Darum sind Updates so wichtig
Sicherheitslücken schließen
Sicherheitsupdates sind Softwareaktualisierungen, um bekannte Schwachstellen einer Software zu beheben und das System vor Cyberangriffen zu schützen. Denn Schwachstellen können von Cyberkriminellen ausgenutzt werden, um sich unbefugten Zugriff auf die Praxissysteme zu verschaffen, Daten zu stehlen oder die IT-Infrastruktur lahmzulegen.
Softwarehersteller stellen in der Regel Sicherheitsupdates bereit, sobald neue Bedrohungen erkannt oder Sicherheitslücken entdeckt werden. Sie betreffen Betriebssysteme, Praxisverwaltungssoftware, medizinische Geräte mit Netzwerkzugang sowie Firewalls und Virenschutzprogramme.
In der Regel zeigt die Software dann an, dass ein Update verfügbar ist. Diese Anzeige sollten Praxen stets ernst nehmen und das Update zeitnah einspielen. Sicherheitsupdates sind eine entscheidende Maßnahme für eine sichere und verantwortungsvolle Praxisführung.
Update zeitnah einspielen
Durch ein zeitnahes Einspielen von Sicherheitsupdates können die Praxen aktiv dazu beitragen, dass Angriffsversuche erfolglos bleiben. Sie sind auch der einzige Faktor, den Praxen bezüglich der Ausnutzung von Softwareschwachstellen beeinflussen können.
Auf der anderen Seite wächst das Risiko, wenn das Sicherheitsupdates nicht eingespielt wird, mit der Zeit immer mehr, da sowohl die Schwachstelle bekannt als auch reale Angriffe, welche eben diese Schwachstellen ausnutzen, vorhanden sind. Daher werden auch immer mehr Nachahmer und technisch weniger versierte Angreifer angelockt.
Risiken durch fehlende Updates
Ein verfügbares Sicherheitsupdate nicht einzuspielen, bedeutet somit immer ein Risiko. Es kann Tür und Tor öffnen für einen Datendiebstahl durch Cyberangriffe. Auch die Manipulation medizinischer Geräte, zum Beispiel bei digital vernetzten Systemen, ist denkbar. Möglich sind auch Systemausfälle, die den Praxisbetrieb lahmlegen.
Diagnosen, Laborbefunde, Symptome oder belastende Lebensereignisse: Arzt- und Psychotherapiepraxen arbeiten mit besonders schützenswerten Daten ihrer Patientinnen und Patienten. Ein Sicherheitsvorfall kann auch rechtliche Konsequenzen haben, etwa durch Verstöße gegen die Datenschutz-Grundverordnung, die empfindliche Bußgelder und eventuelle Schadensansprüche der Patienten vorsieht.
Beispiel Windows 10
Es kommt auch vor, dass Softwareanbieter für ein bestimmtes Produkt keine kostenlosen Sicherheitsupdates mehr bereitstellen – ein aktuelles Beispiel ist das Betriebssystem Windows 10 des Herstellers Microsoft. In einem solchen Fall empfiehlt sich der Wechsel auf eine neuere Betriebssystem-Version, beispielsweise Windows 11, oder die Wahl eines anderen Betriebssystems für die Praxis. Für eine Übergangszeit bietet Microsoft kostenpflichtige Sicherheits-Updates an. Diese sollten genutzt werden, bis eine längerfristige Lösung gefunden umgesetzt wird.
Stabilität und Leistungsfähigkeit
Nicht nur für die IT-Sicherheit sind Updates wichtig. Sie können auch die Stabilität und Leistungsfähigkeit der Geräte und Programme verbessern, damit diese reibungslos funktionieren und zusammenarbeiten. Zum Teil werden auch neue Funktionalitäten und Feature hinzugefügt, die Abläufe beschleunigt, Speicherkapazitäten verbessert oder die Kompatibilität mit neuen Softwareprodukten erhöht.
Wenn eine Schwachstelle in einem Softwareprodukt gefunden wurde, beginnt ein Risikozeitraum für die Softwarenutzer. Die größte Gefahr geht von einer gefundenen Schwachstelle aus, wenn diese bereits dem Angreifer bekannt ist, aber nicht dem Hersteller und der Öffentlichkeit. Sobald die Schwachstelle bekannt ist, kann der Hersteller sie schließen.
Risikozeitraum für die IT-Sicherheit bis zum Schließen einer Sicherheitslücke:
1. Entdeckung der Schwachstelle
2. Vorhandensein eines Angriffs-Codes für Cyberangriffe
3. Information der Hersteller
4. Veröffentlichung der Schwachstelle
5. Veröffentlichung der Signatur
6. Veröffentlichung des Sicherheitsupdates
7. Installation des Sicherheitsupdates (Schließen der Schwachstelle)
(Quelle: Norbert Pohlmann „Lebenszyklen von Schwachstellen“)
Beispiele für Updates
Tipps für Praxen
- Festlegen, wer Updates einspielt, damit die Zuständigkeit und Nachvollziehbarkeit gegeben ist
- Festlegen, wann Updates eingespielt werden, um den Praxisablauf nicht zu stören
- Wenn ein Update verfügbar ist, dieses zeitnah einspielen
- Dokumentation der durchgeführten Updates (unter anderem was und wann)
- Regelmäßige Wartungstermine mit IT-Dienstleistern vereinbaren
- Praxisteam für Updates sensibilisieren und informieren
Hinweis: Verantwortlich für die IT-Sicherheit der Praxis – und somit auch für das Einspielen von Sicherheitsupdates – ist stets der Praxisinhaber oder die Praxisinhaberin. Er oder sie kann festlegen, wer im Praxisteam Updates einspielen darf und in welcher Form dies zu dokumentieren ist.