Personelle Veränderungen im Team: Tipps für die IT-Sicherheit
Der letzte Arbeitstag endet, die Mitarbeiterin verabschiedet sich, doch ihr Benutzerkonto wird nicht sofort deaktiviert. Wochen später testen Angreifer automatisiert typische Benutzernamen und Passwortvarianten. Da keine zusätzliche Absicherung besteht, etwa eine Multi-Faktor-Authentifizierung, gelingt der Zugriff auf das verwaiste Konto und bleibt tagelang unbemerkt.
Durch ihren Zugriff auf ein verwaistes Konto können Cyberkriminelle erheblichen Schaden verursachen. Möglich sind unter anderem der Zugriff auf sensible Patientendaten, das Einschleusen von Schadsoftware, beispielsweise zur Datenverschlüsselung, und die Forderung von Lösegeld für die Freigabe der verschlüsselten Daten.
Möglich ist auch, dass Cyberkriminelle die Identität der ehemaligen Mitarbeiterin vortäuschen und in ihrem Namen Kollegen, Patienten oder Dienstleister kontaktieren. Diese könnten auf gefälschte E-Mails hereinfallen und sensible Informationen preisgeben oder Zahlungen leisten.
Das Beispiel zeigt, wie leicht eine Sicherheitslücke entsteht und zunächst unbemerkt bleiben kann. Es zeigt auch, dass das Risiko nicht primär von der ehemaligen Mitarbeiterin ausgeht, sondern von unzureichenden Schutzmaßnahmen bei ihrem Ausscheiden aus der Praxis. Verantwortlich für die IT-Sicherheit und entsprechende Schutzmaßnahmen ist der Praxisinhaber oder die Praxisinhaberin.
Schwachstelle fehlendes „Offboarding“
Eine Schwachstelle ist fehlendes „Offboarding“. Gemeint ist damit alles, was geregelt werden muss, wenn eine Mitarbeiterin oder ein Mitarbeiter der Praxis dauerhaft oder längerfristig „von Bord geht“. Dazu gehören das Zurückgeben der Zugangskarte oder das Entziehen von Zugriffsrechten, aber auch die Deaktivierung des Benutzerkontos der ausgeschiedenen Mitarbeiterin und das Ändern von Passwörtern und Zugangsdaten, die ihr bekannt waren.
KBV unterstützt mit Musterdokument
Die KBV stellt ein Muster Austrittsformular bereit, das Praxisinhaberinnen und Praxisinhaber als Vorlage nutzen und individuell anpassen können. Es listet beispielhaft einige wichtige Maßnahmen auf, an die beim Austritt zu denken ist, zum Beispiel das Löschen von Benutzerkonten (Accounts). Das Muster-Austrittsformular steht im Hub der KBV bereit, einer Online-Plattform, die alles Wichtige zur IT-Sicherheitsrichtlinie enthält (siehe unten).
Sicherheit von Anfang an beachten
Kommt ein neuer Kollege ins Team, sollten Zugriffsrechte sparsam vergeben werden. Denn hier stellt sich die Frage, ob jemand gleich am ersten Tag vollen Zugriff auf sensible Daten und Systeme erhalten muss.
Strukturierte Einarbeitung
Zu Beginn der Beschäftigung muss der neue Kollege in die Praxis-IT eingearbeitet und über bestehende Regelungen, Handlungsanweisungen und Verfahrensweisen informiert werden.
Auch hier Musterdokument nutzen
Die KBV bietet auch ein Muster Eintrittsformular an, das Praxisinhaberinnen und Praxisinhaber individuell anpassen und direkt im Alltag einsetzen können. Es steht ebenfalls im Hub bereit.
Sensibilisierung und Schulung
Generell gilt: Neue Mitarbeiterinnen und Mitarbeiter müssen von Anfang an verpflichtet werden, geltende Gesetze und Vorschriften wie die IT-Sicherheitsrichtlinie der KBV einzuhalten. Sie sind darauf hinzuweisen, dass während der Arbeit erhaltene Informationen nur für den internen Gebrauch vorgesehen sind.
Auch müssen sie in den sicheren Umgang mit der Praxis-IT eingewiesen und sensibilisiert werden, soweit dies für ihre Arbeit relevant ist. Neue Kolleginnen und Kollegen sollten entsprechend ihrer Aufgaben und Verantwortlichkeiten zu Themen der Informationssicherheit geschult werden. Solche Schulungen sollten keine einmalige Angelegenheit bleiben, sondern regelmäßig erfolgen.
Neben den Musterdokumenten steht im Hub der KBV auch Schulungsmaterial für Praxisangestellte zur IT-Sicherheit bereit (siehe unten).
Checkliste, Beispiele und Serviceheft
Auf welche Punkte Praxen achten können, fasst eine Checkliste zusammen. Sie soll Orientierung bieten und ist nicht abschließend. Was bei personellen Veränderungen getan werden kann, zeigen auch einige Beispiele (siehe unten).
Für den Einstieg ins Thema bietet die KBV das Serviceheft „PraxisWissen IT-Sicherheit“. Darin ist auch eine Übersicht zu finden, welche Schutzmaßnahmen die IT-Sicherheitsrichtlinie der KBV für Praxispersonal enthält (Seite 5 im Heft).
Nächster Teil der Serie am 2. Juli
Der dreizehnte Teil unserer Serie zur IT-Sicherheit erscheint am 2. Juli. Dann geht es um Virenschutz.
Praxisnahe Beispiele und Tipps zur IT-Sicherheit
Sicherheitsmaßnahmen bei personellen Veränderungen
Serie in den PraxisNachrichten
Jede Praxis muss unabhängig von ihrer Größe für IT-Sicherheit sorgen. Die PraxisNachrichten informieren in einer monatlichen Serie über wichtige Aspekte der IT-Sicherheit: