Teamaufgabe IT-Sicherheit: Praxisteam sensibilisieren und schulen

Die Beschäftigten in den Praxen sind ein wichtiger Sicherheitsfaktor. Ausreichend sensibilisiert und gut geschult, können sie notwendige Schutzmaßnahmen ergreifen und verdächtige Aktivitäten wie Phishing erkennen. Doch schon durch eine kleine Unachtsamkeit oder mangelndes Wissen können sie die IT-Sicherheit gefährden. Die regelmäßige Sensibilisierung der Mitarbeitenden, Schulungen sowie klare Regeln und Vereinbarungen sind deshalb unerlässlich.

Woran Praxisinhaberinnen und Praxisinhaber dabei denken sollten und welche weiteren Anforderungen zur Gewährleistung der IT-Sicherheit in Praxen bestehen, ist in der IT-Sicherheitsrichtlinie der KBV festgelegt. Die KBV ist gesetzlich verpflichtet, eine solche Richtlinie bereitzustellen und regelmäßig anzupassen – immer im Einvernehmen mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI).

KBV bietet Schulungen für das Praxispersonal

Zu den Anforderungen gehört die regelmäßige Schulung des Praxispersonals, um das Bewusstsein für IT-Sicherheit („Security Awareness“) dauerhaft zu schärfen. Spätestens ab Oktober sind solche Schulungen Pflicht. Wie oft die Mitarbeitenden jedoch geschult werden sollten, legt jede Praxis selbst fest und richtet sich nach den individuellen Gegebenheiten vor Ort.

Die KBV unterstützt Ärzte und Psychotherapeuten mit zwei Schulungen für Medizinischen Fachangestellte. Die erste Schulung vermittelt Basiswissen zur IT-Sicherheit – von sicheren Passwörtern bis zum Verhalten bei Sicherheitsvorfällen. Die zweite Schulung fokussiert das Phishing („Fischen nach Passwörtern“). Diese Betrugsmasche erfolgt häufig per E-Mail, es gibt aber zahlreiche Varianten und Wege – per SMS, Anruf oder QR-Code in einem seriös wirkenden Brief.

Einweisung in die IT-Systeme der Praxis

Unabhängig von den Schulungen sollten alle Mitarbeitenden in die Benutzung der wesentlichen IT-Systeme ihres Arbeitsplatzes eingearbeitet und für den Datenschutz sensibilisiert werden. Dies gilt insbesondere für neue Kolleginnen und Kollegen. Dabei kann es je nach Größe der Praxis hilfreich sein, wenn sie Ansprechpartner für Fragen rund um Informationssicherheit und Datenschutz haben.

Wird neue Technik angeschafft, müssen die Angestellten nicht nur wissen, wie sie diese benutzten, sondern auch Schutzmaßnahmen kennen. Das umfasst Passwörter und Gerätesperrcodes ebenso wie das Festlegen von Verantwortlichkeiten beispielsweise für das Einspielen von Software-Updates oder das Erstellen von Sicherheitskopien der vom Programm oder Gerät gespeicherten Patientendaten.

Vereinbarung von Vertraulichkeit

Neben der Technik ist an die Informationssicherheit zu denken: Alle Mitarbeitenden müssen verpflichtet werden, sich an die geltenden Gesetze und Vorschriften zum Datenschutz und zur Schweigepflicht zu halten. Hierzu ist individuell mit dem Mitarbeiter oder der Mitarbeiterin eine Vertraulichkeitsvereinbarung zu schließen. Die KBV bietet dafür ein Musterdokument im Hub an.

Auch mit Personen, die nicht in der Praxis angestellt sind, aber dort beispielsweise Technik installieren, reparieren oder warten, muss Vertraulichkeit vereinbart werden. Solches Fremdpersonal muss in sicherheitsrelevanten Bereichen der Praxis beaufsichtigt werden.

Regelungen für den Personalwechsel

Dabei ist zu beachten, dass sich das Team verändert. Wenn eine Kollegin oder ein Kollege in Rente in geht oder aus anderen Gründen die Praxis dauerhaft verlässt, sind beispielsweise die Passwörter zu ändern, die der Person bekannt waren.

Bei der Einstellung neuer Kolleginnen und Kollegen sollte grundsätzlich besonders auf ihre Vertrauenswürdigkeit geachtet werden, beispielsweise bei der Prüfung der Arbeitszeugnisse.

Je mehr Technik und Personal, desto mehr ist zu tun

Grundsätzlich gilt: Je mehr Technik eine Praxis nutzt und je mehr Personen damit arbeiten, desto größer ist die Angriffsfläche. Ziel der Schutzmaßnahmen ist es, die Angriffsfläche so klein wie möglich zu halten, Risiken für Sicherheitsvorfälle zu minimieren und sich als Team zu begreifen, das gemeinsam für die IT-Sicherheit sorgt.

KBV-Hub und Serviceheft nutzen

Weitere Hinweise finden Praxen im Hub zur IT-Sicherheit. Einen kompakten Einstieg ins Thema bietet das Serviceheft „IT-Sicherheit“ aus der Reihe PraxisWissen. Es wurde kürzlich neu aufgelegt und enthält Informationen zu Sicherheitsanforderungen, eine Checkliste für erste Schritte sowie Tipps und Beispiele für die Umsetzung von Schutzmaßnahmen. Das Heft steht online bereit.

Nächster Teil

Der nächste Teil erscheint in der ersten August-Ausgabe der PraxisNachrichten. Thema ist dann, was je nach Ausstattung und Praxisgröße zum Basis-Schutz für die IT-Infrastruktur gehört.