NTA-7516-Checkliste: So stellen Sie sicheres Mailen im Gesundheitswesen sicher

Sie möchten wissen, ob Ihre Praxis beim sicheren Mailen so weit ist. Sie suchen eine Liste zum Abhaken und finden vor allem Anbieter, die „NTA 7516 compliant“ auf ihre Website schreiben. Das sagt Ihnen nicht, was Sie prüfen müssen.

Dies ist eine Checkliste mit vierzehn Punkten in sechs Gruppen. Zu jedem Punkt lesen Sie, was er bedeutet, wie Sie ihn prüfen und wo es schiefgeht. Steht ein solches Label auf der Website eines Anbieters, haken Sie nach; was es aussagt und was nicht, lesen Sie in den FAQ auf unserer Seite zur Norm. Steht bei einem Punkt „laut Norm“, gehört er zu den Anforderungen auf unserer Seite zur Norm. Der Rest sind Prüfungen, die wir Ihnen empfehlen.

Der Normtext selbst steht hier nicht. NEN bietet das PDF von NTA 7516:2019 kostenlos an, nach einer Bestellung direkt herunterladbar und nur für den eigenen Gebrauch (NEN, NTA 7516:2019 nl, abgerufen am 12. Oktober 2026). NEN schreibt, dass die Einhaltung von NTA 7516 (noch) nicht verpflichtend ist und dass die Norm auf der DSGVO und eIDAS beruht (NEN, Veilig mailen met NTA 7516, abgerufen am 12. Oktober 2026). Laut NEN setzen Sie einen wichtigen Teil der Maßnahmen mit der Wahl des richtigen Anbieters um, ergreifen als Gesundheitseinrichtung aber auch selbst Maßnahmen (gleiche Quelle). Anbieter müssen laut NEN transparent darüber sein, was ihr Produkt nicht abdeckt (gleiche Quelle).

Wissen Sie, wer sich anmeldet und wer öffnet?

• Zweiter Schritt für den Empfänger. Laut Norm weist der Empfänger mit mindestens zwei Faktoren nach, wer er ist, bevor er Gesundheitsinformationen öffnen kann. Prüfung: Fragen Sie, ob dieser Schritt erzwungen wird oder optional ist, und testen Sie ihn mit einer Nachricht an eine Kollegin oder einen Kollegen andernorts. Fallstrick: Ein optionaler zweiter Schritt schützt nur diejenigen, die ihn einschalten.
• Eigene Konten. Eine Prüfung von uns, keine Anforderung der Norm. Prüfung: Melden Sie sich als gewöhnliche Mitarbeiterin oder gewöhnlicher Mitarbeiter an und sehen Sie nach, ob auch dort ein zweiter Schritt verlangt wird. Fallstrick: Der zweite Schritt ist nur für Administratoren eingeschaltet.

Wird die E-Mail verschlüsselt übertragen?

• Unterwegs. Laut Norm werden Gesundheitsinformationen verschlüsselt über die Leitung übertragen. Prüfung: Fragen Sie Ihren Anbieter, ob die Verschlüsselung zwischen Mailservern erzwungen wird. Fallstrick: eine Verschlüsselung, die nur genutzt wird, wenn die Gegenseite sie unterstützt.
• Was Sie speichern. Laut Norm gilt die Verschlüsselung auch für das, was Sie speichern. Prüfung: Fragen Sie Ihren Anbieter, was in seinem Speicher verschlüsselt wird und seit wann, und halten Sie die Antwort fest. Fallstrick: eine Antwort zur Verbindung, obwohl Sie nach dem Speicher gefragt haben.
• Der Rest der Route. Laut Norm kann nur der vorgesehene Empfänger eine Nachricht lesen. Prüfung: Fragen Sie, ob auch externe Mailserver, über die die Nachricht läuft, den Inhalt nicht lesen können. Fallstrick: ein Anbieter, der nur die Mailserver beschreibt, die er selbst betreibt.

Kommt die E-Mail bei der richtigen Person an?

• Adresse prüfen, bevor Sie senden. Laut Norm wissen Sie, wer eine Nachricht sendet und wer sie liest, und es gehen keine Gesundheitsinformationen an eine Adresse, die nicht geprüft wurde. Prüfung: Legen Sie fest, wie Sie eine neue Adresse prüfen, zum Beispiel mit einem Anruf beim Empfänger. Fallstrick: eine Adresse, die aus einer alten E-Mail übernommen wird.
• Absender erkennbar. Unsere Seite zur Norm nennt für die Absenderidentifikation PKI-overheid-Zertifikate und das Zorg-e-mail-protocol. Prüfung: Fragen Sie Ihren Anbieter, woran ein Empfänger erkennt, dass eine Nachricht wirklich von Ihrer Praxis stammt. Fallstrick: ein Absendername, den jeder eintippen kann.
• Funktioniert es mit anderen Anbietern. Laut NEN müssen Nachrichten zwischen Produkten verschiedener Anbieter, die der Norm genügen, ohne Einschränkung gesendet, empfangen und gelesen werden können (NEN, abgerufen am 12. Oktober 2026). Prüfung: Senden Sie eine Testnachricht an einen Partner im Gesundheitswesen mit einem anderen Dienst und fragen Sie, was dieser sieht. Fallstrick: ein Dienst, der nur zwischen Personen funktioniert, die denselben Dienst nutzen.

