweile auf Microsoft 365 auftreten (gegenüber 43 % im Jahr 2024). Native Verschlüsselung hilft zwar, kann aber Domain-Spoofing nicht verhindern. Kombinieren Sie sie mit Authentifizierung und prüfen Sie, ob Microsoft 365 allein Ihren Verpflichtungen gerecht wird.

9. Google Workspace mit Add-ons: Verschlüsseltes Gmail für HIPAA

Google Workspace kann Gmail durch entsprechende Konfiguration und/oder Verschlüsselungs-Add-ons von Drittanbietern HIPAA-konform machen. Zwar werden Daten standardmäßig sowohl im Ruhezustand als auch während der Übertragung verschlüsselt, doch erfolgt keine automatische End-to-End-Verschlüsselung der Inhalte. Google unterzeichnet daraufhin eine BAA, um die gewohnte Benutzerfreundlichkeit von Gmail beizubehalten und gleichzeitig die erforderlichen Schutzmaßnahmen für PHI zu integrieren.

Warum dieses Tool: Ideal für Unternehmen, die bereits mit Gmail arbeiten und ihren gewohnten Arbeitsablauf um eine Verschlüsselung erweitern möchten, ohne ihre Systeme migrieren zu müssen.

Wichtige Fähigkeiten

• TLS ist standardmäßig während der Übertragung und bei der Speicherung aktiviert. Administratoren können für bestimmte Domänen ausschließlich TLS-Verbindungen vorschreiben.
• Eine unterzeichnete BAA regelt die vorschriftsmäßige Nutzung von Gmail unter Einhaltung angemessener Sicherheitsvorkehrungen.
• Der vertrauliche Modus von Gmail für zeitlich begrenzte, passwortgeschützte Nachrichten, die weder weitergeleitet noch heruntergeladen oder ausgedruckt werden können.
• S/MIME für echte End-to-End-Verschlüsselung auf Nachrichtenebene mit ausgetauschten Zertifikaten (höhere Stufen).

Profis

• Die Einarbeitungszeit ist minimal, da die Mitarbeiter weiterhin die Gmail-Benutzeroberfläche nutzen.
• Bündelt E-Mail, Drive und Kalender unter einem Dach und in einer BAA.
• Die sichere, umfassend zertifizierte Infrastruktur von Google sowie die Audit-Protokolle für Administratoren.

Nachteile

• Gmail allein reicht nicht aus. Sie müssen die BAA unterzeichnen, nicht abgedeckte Funktionen deaktivieren und Ihre Mitarbeiter in der Nutzung des vertraulichen Modus oder eines Plugins schulen.
• Nachrichten im vertraulichen Modus können ungewohnt wirken und manche Patienten verwirren oder sogar dazu führen, dass sie ignoriert werden.
• Ein unsachgemäßer Schritt außerhalb des Gmail-Ökosystems (z. B. die Weiterleitung an eine private E-Mail-Adresse) birgt Compliance-Risiken.

Am besten geeignet für: Gesundheitsteams, die bereits Google Workspace nutzen. Kleine Praxen oder mittelgroße Kliniken und Geschäftspartner, die über eine gewisse IT-Unterstützung verfügen, um DLP einzurichten und eine Verschlüsselungsmethode auszuwählen.

Preisgestaltung:

• Business Starter: 8,40 $ pro Nutzer und Monat
• Business Standard: 16,80 $ pro Benutzer und Monat
• Business Plus: 26,40 $ pro Benutzer und Monat

Nutzerbewertung: 4,6 / 5 (G2)

10. Protected Trust (Send It Secure): HIPAA-konforme Nachrichtenübermittlung über mehrere Kanäle

Protected Trust ist eine cloudbasierte Plattform für sichere Nachrichtenübermittlung, die den HIPAA-Anforderungen entspricht. Sie ermöglicht es Unternehmen, verschlüsselte E-Mails und Dateien zu versenden und zu empfangen, ohne ihre bestehende E-Mail-Infrastruktur ändern zu müssen, und bietet dabei umfassende Kontrollmöglichkeiten hinsichtlich der Empfänger sowie eine BAA.

