5 Fehler, die Sie bei Ihrer Praxis-IT nicht machen sollten

Szenario 1: Backup nicht verschlüsselt

Eine Praxis speichert täglich die eigenen Dateien und ein Backup des Praxisverwaltungssystems auf zwei USB-Sticks. Einer der beiden Datenträger bleibt in der Praxis. Der zweite USB-Stick wird vom Praxisinhaber am Ende des Tages mit nach Hause genommen und verschwindet dabei.

Die Praxis nutzt handelsübliche USB-Sticks und unternimmt beim Speichern keine weiteren Maßnahmen, um die Daten zu verschlüsseln.

Virchowbund-Tipp: Verschlüsseln Sie Ihre externen Backups. Nutzen Sie z. B. Speichermedien, die eigene Verschlüsselung mitbringen.

Mit dem Verlust des unverschlüsselten Backups wurden sensible Patientendaten veröffentlicht. Das bedeutet einen direkten Eingriff in die persönlichen Rechte und Freiheiten der betroffenen Patienten. Es handelt sich um einen schweren Verstoß gegen die DSGVO. Die Praxis muss den Datenvorfall an die Polizei, die Versicherung und an die Landesdatenschutzbehörde melden und auch die betroffenen Patienten sofort benachrichtigen.

Szenario 2: RDP wird zum Einfallstor

Der Praxisinhaber hat einen separaten Computer, auf den von zu Hause aus zugegriffen werden kann – über das Internet und den von Microsoft bereitgestellten Dienst Remote Desktop Protocol (RDP).

Eines Morgens reagiert der Praxis-Server nicht mehr. Das Praxisverwaltungssystem startet nicht. Ein normaler Praxisbetrieb ist unmöglich.

Höchstwahrscheinlich sind Hacker über den RDP-Zugang des zweiten Rechners ins System gelangt und haben Ransomware installiert. (Im Praxisärzte-Blog erklärt der Virchowbund, was Ransomware ist und wie man sich dagegen schützen kann.)

Die Kriminellen haben Zugriff auf Patientendaten erhalten. Um das System zu entschlüsseln, soll die Praxis Lösegeld zahlen. Doch die Praxis hat bereits gehandelt. Alle Computer werden ausgeschaltet. Der Fernzugriff-PC wird vom Netz getrennt und der RDP-Zugriff deaktiviert. Der IT-Dienstleister nimmt eine komplette Neuinstallation des Servers und des Fernzugriff-Computers vor. Die Daten werden mit dem Backup des Vortages wiederhergestellt.

Virchowbund-Tipp: Nutzen Sie niemals RDP für einen Fernzugriff. Richten Sie stattdessen professionelles Virtuelles Privates Netzwerk (VPN) ein. Tägliche Backups sind ein absolutes Muss – am besten verschlüsselt. Prüfen Sie außerdem mit Ihrem IT-Dienstleister, welche Daten wo gespeichert werden und wie sie geschützt sind. Unter Umständen sollten dezentrale Daten zusammengelegt und verschlüsselt werden. Selbst wenn Hacker Zugriff auf den Server erhalten, sind sensible Daten dann immer noch geschützt.

Szenario 3: Gefakte Browser-Warnung

Im Internet-Browser Microsoft Edge erscheint plötzlich eine Warnmeldung: „Der Server meldet: Windows wurde aufgrund verdächtiger Aktivitäten blockiert. Bitte rufen Sie uns an: 032-221-850-307“.

Die Warnung fordert dazu auf, den Windows-Benutzernamen und das Kennwort einzugeben. Das Fenster lässt sich nicht schließen. Zusätzlich ertönt ein anhaltender Warnton.

Der Mitarbeiter am Praxis-PC ruft die angezeigte Nummer an und wird in der vermeintlichen Hotline zu einer Fernwartung überredet. Dadurch haben die Kriminellen die Möglichkeit, Schadsoftware zu installieren, mit der z. B. Netzwerk und Patientendaten ausgespäht werden können.

Virchowbund-Tipp: Schulen Sie Ihr Team regelmäßig zum richtigen Verhalten bei IT-Problemen. Nutzen Sie z. B. unsere kostenlosen Webinare in Kooperation mit den Landeskriminalämtern.

