Sichere Praxis-IT: Das müssen Sie wissen!

Warum ist IT-Sicherheit in der Praxis wichtig?

• Schutz sensibler Daten
  • Arztpraxen verarbeiten eine Fülle an sensiblen Daten, einschließlich Patientenakten, Diagnosen, Medikationsplänen und mehr. Ein Datenleck kann die Privatsphäre der Patienten gefährden und das Vertrauen in die Praxis erschüttern.
• Rechtliche Konsequenzen
  • Die Verletzung von Datenschutzbestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO), kann zu schwerwiegenden rechtlichen Konsequenzen führen. Diese können von Geldstrafen bis hin zu juristischen Verfahren reichen.
• Betriebskontinuität
  • Cyberangriffe wie Ransomware können die IT-Infrastruktur lahmlegen und den Betrieb der Praxis erheblich stören. Das kann nicht nur finanzielle Verluste bedeuten, sondern auch den Zugang zu kritischen Patientendaten verhindern, was im schlimmsten Fall lebensbedrohliche Konsequenzen haben könnte.
• Reputationsmanagement
  • Ein Sicherheitsvorfall kann einen erheblichen Schaden für den Ruf der Praxis bedeuten. In einer Branche, in der Vertrauen eine zentrale Rolle spielt, kann dies langfristige negative Auswirkungen haben.
• Ethische Verantwortung
  • Ärzte und medizinisches Personal haben eine ethische Verpflichtung zum Schutz der Patientendaten. Unzureichende IT-Sicherheitsmaßnahmen stellen einen Verstoß gegen diese Verantwortung dar.
• Wettbewerbsfähigkeit
  • Eine sichere Praxis-IT kann nicht nur ein wichtiger Wettbewerbsvorteil sein, sondern auch ein wesentlicher Bestandteil der Corporate Identity. Patienten werden eher einer Arztpraxis vertrauen, die nachweislich Wert auf Datenschutz und Sicherheit legt.
• Anpassung an technologische Trends
  • Mit dem zunehmenden Einsatz von digitalen Lösungen in der Arztpraxis, wie zum Beispiel Videosprechstunde, Telemedizin und elektronische Patientenakten, wird die IT-Sicherheit immer wichtiger für den erfolgreichen und reibungslosen Betrieb einer modernen Arztpraxis.

In Anbetracht dieser vielfältigen Aspekte ist klar, dass IT-Sicherheit in der Arztpraxis nicht nur eine technische Notwendigkeit, sondern auch eine ethische und “geschäftliche” ist. Sie ist ein integraler Bestandteil einer verantwortungsbewussten und erfolgreichen medizinischen Praxisführung.

Externe Bedrohungen und Gegenmaßnahmen

Cyberangriffe

Phishing

Phishing ist eine der häufigsten Arten von Cyberangriffen, die auf Arztpraxen abzielen. Dabei handelt es sich in der Regel um betrügerische E-Mails, die so aussehen, als kämen sie von einer vertrauenswürdigen Quelle. Der Zweck dieser Angriffe ist oft, sensible Informationen wie Passwörter oder Patientendaten zu erlangen.

Präventionsmaßnahmen:

• Schulung der Mitarbeiter zur Erkennung von Phishing-Versuchen
• Einsatz von E-Mail-Sicherheitslösungen, die betrügerische E-Mails erkennen und filtern
• Zwei-Faktor-Authentifizierung für alle Systeme

Ransomware

Ransomware ist eine besondere Art der Malware, die Dateien oder Systeme verschlüsselt und dann ein Lösegeld für deren Freigabe verlangt. Angesichts der sensiblen Daten, die in einer Arztpraxis gehalten werden, kann Ransomware katastrophale Auswirkungen haben.

Präventionsmaßnahmen:

• Regelmäßige Backups aller kritischen Daten
• Einsatz von Antivirenprogrammen und spezialisierter Anti-Ransomware-Software
• Netzwerksegmentierung zur Eingrenzung der Ausbreitung der Ransomware

DDoS

Distributed Denial of Service (DDoS) Angriffe zielen darauf ab, die Netzwerkressourcen einer Praxis zu überlasten, um sie unzugänglich zu machen.

