IT-Sicherheit in der Arztpraxis

Mai 2021

Internetkriminalität, Hackerangriffe oder Cyber-Attacken - was früher nach Science-Fiction klang, wird in einem digitalisierten Gesundheitswesen immer realistischer. Denn im Kern beschreiben diese Begriffe illegale Angriffe auf Computer- oder Netzwerksysteme. So wurde erst im September 2020 das Universitätsklinikum Düsseldorf Opfer eines Hackerangriffs: Unbekannte Täter hatten rund 30 Klinikserver verschlüsselt und dadurch einen wochenlangen Ausnahmezustand ausgelöst.

Doch nicht nur größere Versorgungsstrukturen wie Kliniken, Reha- oder Gesundheitszentren können Opfer von Cyberkriminalität werden. Auch die Informationstechnik (IT) in Ihrer Niederlassung birgt ein potentielles Sicherheitsrisiko. Um hier einheitliche Regeln aufzustellen, hat der Gesetzgeber die Kassenärztliche Bundesvereinigung (KBV) Ende 2019 damit beauftragt, eine IT-Sicherheitsrichtlinie zu erstellen. Diese soll Vertragsärzten Mindestvorgaben und Orientierungshilfen für die IT-Sicherheit in der Arztpraxis bieten.

Die gute Nachricht: Bereits mit Hilfe weniger Basisschutzmaßnahmen können viele Sicherheitsrisiken effektiv minimiert werden.

Die Sicherheit der Patientendaten ist in vielen Praxen Chefsache - laut KBV PraxisBarometer ist in rund 70 Prozent der Niederlassungen die Ärztin oder der Arzt selbst für die IT-Administration verantwortlich. Das Problem: Von Firewall über Virenschutz bis zur Speicherung in der Cloud – die Palette an Sicherheitsmaßnahmen ist groß und oft unübersichtlich. Daher haben wir sieben Tipps für Sie zusammengetragen, die in jedem Fall zu beachten sind, wenn Sie die Datensicherheit in Ihrer Praxis unter die Lupe nehmen.

Ganz gleich, ob Sie Ihre Praxis neu gegründet, frisch übernommen oder bereits lange etabliert haben: Zu Beginn sollte genug Zeit investiert werden, um einmal zu reflektieren, wie Ihre Niederlassung in Sachen IT aufgestellt ist. Die KBV fordert dafür ein Berechtigungsmanagement sowie eine Netzplandokumentation. Das heißt konkret:
 

• Wie viele Arbeitsplätze haben Sie?
• Welche Anwendungen und Programme sind in Ihrer Praxis vorhanden?
• Wer soll welchen Zugriff auf Ihr Computersystem haben?
• Und wer verwaltet die Administratoren-Rechte?

Schreiben Sie all diese Informationen in einem Dokument zusammen – gerne auch gemeinsam mit Ihrem Praxisteam. Eine Übersicht der Kassenärztlichen Vereinigung finden Sie hier. Sobald Sie einen Gesamtüberblick haben, nehmen Sie sich einzelne Anwendungen und Systeme im Detail vor.

Bei der Firewall – zu Deutsch Brandschutzmauer - ist der Name Programm. Sie bezeichnet ein IT-System, welches den Datenverkehr analysieren, weiterleiten aber auch blockieren kann und ist somit eines der wichtigsten Sicherungssysteme für Ihre Praxis. Durch das kontinuierliche Scannen der Daten können unerwünschte Zugriffe auf einen Computer oder ein Netzwerk erkannt und verhindert werden. In Ihrer Arztpraxis empfehlen wir Ihnen insbesondere darauf zu achten, dass nur erlaubte IP-Adressen - also die Ziffern, über die Rechner in einem Netzwerk eindeutig identifiziert werden können - zugelassen sind.