Warum dieses Tool: Eine leistungsstarke Multi-Channel-Lösung für Anbieter, die Benachrichtigungen an Empfänger, Lesebestätigungen, Kontrollen nach dem Versand sowie Integrationen in elektronische Patientenakten (EHR) und Praxisverwaltungssysteme benötigen.

Wichtige Fähigkeiten

• Outlook-Add-In, Webportal, Windows-Client, iOS-App und ein SMTP-Dienst für den sicheren E-Mail-Verkehr zwischen Systemen.
• Empfänger öffnen eine geschützte Nachricht mithilfe eines gemeinsamen Passworts oder eines SMS-/Sprachcodes. Es ist keine vorherige Einrichtung erforderlich, und Absender erhalten Benachrichtigungen und Lesebestätigungen.
• Funktionen für Patienten, wie z. B. „Nach dem Senden widerrufen“ und „Ablaufdatum/Aufbewahrungsdauer festlegen“.
• Langzeitarchivierung (1–7 Jahre bei kostenpflichtigen Tarifen), DLP-Kompatibilität, Active-Directory-Synchronisierung, SSO und Protokollierung in höheren Tarifen als Teil der Compliance Automatisierung.
• Barrierefreiheit bei benutzerdefinierten Branding- und Anmeldeseiten.

Profis

• Funktioniert mit bestehenden E-Mail-Adressen, sodass Mitarbeiter und Patienten ihre gewohnten Adressen behalten können.
• Verschlüsselung mit einem Klick über ein Outlook-Add-in oder das Portal. Empfänger können Einmalcodes oder eine Telefonbestätigung nutzen.
• Zertifizierte Dentrix-Integration und zahlreiche Anbindungen an Praxissysteme und elektronische Patientenakten (EHR) zum Versand von geschützten Gesundheitsdaten (PHI) aus klinischen Systemen.

Nachteile

• Die Patienten rufen ein Webportal auf, um Nachrichten zu lesen, und benötigen möglicherweise einen Zugangscode zur Authentifizierung.
• Da verschlüsselte Nachrichten auf Protected Trust-Servern gespeichert werden, hängt der Zugriff von deren Verfügbarkeit ab.

Am besten geeignet für: Anbieter jeder Größe, die HIPAA-konforme Nachrichtenübermittlung benötigen. Medizinische Kliniken, Zahnarztpraxen, Krankenhäuser, Labore, Fachärzte sowie Geschäftspartner und Finanz- und Rechtskanzleien, die mit geschützten Gesundheitsdaten (PHI) umgehen.

Preisgestaltung: 

• Essentials: 15 $/Benutzer/Monat (unbegrenzte sichere Nachrichtenübermittlung, 1 Jahr Aufbewahrung, 50 MB Anhänge)
• Professional: 29 $/Monat für 2 Benutzer, +10 $ für jeden weiteren Benutzer (7 Jahre Aufbewahrungsfrist, 1 GB Anhänge, Branding, Integrationen, DLP)
• SMTP/API: auf Anführungszeichen basierend.

Nutzerbewertung: 5,0 / 5 (G2)

Ein vielversprechender Neuzugang, den man 2026 im Auge behalten sollte

11. Proton Mail: E-Mail mit Schwerpunkt auf Datenschutz und durchgängiger Verschlüsselung

Proton Mail (Teil von Proton Workspace, seit März 2026 unter neuem Namen) ist ein E-Mail-Dienst, bei dem der Datenschutz an erster Stelle steht und der auf End-to-End-Verschlüsselung sowie Zero-Access-Verschlüsselung basiert. Auf den Servern von Proton werden ausschließlich verschlüsselte Daten gespeichert, und das Unternehmen verfügt über keine Schlüssel, um diese zu lesen. Der Dienst ist in den meisten HIPAA-konformen E-Mail-Listen für 2026 vertreten und stellt bei ordnungsgemäßer vertraglicher Abwicklung und Konfiguration eine zuverlässige Option dar.

Warum dieses Tool: Ideal, wenn Datenschutz und strukturelle Datenminimierung oberste Priorität haben. Die Verschlüsselung wird auf Infrastrukturebene durchgesetzt, wodurch das Risiko einer versehentlichen Offenlegung von PHI verringert wird, und die Daten unterliegen den strengen Schweizer Datenschutzgesetzen.