Präventionsmaßnahmen:

• Einsatz von DDoS-Schutzdiensten
• Überwachung des Netzwerkverkehrs auf ungewöhnliche Aktivitäten
• Redundante Internetverbindungen zur Aufrechterhaltung der Dienste

Datenlecks

Datenlecks können sowohl durch interne Fehler als auch durch externe Angriffe verursacht werden. Wichtig ist eine schnelle Erkennung und Reaktion. Präventive Maßnahmen können z. B. sein:

• Einsatz von Data Loss Prevention (DLP)-Software
• Regelmäßige Sicherheitsaudits
• Benachrichtigungssysteme für verdächtige Aktivitäten

IT-Incident Management

Ein Incident-Response-Plan ist entscheidend, um nach einem Sicherheitsvorfall schnell und effektiv handeln zu können. Die folgenden Schritte sollten in jedem Plan berücksichtigt werden:

• Identifikation des Vorfalls: Schnelle Erkennung durch Überwachungssysteme oder Mitarbeiter.
• Einschätzung des Schadens: Umfang und Natur des Angriffs feststellen.
• Kommunikation: Interne und externe Kommunikationswege festlegen, einschließlich der Benachrichtigung der zuständigen Behörden.
• Eingrenzung: Sofortmaßnahmen ergreifen, um den Angriff einzudämmen und weitere Schäden zu verhindern.
• Eradikation: Die Ursache des Vorfalls identifizieren und vollständig entfernen.
• Wiederherstellung: Systeme und Daten sicher wiederherstellen.
• Nachbereitung: Analyse des Vorfalls und Anpassung der Sicherheitsmaßnahmen und des Incident-Response-Plans.

Cyberattacken auf Arztpraxen: Wie ernst ist die aktuelle Bedrohungslage?

Die Bedrohungslage für Arztpraxen im Bereich der IT-Sicherheit ist ernst und sollte nicht unterschätzt werden. Verschiedene Quellen untermauern die Dringlichkeit dieses Themas.

KBV: Bedrohung der IT-Sicherheit durch Hacker steigt ständig

Der Artikel der Kassenärztlichen Bundesvereinigung (KBV) vom 4. November 2021 appelliert an niedergelassene Ärzte und Psychotherapeuten, die IT-Sicherheit ernst zu nehmen. Laut Dr. Thomas Kriedel, einem Vorstandsmitglied der KBV, steigt die Bedrohung für IT-Systeme im Gesundheitswesen, einschließlich Arztpraxen, kontinuierlich an. Besonders hervorgehoben werden Bedrohungsszenarien durch Ransomware, die die Server von Arztpraxen verschlüsseln könnten, was den Zugriff auf Patientendaten verhindert. Die KBV fordert Praxen auf, ihre Sicherheitsmaßnahmen anhand der IT-Sicherheitsrichtlinie der KBV zu überprüfen und anzupassen.

BKA-Chef Münch: Häufiger Cyberangriffe auf Verwaltungen und Arztpraxen

Der Artikel von der Tagesschau, veröffentlicht am 11. Juli 2023, berichtet über eine Warnung des BKA-Chefs Holger Münch bezüglich der Zunahme von Cyberangriffen auf öffentliche Verwaltungen, Hochschulen und Arztpraxen in Deutschland. Laut Münch steigt die Bedrohung durch Cyberkriminalität seit Jahren und hat teils massive wirtschaftliche und gesellschaftliche Folgen. Diese Angriffe können dazu führen, dass Verwaltungen über Wochen arbeitsunfähig sind und sensible Daten abgegriffen werden könnten. Die Strafverfolgung gestaltet sich schwierig, da die Täter sich meist im Ausland aufhalten.

Die Bedrohung durch Cybercrime steigt seit Jahren und verursacht teils massive wirtschaftliche und gesellschaftliche Schäden.

BKA-Chef Holger Münch

Bericht der Europäischen Agentur für Cybersicherheit (ENISA) über die Bedrohungslandschaft im Gesundheitssektor

Der ENISA-Bericht mit dem Titel „Threat Landscape: Health Sector“ ist eine umfassende Analyse der Cyberbedrohungslandschaft im Gesundheitssektor der Europäischen Union. Erstellt von der Europäischen Agentur für Cybersicherheit (ENISA), bietet der Bericht Einblicke in die Realität des Gesundheitssektors, indem er Cyber-Vorfälle von Januar 2021 bis März 2023 kartiert und untersucht. Der Bericht identifiziert die wichtigsten Bedrohungen, Akteure, Auswirkungen und Trends auf der Grundlage der Analyse von Cyberangriffen, die auf Gesundheitsorganisationen abzielen.