Szenario 4: Betrügerischer Support-Anruf

Eine Praxis erhält einen Anruf – angeblich vom Support der Firma Microsoft. Der Anrufer behauptet, dass der Praxis-PC von einem Virus befallen sei. Er will das Betriebssystem per Fernwartung überprüfen.

Die Praxisinhaberin fällt auf den professionell wirkenden Hacker herein. Sie lässt die Fernwartung zu. Nach einer Scheinprüfung bietet der Anrufer ihr ein kostenpflichtiges Schutzprogramm an.

Nun erst schöpft die Praxisinhaberin Verdacht, beendet das Telefonat und die Fernwartung. Zu spät: Es ist wahrscheinlich, dass im Zuge der Fernwartung Schadsoftware installiert wurde, mit der z. B. Patientendaten ausgespäht werden können. Das Risiko von Datendiebstahl oder Datenmanipulation ist hoch.

Virchowbund-Tipp: Legen Sie bei solchen Anrufen auf. Bei dieser Art von Anruf handelt es sich um eine häufige Masche von IT-Kriminellen, den „Support Scam“. Firmen wie Microsoft oder Google würden nie bei Ihnen anrufen und niemals um Daten oder eine Fernwartung bitten.

Szenario 5: DSL-Router ungeschützt

Der DSL-Router einer Praxis steht im Flur. Durch Zufall stellt das Praxisteam fest, dass sich fremde Smartphones in das Netzwerk eingewählt haben. Die Zugriffe sind im Systemprotokoll aufgelistet.

Auf dem DSL-Router waren die Zugangsdaten aufgedruckt. Eine unbekannte Person hat diese Daten genutzt, um sich Zugang zum Router bzw. dem WLAN zu verschaffen.

Wenn die Praxis Glück hatte, wollte einfach nur ein Patient über das Praxis-WLAN im Internet surfen. Es ist aber auch möglich, dass über den DSL-Zugang Praxis-PCs oder andere Endgeräte, die mit dem WLAN verbunden sind, kompromittiert wurden. Möglicherweise hat ein Hacker dadurch Zugang zu Patientendaten erhalten.

Virchowbund-Tipp: Belassen Sie Ihre Router nie bei den Standard-Einstellungen. Vergeben Sie sichere, individuelle Kennwörter. Deaktivieren Sie die WPS-Tastenfunktion, mit der ansonsten per Knopfdruck am Router eine unkomplizierte Verbindung eines Gerätes mit dem WLAN möglich ist. Schützen Sie wichtige Geräte auch physisch, indem Sie sie in separaten, abgeschlossenen Räumen aufbewahren. Für Patienten können Sie ein Gast-WLAN einrichten.

Ist durch einen IT-Angriff ein Schaden entstanden, lässt sich dieser meist nicht mehr rückgängig machen. Sehr oft aber lässt er sich durch rasches, aber besonnenes Handeln immerhin noch begrenzen.

Der Virchowbund rät deshalb: Sorgen Sie proaktiv für eine gute Fehlerkultur im Team. Wenn Fehler aus Angst vertuscht oder verschwiegen werden, kann das den Schaden noch vergrößern.

Mehr Tipps, wie Sie Angriffe auf Ihre IT-Systeme verhindern, gibt der Virchowbund im Praxisärzte-Blog. Für Mitglieder gibt es außerdem kostenlos weiterführende Angebote:

• Praxisinfo „IT-Sicherheit und Cybercrime“
• Praxisinfo „Datenschutz“
• Mustervertrag zur Sicherheitstechnischen Betreuung
• Vorlage Verschwiegenheitserklärung extern (Dienstleister)
• Vorlage Verschwiegenheitserklärung intern (Mitarbeiter)

Mehr Informationen

Von A wie Arbeitsrecht bis Z wie Zulassung: Der Verband der niedergelassenen Ärztinnen und Ärzte Deutschlands (Virchowbund) antwortet in der Kolumne „Praxis aktuell“ auf häufige Fragen, die niedergelassene und angestellte Ärzte und MFA im Praxisalltag umtreiben und gibt Tipps aus der Rechtsberatung.