IT-Sicherheit in der Zahnarztpraxis – Teil 3: So gehen Angreifer vor

Herzlich willkommen zu dieser Fortbildung. Mein Name ist Nils Hondong, und ich begleite Sie durch die nächste Zeit. Unser Thema ist die IT-Sicherheit in Ihrer Zahnarztpraxis, diesmal aber aus einer ungewohnten Richtung: Wir schauen nicht auf Technik und Verordnungen, sondern darauf, wie Angreifer tatsächlich vorgehen – welche Wege wirklich in eine Praxis führen und woran Ihr Team sie im Alltag erkennt. Wir arbeiten durchgehend fallbasiert. Jeder Abschnitt beginnt mit einer realistischen Situation aus dem Praxisbetrieb, ordnet sie dann ein und endet mit einer klaren Regel, die Sie ab morgen anwenden können. Der Weg ist dabei zweigeteilt. Zuerst befassen wir uns mit allem, was über den Posteingang und über Zahlungsvorgänge hereinkommt. Danach folgen die Wege außerhalb des Postfachs: das Telefon, fremde Geräte, Ihre Räume – und am Ende die Frage, wie Ihr Team mit einem bemerkten Fehler umgeht. Steigen wir also dort ein, wo statistisch das meiste passiert: beim Posteingang und bei der Frage, wer eigentlich Geld von Ihnen bekommt. Sie werden sehen: Die meisten dieser Angriffe sind technisch unspektakulär. Sie funktionieren, weil sie sich perfekt in Ihren normalen Arbeitstag einfügen – in eine Anmeldung, an der gleichzeitig telefoniert, terminiert und abgerechnet wird.

Stellen Sie sich einen ganz normalen Freitagvormittag vor. Im Postfach der Abrechnung liegt eine Rechnung des Dentallabors, mit dem Sie seit Jahren zusammenarbeiten. Das Layout stimmt, das Logo stimmt, die Zahnfarbe und die Kronenpositionen im Leistungsverzeichnis passen zu einem Fall, der tatsächlich im Haus ist. Der Betrag liegt in der üblichen Größenordnung. Nur ganz unten steht ein Hinweis: Man habe die Bankverbindung gewechselt, künftig bitte auf das neue Konto überweisen. Genau das ist der ganze Angriff. Keine Schadsoftware, kein Link, nichts, was ein Virenschutz erkennen könnte – nur eine geänderte Kontonummer in einem Dokument, das ansonsten vollständig plausibel ist. Möglich wird das, weil die Angreifer den Schriftverkehr kennen. Entweder war ein Postfach auf einer der beiden Seiten kompromittiert, oder die Rechnung wurde aus echten Unterlagen nachgebaut. Der Zahlungslauf geht raus, das Geld ist weg, und auffallen wird es erst Wochen später, wenn das echte Labor mahnt. Halten Sie an dieser Stelle bitte einen Gedanken fest: Die Mail war nicht schlecht gemacht. Sie war nur unerwartet in genau einem Punkt – dem Zahlungsempfänger. Und genau dieser eine Punkt ist es, der eine Rückfrage verdient.

Die Laborrechnung ist nur eine von mehreren Verkleidungen. Angreifer recherchieren, wie eine Zahnarztpraxis kommuniziert, und bauen genau das nach. Sehr verbreitet ist die Bewerbung. Sie suchen eine zahnmedizinische Fachangestellte, die Stellenanzeige steht öffentlich im Netz, und prompt kommen Unterlagen als Anhang – ein Dokument oder eine Archivdatei, die beim Öffnen nach einer Freigabe fragt. Der zweite Klassiker ist Behördenpost: ein angebliches Schreiben Ihrer Kassenzahnärztlichen Vereinigung, eine Krankenkasse, die angeblich Unterlagen zu einem Heil- und Kostenplan nachfordert, verbunden mit einem Link zu einem Portal, in dem Sie sich bitte anmelden sollen. Diese Absender haben in der Praxis eine natürliche Autorität, und genau damit wird gearbeitet. Der dritte Weg ist der gefälschte Absender Ihres Dentaldepots: eine Lieferbestätigung, eine Auftragsänderung, ein Sonderangebot – mit einer Adresse, die sich vom Original nur durch einen zusätzlichen Buchstaben oder eine andere Endung unterscheidet. Das Muster dahinter ist immer dasselbe: Es wird kein technisches Loch gesucht, sondern ein Vorgang, der bei Ihnen ohnehin läuft. Die Nachricht muss nicht überzeugen, sie muss nur unauffällig sein. Deshalb reicht Misstrauen gegenüber fremden Absendern nicht aus – wir brauchen Merkmale, an denen man auch vertraute Post prüfen kann.