• Häufigkeit der Angriffe
  • Laut dem ENISA-Bericht wurden zwischen Januar 2021 und März 2023 insgesamt 215 öffentlich gemeldete Vorfälle im EU-Raum und den angrenzenden Ländern analysiert. Darunter fallen 208 Cyberangriffe auf den Gesundheitssektor. Besonders bemerkenswert ist, dass die Anzahl der Vorfälle im ersten Quartal 2023 potenziell ansteigt, mit 40 gemeldeten Vorfällen im Vergleich zu einem Durchschnitt von etwa 22 Vorfällen pro Quartal in den Jahren 2021 und 2022.
• Art der Angriffe
  • Ransomware ist eine der Hauptbedrohungen im Gesundheitssektor und macht 54% der Vorfälle aus. Fast die Hälfte aller Vorfälle (46%) sind eine Form von Bedrohung gegen die Daten von Gesundheitsorganisationen, einschließlich Datenlecks und -diebstählen. Denial-of-Service-Angriffe (DoS) und Angriffe auf die Lieferkette sind ebenfalls relevant.
• Täter und Motivation
  • Cyberkriminelle, insbesondere Ransomware-Akteure, die von finanziellen Gewinnen motiviert sind, hatten den größten Einfluss auf den Sektor. Geopolitische Entwicklungen und Aktivitäten von Hacktivisten haben die Anzahl der DDoS-Angriffe gegen Krankenhäuser und Gesundheitsbehörden Anfang 2023 erhöht.
• Auswirkungen
  • Die Hauptauswirkungen der beobachteten Vorfälle waren Datenverletzungen oder -diebstähle (43%), Unterbrechungen der Gesundheitsdienste (22%) und andere nicht gesundheitsbezogene Dienstleistungen (26%). Die Sicherheit der Patienten bleibt ein Hauptanliegen, da potenzielle Verzögerungen bei der Triage und Behandlung von Patienten auftreten können.

Rechtliche Rahmenbedingungen und Standards für die IT-Sicherheit in Arztpraxen

Die KBV IT-Sicherheitsrichtlinie

Die geltende IT-Sicherheitsrichtlinie der KBV wurde auf Grundlage von § 75b SGB V erstellt und beschreibt die Mindestanforderungen zur Gewährleistung der IT-Sicherheit in der vertragsärztlichen Versorgung.  Sie schafft keine neuen Anforderungen, sondern präzisiert bereits existierende Richtlinien (wie etwa Bestimmungen aus der EU-Datenschutz-Grundverordnung) und gestaltet sie anwendungsorientiert sowie praxistauglich.

In der IT-Sicherheitsrichtlinie werden Schutzziele definiert und technische Anforderungen festgelegt, um die IT-Sicherheit in Praxen zu gewährleisten und die Vorgaben der Datenschutz-Grundverordnung zu erfüllen. Es gibt zusätzliche Anforderungen für mittlere und Großpraxen, die sich auf Software und Hardware beziehen. Es wird empfohlen, regelmäßige Schulungen für das Praxispersonal durchzuführen und ein Notfallkonzept zu erstellen. Die Umsetzung der Anforderungen soll dazu beitragen, Risiken der IT-Sicherheit zu minimieren.

Die IT-Sicherheitsrichtlinie unterscheiden in 3 verschiedene Praxisgrößen:

• Praxis: Eine Praxis ist eine vertragsärztliche Praxis mit bis zu 5 ständig mit der Datenverarbeitung betrauten Personen
• Mittlere Praxis: Eine mittlere Praxis ist eine vertragsärztliche Praxis mit 6 bis 20 ständig mit der Datenverarbeitung betrauten Personen.
• Großpraxis oder Praxis mit Datenverarbeitung im erheblichen Umfang: Eine Großpraxis oder Praxis mit Datenverarbeitung in erheblichem Umfang ist eine Praxis mit über 20 ständig mit der Datenverarbeitung betrauten Personen oder eine Praxis, die in über die normale Datenübermittlung hinausgehenden Umfang in der Datenverarbeitung tätig ist (z. B. Groß-MVZ mit krankenhausähnlichen Strukturen, Labore).

Weitere gesetzliche Anforderungen: DSGVO, BDSG und Co.

