IT-Sicherheit in der Zahnarztpraxis – Teil 2: Grundlagen ohne Fachchinesisch

Herzlich willkommen zur Fortbildung IT-Sicherheit in der Zahnarztpraxis, Teil zwei. Mein Name ist Nils Hondong, und ich begleite Sie durch dieses Modul. Worum geht es? Um die Grundlagen der IT-Sicherheit, erklärt an ganz normalen Vorgängen aus Ihrem Praxisalltag – ohne Fachchinesisch und ohne dass Sie IT-Vorkenntnisse mitbringen müssen. Gedacht ist das für das gesamte Team, vom Empfang über die Assistenz bis zur Praxisleitung. Wir schauen zuerst darauf, was technisch eigentlich geschieht, wenn jemand auf einen Link klickt oder einen Anhang öffnet. Danach geht es um Benutzerkonten und Passwörter, das Kernstück dieses Moduls. Und zum Schluss übertragen wir das Ganze in konkrete Handgriffe am Arbeitsplatz. Damit sind wir schon im ersten Kapitel: Was beim Klick passiert. Jeder Praxistag beginnt mit E-Mails – Laborberichte, Rechnungen, Terminanfragen, Post von der Krankenkasse. Das ist Routine, und genau deshalb lohnt es sich, einmal in Ruhe hinzusehen. Am Ende dieses Kapitels wissen Sie, was in den Sekunden nach einem Klick wirklich abläuft, warum ein einzelner Rechner am Empfang nie ein einzelnes Gerät ist und was in den ersten Minuten nach einem Fehlklick zu tun ist. Fangen wir an.

Lassen Sie mich kurz sagen, worum es in diesem Modul geht – und worum nicht. Sie sollen hier keine IT-Fachleute werden. Sie sollen am Ende einordnen können, was Ihnen im Praxisalltag begegnet. Deshalb erkläre ich jeden Begriff an einem Vorgang, den Sie kennen: an einer E-Mail im Posteingang, an einem Ausdruck am Tresen, an der Anmeldung im Praxisverwaltungssystem. Kein einziges technisches Schaubild. Der Grund für diese Reihenfolge ist ganz praktisch. Im dritten Teil dieser Serie geht es um konkrete Angriffsmethoden – um gefälschte E-Mails, um manipulierte Rechnungen, um Anrufe angeblicher Techniker. Wer diese Maschen erkennen soll, muss vorher verstanden haben, was ein Link technisch ist, was beim Öffnen einer Datei geschieht und wie die Geräte Ihrer Praxis miteinander verbunden sind. Sonst bleibt jede Warnung eine Regel zum Auswendiglernen – und Regeln, die man nicht versteht, hält man im hektischen Praxisalltag nicht durch. Wir bauen also heute das Fundament. Das ist stellenweise unspektakulär, aber es trägt. Und es hat einen angenehmen Nebeneffekt: Sie können danach die Empfehlungen Ihres IT-Dienstleisters bewerten, statt sie nur hinzunehmen.

Ein Link ist keine Beschriftung, sondern eine Adresse. Was Sie in der E-Mail lesen, ist nur der angezeigte Text – die tatsächliche Zieladresse liegt dahinter und kann etwas völlig anderes sein. Dastehen kann „Zum Kundenportal“, hinterlegt ist ein Server irgendwo auf der Welt. Besonders unauffällig ist das bei einem gestalteten Button oder bei Kurzlinks: Das Bundesamt für Sicherheit in der Informationstechnik weist ausdrücklich darauf hin, dass Linkverkürzer das Ziel nicht sofort erkennen lassen. Wenn Sie klicken, passiert Folgendes: Ihr Rechner baut eine Verbindung zu diesem fremden Server auf und lädt von dort Inhalte. Diese Inhalte sehen oft aus wie die Seite, die Sie erwarten. Das BSI beschreibt, dass sowohl die E-Mail als auch die verlinkte Website sorgfältig nachgeahmt werden – mit Logo, Farben und Schriftarten des Originals. Eine nachgebaute Anmeldemaske Ihres Portals ist für das Auge nicht vom Original zu unterscheiden. Und was Sie dort eintippen, landet nicht bei Ihrem Anbieter, sondern beim Angreifer. Praktisch heißt das: Fahren Sie mit dem Mauszeiger über den Link, ohne zu klicken – die Zieladresse wird dann angezeigt. Und wenn Sie unsicher sind: nicht klicken, sondern beim Absender persönlich nachfragen, nicht auf Antworten klicken.

Ein Anhang funktioniert anders als ein Link. Er ist eine Datei, die auf Ihrem Praxisrechner landet – und die beim Öffnen in Teilen ausgeführt wird. Stellen Sie sich eine typische Situation vor: Montagmorgen, der Empfang arbeitet den Posteingang ab, dazwischen eine Mail mit dem Betreff „Rechnung“ und einem Word-Dokument im Anhang. Das Dokument öffnet sich, sieht aber merkwürdig leer aus, und oben erscheint ein Balken mit der Aufforderung, die Bearbeitung oder den Inhalt zu aktivieren. Genau dieser Klick ist der eigentliche Start. Das Bundesamt für Sicherheit in der Informationstechnik nennt die Makro-Funktion in Word-Dokumenten und aktive Inhalte in E-Mail-Programmen ausdrücklich als beliebte Angriffswege und verweist darauf, dass Angriffe mit Ransomware oder Schadsoftware wie Emotet über diese Wege zahlreiche Unternehmen in Deutschland getroffen haben. Neben Makros gibt es Skripte und Programmdateien, die sich hinter einem harmlosen Dateinamen oder einem vertrauten Symbol verstecken. Merken Sie sich zwei Dinge. Erstens: Eine Aufforderung, Inhalte oder Makros zu aktivieren, ist kein Routineklick, sondern ein Warnsignal. Zweitens: Ein Anhang, den Sie nicht erwartet haben, wird nicht geöffnet – auch dann nicht, wenn der Absender bekannt wirkt.

