Es ist eine Reaktion, die wohl jeder Computernutzer kennt: Öffnet sich in der Alltagshektik auf dem Bildschirm das Fenster zur Aktualisierung der Sicherheits-Software, so wird das Update nur allzu gern verschoben – oder gar ganz vergessen. Die Folgen sind mitunter beträchtlich, bereits vor dem Patientendaten-Leck als Worst-Case-Szenario: Denn gerade die Praxen sind im Alltag auf einen reibungslosen Ablauf der Informationstechnik (IT) angewiesen. Rechner, Internetanbindung und Co sind damit feste Größen im “Herzen” der Praxis – und wie beim Menschen lauern für dieses schnell gesundheitliche Gefahren, wird die Pflege vernachlässigt.
Dabei wächst das Bewusstsein für IT-Sicherheit auch im Gesundheitswesen. So waren auf der IT-Messe DMEA, vormals conhIT, im April rund 570 Firmen anzutreffen, darunter neben etablierten Technik-Größen auch zahlreiche Start-ups, die sich auf die Absicherung von Arztpraxen spezialisieren. Ein Beispiel: Das Kölner Unternehmen SoSafe bietet ein Training, das Praxismitarbeiter für Phishing-Mails sensibilisiert. “Über 90 Prozent aller Cyberangriffe starten mit einer Phishing-Mail”, weiß man hier. Das Problem: 80 Prozent aller Mitarbeiter erkennen solche Betrugsmails laut Erfahrung von SoSafe nicht.
Dabei hat der Schutz gegen Cyberangriffe in der öffentlichen Wahrnehmung nicht zuletzt mit der vorgeschriebenen Anbindung von Arztpraxen an die Telematikinfrastruktur (TI) an Gewicht gewonnen – äußerten Ärzte doch zuletzt immer wieder Bedenken hinsichtlich der Sicherheit der Komponenten.
Dass sich mit dem Konnektor ein neues “Einfallstor” in Praxisnetzwerke öffnet, verneinen Kassenärztliche Bundesvereinigung (KBV) und Hersteller entschieden. Als die “sicherste Infrastruktur eines Gesundheitswesens weltweit” bezeichnet Jan Wemmel von Arvato, einem der vier auf dem Markt befindlichen Konnektor-Hersteller, die TI am Stand in der Berliner Messehalle. KBV-Vorstand Dr. Thomas Kriedel zufolge bietet der Konnektor bei korrekter Anbindung gar zusätzlichen Schutz für die Praxis. Nichtsdestotrotz rät die KBV Ärzten zu einem umfassenden Sicherheitskonzept – unabhängig von der TI-Anbindung. Dieses sollte folgende Bereiche abdecken:
- Technische Ausstattung als Basis
- Interne Risiken – etwa durch zu einfache Passwörter oder falsch geschulte Praxismitarbeiter
- Gefahren von außen mit Phishing-Mails als bekanntestem Beispiel
- Die TI-Anbindung ist laut Herstellern und KBV sicher – doch auch hier können sich bei der Installation Fallstricke ergeben.
Die Basis: Software stets aktuell halten
Veraltete Betriebssysteme, die die Hersteller nicht mehr mit Sicherheitsupdates versorgen, erleichtern Krimi-nellen den Angriff. Daran erinnert das Bundesamt für Sicherheit in der Informationstechnik (BSI) regelmäßig in seinen Lageberichten. Darüber hinaus kann auch ein neues System angegriffen werden, wenn der Nutzer es versäumt, ein Sicherheitsupdate zu machen.
Tipps
- Prüfen Sie Ihr Computersystem: Ist es veraltet, so installieren Sie ein aktuelles Betriebssystem.
- Beschaffen Sie sich eine aktuelle Firewall. Setzen Sie dabei auf externe Virensoftware – diese ist oft spezialisierter als die Virensoftware, die in Paketen angeboten wird.