• DSGVO und BDSG
  • Die Datenschutz-Grundverordnung (DSGVO) und das Bundesdatenschutzgesetz (BDSG) legen strenge Anforderungen an die Verarbeitung personenbezogener Daten fest. Die DSGVO fordert spezifische technische und organisatorische Maßnahmen, wie Zugangskontrollen oder Verschlüsselung, während das BDSG die Anforderungen für Deutschland konkretisiert und zusätzliche Schutzmechanismen für Patientendaten vorschreibt. Bei Verstößen sind Bußgelder und Sanktionen möglich.
• Telematikinfrastruktur
  • Die Legitimation der Telematikinfrastruktur fußt auf mehreren gesetzlichen Grundlagen. Diese Gesetze schaffen einen rechtlichen Rahmen für die elektronische Vernetzung im Gesundheitswesen. Sie stellen sicher, dass die übertragenen Daten durch strenge Verschlüsselungs- und Authentifizierungsmechanismen geschützt sind. Zudem müssen alle an der Telematikinfrastruktur beteiligten Komponenten und Dienste zertifiziert sein. Verstöße können hier ebenfalls zu Sanktionen führen, einschließlich finanzieller Strafen.
• Patientendaten-Schutz-Gesetz (PDSG)
  • Das PDSG legt besonderen Wert auf die Verarbeitung elektronischer Patientendaten. Es fördert digitale Innovationen im Gesundheitswesen und beinhaltet Regelungen zur Verarbeitung von elektronischen Verordnungen und Medikationsplänen. Das PDSG legt zudem IT-Sicherheitsanforderungen für Arztpraxen fest, insbesondere im Hinblick auf die Vertraulichkeit, Integrität und Verfügbarkeit der verarbeiteten Informationen.

Die Berufsordnungen der jeweiligen Landesärztekammern können ebenfalls Bestimmungen zum Umgang mit Patientendaten und zur IT-Sicherheit enthalten:

Aufzeichnungen auf elektronischen Datenträgern oder anderen Speichermedien bedürfen besonderer Sicherungs- und Schutzmaßnahmen, um deren Veränderung, Vernichtung oder unrechtmäßige Verwendung zu verhindern. Ärztinnen und Ärzte haben hierbei die Empfehlungen der Ärztekammer zu beachten.

§ 10 Abs. 5 Dokumentationspflicht MBO-Ä

Wie finde ich den richtigen Partner für die IT-Sicherheit meiner Praxis?

Die IT-Sicherheitsrichtlinie der KBV sollte nicht von einem beliebigen IT-Dienstleister umgesetzt werden, sondern im Optimalfall von einem zertifizierten Dienstleister nach § 75B Abs. 5 SGB V. Auf eigenes Risiko können Sie sich jedoch auch für einen nicht zertifizierten Dienstleister entscheiden.

Die Wahl des richtigen Partners für die IT-Sicherheit Ihrer Arztpraxis ist eine kritische Entscheidung, die sorgfältig getroffen werden sollte. Hier sind einige Faktoren, die bei der Auswahl eines geeigneten Dienstleisters beachtet werden sollten:

• Fachliche Qualifikation und Zertifikate
  • Der Dienstleister sollte über die erforderliche Expertise in den Bereichen IT-Sicherheit und Gesundheitswesen verfügen. Achten Sie auf Zertifikate wie ISO 27001 oder spezielle Zulassungen für den Gesundheitssektor.
• Referenzen und Erfahrungen
  • Erfahrungen und Referenzen im Gesundheitswesen sind ein Pluspunkt. Fragen Sie nach Referenzprojekten und sprechen Sie wenn möglich mit aktuellen oder ehemaligen Kunden des Dienstleisters.
• Umfassendes Leistungsportfolio
  • Der Dienstleister sollte ein breites Spektrum an Sicherheitsdienstleistungen anbieten können, von Risikoanalysen über die Implementierung von Sicherheitsmaßnahmen bis hin zu fortlaufendem Monitoring und Support.
• Datenschutz und Compliance
  • Der Dienstleister muss in der Lage sein, die Compliance mit relevanten Gesetzen und Vorschriften wie DSGVO, BDSG und weiteren branchenspezifischen Regelungen sicherzustellen.
• Lokale Präsenz
  • Ein lokaler Anbieter kann im Notfall schneller vor Ort sein, was in sicherheitskritischen Situationen von Vorteil sein kann.

• Transparente Kommunikation
  • Der Dienstleister sollte in der Lage sein, komplexe Sachverhalte klar und verständlich zu kommunizieren und regelmäßige Updates zum Status der IT-Sicherheit Ihrer Praxis bereitzustellen.
• Kosten und Vertragsbedingungen
  • Prüfen Sie die Kostenstruktur sorgfältig und achten Sie auf versteckte Gebühren. Die Vertragsbedingungen sollten flexibel sein, um sich an die sich potenziell ändernden Anforderungen Ihrer Praxis anzupassen.
• Sicherheitsaudits und -tests
  • Ein qualifizierter Anbieter sollte bereit sein, regelmäßige Sicherheitsaudits und Penetrationstests durchzuführen, um die Wirksamkeit der implementierten Sicherheitsmaßnahmen zu überprüfen.
• Fortlaufende Schulungen
  • Der Dienstleister sollte Schulungen für Ihr Praxisteam anbieten, um ein besseres Verständnis für sicherheitsrelevante Themen zu fördern.
• Service-Level-Agreements (SLAs)
  • Die SLAs sollten klar definierte Reaktionszeiten und Verantwortlichkeiten im Falle eines Sicherheitsvorfalls festlegen.