Neben der Firewall ist ein guter Virenschutz ein "must-have" für die IT-Sicherheit in der Arztpraxis. Dabei handelt es sich um eine Software, die Computerviren oder Trojanische Pferde aufspüren, blockieren und gegebenenfalls beseitigen kann. Denn ähnlich wie sich ein biologischer Virus von Person zu Person übertragen kann, verbreitet sich ein Computervirus über den Computer oder das gesamte Netzwerk, indem er Kopien von sich erstellt. So können Dateien beschädigt oder zerstört und Ressourcen verschwendet werden. Zur Infektion führen häufig E-Mail Anhänge, Download-Dateien, USB-Speichergeräte oder auch freigegebene Dokumente auf einem Netzlaufwerk. Zum Schutz empfiehlt die KBV den Einsatz eines kommerziellen Programms. Eine Übersicht finden Sie hier.

Office Produkte, also Programme zur Textverarbeitung, Kalkulation oder zum Versenden bzw. Empfangen von E-Mails, sind wahrscheinlich in jeder Praxis vorhanden. Bei der Nutzung dieser empfiehlt es sich jedoch die integrierte Cloud-Speicherung zur Sicherung von personenbezogenen Informationen zu deaktivieren, um unbefugte Zugriffe zu vermeiden. Greifen Sie im Gegensatz dazu lieber auf lokal installierte Office-Produkte zurück und überlegen Sie sich ein Konzept, wie häufig Sie separate Sicherungskopien, beispielsweise auf einer externen Festplatte, erstellen möchten – so sind Sie im Falle von Verschlüsselungstrojanern oder Netzwerkabstürzen auf der sicheren Seite.

Weil Sicherheitsupdates durch das korrekte Einspielen und damit verbundene Neustarts wertvolle Zeit kosten, werden sie auch gerne mal vernachlässigt. Doch sie haben eine wichtige Funktion: Offene Sicherheitslücken werden vom Hersteller geschlossen und das System aktuellen Risikopotenzialen angepasst. Denn im Laufe der Zeit werden solche Sicherheitslücken bekannt und von Hackern ausgenutzt. Je später Sie also ein Update einspielen, desto länger geben Sie digitalen Einbrechern die Chance, in Ihr System einzudringen.

Ein Klassiker, auf den man nicht oft genug hinweisen kann: Verwenden Sie bei der Passwortvergabe keine einfachen Codes, die beispielsweise aus einer Zahlenabfolge, Ihrem Namen oder Geburtstagen bestehen. Wählen Sie stattdessen komplexe, lange Passwörter, die aus einer Kombination von Ziffern, Buchstaben in Groß- und Kleinschreibung sowie Sonderzeichen zusammengesetzt sind.

Doch Vorsicht: Zum Merken sollte der Zeichencode besser nicht am Bildschirm hängen.

Und zu guter Letzt: Stellen Sie für den Umgang mit Praxissoftware und Patientendaten klare Regeln auf: Rufen Ihre Mitarbeiter zwischendurch private E-Mails auf dem Praxis-PC ab oder nutzen gar private USB-Sticks? Kommunizieren Sie immer deutlich, dass solche Maßnahmen die IT-Sicherheit in Ihrer Arztpraxis gefährden und schärfen Sie gleichzeitig das Bewusstsein Ihrer Mitarbeiter für einen sensiblen Umgang mit Praxisdaten.

Als Unterstützung für Ärzte und Psychotherapeuten hat die KBV auf einer Online-Plattform Begleitinformationen und Hinweise zur Umsetzung der IT-Sicherheitsanforderungen bereitgestellt.

Natürlich erheben unsere Tipps keinen Anspruch auf Vollständigkeit. Sie sollen Ihnen vielmehr als erste Anhaltspunkte auf Ihrem Weg in eine sichere Praxis dienen. Wenn Sie die IT-Sicherheit in Ihrer Praxis umfassend verbessern möchten, bietet sich eine individuelle Beratung an. Auf univiva, einer digitalen Plattform für Ärzte, Apotheker und Gesundheitsunternehmen, können Sie beispielsweise Ihre ganz persönliche Anfrage rund um die Themen IT-Sicherheit, Datenschutz oder Cyberversicherung stellen und erhalten unabhängige Empfehlungen für geprüfte Anbieter – ganz auf Ihre Bedürfnisse und Praxisgegebenheiten zugeschnitten.