SSL/TLS-Verschlüsselung und sicheres Kontaktformular (Art. 32 DSGVO)
Recht & IT-Sicherheit
Seit der aktuellen BSI-Richtlinie TR-02102-2 (Fassung 2026-01) gilt TLS 1.3 als Stand der Technik, TLS 1.2 nur noch als Mindeststandard mit Auslaufdatum
Warum ein HTTPS-Schloss allein bei Gesundheitsdaten im Kontaktformular nicht genügt, und wann Ende-zu-Ende-Verschlüsselung nötig wird.
- Art. 32 DSGVO verlangt durchgängige TLS-Verschlüsselung der gesamten Website, TLS 1.2 gilt als Mindeststandard, TLS 1.3 als aktueller Stand der Technik nach BSI TR-02102-2
- Bei Freitextfeldern mit Symptom- oder Diagnoseangaben reicht reine Transportverschlüsselung regelmäßig nicht aus, die verbreitete Formular-zu-E-Mail-Weiterleitung ist bei Gesundheitsdaten oft unzureichend
- Nach Auffassung deutscher und österreichischer Aufsichtsbehörden kann die Pflicht zu angemessenem Schutzniveau nicht durch eine Patienteneinwilligung abbedungen werden
- Verstöße gegen technisch-organisatorische Maßnahmen sind mit Bußgeldern bis 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bedroht, dokumentierte Fälle reichen von 20.000 bis 1,5 Millionen Euro
Ein Kontaktformular mit HTTPS-Schloss wirkt sicher, ist es aber oft nicht: Sobald ein Freitextfeld Symptome oder Beschwerden aufnimmt, reicht die reine Transportverschlüsselung bis zum Server nicht mehr aus. Die verbreitete Weiterleitung als normale E-Mail an die Praxis ist bei Gesundheitsdaten regelmäßig ein Datenschutzverstoß.
TLS als Mindestschutz, aber nicht als Endpunkt
Art. 32 DSGVO nennt Verschlüsselung ausdrücklich als Beispiel für eine geeignete technische Maßnahme. Für Praxis-Websites bedeutet das: durchgängiges HTTPS auf jeder Seite, jedem Formular und jeder eingebundenen Ressource, nicht nur auf der Startseite. Als Stand der Technik gilt nach der BSI-Richtlinie TR-02102-2 (Fassung 2026-01) TLS 1.3, TLS 1.2 wird noch als Mindeststandard toleriert, ältere Versionen wie TLS 1.0 und 1.1 gelten als unsicher.
Bei Gesundheitsdaten nach Art. 9 DSGVO ist das erforderliche Schutzniveau besonders hoch. Der Zertifikatstyp spielt für die Verschlüsselungsstärke keine Rolle, ein kostenloses Zertifikat verschlüsselt technisch genauso stark wie ein teures. Entscheidend ist die korrekte TLS-Konfiguration.
Warum Formular-zu-E-Mail bei Gesundheitsdaten oft nicht reicht
TLS schützt nur die Übertragung zwischen Browser und Server. Sobald das Formular die Eingabe anschließend als normale E-Mail an das Praxispostfach weiterleitet, liegt die Nachricht auf jedem beteiligten Mailserver im Klartext vor. Die Datenschutzkonferenz stuft Transportverschlüsselung deshalb nur als Basisschutz ein, bei besonders schutzwürdigen Daten wie Gesundheitsdaten kann Ende-zu-Ende-Verschlüsselung oder ein gesichertes Patientenportal erforderlich sein.
Wichtig: Nach Auffassung deutscher und österreichischer Aufsichtsbehörden kann diese Pflicht nicht durch eine Einwilligung des Patienten abbedungen werden. Auch wenn ein Patient ausdrücklich unverschlüsselte Kommunikation wünscht, bleibt die objektive Pflicht zu angemessenem Schutzniveau bei der Praxis bestehen.
Prüfkriterien
Vier Bausteine, die am häufigsten scheitern
Diese vier Punkte tauchen bei der TLS- und Formularsicherheit am häufigsten als Befund auf.
Vier Bausteine, zum Durchklicken
Verschlüsselung muss auf jeder Seite gelten.
Hilft HTTPS wird per Weiterleitung und HSTS auf allen Seiten und Formularen erzwungen.