ordana – KBV-zertifizierter Dienstleister mit über 20 Jahren Erfahrung (www.ordana.de)

Die ordana GmbH ist ein KBV-zertifiziertes IT-Systemhaus und betreut für die Umsetzung der IT-Sicherheitsrichtlinie bundesweit viele Arztpraxen unterschiedlichster Größe seit dem Jahr 2003. Neben der Installation modernster Netzwerktechnik, die höchste Sicherheitsanforderungen erfüllt, bietet ordana bundesweit eine breite Palette an IT-Dienstleistungen an, wie zum Beispiel die Bereitstellung einer Business-Internetleitung, Hosting-Services (E-Mail- und Webhosting, Datenspeicherung und Backups in der Cloud) sowie Housing-Services. Dieses IT-Systemhaus mit den zwei Standorten Bottrop und Oberhausen betreut eine Vielzahl kleiner sowie mittelständischer Unternehmen und ist spezialisiert auf Arztpraxen, OP-Zentren, therapeutische Einrichtungen sowie Kanzleien.

Bei einer Zusammenarbeit mit ordana können Sie von folgenden Vorzügen profitieren:

• Spezialisierung auf Arztpraxen: ordana hat eine ausgeprägte Expertise im Bereich der IT-Sicherheit für Arztpraxen und ist KBV-zertifiziert.
• Umfassendes Leistungsportfolio: Von der Netzwerktechnik über Hosting bis zur Softwareentwicklung bietet ordana eine breite Palette an IT-Dienstleistungen an.
• 24/7/365 Überwachung: Die lückenlose Überwachung der IT-Systeme rund um die Uhr mit dem hauseigenen ordana NOC (Network Operating Center) sorgt für eine schnelle Reaktionszeit bei Störungen.
• Deutsche Rechenzentren: Die Datenspeicherung erfolgt in einem nach ISO 27001 zertifizierten deutschen Rechenzentrum, was für zusätzliche Sicherheit sorgt.
• Langjährige Erfahrung: Mit über 20 Jahren Erfahrung in der IT-Branche bringt ordana gebündeltes Know-how in verschiedenen IT-Bereichen mit.
• Webdesign und Webentwicklung: ordana realisiert den Aufbau Ihrer zukünftigen Praxis-Website von der Registrierung der Domain bis hin zur Wartung des Webservers und entwickelt auf Wunsch Webapps für die Optimierung von Unternehmensprozessen. 

Kostenloser ordana Sicherheitscheck (https://www.ordana.de/it-sicherheit-fuer-arztpraxen-kmu-kbv-dsgvo/)

Ordana teilt Ihnen kostenlos mit, ob Ihr bereits installiertes Netzwerk ausreichend vor Gefahren geschützt ist. Zudem erhalten Sie detailliert, wo genau Sicherheitslücken vorhanden sind und wie diese geschlossen werden können. Ebenso kann die KBV- und DSGVO-Konformität Ihres Netzwerkes überprüft werden. Das Ergebnis dieser umfangreichen Analyse sowie ein Anforderungsprofil für Ihr Netzwerk erhalten Sie von ordana kostenlos per Telefon, Videocall oder per Fernwartung.

So läuft der ordana Sicherheitscheck ab:

1. Prüfung der Qualität der vorhandenen Netzwerksicherheit.
2. Erstellung einer Übersicht der offenen bzw. zu optimierenden Maßnahmen inkl. kostenlosem Kostenvoranschlag für die optimierenden Maßnahmen.
3. Nach Annahme des Kostenvoranschlags erstellt ordana eine Übersicht mit allen Terminen für die erforderlichen Umsetzungen.
4. Umsetzung der erforderlichen und gemeinsam abgestimmten technischen und organisatorischen Maßnahmen.

Webinar: IT-Sicherheit in der Arztpraxis – So schützen Sie Ihre Praxis

Weitere Beiträge

Datenschutz in der Arztpraxis: Von A bis Z!

Cloud-Praxissoftware: Alles was Sie darüber wissen müssen!

Praxissoftware wechseln: Tipps für eine erfolgreiche Umstellung