Compliance-Software für HIPAA
Ein US-Bundesgesetz: Covered Entities, also die unter HIPAA fallenden Einrichtungen, und ihre Business Associates müssen elektronische geschützte Gesundheitsinformationen administrativ, physisch und technisch schützen.
Bewertete Plattformen für HIPAA
| Rang | Plattform | Punktzahl | Bereich | Bewertet am | Bewertung |
|---|---|---|---|---|---|
| 1. Platz |  Sprinto Insgesamt am besten für ein erstes Programm mit mehreren Frameworks | 84 | Stark | 11. Oktober 2026 | Bewertung → |
| 2. Platz |  Vanta Am besten für eine große Auswahl an Integrationen und Frameworks | 82 | Stark | 11. Oktober 2026 | Bewertung → |
| 3. Platz |  Drata Am besten für Teams, die eigene Tests bauen wollen | 76 | Stark | 4. Oktober 2026 | Bewertung → |
| 4. Platz |  Secureframe Am besten für Frameworks der US-Bundesverwaltung und der Rüstungsbranche | 75 | Stark | 11. Oktober 2026 | Bewertung → |
| 5. Platz |  Scrut Am besten für regionale Frameworks außerhalb der USA | 72 | Stark | 11. Oktober 2026 | Bewertung → |
| 6. Platz |  OneTrust Am besten für Unternehmen, die Datenschutz bereits mit OneTrust betreiben | 64 | Solide | 11. Oktober 2026 | Bewertung → |
| 7. Platz |  Thoropass Am besten für Audit und Plattform in einem einzigen Auftrag | 52 | Eingeschränkt | 11. Oktober 2026 | Bewertung → |
HIPAA (Health Insurance Portability and Accountability Act) ist ein US-Bundesgesetz. Die Security Rule, die Sicherheitsvorschrift des Gesetzes, verpflichtet Covered Entities und ihre Business Associates, elektronische geschützte Gesundheitsinformationen (ePHI, electronic protected health information) mit administrativen, physischen und technischen Schutzmaßnahmen zu sichern. Covered Entities sind Health Plans (Krankenversicherer und andere Gesundheitspläne), Leistungserbringer im Gesundheitswesen und Clearingstellen für Gesundheitsdaten. Ein Business Associate ist jede Person oder Organisation, die im Auftrag einer Covered Entity mit ePHI umgeht. Dazu zählen die meisten Softwareanbieter, deren Produkte mit Patientendaten in Berührung kommen.
Anders als bei SOC 2 oder ISO 27001 wird HIPAA-Compliance nicht über ein einzelnes Branchenaudit bestätigt. Organisationen sind selbst dafür verantwortlich, die Compliance aufrechtzuerhalten und gegenüber dem US Department of Health and Human Services, dem US-Gesundheitsministerium, nachzuweisen. Das Office for Civil Rights setzt HIPAA durch und untersucht gemeldete Datenpannen und Beschwerden. Bevor eine Covered Entity ePHI mit einem Anbieter teilt, muss sie mit diesem Anbieter ein Business Associate Agreement (BAA) unterzeichnen.
Die Security Rule teilt die Schutzmaßnahmen in drei Kategorien: administrativ (Richtlinien, Schulungen, Zugriffsverwaltung), physisch (Zutrittskontrollen für Gebäude, Gerätekontrollen) und technisch (Zugriffskontrollen, Verschlüsselung, Audit-Kontrollen, Mechanismen für die Datenintegrität). Organisationen müssen ihre Risikoanalyse und ihr Risikomanagement dokumentieren.
Technologieunternehmen, deren Produkte ePHI verarbeiten, etwa SaaS-Plattformen für das Gesundheitswesen, Telemedizin-Anbieter und Anbieter klinischer Daten, erstellen meist eine Dokumentation ihrer HIPAA-Compliance. Damit erfüllen sie die Anforderungen von Großkunden und senken ihr Haftungsrisiko.
Plattformen für Compliance-Automatisierung helfen diesen Unternehmen, ihre Kontrollen den Schutzkategorien von HIPAA zuzuordnen, Nachweise aus ihrer technischen Umgebung zu sammeln und die Dokumentation zu pflegen, die laufende Compliance belegt. Mit mehreren der hier bewerteten Plattformen können Teams einen einzigen Kontrollsatz aufbauen, der zugleich HIPAA und SOC 2 zugeordnet ist.
Welche Plattformen HIPAA abdecken
Alle sieben Plattformen, die The Audit Trail bewertet, decken HIPAA ab: Sprinto (Rang 1, 84 von 100 Punkten), Vanta (Rang 2, 82 von 100 Punkten), Drata (Rang 3, 76 von 100 Punkten), Secureframe (Rang 4, 75 von 100 Punkten), Scrut (Rang 5, 72 von 100 Punkten), OneTrust (Rang 6, 64 von 100 Punkten) und Thoropass (Rang 7, 52 von 100 Punkten). Die Bewertung jeder Plattform schlüsselt die Punktzahl nach allen acht Kriterien des Bewertungsschemas auf.