Verschlüsselte Formular-Plattformen für Finanzen & Gesundheitswesen

Zwei Branchen tauchen im selben Suchfeld wie der Begriff „verschlüsselte Formulare“ auf: Finanzen und Gesundheitswesen. Das ist kein Zufall. Beide erheben routinemässig die Datenkategorien, die Aufsichtsbehörden besonders schützen — und beide tragen überproportionale Folgen, wenn diese Daten austreten. Ein Patientenaufnahmeformular enthält eine Krankengeschichte; ein Kunden-Onboarding-Formular Ausweise, eine Herkunftsbeschreibung des Vermögens und Kontoauszüge. Nichts davon möchten Sie im Klartext auf einem Server liegen haben, den Sie nicht kontrollieren.

Sowohl nach EU-DSGVO als auch nach dem revidierten Schweizer Datenschutzgesetz (nDSG) sind Gesundheitsdaten eine „besondere Kategorie“, die einen höheren Schutz verlangt. Finanzdaten sind zwar nicht immer gleich klassifiziert, tragen aber praktisch eine vergleichbare Sensitivität und liegen in dichten Regimen — KYC, Geldwäschereibekämpfung, FINMA-Erwartungen, sektorale Geheimnispflichten. Die Daten sind konzentriert, identifizierend und für Angreifer attraktiv. Die Folgen einer Offenlegung bemessen sich in Bussen, Berufshaftung und verlorenem Vertrauen, das nicht zurückkommt.

Dieser Beitrag ist ein Einkaufsleitfaden, keine Werbeanzeige. Er erklärt, was „verschlüsselt“ jenseits des Marketings wirklich bedeutet, legt das Bedrohungsmodell für die Kundenaufnahme in regulierten Branchen dar, liefert eine konkrete Liste von Bewertungskriterien und kategorisiert den Markt fair. Jede Kategorie von Werkzeugen hat legitime Anwendungsfälle. Ziel ist, das passende zu den Daten zu finden, die Sie erheben.

Was „verschlüsselt“ im Anbieter-Marketing wirklich bedeutet

Das Wort „verschlüsselt“ auf einer Feature-Seite leistet viel unspezifizierte Arbeit. Es gibt drei verschiedene Aussagen, die ein Anbieter meinen kann, und sie schützen vor völlig Unterschiedlichem. Beim Bewerten einer verschlüsselten Formular-Plattform ist Ihre erste Aufgabe herauszufinden, welche davon tatsächlich angeboten wird.

Im Transport (TLS / HTTPS)

Das ist das Schloss in der Adressleiste. TLS verschlüsselt die Verbindung zwischen dem Browser der einreichenden Person und dem Server des Anbieters, sodass niemand im Netzwerk dazwischen die Einsendung lesen oder verändern kann. Das ist unverzichtbar und heute praktisch universell — schützt aber nichts mehr, sobald die Daten am Server ankommen, wo sie im Klartext entschlüsselt werden. Jede ernsthafte Plattform macht das. Für sich genommen sagt es nichts darüber aus, wer die Daten nach der Ankunft lesen kann.

In Ruhe (serverseitige / Datenbank-Verschlüsselung)

Verschlüsselung in Ruhe heisst, dass die Daten beim Schreiben auf Festplatte oder Datenbank verschlüsselt werden. Sie schützt gegen ein enges Szenario: jemand stiehlt physisch ein Laufwerk oder eine rohe Backup-Datei. Sie verbirgt die Daten nicht vor den eigenen Systemen des Anbieters, denn der Anbieter hält die Schlüssel und entschlüsselt auf Anforderung, um Daten anzuzeigen, zu durchsuchen, zu exportieren und zu verarbeiten. Das Personal des Anbieters, seine Support-Tools und jeder, der ihn rechtlich zwingt, erreichen weiterhin Klartext.

Ende-zu-Ende (Zero-Knowledge)

Ende-zu-Ende-Verschlüsselung (E2EE) heisst, dass die Einsendung im Browser der einreichenden Person verschlüsselt wird, bevor sie den Anbieter überhaupt erreicht — gegen einen Schlüssel, dessen geheime Hälfte der Anbieter nicht hält. Nur der Formular-Inhaber kann entschlüsseln. In einem echten Zero-Knowledge-Design kann der Betreiber Einsendungen nicht lesen, selbst wenn er wollte, selbst unter Gerichtsbeschluss, weil er den Entschlüsselungsschlüssel nie besitzt. Das ist die stärkste und seltenste Aussage. Und sie ist als einzige der drei in der Lage, den Anbieter selbst aus der Vertrauensgleichung zu nehmen.

