IT-Sicherheit in der Arztpraxis: Patientendaten sind keine Verhandlungsmasse

Eine gestohlene Kreditkarte lässt sich sperren. Eine gestohlene Diagnose nicht.

Genau darum zahlen Erpresser für Patientendaten mehr als für fast alles andere. Nicht, weil Praxen reiche Ziele wären. Sondern weil der Hebel perfekt ist: Ohne Praxisverwaltungssystem (PVS, die Software mit Terminen, Befunden und Abrechnung) steht Ihr Betrieb still. Und mit veröffentlichten Befunden steht Ihr Ruf auf dem Spiel.

Muss Ihnen das Angst machen? Nein. Aber ernst nehmen müssen Sie es. Die wichtigsten Schutzmaßnahmen sind keine Raketentechnik. Einen Teil schafft Ihr Team selbst, für den Rest gibt es Fachleute. Was Pflicht ist, wo die typischen Löcher sitzen und was Sie getrost ignorieren dürfen: Das steht hier. Ohne Panik, ohne Fachchinesisch.

Warum Praxisdaten für Erpresser Höchstwert haben

Eine Kreditkartennummer ist nach der Sperrung wertlos. Ein Passwort ist nach der Änderung wertlos. Eine Krebsdiagnose, ein Suchtverlauf, ein psychiatrischer Befund: Die bleiben wahr. Für immer. Gesundheitsdaten lassen sich nicht zurückrufen, und genau das macht sie für die Erpresser-Industrie so wertvoll.

Dazu kommt der doppelte Druck. Verschlüsselt ein Angreifer Ihr PVS, fällt die Praxis aus: keine Termine, keine Dokumentation, keine Abrechnung. Droht er zusätzlich mit Veröffentlichung, trifft das Schweigepflicht und Datenschutz gleichzeitig. Die Täter kalkulieren genau damit, dass eine Praxis lieber still zahlt, als diesen Sturm auszuhalten.

Verlassen Sie sich nicht darauf, zu klein zu sein. Diese Angriffe laufen automatisiert. Der Absender kennt Ihre Praxis nicht. Sein Programm kennt nur Ihre offene Lücke.

Die KBV-Richtlinie: Pflicht, keine Empfehlung

Für Praxen gibt es eine verbindliche IT-Sicherheitsrichtlinie der Kassenärztlichen Bundesvereinigung, gesetzlich verankert im Sozialgesetzbuch (SGB V). Sie gilt für jede vertragsärztliche Praxis. Auch für die Einzelpraxis mit zwei Rechnern. Die Anforderungen sind nach Praxisgröße gestaffelt, der Umfang wächst mit der Einrichtung.

Die Kernpflichten, übersetzt in Alltagsdeutsch:

• Updates: Betriebssysteme und Programme aktuell halten. Eine bekannte, ungestopfte Lücke ist eine offene Praxistür bei Nacht.
• Virenschutz und Firewall: auf jedem Gerät, das mit dem Praxisnetz spricht.
• Saubere Anmeldung: eigene Zugänge pro Person statt Sammellogin »Empfang«. Sonst weiß hinterher niemand, wer was gemacht hat.
• Datensicherung: regelmäßig, nachvollziehbar und im Ernstfall wiederherstellbar.
• Mobile Geräte: Smartphones und Tablets mit Praxisbezug verschlüsseln und nur mit Apps bestücken, die wirklich gebraucht werden.

Ich zitiere hier bewusst keine Anlagen-Nummern und Detailparagrafen. Die verbindliche, aktuelle Fassung finden Sie bei der KBV. Entscheidend ist der Status: Das ist keine Empfehlung für ruhigere Zeiten. Das ist Pflicht.

Wo es in Praxen typischerweise brennt

In kleinen Betrieben, Praxen eingeschlossen, begegnen mir immer dieselben Muster. Keins davon ist exotisch. Genau deshalb werden sie ausgenutzt.