- Machen Sie regelmäßig Backups und Sicherheitsupdates – idealerweise aufeinander abgestimmt und zu Zeiten, die in Ihre Praxisabläufe passen.
Schritt 1:Das eigene Team stärken
Als interne Gefahren für die IT-Sicherheit in der Praxis sind einerseits unsichere Passwörter, andererseits aber auch nicht ausreichend geschultes Personal zu sehen. Eine Umfrage im Auftrag des Gesamtverbandes der Deutschen Versicherungswirtschaft (GDV) zeigte jüngst Handlungsbedarf (“Der Hausarzt”8/19): Neun von zehn Ärzten verwenden demnach leicht zu erratende Passwörter wie “Behandlung” oder den Namen des Arztes. Jede zehnte Arztpraxis (neun Prozent) und 60 Prozent der Kliniken würden E-Mail- und Passwort-Kombinationen verwenden,
die auch von Kriminellen im Darknet angeboten werden. Zwar handelte es sich bei der Umfrage lediglich um eine Stichprobe von 25 Arztpraxen in Deutschland, doch weist sie auf offensichtliche Fehler hin, betonen auch Aussteller auf der DMEA.
“Für den Alltag in der Praxis ist die Praktikabilität meist mindestens so wichtig wie die Sicherheit”, beobachtet Armin Flender, Geschäftsführer der DGN Deutsches Gesundheitsnetz Service GmbH. “So stehen gerade in Arztpraxen oft Rechner in verschiedenen Räumen, die alle schnell zu entsichern sein sollen. Ein 28-stelliges Kennwort ist dabei nicht praktikabel, doch Mindestanforderungen sollten trotzdem eingehalten werden.”
Mit dem auf der DMEA erstmals vorgestellten elektronischen Heilberufeausweis (https://hausarzt.link/uK8N4) wird sich diese Gratwanderung wohl noch verstärken: So müssen Ärzte die scheckkartengroße Karte stets bei sich tragen, um sich damit bei Bedarf an Geräten zu authentifizieren. Keinesfalls dürfen andere Mitarbeiter diese verwenden, was im Sicherheitskonzept der Praxis dann auch zu berücksichtigen sein wird.
Tipps
- Stellen Sie Regeln zum Passwortgebrauch auf und kommunizieren Sie diese an Ihre Mitarbeiter. Ein Passwort sollte aus Großbuchstaben, Kleinbuchstaben, Sonderzeichen und Zahlen bestehen, mindestens zwei dieser Zeichenarten enthalten und mindestens acht Zeichen lang sein. Es muss so komplex sein, dass es nicht leicht zu erraten ist – jedoch nicht zu kompliziert, damit alle Benutzer in der Lage sind, es auswendig zu lernen. Sogenannte Trivialpasswörter wie „ABCDE“, den Praxisnamen oder ein KfZ-Zeichen auf keinen Fall verwenden!
- Ist mein Passwort (noch) sicher? Die Webseite www.haveibeenpwned.com stellt einen kostenfreien, einfachen Test zur Verfügung, ob die eigene E-Mail bei größeren Datenlecks wie zuletzt bei Facebook betroffen war und man daher sein Passwort ändern sollte.
- Sensibilisieren Sie Ihre Mitarbeiter regelmäßig für die IT-Sicherheit. Checklisten können helfen, das Bewusstsein im Praxisalltag zu verankern und Rechtssicherheit zu schaffen! Geben Sie klare Regeln vor: Dürfen Mitarbeiter private E-Mails abrufen oder Online-Bestellungen tätigen?
Schritt 2: Gefahren von außen bewusst machen
Sie sind oft perfekt getarnt – und gehen häufig genau auf die aktuellen Nöte der Praxen ein. “Wir wissen, dass Phishing-Mails zum Beispiel als Bewerbung daherkommen, wenn die Praxis aktuell etwa öffentlich nach Mitarbeitern sucht”, erklärt Constanze von Fragstein von SoSafe.