Das Bedrohungsmodell für die Kundenaufnahme in regulierten Branchen

Eine Plattform zu wählen heisst eigentlich zu entscheiden, gegen welche Bedrohungen Sie sich verteidigen müssen. Für die Aufnahme in Finanzen und Gesundheitswesen ist das realistische Bedrohungsmodell breiter als „ein Hacker auf der Leitung“. Die interessanten Expositionen passieren alle, nachdem die Daten sicher angekommen sind.

• Anbieterzugriff — Personal mit Produktionszugriff, Support, Bereitschaft oder Analytics-Teams, die Klartext-Einsendungen lesen können
• Vorfall — ein falsch konfigurierter Storage-Bucket, ein geleaktes Datenbank-Backup, ein gestohlenes Credential oder ein Supply-Chain-Angriff, der offenlegt, was auf den Systemen des Anbieters liegt
• Rechtliche Anordnung — ein Herausgabeersuchen oder eine Zwangsmassnahme gegen den Anbieter, der herausgibt, was er hält; der Einreichende wird meist nicht informiert
• Insider — jemand mit legitimem Zugriff, der Daten liest, kopiert oder verkauft, oder dazu gezwungen wird
• Fehlgeleitete Weitergabe — Exporte, Integrationen und Kopien, die Klartext-Daten leise an Orte bringen, für die sie nie gedacht waren

TLS deckt nur die erste Teilstrecke ab. Verschlüsselung in Ruhe verengt den Vorfall auf den physischen Laufwerksdiebstahl und sonst nichts. Nur Ende-zu-Ende-Verschlüsselung neutralisiert Anbieterzugriff, rechtliche Anordnung und Insider direkt — weil es in einer Zero-Knowledge-Architektur auf der Anbieterseite keinen Klartext gibt, auf den zugegriffen, der herausgegeben oder gestohlen werden könnte. Auch das Risiko der fehlgeleiteten Weitergabe schrumpft, weil das Exportierte Chiffrat ist, solange Sie nicht bewusst entschlüsseln.

Die Bewertungskriterien für verschlüsselte Formulare im Gesundheitswesen und in Finanzen

Dies sind die Kriterien, die Plattformen tatsächlich unterscheiden, sobald Sie das Marketing hinter sich haben. Bewerten Sie jeden Kandidaten an allen und gewichten Sie sie nach der Sensitivität dessen, was Sie erheben.

1. Echte Ende-zu-Ende-Verschlüsselung und Schlüsselverwahrung

Werden die Daten im Browser der einreichenden Person verschlüsselt oder erst am Server? Wer hält den Entschlüsselungsschlüssel — Sie oder der Anbieter? Kann der Anbieter ein Passwort-Reset durchführen, das Ihre Daten wiederherstellt, hält er einen Schlüssel, und die Verschlüsselung ist nicht Zero-Knowledge. Fragen Sie direkt: „Kann Ihr Personal eine Einsendung lesen, wenn wir darum bitten?“ Ein klares „Nein, by design“ ist die gesuchte Antwort.

2. Datenstandort und Jurisdiktion

Wo stehen die Server physisch, und welches Landesrecht erreicht die dort gespeicherten Daten? Ein Anbieter, der in einer Jurisdiktion hostet, aber einem Mutterhaus in einer anderen gehört, kann über deren Rechtssystem erreichbar sein. Für Schweizer und EU-regulierte Praxen schliesst das oft Plattformen aus, deren Datenpfad durch US-Infrastruktur läuft — unabhängig von vertraglichen Sicherungen.

3. Zugriffskontrollen und Audit-Trails

Auch bei starker Verschlüsselung müssen Sie steuern, wer auf Ihrer Seite entschlüsselte Daten sehen kann, und Sie wollen festhalten, wer worauf zugegriffen hat. Achten Sie auf rollenbasierten Zugriff, passwortgeschützte Formulare und Gelesen/Ungelesen- oder Zugriffsverfolgung. Diese Kontrollen zählen unabhängig vom Verschlüsselungsmodell — und genau das wollen Prüfer sehen.

4. Verschlüsselte Datei-Uploads

Aufnahme im Gesundheitswesen und bei KYC ist selten reiner Text. Laborbefunde, Ausweis-Scans, Kontoauszüge und unterschriebene Einwilligungen kommen als Anhänge. Bestätigen Sie, dass Datei-Uploads mit derselben Strenge verschlüsselt werden wie die Formularfelder — nicht nachträglich angeflanscht, sodass sie im Klartext-Objektspeicher landen. Prüfen Sie die Grössenbeschränkung pro Datei gegen die Dokumente, die Sie wirklich verarbeiten.

5. Aufbewahrung und Löschung

Daten, die Sie nicht mehr halten, können nicht austreten. Sowohl nDSG als auch DSGVO erwarten, dass Sie Personendaten nur so lange aufbewahren, wie Sie sie benötigen. Achten Sie auf klare Aufbewahrungskontrollen, die Möglichkeit, Einsendungen und Anhänge vollständig zu löschen, sowie Terminierung oder Antwortlimits, die das Sammeln stoppen, sobald ein Fenster schliesst.