Ein Wort zur Telematikinfrastruktur, kurz TI: Das ist das geschützte Datennetz des Gesundheitswesens, an das Ihre Praxis ohnehin angeschlossen ist. Die TI ist nicht das Problem. Aber der Konnektor, also die Box, die Ihre Praxis damit verbindet, ist Technik wie jede andere. Sie braucht Updates und einen Menschen, der sich zuständig fühlt. »Hat der PVS-Anbieter damals hingestellt« ist keine Zuständigkeit. Eine Grenze gehört an dieser Stelle dazu: Am Konnektor selbst arbeitet nur, wer von den Herstellern als Dienstleister vor Ort zugelassen ist. Diese Zulassung habe ich nicht, und ich tue auch nicht so. Ich kümmere mich um alles drumherum – Netztrennung, Backups, Rechner, Zugänge – und sage Ihnen, welche Fragen Sie Ihrem TI-Dienstleister stellen sollten.

Was Ihr Team selbst schafft

Für vieles brauchen Sie keinen Dienstleister, sondern eine Entscheidung und zwanzig Minuten Teambesprechung:

• Bildschirm sperren, sobald der Platz verlassen wird. Am Empfang schauen Wartende sonst direkt in fremde Befunde.
• Updates nicht wegklicken. Wer den Neustart ewig verschiebt, verschiebt nur die Sicherheit.
• Misstrauen bei E-Mails: unerwartete Anhänge, künstlicher Zeitdruck, angebliche Rechnungen. Im Zweifel anrufen statt klicken.
• Keine private Software und keine privaten USB-Sticks auf Praxisrechnern.
• Eigene Zugänge für jede Person. Beim Ausscheiden sofort sperren.
• Einmal im Quartal in den Kalender: Läuft die Datensicherung, und lässt sich eine Datei wirklich zurückholen?

Was Sie besser abgeben

Es gibt Aufgaben, bei denen gut gemeint gefährlich wird. Netztrennung ist so eine: Empfang, Behandlungsräume, Telematik und Gäste-WLAN sauber zu trennen ist Handwerk. Einmal richtig aufgesetzt, läuft es jahrelang. Wie so eine Trennung bei mir aussieht, sehen Sie unter Netzwerk & Sicherheit.

Dasselbe gilt für ein Backup-Konzept, das Ransomware überlebt: mit einer Kopie außer Haus und regelmäßigen Wiederherstellungstests. Und für die laufende Pflege, also Updates, Überwachung und ein Ansprechpartner, wenn etwas klemmt. Genau dafür gibt es meine IT-Betreuung ab 149 Euro im Monat. Das ist kein Abo für schöne PDF-Berichte. Es ist dafür da, dass sich jemand kümmert, bevor es knallt.

Was Sie getrost weglassen können

Ehrlichkeit gehört dazu: Eine Drei-Personen-Praxis braucht keine Sicherheitslösung aus dem Konzernkatalog. Kein Kontrollzentrum mit hundert Ampeln, kein vierstelliges Audit, solange die Datensicherung noch auf einer dauerhaft angesteckten USB-Platte liegt. Wer Ihnen zuerst das große Paket verkauft, bevor die Grundlagen stehen, hat nicht Ihre Sicherheit im Blick, sondern Ihr Budget.

Die richtige Reihenfolge ist unspektakulär: erst Backups, Updates und Netztrennung, dann der Rest. Bei manchem Zusatzprodukt lautet meine Empfehlung schlicht: lassen Sie es. Das kostet mich einen Auftrag und erspart Ihnen Geld für nichts.

Wenn es doch passiert ist

Verschlüsselte Rechner, gesperrtes PVS, ein Erpresserschreiben auf dem Bildschirm? Dann zählt Reihenfolge statt Hektik: Geräte vom Netz, nichts löschen, Hilfe holen. Und an die Meldepflichten denken, denn bei Patientendaten ist die Datenschutzbehörde schnell im Spiel. Welche Schritte in welcher Reihenfolge kommen, steht Punkt für Punkt in Was tun nach einem Hackerangriff. Drucken Sie ihn aus. Ein Notfallplan auf einem gesperrten Rechner nützt nichts.

Ob Ihre Backups eine Verschlüsselung überstehen, ob das PVS vom Gäste-WLAN getrennt ist und ob sich jemand um Konnektor und Updates kümmert: Diese drei Fragen entscheiden, wie gut Ihre Patientendaten heute geschützt sind. Im kostenlosen Erstgespräch gehen wir sie durch, und am Ende haben Sie eine klare Liste, was diese Woche dran ist und was bis zum nächsten Quartal warten darf. Patientendaten sind keine Verhandlungsmasse. Fangen wir bei der Reihenfolge an, die wirklich schützt.