Fünf Merkmale reichen im Alltag aus. Erstens der Kontext: Passt diese Nachricht zu einem Vorgang, den es bei uns wirklich gibt? Eine Rechnung ohne Auftrag, eine Bewerbung ohne Ausschreibung, eine Nachforderung zu einem Fall, den niemand kennt – das ist das stärkste Signal, und es braucht keinerlei Technikkenntnis. Zweitens die Absenderadresse. Entscheidend ist nicht der Anzeigename, sondern die Adresse dahinter. Klicken Sie den Namen an, lassen Sie sich die tatsächliche Adresse anzeigen und lesen Sie sie von hinten: Stimmt die Domain wirklich, oder steht dort eine zusätzliche Silbe, ein Bindestrich, eine andere Endung? Drittens der Link. Fahren Sie mit dem Mauszeiger darüber, ohne zu klicken. Unten wird das echte Ziel angezeigt. Führt ein Link angeblich zu Ihrer Kassenzahnärztlichen Vereinigung, zeigt aber auf eine völlig fremde Adresse oder einen Kurzlink, ist die Sache entschieden. Viertens der Anhang: Office-Dokumente, die Sie zum Aktivieren von Inhalten oder Makros auffordern, und Archivdateien, die eine Prüfung umgehen sollen. Fünftens der Druckaufbau: heute noch, letzte Mahnung, Konto wird gesperrt, Behandlung kann sonst nicht abgerechnet werden. Seriöse Partner setzen Sie nicht unter Zeitdruck. Ein einzelnes Merkmal genügt für eine Rückfrage.

Daraus wird jetzt eine Regel, die für jede und jeden in der Praxis gilt – unabhängig von Funktion und IT-Kenntnissen. Wenn Sie unsicher sind, halten Sie an. Sie klicken keinen Link, Sie öffnen keinen Anhang, und Sie geben nirgends Zugangsdaten ein. Ebenso wichtig: Sie antworten nicht. Eine Antwort bestätigt den Angreifern, dass das Postfach aktiv gelesen wird, und zieht sie in ein Gespräch, in dem sie nachlegen können. Stattdessen greifen Sie zum zweiten Kanal. Das heißt: Sie rufen zurück – aber unter einer Nummer, die Sie selbst wählen. Aus Ihrer Stammdatenverwaltung, aus dem Praxisverwaltungssystem, vom Lieferschein, von der Visitenkarte am Empfang. Niemals unter der Nummer, die in der fraglichen Nachricht steht, und niemals über einen Link darin, denn beides kontrolliert der Angreifer. Ein Satz genügt: Wir haben hier eine Rechnung mit geänderter Bankverbindung, können Sie das bestätigen? Und dann melden Sie den Vorgang intern – an die Person, die in Ihrer Praxis dafür benannt ist. Die Mail wird nicht gelöscht, sondern aufgehoben, damit sie geprüft werden kann. Halten Sie fest: Eine Rückfrage kostet zwei Minuten. Sie ist nie peinlich, nie unhöflich und nie zu viel verlangt.

