Sicher mailen in der Hausarztpraxis, in einfacher Sprache

Eine Praxisassistentin möchte ein Überweisungsschreiben an den Physiotherapeuten um die Ecke mailen. Es geht um eine Seite. Ist das einfach so erlaubt, oder muss es über einen gesicherten Kanal gehen? Und woher wissen Sie, dass die E-Mail bei der richtigen Person ankommt?

Darum geht es bei NTA 7516. In diesem Beitrag lesen Sie, was die Norm verlangt, für wen sie gilt und welche Möglichkeiten Sie haben. Ohne Fachjargon, soweit das geht.

Was ist NTA 7516?

NTA 7516 ist eine Niederländische Technische Vereinbarung (Nederlandse Technische Afspraak) von NEN, dem Niederländischen Normungsinstitut. Die Norm beschreibt, wie Sie E-Mails mit medizinischen und anderen sensiblen personenbezogenen Daten sicher versenden und empfangen. Sie knüpft an NEN 7510 an, die Norm für Informationssicherheit im Gesundheitswesen.

Der Grundgedanke ist einfach: E-Mail mit Patientendaten muss genauso sicher sein wie andere gesicherte Kanäle im Gesundheitswesen. Die Norm stellt Anforderungen an den Absender und an den Empfänger.

Für wen gilt sie?

Für jeden Gesundheitsdienstleister, der Patientendaten per E-Mail versendet. Denken Sie an:

• Hausarztpraxen und Gesundheitszentren
• Krankenhäuser und Kliniken
• Einrichtungen der psychischen Gesundheitsversorgung
• Pflegeheime, Altenheime und häusliche Pflege
• Apotheken
• Physiotherapeuten, Logopäden und andere paramedizinische Berufe
• Jugendhilfe

Mailen Sie über Patienten, betrifft NTA 7516 Sie.

Was verlangt die Norm?

In einfachen Worten läuft es auf fünf Dinge hinaus:

• Verschlüsselung. Die E-Mail geht verschlüsselt von Server zu Server, mit mindestens TLS 1.2. Normale E-Mail über eine ungesicherte Verbindung reicht nicht.
• Der richtige Empfänger. Sie müssen darauf vertrauen können, dass die Adresse stimmt und dass der Empfänger ist, wer Sie denken.
• Ein zweiter Schritt beim Öffnen. Kann der Empfänger die E-Mail nicht über einen vertrauenswürdigen Mailserver empfangen, öffnet er die Nachricht mit Bestätigung in zwei Schritten.
• Festhalten. Sie halten fest, wer wann was an wen gesendet hat und ob es angekommen ist.
• Mitarbeitende, die Bescheid wissen. Ihre Praxis erkennt eine E-Mail mit sensiblen Daten und weiß, wie sie sicher hinausgeht.

Die genauen Anforderungen stehen in der Norm selbst, die Sie bei NEN erwerben können. Dies ist eine Zusammenfassung, kein Ersatz.

Welche Möglichkeiten haben Sie?

Es gibt grob drei Wege, an der Norm zu arbeiten.

Eine E-Mail-Plattform, die die Anforderungen schon eingebaut hat

Die Plattform regelt die Technik. Ihre Mitarbeitenden lernen vor allem, wann sie den gesicherten Weg wählen. Für eine kleine Praxis ist das meist am einfachsten.

Ein Gateway für Ihre bestehende E-Mail

Ein zusätzlicher Dienst für Ihren aktuellen Mailserver erkennt sensible Nachrichten und sichert sie. Sie behalten Ihr gewohntes Mailprogramm. Die Erkennung müssen Sie aber gut einstellen, denn sie liegt auch mal daneben.

Ein separater gesicherter Nachrichtendienst

Sie senden sensible Nachrichten über einen separaten Dienst statt per E-Mail. Das ist sicher, aber der Empfänger muss denselben Dienst nutzen oder sich über einen Link anmelden.

Welcher Weg passt, hängt von Ihrer Größe ab und davon, mit wem Sie am meisten mailen.

Fehler, die Sie leicht vermeiden

Ein paar Fallstricke sind einfach zu umgehen:

• Patientendaten von einer gewöhnlichen kostenlosen E-Mail-Adresse versenden
• ein Zip-Archiv mit Passwort als Verschlüsselung ansehen, denn das genügt der Norm nicht
• das Passwort über denselben Kanal senden wie die Datei
• nicht prüfen, ob die Adresse des Empfängers stimmt
• nicht festhalten, was Sie versendet haben

Wie das mit anderen Regeln zusammenhängt

Gesundheitsdaten sind besondere Kategorien personenbezogener Daten nach der DSGVO und verlangen zusätzlichen Schutz. NEN 7510 ist der breitere Rahmen für Informationssicherheit im Gesundheitswesen. Größere Gesundheitsdienstleister fallen seit dem 15. August 2026 auch unter das niederländische Cybersicherheitsgesetz (Cyberbeveiligingswet), die niederländische Umsetzung von NIS2 (rijksoverheid.nl).

Was Sie diese Woche tun können

1. Fragen Sie Ihren Mailanbieter, ob die Verbindung immer verschlüsselt ist und mit welcher TLS-Version.
2. Vereinbaren Sie in der Praxis, welche Nachrichten immer über den gesicherten Weg gehen.
3. Hören Sie auf mit Zip-Archiven mit Passwort.
4. Bestimmen Sie jemanden, der in der Praxis Ansprechperson für sichere E-Mail ist.

Wo Noveu steht

Noveu Mail läuft auf unserem eigenen Mailserver bei Hetzner in einem Rechenzentrum in Falkenstein, Deutschland. Der Datenverkehr zu Noveu ist mit TLS 1.2 oder 1.3 verschlüsselt. Cloudflare Inc. (USA, für DNS, CDN, DDoS und TLS am Rand des Netzwerks), Stripe Payments Europe (Irland) für Zahlungen und Mistral AI (Frankreich) für KI-Textgenerierung sind weitere Unterauftragsverarbeiter. Welche technischen Maßnahmen Noveu anwendet, lesen Sie auf unserer Seite zu NTA 7516.