6. BAA-Verfügbarkeit für US-Gesundheitswesen — ein ehrlicher Hinweis

Sind Sie eine HIPAA-pflichtige US-Einrichtung, ist ein Business Associate Agreement (BAA) oft eine harte Beschaffungsanforderung, und Sie sollten eine Plattform wählen, die eines anbietet. Hier präzise: Eine Zero-Knowledge-Plattform, die Einsendungen wirklich nicht lesen kann, bietet möglicherweise gar kein BAA an — nicht weil sie weniger sicher ist, sondern weil es keine PHI gibt, auf die sie zugreifen könnte. Das ist eine andere Haltung, keine schwächere, erfüllt aber nicht automatisch ein Häkchen, das wörtlich ein unterzeichnetes BAA verlangt. Wissen Sie, was Ihre Lage erfordert.

7. Exportierbarkeit und Lock-in

Bekommen Sie Ihre Daten in einem Standardformat heraus, wenn Sie gehen? Sensible Aufnahme darf nie zur Geisel werden. Bestätigen Sie sauberen Export — und verstehen Sie, dass Sie bei Zero-Knowledge-Plattformen entschlüsselte Daten mit Ihrem eigenen Schlüssel exportieren, was genau der Punkt ist.

8. Saubere Formularseiten ohne Tracker

Verschlüsselung schützt die Einsendung nach dem Verlassen des Browsers; gegen feindlichen Code im Browser tut sie nichts. Third-Party-Analytics, Session-Replay-Skripte, A/B-Testing und Marketing-Pixel können Formularfelder lesen, bevor sie verschlüsselt werden. Für sensible Aufnahme sollte die Formularseite das Minimum an Code laden, kein Session-Replay ausführen und keine Third-Party-Tracker tragen.

Die Bewertungskriterien auf einen Blick

Die Plattform-Landschaft — drei Kategorien, fair beschrieben

Es hilft, den Markt in drei Bänder zu denken. Keines ist universell „falsch“ — jedes ist für manche Daten die richtige und für andere die falsche Antwort.

Mainstream-Werkzeuge

Google Forms, Microsoft Forms, Typeform und Ähnliches. Sie nutzen TLS im Transport und Verschlüsselung in Ruhe, sind einfach zu bedienen und mit allem integriert. Der Anbieter kann technisch auf die Daten zugreifen — so funktionieren Suche, Analytics und Integrationen. Für wenig sensible Erhebungen — Veranstaltungs-Antworten, Feedback, Newsletter-Anmeldungen, allgemeine Anfragen — sind sie eine völlig vernünftige Wahl.

Compliance-orientierte Builder

Cognito Forms, Formstack und vergleichbare. Sie ergänzen starke Zugriffskontrollen, Audit-Funktionen und — wichtig für das US-Gesundheitswesen — BAA-Programme und HIPAA-konforme Handhabung. Manche bieten feldbasierte Verschlüsselung für bestimmte sensible Felder. Für US-Kliniken und Finanz-KMU, die ein BAA und reiche Workflows brauchen, sind sie oft die stärkste praktische Wahl. Der ehrliche Vorbehalt: In den meisten Konfigurationen kann der Anbieter technisch weiterhin auf die Daten zugreifen, weil er die Schlüssel hält.

Zero-Knowledge- / E2EE-Plattformen

Schweizerform liegt hier. Die Einsendung wird im Browser der einreichenden Person verschlüsselt, und der Anbieter kann sie nicht entschlüsseln — nicht für Support, nicht für Analytics, nicht unter rechtlicher Anordnung. Das ist die richtige Antwort, wenn Sie kein Vertrauen in die Lesefähigkeit des Betreibers akzeptieren können: Krankengeschichten, KYC-Akten, juristische Aufnahme, Whistleblower-Meldungen. Die Abwägungen sind real: Es gibt keine anbieterseitige Passwort-Wiederherstellung für Ihre Daten, und manche Komfortfunktionen, die vom Mitlesen des Anbieters abhängen, fehlen bewusst.

Datenstandort weltweit — Schweiz, EU, UK, Australien

Auch bei starker Verschlüsselung zählt die Jurisdiktion, in der Ihre Daten leben — besonders für jeden Klartext oder jede Metadaten, die der Anbieter doch hält. Das Prinzip ist einfach: Wissen Sie, welches Landesrecht Ihr Chiffrat oder Ihren Klartext erreicht, und vergewissern Sie sich, dass die Antwort für Sie tragbar ist.