Wichtige Fähigkeiten

• End-to-End-Verschlüsselung und Zero-Access-Verschlüsselung (AES-256): Nachrichten innerhalb Ihrer Organisation werden automatisch verschlüsselt, und externe Nachrichten können passwortgeschützt versendet und in jedem Browser geöffnet werden.
• Die BAA steht allen zahlenden Proton-Nutzern zur Verfügung (Anfrage über [email protected], Betreff „HIPAA BAA“); zertifiziert nach SOC 2 Typ II und ISO 27001.
• Zwei-Faktor-Authentifizierung und Proton Sentinel zum Schutz vor Kontoübernahmen.
• Funktioniert mit Mail, Kalender, Drive, VPN und Pass.
• Einfacher Import aus Google Workspace oder Microsoft 365 ohne zusätzliche Kosten.

Profis

• Dank der Zero-Knowledge-Verschlüsselung können Mitarbeiter ohne eine ausdrückliche Ausnahmegenehmigung durch den Administrator keine geschützten Gesundheitsdaten versehentlich offenlegen – wodurch die Risikofläche strukturell kleiner ist als bei herkömmlichen Cloud-Laufwerken.
• Die Schweizer Rechtsprechung legt die rechtlichen Anforderungen für Anträge auf Datenzugang höher.
• Datenschutz als Standard mit zuverlässigen Zertifikaten und einer vertrauten Webmail-/App-Benutzererfahrung.

Nachteile

• Externe Empfänger öffnen passwortgeschützte Nachrichten über einen Proton-Link, sofern sie nicht ebenfalls Proton nutzen.
• Nur kostenpflichtige Proton-Tarife sind für die Nutzung im Rahmen des HIPAA zugelassen.
• Weniger gesundheitsspezifische Zusatzfunktionen (keine integrierten Patientenformulare oder EHR-Integrationen) als bei speziell für diesen Zweck entwickelten Tools wie Paubox oder Hushmail.

Am besten geeignet für: Datenschutzbewusste Praxen, Forschungsteams und Administratoren, die eine standardmäßige Verschlüsselung wünschen und mit der Verwaltung des Passwort-Workflows für externe Empfänger vertraut sind.

Preisgestaltung: 

• Mail Essentials: 7,99 $ pro Benutzer und Monat
• Workspace Standard: 14,99 $ pro Benutzer und Monat
• Workspace Premium: 24,99 $ pro Benutzer und Monat

Nutzerbewertung: 4,6/5 (G2)

Welches Tool sollten Sie wählen?

Beginnen Sie mit Ihren Prioritäten, sei es Einfachheit, umfassende Kontrolle oder Komfort für den Patienten:

• Einfache Nutzung mit Gmail/Outlook: Konzentrieren Sie sich auf Tools, die standardmäßig verschlüsseln, und vermeiden Sie Portale (Paubox, Virtru), um den Schulungsaufwand und Reibungsverluste zu reduzieren.
• Sie nutzen bereits Microsoft 365 oder Google Workspace: Aktivieren Sie die native Verschlüsselung und stellen Sie gleichzeitig sicher, dass auch die Authentifizierung (PowerDMARC) abgedeckt ist und eine unterzeichnete BAA vorliegt.
• Kleinere Praxen: Wägen Sie Preis und Einrichtungszeit ab. Prüfen Sie außerdem die Funktionen für sichere eingehende Nachrichten, Archivierung und markenspezifische Nachrichten ohne Zusatzverkäufe (MailHippo, Hushmail, Aspida).
• Größere Unternehmen: Berücksichtigen Sie Skalierbarkeit, DLP, Verwaltungskontrolle, Verwaltung mehrerer Domänen, die Durchsetzung von 2FA, Aufbewahrungsfristen und die EHR-Integration (LuxSci, Protected Trust, Microsoft 365).
• Vorgaben zum Datenschutz als oberste Priorität: Wenn Zero-Access-Verschlüsselung und Datenminimierung für Sie Priorität haben, sollten Sie Proton Mail in Betracht ziehen.