Warum dieser eine Klick so viel Gewicht hat, zeigt der Verlauf eines Verschlüsselungsangriffs. Der Einstieg ist fast immer unspektakulär: das unbedachte Öffnen eines E-Mail-Anhangs oder eine Fernwartungs- beziehungsweise Zugangsverbindung, die kompromittiert wurde. Danach vergeht Zeit – oft Tage. Die Angreifer verschaffen sich weitergehende Rechte, sehen sich im Netz um und ziehen Daten ab, bevor irgendetwas sichtbar wird. Dieser Datenabfluss ist der zweite Hebel: Er dient der Drohung mit Veröffentlichung. Erst zum Schluss wird verschlüsselt, und zwar gezielt: Ihr Praxisverwaltungssystem, die Röntgen- und Bilddaten, die digitalen Abformungen – und alles, was vom Netz aus erreichbar ist, ausdrücklich auch vorhandene Sicherungen. Für die Praxis heißt das: keine Patientenakte, keine Anamnese, kein Röntgenbild, kein Terminbuch, keine Abrechnung. Der Betrieb steht, und zwar nicht für Stunden, sondern für Tage bis Wochen. Dazu kommt die rechtliche Seite. Da Gesundheitsdaten betroffen sind, liegt eine Verletzung des Schutzes personenbezogener Daten vor. Sie ist der Aufsichtsbehörde unverzüglich zu melden, möglichst binnen 72 Stunden, nachdem sie Ihnen bekannt wurde. Besteht ein hohes Risiko für die Betroffenen, sind zusätzlich Ihre Patientinnen und Patienten unverzüglich zu benachrichtigen. Deshalb gilt: Jeder Verdacht wird sofort gemeldet, nicht erst beobachtet.

Der zweite große Zahlungsangriff kommt ohne jede Schadsoftware aus. Das Muster ist immer ähnlich: Eine kurze Nachricht erreicht die Person, die in der Praxis Überweisungen ausführt – angeblich von der Praxisinhaberin oder dem Praxisinhaber. Der Ton ist knapp und freundlich, die Formulierung vertraut. Man sei gerade in Behandlung, auf einem Kongress, schlecht erreichbar. Es gehe um eine Anzahlung, eine Anschaffung, eine Gerätelieferung. Und dann die zwei entscheidenden Sätze: Es müsse heute noch raus, und man solle es bitte vorerst nicht im Team besprechen. Kriminelle manipulieren hier gezielt die Personen, die für Zahlungsvorgänge befugt sind, damit diese vermeintlich im Auftrag der Leitung Überweisungen veranlassen. Die Warnsignale sind deshalb nicht technischer, sondern sozialer Natur. Erstens Zeitdruck: Eine Zahlung, die keine Stunde warten kann, gibt es im Praxisalltag praktisch nicht. Zweitens Vertraulichkeit: Die Bitte, niemanden einzubeziehen, hat genau einen Zweck – die Kontrolle auszuschalten. Drittens die Umgehung des üblichen Weges: Vorbei an der Abrechnung, vorbei am Freigabeprozess, vorbei am Rechnungseingang. Viertens der Zeitpunkt: kurz vor Feierabend, am Freitag, außerhalb der Sprechzeiten. Wer diese vier Signale kennt, erkennt den Angriff, auch wenn die Nachricht sprachlich perfekt ist.

Gegen beide Fälle – die manipulierte Laborrechnung und die eilige Anweisung – hilft dieselbe organisatorische Regel, und sie muss in Ihrer Praxis schriftlich festgelegt sein. Erstens: Jede Änderung einer Bankverbindung wird verifiziert, ausnahmslos. Nicht per Mail, nicht per Antwort auf die Nachricht, sondern durch einen Anruf beim Labor, beim Depot oder beim Dienstleister – unter der Nummer, die in Ihren Stammdaten hinterlegt ist. Kontaktdaten aus der fraglichen Nachricht sind grundsätzlich nicht zulässig. Zweitens: Ab einem von Ihnen festgelegten Betrag gilt das Vier-Augen-Prinzip. Eine Person bereitet vor, eine zweite gibt frei, und beide sind namentlich benannt. Drittens: Keine Zahlung ohne zugehörigen Vorgang. Gibt es keinen Auftrag, keinen Lieferschein, keine Bestellung, wird nicht überwiesen, sondern nachgefragt. Viertens, und das ist Aufgabe der Praxisleitung: Sagen Sie Ihrem Team ausdrücklich zu, dass eine Rückfrage immer erwünscht ist – auch am Samstag, auch wenn Sie gerade im Behandlungszimmer stehen. Eine Regel, die im Zweifel wie Misstrauen wirkt, wird nicht angewendet. Und halten Sie diese Zusage fest: Niemand in Ihrer Praxis bekommt Ärger dafür, dass er vor einer Überweisung noch einmal angerufen hat.