• Schweiz — geregelt durch das nDSG, ausserhalb der EU, aber von der EU als angemessenes Schutzniveau anerkannt und ausserhalb der Reichweite des US CLOUD Act. Ein starker Standard für vertraulichkeitssensible Arbeit.
• Europäische Union — die DSGVO gilt; Daten bleiben idealerweise im EU/EWR-Raum, und Übermittlungen nach aussen brauchen eine Rechtsgrundlage wie Angemessenheit oder Standardvertragsklauseln.
• Vereinigtes Königreich — UK GDPR plus Data Protection Act; weitgehend am EU-Regime ausgerichtet, aber nach dem Brexit eine eigene Jurisdiktion, also prüfen Sie, wo ein Anbieter UK-Daten speichert.
• Australien — der Privacy Act und die Australian Privacy Principles gelten; „sichere Formulare für das Gesundheitswesen“ in Australien bedeutet oft, Gesundheitsakten im Land oder unter vertraglicher Kontrolle zu halten, und APP 8 regelt grenzüberschreitende Offenlegung.

Mit einer Zero-Knowledge-Plattform wird der Standort in einer wichtigen Hinsicht weniger heikel: Selbst wenn verschlüsselte Blobs eine Grenze überquerten, sind sie ohne Ihren Schlüssel unlesbar. Doch der Standort regelt weiterhin die Metadaten, die rechtliche Exposition der Betreibergesellschaft und Ihren eigenen regulatorischen Komfort — also bleibt es eine lohnende Frage, wo auch immer auf der Welt Sie tätig sind.

Ein praktischer Bewertungsprozess

Wo Schweizerform steht

Schweizerform ist ein Zero-Knowledge-, Ende-zu-Ende-verschlüsselter Formular-Builder, in der Schweiz entwickelt und ausschliesslich auf Schweizer Infrastruktur (Infomaniak) gehostet. Er ist für das Band gebaut, in dem „der Anbieter kann technisch auf die Daten zugreifen“ nicht mehr akzeptabel ist.

• Jede Einsendung wird im Browser der einreichenden Person mit AES-256-GCM verschlüsselt; der Schlüssel pro Einsendung wird mit dem öffentlichen RSA-OAEP-2048-Schlüssel des Formulars umhüllt, und der Access Code des Inhabers leitet einen PBKDF2-Master-Key (100 000 Iterationen) ab, der die Entschlüsselung letztlich freigibt
• Der Betreiber kann Einsendungen nicht lesen — nicht für Support, nicht für Analytics, nicht unter Zwangsmassnahme, weil er den Entschlüsselungsschlüssel nie hält
• Verschlüsselte Datei-Uploads (25 MB pro Datei) und Unterschriftserfassung laufen denselben Weg; Anhänge werden als Chiffrat gespeichert und nur im Browser des Inhabers entschlüsselt
• Öffentliche Formularseiten tragen kein Third-Party-JavaScript und keine Tracker; Analytics sind ausschliesslich first-party, und kein US- oder EU-Anbieter sitzt im Datenpfad
• Mehrsprachige öffentliche Formulare in EN, DE, FR und IT, mit Passwortschutz, Terminierung, Antwortlimits und CHF-Preisen, die einen kostenlosen Tarif enthalten

Zu den ehrlichen Punkten: Schweizerform ist um das Schweizer nDSG und DSGVO-konforme Handhabung gebaut. Es ist nicht HIPAA-zertifiziert und bietet kein BAA — seine Architektur bedeutet, dass es keine PHI gibt, auf die der Betreiber zugreifen könnte, aber wenn Ihre Beschaffung wörtlich ein unterzeichnetes BAA verlangt, kann ein Compliance-orientierter US-Builder besser passen. Für die tiefere Branchensicht hat die Website ausserdem eigene Anwendungsfall-Seiten zu Gesundheitsformularen und zu Finanzberatung und KYC-Aufnahme.

Das Fazit

Für Finanzen und Gesundheitswesen ist „verschlüsseltes Formular“ der Anfang des Gesprächs, nicht das Ende. Die entscheidende Frage ist nicht, wie stark das Verfahren ist — sondern wer entschlüsseln kann. Mainstream-Werkzeuge und Compliance-orientierte Builder haben beide legitime Plätze; der Unterschied ist, dass bei beiden der Anbieter technisch an Ihre Daten gelangt, während eine Zero-Knowledge-Plattform den Anbieter ganz aus der Vertrauensgleichung nimmt.

Klassifizieren Sie Ihre Daten, wählen Sie nach Architektur vor, prüfen Sie die Verschlüsselungsaussagen statt des Marketings und pilotieren Sie, bevor Sie sich festlegen. Würde es Ihren Kunden und Patienten schaden, dass ihre Einsendung austritt, ist die Kontrolle, auf der Sie bestehen sollten, einfach: eine Plattform, die sie nicht lesen kann.