Jetzt kommt der Punkt, der in der Praxis am häufigsten unterschätzt wird. Der Rechner am Empfang fühlt sich an wie ein einzelnes Gerät: ein Bildschirm, eine Tastatur, ein Arbeitsplatz. Technisch ist er das nicht. Er hängt am selben Praxisnetz wie der Server, wie das Praxisverwaltungssystem mit sämtlichen Patientendaten, wie die Röntgen- und Bildgebungssysteme und in vielen Fällen auch wie das Laufwerk, auf das die Datensicherung läuft. Was auf einem Gerät startet, bleibt deshalb selten auf diesem Gerät. Das Bundesamt für Sicherheit in der Informationstechnik formuliert das für den Ernstfall sehr deutlich: Man soll sich bei der Suche nach betroffenen Systemen nicht auf das Offensichtliche beschränken, sondern damit rechnen, dass weitere Systeme ebenfalls betroffen sind. Genau deshalb verlangt die IT-Sicherheitsrichtlinie für Praxen eine Übersicht über das eigene Netz; die Kassenzahnärztliche Bundesvereinigung stellt dafür sogar einen Beispiel-Netzplan einer Praxis zur Verfügung. Für Sie im Alltag heißt das: Die Frage ist nie „Was passiert mit diesem einen PC?“, sondern „Was hängt an diesem PC dran?“. Und die Antwort lautet in fast jeder Praxis: alles, was Sie zum Behandeln brauchen.

Sie müssen nicht wissen, wie Schadsoftware programmiert ist. Sie müssen wissen, was sie anrichtet. Drei Wirkungen reichen für den Praxisalltag völlig aus. Die erste ist Erpressung: Das Bundesamt für Sicherheit in der Informationstechnik beschreibt Ransomware als Schadprogramm, das den Zugriff auf Daten und Systeme einschränkt oder unterbindet, indem es Nutzerdaten verschlüsselt – anschließend wird Lösegeld gefordert. In der Praxis heißt das: Karteikarten nicht lesbar, Röntgenbilder nicht abrufbar, Terminbuch weg, und das am laufenden Behandlungstag. Die zweite Wirkung ist Mitlesen. Alles, was auf einem befallenen Rechner eingegeben wird, muss als offengelegt gelten; das BSI empfiehlt ausdrücklich, sämtliche auf einem infizierten System eingegebenen Zugangsdaten als kompromittiert zu betrachten. Ihr Passwort ist dann nicht mehr Ihr Passwort. Die dritte Wirkung ist Weiterverbreitung. Schadsoftware wie Emotet gilt dem BSI als Türöffner für Ransomware und verbreitet sich sehr schnell selbstständig weiter – vom einen Arbeitsplatz zum nächsten, weiter Richtung Server. Diese drei Wirkungen erklären, warum das Tempo entscheidet. Und damit sind wir beim letzten Punkt dieses Kapitels: Was tun Sie, wenn es doch passiert ist?

Angenommen, es ist passiert: geklickt, geöffnet, und etwas fühlt sich falsch an. Zum Beispiel die Absender Adresse. Dann zählen Minuten, und zwar in dieser Reihenfolge. Erstens trennen: Netzwerkkabel ziehen, WLAN ausschalten. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt genau das – betroffene Systeme vom internen Netz und vom Internet trennen, indem man das Netzwerkkabel zieht. Zweitens, und das überrascht viele: Das Gerät nicht herunterfahren und nicht ausschalten, weil eine spätere technische Analyse sonst wertvolle Spuren verliert. Drittens nichts selbst reparieren – keine Dateien löschen, keine Reinigungsprogramme starten, nicht auf eigene Faust weiterarbeiten. Das BSI stuft ein befallenes System grundsätzlich als vollständig kompromittiert ein; punktuelles Aufräumen hilft nicht, es verwischt nur Spuren. Viertens sofort melden: Praxisleitung und IT-Dienstleister, ohne Umweg. Und hier der wichtigste Satz dieses Kapitels: Eine Meldung wird nicht sanktioniert. Wer sich meldet, hat keinen Fehler verschlimmert, sondern Schaden begrenzt. Verschwiegene Vorfälle sind teuer, gemeldete sind beherrschbar. Dahinter steht auch eine rechtliche Uhr: Ist eine Verletzung des Schutzes personenbezogener Daten bekannt, muss sie nach der Datenschutz-Grundverordnung unverzüglich, möglichst binnen 72 Stunden, der Aufsichtsbehörde gemeldet werden. Diese Frist läuft ab Kenntnis – und Kenntnis beginnt mit Ihrer Meldung.