Notfall Datenleck
Wenn sensible Patientendaten ins Internet gelangen oder ein Hackerangriff die Praxis lahmlegt, ist schnelles Handeln gefragt. Wie Sie Datenpannen beherrschen – und vermeiden.
Was wäre, wenn die Daten all Ihrer Patienten für jeden einsehbar durchs Internet schwirren würden? Dieser Albtraum wurde für einen Allgemeinmediziner aus Celle Ende 2019 Wirklichkeit. Arztberichte, Laborbefunde und Röntgenbilder, aber auch Mitarbeiterdaten und Buchhaltungsdetails waren unbemerkt in die Öffentlichkeit gelangt. Insgesamt ging es um rund 30.000 Datensätze. Das Leck konnte erst nach mehreren Tagen vollständig abgedichtet werden. Schuld an der Panne war nicht etwa ein Hackerangriff, sondern ein unzureichend gesicherter Router in der Arztpraxis.
Oft Ursache von Anwenderfehlern
Immer wieder gehen spektakuläre Fälle durch die Presse, bei denen Kriminelle die digitale Infrastruktur einer Praxis lahmlegen oder mit der Veröffentlichung von gestohlenen Patientendaten drohen, um Lösegeld zu erpressen. Wie das Beispiel aus Celle zeigt, sind sie aber nicht die einzige Gefahr für die IT-Sicherheit in Gesundheitseinrichtungen. Tatsächlich gehen die meisten Datenlecks und andere gravierende IT-Probleme auf technische oder Bedienungsfehler in der betroffenen Praxis selbst zurück. Mal werden sensible Daten versehentlich in eine ungesicherte Cloud hochgeladen, mal stimmt die Grundeinstellung des Routers nicht, mal werden aus Unwissenheit oder Überforderung keinerlei Sicherheitseinstellungen vorgenommen.
Reputationsschaden für Praxis
Egal, ob Fremd- oder Eigenverschulden: Jede Cyberpanne hat massive Auswirkungen auf den Praxisalltag. Bis der Schaden behoben ist, kann der normale Betrieb oft nicht oder nur stark eingeschränkt weitergehen. Zu den Ausfallskosten kommen Aufwendungen für IT-Fachleute, die den Fehler finden und beheben müssen. Auch der Ruf der Praxis leidet, was erhebliche wirtschaftliche Folgen haben kann. Wurden durch die Sicherheitslücke die Persönlichkeitsrechte Dritter verletzt – zum Beispiel, weil vertrauliche Gesundheitsinformationen auf einmal öffentlich sind – stehen unter Umständen hohe Schadenersatzansprüche im Raum. Nicht zuletzt drohen Bußgelder, wenn Bestimmungen der europäischen Datenschutz-Grundverordnung (DSGVO) verletzt wurden.
Datenschutzbehörde informieren
Gerade die Verpflichtungen, die sich aus der DSGVO ergeben, sind vielen Praxisinhabern nicht bewusst. Nach der Verordnung muss schon im Vorfeld eine Risikobewertung der Datensicherheit erfolgen und dokumentiert werden, ob die technischen und organisatorischen Sicherheitsmaßnahmen angemessen sind. Kommt es zu einer Datenpanne, prüft die zuständige Datenschutzbehörde, ob Bewertung und Dokumentation erfolgt sind und die Maßnahmen eingehalten wurden. Wenn nicht, drohen Strafen. Auch, wer den IT-Unfall nicht binnen 72 Stunden an die Behörde meldet und gegebenenfalls auch die Patienten informiert, muss mit Bußgeldern rechnen.