Letztendlich hängt die richtige Lösung davon ab, ob es Ihnen um Compliance, Arbeitsabläufe oder Vertrauen geht. Erfassen Sie Ihre E-Mail-Risiken und Patientenkontaktpunkte und wählen Sie dann einen Anbieter, der die Kommunikation in Ihrem Team verbessert, ohne unnötige Komplikationen zu verursachen.

Die strategische Rolle von PowerDMARC für die E-Mail-Sicherheit im Gesundheitswesen

Die meisten Lösungen konzentrieren sich auf die Verschlüsselung, um geschützte Gesundheitsdaten (PHI) während der Übertragung zu schützen, tragen jedoch kaum dazu bei, Identitätsbetrugsangriffe zu verhindern, bei denen Angreifer eine Domain aus dem Gesundheitswesen fälschen, um Patienten dazu zu verleiten, Daten preiszugeben oder auf bösartige Links zu klicken.

PowerDMARC schließt diese Lücke, indem es alle sechs wichtigen E-Mail-Authentifizierungsprotokolle (SPF, DKIM, DMARC, BIMI, MTA-STS, TLS-RPT) durch. So wird sichergestellt, dass nur autorisierte Absender Ihre Domain nutzen können. Die Lösung wurde für den skalierbaren Einsatz über Dutzende von Domains hinweg entwickelt, die Krankenhäuser, Kliniken und Tochtergesellschaften umfassen, und ist dennoch bereits ab etwa 8 $ pro Benutzer und Monat mit unbegrenzter Domain-Anzahl und zentraler Verwaltung erhältlich. MSPs und IT-Anbieter im Gesundheitswesen können die Plattform zudem die Plattform als White-Label-Lösung nutzen.

PowerDMARC ist kein Ersatz für die Verschlüsselung, sondern eine wichtige Ergänzung. Die Verschlüsselung schützt den Inhalt von Nachrichten; die Authentifizierung stellt sicher, dass die Nachricht tatsächlich von Ihnen stammt. Die Kombination von PowerDMARC mit einem HIPAA-konformen E-Mail-Anbieter wie Paubox oder Virtru schafft eine mehrschichtige, umfassende Sicherheitsstrategie, die auf die für 2026 vorgeschlagenen HHS-Anforderungen und den Best-Practices Best Practices im Bereich Cybersicherheit.

Es wird ein schrittweises Vorgehen empfohlen: Beginnen Sie mit der Implementierung Domänenauthentifizierung ein, um Spoofing zu verhindern, fügen Sie anschließend eine Verschlüsselung zum Schutz der Daten während der Übertragung hinzu und ergänzen Sie das Ganze schließlich durch DLP und Bedrohungserkennung, um umfassende Sicherheit zu gewährleisten. Im Wesentlichen geht es darum, den größten Risiken Vorrang einzuräumen und dabei das Budget einzuhalten.

Häufig gestellte Fragen

Ist Google Workspace oder Microsoft 365 eine verschlüsselte E-Mail-Plattform für das Gesundheitswesen?

Nicht standardmäßig. Beide Lösungen sind weit verbreitet, doch die Einhaltung der HIPAA-Vorschriften erfordert bestimmte Konfigurationen: Für Microsoft 365 ist die Version E3 oder höher erforderlich, wobei Verschlüsselung und Zugriffskontrollen aktiviert sein müssen, und für Google Workspace ist mindestens die Version „Business Standard“ erforderlich. In beiden Fällen ist eine unterzeichnete BAA erforderlich.

Benötigen Patienten spezielle Software, um auf sichere E-Mail-Nachrichten zugreifen zu können?

Nein, wenn Sie das richtige Tool verwenden. Anbieter wie Paubox liefern verschlüsselte Nachrichten direkt in den Posteingang, was die Erreichbarkeit und die Patientenzufriedenheit verbessert.

Was ist der Unterschied zwischen E-Mail-Verschlüsselung während der Übertragung und im Ruhezustand?