Stolperfalle HTTPS ist nur auf der Startseite aktiv, das Kontaktformular selbst lädt teilweise noch über HTTP.
Kann als Verstoß gegen Art. 32 DSGVO gewertet werden.
Hilft TLS 1.2 oder 1.3 ist aktiv, das Zertifikat wird automatisch erneuert.
Stolperfalle Die Website nutzt noch TLS 1.0 oder das Zertifikat ist abgelaufen, der Browser zeigt eine Sicherheitswarnung.
Der häufigste Befund bei Gesundheitsdaten.
Hilft Freitext mit Gesundheitsbezug wird verschlüsselt gespeichert oder über ein gesichertes Portal abgerufen.
Stolperfalle Eine Symptombeschreibung aus dem Formular wird unverändert als normale E-Mail an die Praxis weitergeleitet.
Prüfbar über die Browserkonsole.
Hilft Alle eingebundenen Ressourcen wie Bilder, Skripte und Schriften laufen konsequent über HTTPS.
Stolperfalle Trotz HTTPS-Grundschutz werden einzelne Ressourcen noch über HTTP nachgeladen, der Browser warnt oder blockiert.
Wie ist Ihr Formular abzusichern?
Entscheidend ist, ob das Formular strukturell Gesundheitsdaten erfassen kann.
Wählen Sie die Situation, die auf Sie zutrifft
Zeitleiste
Wie sich die Rechtslage entwickelt hat
Von TLS 1.3 im Jahr 2018 zur aktuellen BSI-Richtlinie 2026.
- August 2018
TLS 1.3 veröffentlicht
TLS 1.3 wird als RFC 8446 veröffentlicht und bildet seither den aktuellen Verschlüsselungsstandard.
- 21. November 2018
Erstes deutsches Art.-32-Bußgeld
Der LfDI Baden-Württemberg verhängt gegen den Chatanbieter Knuddels das erste deutsche DSGVO-Bußgeld wegen Klartextspeicherung von Passwörtern, ein Verstoß gegen Art. 32 DSGVO.
- März 2021
TLS 1.0/1.1 offiziell veraltet
Die IETF erklärt TLS 1.0 und 1.1 offiziell für veraltet, große Browserhersteller hatten die Unterstützung bereits zuvor angekündigt.
- 16. Juni 2021
DSK-Orientierungshilfe aktualisiert
Die Datenschutzkonferenz aktualisiert ihre Orientierungshilfe zum Schutz personenbezogener Daten bei der Übermittlung per E-Mail und stuft Transportverschlüsselung als Basisschutz ein.
- 15. April 2022
CNIL-Bußgeld gegen Dedalus Biologie
Die französische Datenschutzbehörde CNIL verhängt gegen einen Labor-Softwareanbieter 1,5 Millionen Euro, unter anderem wegen fehlender Verschlüsselung von Gesundheitsdaten fast 500.000 betroffener Personen.
- Januar 2026
Neue BSI TR-02102-2
Das BSI veröffentlicht die aktualisierte Fassung der Technischen Richtlinie TR-02102-2, TLS 1.3 bleibt Stand der Technik, TLS 1.2 wird nur noch bis Ende 2031 empfohlen.
Was jetzt zu tun ist
Testen Sie Ihre Website mit einem kostenlosen Prüftool wie dem SSL Labs Server Test auf TLS-Version, Zertifikatsgültigkeit und Konfiguration. Erzwingen Sie HTTPS durchgängig auf allen Seiten, beseitigen Sie gemischte Inhalte und richten Sie eine automatische Zertifikatserneuerung ein.
Prüfen Sie, ob Ihr Kontaktformular Freitext unverändert als normale E-Mail weiterleitet. Ist das der Fall und können Gesundheitsdaten eingegeben werden, stellen Sie auf verschlüsselte Speicherung, Ende-zu-Ende-verschlüsselten Versand oder ein Patientenportal um, und dokumentieren Sie Ihre Risikoabwägung.
medivendis Intelligence Unit
Wissen Sie, wo Ihre Praxis-Website steht?
Der medivendis Audit prüft auch Ihre TLS- und Formularsicherheit, zusammen mit den anderen 19 Modulen.
Nächster Schritt
Compliance-Risiko einschätzen
Der AppCore-Erstaudit zeigt dir in 10 Minuten, wo deine Website steht.