Cyberversicherung lohnt sich
Fazit: Ärztinnen und Ärzte, die Datensicherheit in ihrer Praxis gewährleisten und auch mit einer Sicherheitslücke professionell umgehen wollen, brauchen Expertenwissen – im IT-Bereich, aber auch in Sachen Krisenkommunikation, Recht und Versicherungsschutz. Im Ernstfall reicht die Berufshaftpflichtversicherung nämlich meist nicht aus, um den Gesamtschaden aus einer Sicherheitslücke zu decken. Deshalb empfiehlt sich ergänzend eine sogenannte Cyberversicherung, die speziell auf IT-Risiken zugeschnitten ist. Sie kommt nicht nur für den verursachten Schaden auf, sondern auch für die Behebung der Sicherheitslücke und die Kosten einer eventuellen Betriebsunterbrechung.
Außerdem haben die Versicherten Zugriff auf weitere Services – zum Beispiel auf IT-Dienstleister, die schnell und unkompliziert Rat geben, präventive Maßnahmen etablieren und auch verlorene Daten wiederherstellen können. Spezialisierte Datenschutzanwälte und Experten für Kommunikation unterstützen in allen Rechts- und Marketingfragen, die sich aus der Datenpanne ergeben. Außerdem führt die Cyberversicherung auch alle Meldungen nach DSGVO schnell und zuverlässig durch.
Lassen Sie sich beraten
Wie Sie Berufshaftpflicht- und Cyberversicherung optimal kombinieren, erfahren Sie von den Beraterinnen und Beratern der Deutschen Ärzte Finanz. Unten bieten wir Ihnen mehrere Möglich-keiten, mit uns in Kontakt zu treten.
Machen Sie Ihre Praxis datensicher
Risiko richtig bewerten
Wann Sie bei einer Datenpanne nach DSGVO reagieren müssen, hängt von der sogenannten Risikobewertung ab. Das heißt: Sie müssen sich überlegen, wo und in welcher Weise in Ihrer Praxis Sicherheitslücken auftreten können und sie dokumentieren. Die Ärztekammern bieten dafür Leitfäden an. Am besten zieht man für die Risikobewertung aber einen Experten hinzu.
Angemessenheit prüfen
Sind die IT-Sicherheitsmaßnahmen in Ihrer Praxis angemessen und ausreichend? Das müssen Sie nach DSGVO prüfen und dokumentieren. Am besten geht das mithilfe einer Checkliste. Branchenspezifische Mustervorlagen bekommen Sie im Internet, bei den Ärztekammern und der Kassenärztlichen Vereinigung.
Informationen sicher versenden
Wenn Sie Arztberichte oder Befunde per Mail versenden, wählen Sie dafür ein sicheres Verfahren – und legen Sie es für Ihre Mitarbeiter in einer Arbeitsanweisung fest. Verschlüsselte Dateien und das Passwort dürfen nie zusammen verschickt werden. Eine gute Alternative zum Mailversand sind die sicheren Austauschplattformen der Kammern.
Rechner absichern
Achten Sie darauf, dass Rechner in einzelnen Behandlungszimmern immer gesperrt sind, wenn sich Patienten dort allein aufhalten. So vermeiden Sie einen unbefugten Zugriff auf die Praxissoftware.
Datenleck aufspüren
Oft wird eine Datenpanne nur zufällig entdeckt. Sie können selbst prüfen, ob noch alles sicher ist, indem Sie hin und wieder Ihre eigene Praxis oder E-Mail-Adresse im Internet suchen. Tauchen dann sensible Daten auf, müssen Sie sofort reagieren.
Datenpanne managen
Ist tatsächlich eine Sicherheitslücke entstanden, tragen Sie sofort alle Informationen über Ursache, Umfang, betroffene Daten und die zeitliche Dauer zusammen. Dienstleister, wie zum Beispiel Internetprovider, sind verpflichtet, Sie dabei zu unterstützen.
Hilfe holen
Eine Datenpanne ist ein Notfall, den man allein kaum bewältigen kann. Holen Sie deshalb sofort Experten ins Boot. Wenn Sie eine Cyberversicherung haben, reicht ein Anruf, um ein Team von Fachleuten zu aktivieren, die sich um alles kümmern.