IT-Sicherheit in der Zahnarztpraxis – Teil 1: Warum ausgerechnet wir?

Herzlich willkommen zu dieser Fortbildung für Ihr gesamtes Praxisteam. Mein Name ist Nils Hondong, und ich freue mich, dass Sie sich heute gemeinsam Zeit nehmen. Es geht um IT-Sicherheit in der Zahnarztpraxis – und zwar nicht um Technik, sondern um Ihren Arbeitsalltag am Tresen, am Behandlungsstuhl und am Telefon. IT-Vorkenntnisse brauchen Sie dafür keine; alles, was heute kommt, ist an praktischen Situationen erzählt. Dieser erste Teil hat zwei Kapitel. Im ersten erzähle ich einen Fall nach, wie er sich so oder ähnlich in Praxen abspielt: ein Montagmorgen, an dem kein einziger Datensatz mehr erreichbar ist. Im zweiten Kapitel klären wir dann die Frage, die dieser Fortbildung den Titel gibt: Warum ausgerechnet wir? Regeln, Checklisten und technische Maßnahmen kommen heute bewusst noch nicht vor. Heute geht es darum, ein Gefühl dafür zu bekommen, was auf dem Spiel steht. Wir starten mit dem ersten Kapitel: Montagmorgen ohne Daten. Ich schildere Ihnen den Ablauf so, wie ihn ein Praxisteam erlebt – von der ersten Minute am Empfang bis zu den Wochen danach. Hören Sie bitte mit einer Frage im Kopf mit: Was davon wäre bei uns am Montag genauso?

Stellen Sie sich einen ganz gewöhnlichen Montag vor. In manchen Praxen beginnt er so: Kurz vor viertel vor acht wird am Empfang der Rechner hochgefahren, Licht an, Kaffee läuft, das Sterilisationsprotokoll wird vorbereitet. Das Praxisverwaltungssystem startet – und bleibt stehen. Kein Terminbuch, keine Patientenliste, nur ein schwarzer Bildschirm mit einem englischen Text darauf: Ihre Daten sind verschlüsselt, zahlen Sie, dann bekommen Sie sie zurück. Der erste Gedanke ist meist kein dramatischer, sondern ein sehr menschlicher: Das ist bestimmt ein Fehler, ich starte einmal neu. Also Neustart – dasselbe Bild. Der Blick geht zum zweiten Arbeitsplatz, ins Sprechzimmer, ins Röntgen. Überall derselbe Text. In diesem Moment beginnt für das Team ein Tag, für den es keine Routine gibt. Niemand weiß, wie lange das dauert. Niemand weiß, ob die Daten wiederkommen. Und in fünfzehn Minuten steht die erste Patientin vor der Tür. Wichtig ist mir an dieser Stelle nur eines: Das ist kein Ausfall wie ein defekter Drucker. Ab dieser Minute arbeitet die Praxis ohne ihr Gedächtnis. Was das konkret heißt, sehen wir uns als Nächstes an.

Machen wir uns klar, was in dieser Minute gleichzeitig fehlt. Erstens das Terminbuch. Niemand weiß mehr, wer heute kommt, um wie viel Uhr und wofür – keine Kontrolle, keine Füllung, keine Nachsorge. Zweitens die digitalen Karteikarten: Anamnese, Vorerkrankungen, Medikation, Allergien, dokumentierte Befunde, Behandlungsverlauf. Drittens die Bildgebung, also Röntgenaufnahmen und DVT-Datensätze, die für geplante Eingriffe gebraucht werden. Viertens die gesamte Abrechnung samt Leistungsdokumentation sowie die Vorlagen für Rezepte, Aufklärungsbögen und Schreiben. Und fünftens sehr häufig das, woran zuerst niemand denkt: die Telefonanlage, die Türsteuerung und der Zugriff auf das E-Mail-Postfach. Das heißt, Sie können nicht einmal mehr absagen. Sie erreichen die Patientinnen und Patienten nicht, weil auch die Nummern in der Kartei standen. Das ist der entscheidende Punkt dieses Kapitels: Es fällt nicht ein Gerät aus, sondern alles gleichzeitig, was den Tag trägt. Alles, was über Jahre in der Praxis zusammengetragen wurde, ist an diesem Morgen da – aber nicht erreichbar.

