Präziis auf Microsoft Cloud: Datenschutz-Best Practices für Schweizer Spitäler
Die Microsoft Cloud bietet umfassende Sicherheits- und Compliance-Features – doch diese müssen richtig konfiguriert werden. Viele Gesundheitseinrichtungen nutzen nur einen Bruchteil der verfügbaren Sicherheitsmassnahmen. Diese 10 Best Practices helfen Ihnen, Präziis auf Microsoft Cloud optimal abzusichern.
Best Practice 1: Data Residency in der Schweiz konfigurieren
Standardmässig können Microsoft 365-Daten weltweit gespeichert werden. Für Schweizer Gesundheitseinrichtungen ist dies problematisch (DSG verlangt Kontrolle über Datenstandort).
Lösung: Konfigurieren Sie explizit Schweizer Rechenzentren (Zürich oder Genf) im Microsoft 365 Admin Center unter "Datenspeicherort". Für Azure: Erstellen Sie Ressourcen in "Switzerland North" oder "Switzerland West". Prüfen Sie regelmässig und dokumentieren Sie für Audits.
Best Practice 2: Multi-Faktor-Authentifizierung (MFA) erzwingen
80% aller Sicherheitsverletzungen basieren auf kompromittierten Passwörtern. Erzwingen Sie MFA für alle Nutzer via Microsoft Entra ID Admin Center. Privilegierte Accounts benötigen Hardware-Token oder Microsoft Authenticator. Erstellen Sie eine Conditional Access Policy: Zugriff nur bei erfolgreicher MFA, Token gültig für 90 Tage
Best Practice 3: Conditional Access für Risiko-basierte Authentifizierung
Conditional Access passt Sicherheitsanforderungen dynamisch an:
- Geo-Kontrolle: Login von außerhalb Schweiz/EU → zusätzliche MFA + Security-Alert
- Geräte-Kontrolle: Nicht-verwaltete Geräte → nur Web-Zugriff, kein Download
- Risiko-Kontrolle: "High Risk User" → Zugriff verweigert, Passwort-Reset
- Spital-Netzwerk: Login von Spital-IP → MFA übersprungen (Komfort)
- Externe Partner: Gastnutzer → MFA + Nutzungsbedingungen + 8h Session-Timeout
Best Practice 4: Customer Managed Keys (CMK) für kritische Daten
Standardmässig verwaltet Microsoft Verschlüsselungsschlüssel. Mit CMK kontrollieren Sie Schlüssel in Ihrem Azure Key Vault – Microsoft kann ohne Ihre Schlüssel nicht auf Daten zugreifen. Bei Kündigung löschen Sie Schlüssel und machen Daten dauerhaft unlesbar. Nutzen Sie CMK für Patientenakten, strategische Dokumente und Forschungsdaten.
Best Practice 5: Data Loss Prevention (DLP) Policies implementieren
DLP-Policies erkennen und blockieren versehentliche Datenweitergabe:
- Patientendaten per E-Mail: Blockierung bei externem Empfänger, Warnung an Absender
- AHV-Nummern: Dokumente mit >5 AHV-Nummern → automatische IRM-Verschlüsselung
- Consumer-Cloud: Upload zu Dropbox/Google Drive → Blockierung
- Vertrauliche Dokumente: Druck nur auf sicheren Druckern
Best Practice 6: Sensitivity Labels für automatische Klassifizierung
Machine Learning klassifiziert Dokumente automatisch: "Patient" + Name + Geburtsdatum → "Streng vertraulich", Finanzreport → "Vertraulich".
Label-Hierarchie: Öffentlich (keine Einschränkungen), Intern (nur Mitarbeitende), Vertraulich (berechtigte Abteilungen), Streng vertraulich (Verschlüsselung erzwungen, kein Druck, Wasserzeichen). Präziis-Workflows weisen Labels automatisch zu.
Best Practice 7: Azure Security Center & Defender aktivieren
Aktivieren Sie Microsoft Defender for Cloud für automatisches Schwachstellen-Scanning, Just-in-Time VM Access und Adaptive Application Controls. Ziel: Secure Score >85%. Installieren Sie Defender for Endpoint auf allen Geräten für Malware-Erkennung und Integration mit Sentinel.
Best Practice 8: Microsoft Sentinel für Bedrohungserkennung
Sentinel sammelt alle Logs (Azure, Microsoft 365, Präziis, Firewalls) und nutzt KI für Anomalie-Erkennung. Automatische Playbooks reagieren auf Ransomware (Computer-Isolation), kompromittierte Accounts (Sperrung + MFA-Reset) und Data Exfiltration (Security-Alert + Blockierung).
Best Practice 9: Retention Policies und Legal Hold
Microsoft Purview automatisiert Aufbewahrungspflichten: Patientenakten 10 Jahre, Finanzunterlagen 10 Jahre, E-Mails 3 Jahre (10 bei Patientenbezug), Teams-Nachrichten 7 Jahre. Legal Hold "friert" Daten bei Gerichtsverfahren ein – selbst nach Ablauf der Aufbewahrungsfrist bleiben sie erhalten.
Best Practice 10: Regelmässige Security Audits
Sicherheit ist ein Prozess, kein Zustand. Quartalsweise: Secure Score Review, DLP Effectiveness, MFA Adoption. Halbjährlich: Penetration Tests, Vulnerability Assessment. Jährlich: ISO 27001-Audit, EDÖB-Compliance-Audit, Disaster Recovery Test
Zusammenfassung: 10 Best Practices Checkliste
✅ 1. Data Residency Schweiz konfiguriert und validiert
✅ 2. MFA für alle Nutzer erzwungen
✅ 3. Conditional Access Policies implementiert (Geo, Gerät, Risiko)
✅ 4. Customer Managed Keys für kritische Daten
✅ 5. DLP Policies für Patientendaten, AHV-Nummern, etc.
✅ 6. Sensitivity Labels mit automatischer Klassifizierung
✅ 7. Azure Security Center/Defender aktiviert, Secure Score >85%
✅ 8. Microsoft Sentinel für Bedrohungserkennung
✅ 9. Retention Policies für gesetzliche Aufbewahrungspflichten
✅ 10. Regelmässige Security Audits quartalsweise/halbjährlich/jährlich
Fazit
Präziis auf Microsoft Cloud bietet höchste Datensicherheit – aber nur, wenn richtig konfiguriert. Diese 10 Best Practices bilden das Fundament für DSG/DSGVO-Compliance und schützen vor Cyberangriffen.
Schweizer Gesundheitseinrichtungen, die diese Massnahmen umsetzen, sind rechtlich abgesichert, technisch optimal geschützt und für Audits jederzeit bereit. Präziis nutzt die Microsoft Cloud-Sicherheit nativ – Sie profitieren automatisch, sobald Sie die Plattform richtig konfigurieren.
Investieren Sie in diese Best Practices. Ihre Patienten, Mitarbeitenden und Ihre Organisation verdienen maximale Datensicherheit.