Können Sie nachweisen, was versendet wurde?

• Protokollierung pro Nachricht. Laut Norm können Sie nachweisen, wer wann was gesendet und empfangen hat. Ohne Protokollierung haben Sie keinen Nachweis für Aufsichtsbehörde oder Auditor (unsere Seite zur Norm). Prüfung: Fordern Sie das Protokoll des Vormonats an und sehen Sie nach, ob Zeitpunkt, Absender und Empfänger darin stehen. Fallstrick: Sie merken erst bei einer Frage eines Auditors, dass nichts festgehalten wurde.
• Aufbewahren und wiederfinden. Dies ist eine Prüfung von uns. Legen Sie fest, wie lange Sie das Protokoll aufbewahren, wer darauf zugreifen kann und wie Sie darin eine Nachricht wiederfinden. Fallstrick: ein Protokoll, auf das nur der Anbieter zugreifen kann.

Was steht auf dem Papier?

• Auftragsverarbeitungsvertrag. Ein Mailanbieter verarbeitet Gesundheitsdaten in Ihrem Auftrag. Die DSGVO verlangt dann einen Vertrag, in dem festgelegt ist, was der Auftragsverarbeiter tun darf (Artikel 28 Absatz 3, EUR-Lex, abgerufen am 12. Oktober 2026). Prüfung: Lesen Sie die Anhänge mit Unterauftragsverarbeitern und Maßnahmen und sehen Sie nach, wo Ihre Daten liegen. Siehe was ein Auftragsverarbeitungsvertrag ist und was darin stehen muss. Fallstrick: auf „Einverstanden“ klicken, ohne die Anhänge zu öffnen.
• Verfügbarkeit und Backups. Laut Norm kommen Nachrichten an, auch wenn ein System kurz ausfällt, und der Dienst ist nachweislich verfügbar und zuverlässig. Prüfung: Fragen Sie, ob die Vereinbarung zur Verfügbarkeit fest zugesagt oder ein Zielwert ist und wie oft Backups erstellt und zurückgespielt werden. Fallstrick: ein Prozentwert im SLA, der sich als Zielwert herausstellt.

Wissen Ihre Mitarbeitenden, was zu tun ist?

• Absprachen in der Praxis. Schreiben Sie auf, welche Nachrichten immer über den gesicherten Weg gehen und wer Ansprechperson ist. Die DSGVO verlangt Maßnahmen, die sicherstellen, dass jeder, der Ihnen unterstellt ist und Zugang zu personenbezogenen Daten hat, diese nur auf Ihre Weisung verarbeitet (Artikel 32 Absatz 4, EUR-Lex, abgerufen am 12. Oktober 2026). Prüfung: Fragen Sie eine Kollegin oder einen Kollegen, welche Nachrichten über den gesicherten Weg gehen müssen. Fallstrick: eine Regel, die nur im Kopf der Praxisleitung existiert.
• Wenn etwas schiefgeht. Eine Nachricht mit Gesundheitsdaten an die falsche Adresse kann eine Verletzung des Schutzes personenbezogener Daten sein (Artikel 4 Nummer 12). Der Verantwortliche meldet sie ohne unangemessene Verzögerung und, wenn möglich, spätestens 72 Stunden nach Kenntnis der Aufsichtsbehörde, es sei denn, ein Risiko ist unwahrscheinlich (Artikel 33 Absatz 1, gleiche Quelle). Prüfung: Weiß jeder, wer das meldet und wie? Fallstrick: eine falsch versendete Nachricht eine Woche liegen lassen.

Wo Noveu steht, pro Maßnahme

Noveu Werkplek bringt Ihre E-Mails, Ihren Kalender und Ihre Dateien unter einem Login zusammen. Auf unserer NTA-7516-Seite lesen Sie, welche technischen Maßnahmen Noveu anwendet.

• Mailverkehr primär auf europäischer Infrastruktur: Ihre E-Mail läuft auf unserem eigenen Mailserver bei Hetzner in Falkenstein (Deutschland), und die Backups liegen im selben Hetzner-Rechenzentrum. Cloudflare Inc. (USA, für DNS, CDN, DDoS und TLS am Rand des Netzwerks), Stripe Payments Europe (Irland) für Zahlungen und Mistral AI (Frankreich) für KI-Textgenerierung sind weitere Unterauftragsverarbeiter.
• Verschlüsselter Transport: Der Datenverkehr zu Noveu ist mit TLS 1.2 oder 1.3 verschlüsselt.
• Anmeldung: ein Noveu-Login über OpenID Connect, mit TOTP und Passkeys, für Nutzer optional.
• Die Backups sind verschlüsselt.
• Transparenz: Alle Unterauftragsverarbeiter stehen öffentlich unter /legal/unterauftragsverarbeiter.

Für Ihr eigenes Audit liefern wir auf Anfrage technische und organisatorische Nachweise. Wer die Norm zertifiziert und was ein Gütesiegel leistet und was nicht, lesen Sie auf der Seite zur Norm und zur Zertifizierung. Wie eine kleine Praxis dies angeht, steht in Sicher mailen in der Hausarztpraxis. Was Noveu Werkplek kostet, sehen Sie auf der Preisseite.