Die Verschlüsselung während der Übertragung schützt E-Mails auf ihrem Weg durch das Internet. Die Verschlüsselung im Ruhezustand sichert sie, wenn sie auf Servern gespeichert sind. Die HIPAA verlangt, dass beide Maßnahmen den umfassenden Schutz von ePHI (elektronische Patienten-Gesundheitsdaten) gewährleisten.

Wie viel kostet ein Datenleck bei E-Mails im Gesundheitswesen?

Das Gesundheitswesen ist bereits das 14. Jahr in Folge die Branche, in der Datenpannen die höchsten Kosten verursachen. Laut dem IBM-Bericht „Cost of a Data Breach Report 2025“ liegen die durchschnittlichen Kosten bei 7,42 Millionen US-Dollar – ein Rückgang gegenüber den 9,77 Millionen US-Dollar des Vorjahres, aber immer noch der höchste Wert aller Branchen. Außerdem dauert es am längsten, Datenlecks im Gesundheitswesen einzudämmen (etwa 279 Tage). HIPAA-konforme E-Mails mit Verschlüsselung und Authentifizierung sind eine kosteneffiziente Schutzmaßnahme.

Ist die E-Mail-Verschlüsselung gemäß HIPAA im Jahr 2026 vorgeschrieben?

Derzeit ist die Verschlüsselung technisch „umsetzbar“. Sie müssen sie entweder implementieren oder einen stichhaltigen Grund dafür angeben, warum Sie darauf verzichten. Die vom HHS vorgeschlagene Aktualisierung der Sicherheitsvorschriften für 2026 (die zum Zeitpunkt der Erstellung dieses Artikels noch geprüft wird) würde diese Flexibilität aufheben und die Verschlüsselung von ePHI sowohl während der Übertragung als auch im Ruhezustand ausdrücklich vorschreiben. In jedem Fall erwarten die Aufsichtsbehörden, dass per E-Mail übermittelte PHI verschlüsselt wird.

Trägt DMARC zur Einhaltung der HIPAA-Vorschriften bei?

DMARC wird im HIPAA zwar nicht namentlich erwähnt, unterstützt jedoch direkt die Ziele der Sicherheitsvorschrift hinsichtlich Übertragungssicherheit und Integrität, indem es Domain-Spoofing und Phishing – die häufigsten Angriffsvektoren im Gesundheitswesen – verhindert und Prüfnachweise liefert. Betrachten Sie DMARC als eine Authentifizierungsebene, die die Verschlüsselung ergänzt, nicht jedoch als Ersatz dafür.

Kann ich für HIPAA-konforme E-Mails normales Gmail oder Outlook verwenden?

Nein. Die privaten Versionen von Gmail und Outlook erfüllen die HIPAA-Anforderungen nicht. Sie benötigen Unternehmensversionen mit Zugriffskontrollen, Verschlüsselung und einer unterzeichneten BAA.

Was ist eine Vereinbarung mit Geschäftspartnern und warum ist sie wichtig?

Eine BAA ist eine gemäß HIPAA vorgeschriebene Vereinbarung zwischen einer Einrichtung des Gesundheitswesens und jedem Dienstleister, der mit geschützten Gesundheitsdaten (PHI) umgeht. Sie stellt sicher, dass der Dienstleister die HIPAA-Vorgaben einhält und für den Schutz der Daten verantwortlich ist.

• Über
• Neueste Beiträge

Ahona Rudra

Experte für Domain- und E-Mail-Sicherheit bei PowerDMARC

Ahona ist Marketing-Managerin bei PowerDMARC und verfügt über mehr als 5 Jahre Erfahrung im Schreiben über Cybersicherheitsthemen, insbesondere im Bereich Domain- und E-Mail-Sicherheit. Ahona hat einen Postgraduierten-Abschluss in Journalismus und Kommunikation und ist seit 2019 in der Sicherheitsbranche tätig.

Neueste Beiträge von Ahona Rudra (alle anzeigen)

• Was ist MFA-Müdigkeit (Push-Bombing)? – 21. Juli 2026
• DMARC-MSP-Fallstudie: Wie Adoptive Technologies seinen Kunden mit PowerDMARC zentralisierte E-Mail-Sicherheit bietet – 17. Juli 2026
• So richten Sie DMARC für Google Workspace (Gmail) ein – 14. Juli 2026