Um acht Uhr füllt sich das Wartezimmer trotzdem. Die Menschen sind da, nur die Information, wer wofür einbestellt wurde, ist es nicht. Am Empfang wird auf Zuruf gearbeitet: Name aufschreiben, fragen, worum es geht, auf einen Zettel notieren. Am Stuhl fehlt dann der Rest. Die Anamnese muss mündlich neu erhoben werden – Vorerkrankungen, Blutverdünner, Allergien, Unverträglichkeiten, alles aus dem Gedächtnis der Patientin, nicht aus der Dokumentation. Wer eine geplante Behandlung hat, bei der die Aufnahme zur Planung gehört, kann nicht behandelt werden; ohne Bild kein Eingriff. Also wird reduziert: akute Schmerzen und Notfälle werden versorgt, alles andere wird abgesagt. Und jede einzelne Absage muss erklärt werden, an der Rezeption, im Stehen, vor anderen Wartenden. Der Rest des Vormittags läuft auf Papier: Leistungen auf Notizzetteln, Befunde auf losen Blättern, eine handschriftliche Liste, wer angerufen werden muss, sobald das Telefon wieder geht. Diese Zettel müssen später alle nachgetragen werden. Der Tag ist also nicht nur verloren – er erzeugt zusätzliche Arbeit für die Wochen danach.

Mit dem Feierabend ist ein solcher Vorfall nicht vorbei. Die Wiederherstellung der Systeme und die forensische Prüfung, also die Untersuchung, was genau passiert ist und welche Daten betroffen sind, dauern Tage bis Wochen. Das Bundesamt für Sicherheit in der Informationstechnik weist ausdrücklich darauf hin, dass die Bereinigung betroffener Netzwerke je nach Größe sogar Monate in Anspruch nehmen kann. In dieser Zeit arbeitet die Praxis eingeschränkt: Einnahmen fallen aus, laufende Kosten laufen weiter, Abrechnungsfristen geraten in Verzug. Parallel dazu greifen rechtliche Pflichten. Sind personenbezogene Daten betroffen, ist die Verletzung nach Artikel 33 der Datenschutz-Grundverordnung unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde zu melden. Besteht voraussichtlich ein hohes Risiko für die Betroffenen, müssen nach Artikel 34 zusätzlich die Patientinnen und Patienten selbst benachrichtigt werden. Dazu kommen die Anzeige bei der Polizei und viele Gespräche: am Telefon, am Tresen, mit Menschen, die wissen wollen, ob ihre Befunde jetzt irgendwo im Netz stehen. Genau da entsteht der Schaden, der am längsten bleibt – der Vertrauensverlust.

Zum Schluss dieses Kapitels der Blick auf die Menschen, die diesen Tag tragen. Am Empfang steht das Team stundenlang zwischen wartenden Patientinnen und Patienten und einer Praxisleitung, die selbst keine Antworten hat. Es gibt Diskussionen, manchmal lauten Ärger, und es gibt kaum eine Möglichkeit, ihn abzustellen. Danach kommen Überstunden: Zettel nachtragen, Termine neu vergeben, Rückrufe abarbeiten, Abrechnung nacharbeiten. Dazu kommt etwas, das man selten ausspricht. Wenn sich herausstellt, über welchen Arbeitsplatz der Angriff hereingekommen ist, trägt eine einzelne Person plötzlich ein schlechtes Gewissen – oft jemand, der einfach seine Arbeit gemacht hat. Dazu möchte ich an dieser Stelle sehr deutlich sein: Die Verantwortung für Schutzmaßnahmen und deren Nachweis liegt nach der Datenschutz-Grundverordnung beim Verantwortlichen, also bei der Praxis als Ganzes und ihrer Leitung. Sie liegt nicht bei der Person, die an einem Montagmorgen eine E-Mail geöffnet hat. Damit ist beschrieben, was ein solcher Tag in einer Praxis auslöst: für den Ablauf, für die Patientinnen und Patienten und für jede einzelne Person im Team. Nehmen Sie dieses Bild mit – wir arbeiten gleich damit weiter.